Osiguravanje i učvršćivanje kernela CentOS 7 pomoću Sysctl

Uvod

Sysctlomogućuje korisniku fino podešavanje kernela bez potrebe za ponovnom izgradnjom kernela. Također će odmah primijeniti promjene, tako da se poslužitelj neće morati ponovno pokrenuti da bi promjene stupile na snagu. Ovaj vodič pruža kratak uvod sysctli pokazuje kako ga koristiti za podešavanje određenih dijelova Linux kernela.

Naredbe

Da biste počeli koristiti sysctl, pregledajte dolje navedene parametre i primjere.

Parametri

-a : Ovo će prikazati sve vrijednosti koje su trenutno dostupne u sysctl konfiguraciji.

-A : Ovo će prikazati sve vrijednosti koje su trenutno dostupne u sysctl konfiguraciji u obliku tablice.

-e : Ova opcija će zanemariti pogreške o nepoznatim ključevima.

-p : Koristi se za učitavanje određene sysctl konfiguracije, prema zadanim postavkama koristit će se/etc/sysctl.conf

-n : Ova opcija će onemogućiti prikazivanje naziva ključeva prilikom ispisa vrijednosti.

-w : Ova opcija služi za promjenu (ili dodavanje) vrijednosti sysctl-u na zahtjev.

Primjeri

$ sysctl -a
$ sysctl -n fs.file-max
$ sysctl -w fs.file-max=2097152
$ sysctl -p

Dakle, prvo provjeravamo zadane vrijednosti. Ako je vaš /etc/sysctl.confprazan, prikazat će se svi zadani ključevi i vrijednosti. Drugo, provjeravamo koja je vrijednost fs.file-maxi zatim postavljamo novu vrijednost na 2097152. Konačno, učitavamo novu /etc/sysctl.confkonfiguracijsku datoteku.

Ako tražite dodatnu pomoć, možete koristiti man sysctl.

Osiguravanje i učvršćivanje jezgre

Da bi promjene bile trajne, morat ćemo dodati te vrijednosti u konfiguracijsku datoteku. Koristite konfiguracijsku datoteku koju CentOS nudi prema zadanim postavkama, /etc/sysctl.conf.

Otvorite datoteku svojim omiljenim uređivačem.

Prema zadanim postavkama, trebali biste vidjeti nešto slično ovome.

# sysctl settings are defined through files in
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).

Prvo poboljšajmo upravljanje memorijom sustava.

Minimizirat ćemo količinu zamjene koju trebamo učiniti, povećati veličinu ručki datoteka i predmemorije inode te ograničiti ispise jezgre.

# Minimizing the amount of swapping
vm.swappiness = 20
vm.dirty_ratio = 80
vm.dirty_background_ratio = 5

# Increases the size of file handles and inode cache & restricts core dumps
fs.file-max = 2097152
fs.suid_dumpable = 0

Zatim, prilagodimo mrežnu optimiziranu izvedbu.

Promijenit ćemo količinu dolaznih veza i zaostataka dolaznih veza, povećati maksimalnu količinu memorijskih međuspremnika i povećati zadane i maksimalne međuspremnike za slanje/primanje.

# Change the amount of incoming connections and incoming connections backlog
net.core.somaxconn = 65535
net.core.netdev_max_backlog = 262144

# Increase the maximum amount of memory buffers
net.core.optmem_max = 25165824

# Increase the default and maximum send/receive buffers
net.core.rmem_default = 31457280
net.core.rmem_max = 67108864
net.core.wmem_default = 31457280
net.core.wmem_max = 67108864

Konačno, poboljšat ćemo opću sigurnost mreže.

Omogućit ćemo TCP SYN zaštitu kolačića, zaštitu od lažiranja IP-a, ignoriranje ICMP zahtjeva, ignoriranje zahtjeva za emitiranje i prijavljivanje lažnih paketa, izvornih preusmjerenih paketa i preusmjeravanja paketa. Uz to ćemo onemogućiti IP izvorno usmjeravanje i prihvaćanje ICMP preusmjeravanja.

# Enable TCP SYN cookie protection
net.ipv4.tcp_syncookies = 1

# Enable IP spoofing protection
net.ipv4.conf.all.rp_filter = 1

# Enable ignoring to ICMP requests and broadcasts request
net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Enable logging of spoofed packets, source routed packets and redirect packets
net.ipv4.conf.all.log_martians = 1

# Disable IP source routing
net.ipv4.conf.all.accept_source_route = 0

# Disable ICMP redirect acceptance
net.ipv4.conf.all.accept_redirects = 0

Spremite i zatvorite datoteku, a zatim učitajte datoteku pomoću sysctl -pnaredbe.

Zaključak

Na kraju bi vaša datoteka trebala izgledati slično ovome.

# sysctl settings are defined through files in
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).

# Minimizing the amount of swapping
vm.swappiness = 20
vm.dirty_ratio = 80
vm.dirty_background_ratio = 5

# Increases the size of file handles and inode cache & restricts core dumps
fs.file-max = 2097152
fs.suid_dumpable = 0

# Change the amount of incoming connections and incoming connections backlog
net.core.somaxconn = 65535
net.core.netdev_max_backlog = 262144

# Increase the maximum amount of memory buffers
net.core.optmem_max = 25165824

# Increase the default and maximum send/receive buffers
net.core.rmem_default = 31457280
net.core.rmem_max = 67108864
net.core.wmem_default = 31457280
net.core.wmem_max = 67108864

# Enable TCP SYN cookie protection
net.ipv4.tcp_syncookies = 1

# Enable IP spoofing protection
net.ipv4.conf.all.rp_filter = 1

# Enable ignoring to ICMP requests and broadcasts request
net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Enable logging of spoofed packets, source routed packets and redirect packets
net.ipv4.conf.all.log_martians = 1

# Disable IP source routing
net.ipv4.conf.all.accept_source_route = 0

# Disable ICMP redirect acceptance
net.ipv4.conf.all.accept_redirects = 0