CentOS 7 tuuma kaitsmine ja tugevdamine Sysctliga

Sissejuhatus

Sysctlvõimaldab kasutajal tuuma peenhäälestada, ilma et peaks kernelit ümber ehitama. Samuti rakendab see muudatused kohe, seega ei pea serverit muudatuste jõustumiseks taaskäivitama. See õpetus sisaldab lühitutvustust sysctlja näitab, kuidas seda kasutada Linuxi tuuma teatud osade kohandamiseks.

Käsud

Sysctli kasutamise alustamiseks vaadake üle allpool loetletud parameetrid ja näited.

Parameetrid

-a : kuvab kõik sysctl konfiguratsioonis hetkel saadaolevad väärtused.

-A : see kuvab kõik sysctl-i konfiguratsioonis praegu saadaolevad väärtused tabeli kujul.

-e : see suvand ignoreerib tundmatute võtmetega seotud vigu.

-p : seda kasutatakse konkreetse sysctl-i konfiguratsiooni laadimiseks, vaikimisi kasutab see/etc/sysctl.conf

-n : see suvand keelab võtmenimede kuvamise väärtuste väljatrükkimisel.

-w : see suvand on mõeldud sysctl-i väärtuste muutmiseks (või lisamiseks) nõudmisel.

Näited

$ sysctl -a
$ sysctl -n fs.file-max
$ sysctl -w fs.file-max=2097152
$ sysctl -p

Nii et kõigepealt kontrollime vaikeväärtusi. Kui teie /etc/sysctl.confon tühi, kuvatakse kõik vaikeklahvid ja -väärtused. Teiseks kontrollime, mis väärtus fs.file-maxon, ja määrame seejärel uueks väärtuseks 2097152. Lõpuks laadime uue /etc/sysctl.confkonfiguratsioonifaili.

Kui otsite täiendavat abi, võite kasutada man sysctl.

Kerneli turvamine ja tugevdamine

Muudatuste püsivaks muutmiseks peame need väärtused konfiguratsioonifaili lisama. Kasutage CentOS-i vaikimisi pakutavat konfiguratsioonifaili /etc/sysctl.conf.

Avage fail oma lemmikredaktoriga.

Vaikimisi peaksite nägema midagi sarnast.

# sysctl settings are defined through files in
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).

Parandame esmalt süsteemi mäluhaldust.

Kavatseme minimeerida vajalike vahetamiste arvu, suurendada failikäepidemete ja sisendmooduli vahemälu suurust ning piirata põhitõmmistet.

# Minimizing the amount of swapping
vm.swappiness = 20
vm.dirty_ratio = 80
vm.dirty_background_ratio = 5

# Increases the size of file handles and inode cache & restricts core dumps
fs.file-max = 2097152
fs.suid_dumpable = 0

Järgmisena saate häälestada võrgu optimeeritud jõudlust.

Muudame sissetulevate ühenduste hulka ja sissetulevate ühenduste mahajäämust, suurendame maksimaalset mälupuhvrite hulka ning suurendame vaike- ja maksimaalset saatmise/vastuvõtmise puhvrit.

# Change the amount of incoming connections and incoming connections backlog
net.core.somaxconn = 65535
net.core.netdev_max_backlog = 262144

# Increase the maximum amount of memory buffers
net.core.optmem_max = 25165824

# Increase the default and maximum send/receive buffers
net.core.rmem_default = 31457280
net.core.rmem_max = 67108864
net.core.wmem_default = 31457280
net.core.wmem_max = 67108864

Lõpuks parandame üldist võrguturvalisust.

Lubame TCP SYN-i küpsisekaitse, IP-i võltsimise kaitse, ICMP-päringute ignoreerimise, edastuspäringute ignoreerimise ja võltsitud pakettide logimise, allika marsruudipakettide ja ümbersuunamispakettide. Koos sellega keelame IP-allika marsruutimise ja ICMP ümbersuunamise aktsepteerimise.

# Enable TCP SYN cookie protection
net.ipv4.tcp_syncookies = 1

# Enable IP spoofing protection
net.ipv4.conf.all.rp_filter = 1

# Enable ignoring to ICMP requests and broadcasts request
net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Enable logging of spoofed packets, source routed packets and redirect packets
net.ipv4.conf.all.log_martians = 1

# Disable IP source routing
net.ipv4.conf.all.accept_source_route = 0

# Disable ICMP redirect acceptance
net.ipv4.conf.all.accept_redirects = 0

Salvestage ja sulgege fail ning seejärel laadige fail sysctl -pkäsuga.

Järeldus

Lõpuks peaks teie fail välja nägema sarnane.

# sysctl settings are defined through files in
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).

# Minimizing the amount of swapping
vm.swappiness = 20
vm.dirty_ratio = 80
vm.dirty_background_ratio = 5

# Increases the size of file handles and inode cache & restricts core dumps
fs.file-max = 2097152
fs.suid_dumpable = 0

# Change the amount of incoming connections and incoming connections backlog
net.core.somaxconn = 65535
net.core.netdev_max_backlog = 262144

# Increase the maximum amount of memory buffers
net.core.optmem_max = 25165824

# Increase the default and maximum send/receive buffers
net.core.rmem_default = 31457280
net.core.rmem_max = 67108864
net.core.wmem_default = 31457280
net.core.wmem_max = 67108864

# Enable TCP SYN cookie protection
net.ipv4.tcp_syncookies = 1

# Enable IP spoofing protection
net.ipv4.conf.all.rp_filter = 1

# Enable ignoring to ICMP requests and broadcasts request
net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Enable logging of spoofed packets, source routed packets and redirect packets
net.ipv4.conf.all.log_martians = 1

# Disable IP source routing
net.ipv4.conf.all.accept_source_route = 0

# Disable ICMP redirect acceptance
net.ipv4.conf.all.accept_redirects = 0