1. 系统基础配置概述作为一名有十年经验的系统管理员我经常被问到系统基本设置应该包括哪些内容。这看似简单的问题实际上涵盖了操作系统初始配置的方方面面。今天我就来分享一套经过实战检验的系统基础设置方案适用于大多数Linux服务器环境。系统基础设置是服务器上线前的必经步骤合理的配置能够为后续服务部署打下坚实基础避免很多潜在问题。根据我的经验完善的系统基础设置应该包括网络配置、用户权限管理、安全加固、时间同步、软件源配置等核心模块。下面我将逐一详解每个环节的具体实现方法和注意事项。2. 网络配置与管理2.1 网络接口设置网络配置是系统基础设置的第一步。在CentOS/RHEL系统中网络配置文件通常位于/etc/sysconfig/network-scripts/目录下。以配置eth0网卡为例DEVICEeth0 BOOTPROTOstatic IPADDR192.168.1.100 NETMASK255.255.255.0 GATEWAY192.168.1.1 ONBOOTyes配置完成后需要通过systemctl restart network命令使配置生效。这里有几个关键点需要注意确保ONBOOTyes否则重启后网络接口不会自动启用生产环境中建议禁用IPv6如需禁用添加IPV6INITno配置DNS服务器可以在/etc/resolv.conf中设置提示修改网络配置前建议先备份原配置文件。如果通过SSH远程操作最好在修改前开启一个保持连接的终端会话避免配置错误导致断连。2.2 防火墙配置现代Linux系统通常使用firewalld或iptables作为防火墙解决方案。以firewalld为例常用命令包括# 查看防火墙状态 firewall-cmd --state # 开放HTTP端口 firewall-cmd --permanent --add-servicehttp # 开放特定端口 firewall-cmd --permanent --add-port8080/tcp # 重载防火墙配置 firewall-cmd --reload防火墙配置的黄金法则是最小权限原则。只开放必要的端口和服务其他一律拒绝。生产环境中建议先设置默认策略为拒绝所有再逐个添加允许规则。3. 用户与权限管理3.1 用户账户设置系统基础用户管理包括创建用户、设置密码和分配权限。基本命令如下# 创建用户 useradd -m -s /bin/bash username # 设置密码 passwd username # 将用户加入sudo组 usermod -aG sudo username在实际操作中我建议遵循以下安全规范禁止root用户直接SSH登录修改/etc/ssh/sshd_config中的PermitRootLogin为no为每个管理员创建独立账户通过sudo提权操作设置强密码策略可通过/etc/login.defs配置3.2 SSH安全加固SSH是系统管理的主要入口必须进行安全加固。关键配置项包括# 修改默认端口 Port 2222 # 禁用密码认证使用密钥登录 PasswordAuthentication no PubkeyAuthentication yes # 限制登录用户 AllowUsers admin1 admin2 # 设置登录尝试限制 MaxAuthTries 3配置完成后务必测试密钥登录是否正常再重启SSH服务。我曾经遇到过配置错误导致自己被锁在外面的情况所以强烈建议在另一个终端保持登录状态直到确认新配置可用。4. 系统安全加固4.1 基础安全设置系统安全是基础设置的重中之重。以下是我总结的必做安全措施更新系统到最新补丁yum update -y # CentOS/RHEL apt update apt upgrade -y # Ubuntu/Debian安装基础安全工具# CentOS/RHEL yum install -y fail2ban rkhunter # Ubuntu/Debian apt install -y fail2ban rkhunter配置自动安全更新# CentOS/RHEL yum install -y yum-cron systemctl enable yum-cron systemctl start yum-cron # Ubuntu/Debian apt install -y unattended-upgrades dpkg-reconfigure unattended-upgrades4.2 内核参数调优通过sysctl.conf调整内核参数可以提升系统安全性和性能# 禁止ICMP重定向 net.ipv4.conf.all.accept_redirects 0 net.ipv4.conf.default.accept_redirects 0 # 开启SYN Cookie防护 net.ipv4.tcp_syncookies 1 # 禁止IP源路由 net.ipv4.conf.all.accept_source_route 0 net.ipv4.conf.default.accept_source_route 0修改后执行sysctl -p使配置生效。这些设置可以有效防范常见的网络攻击。5. 时间同步配置准确的时间同步对于日志分析、证书验证等场景至关重要。配置NTP服务的步骤如下# CentOS/RHEL 7 yum install -y chrony systemctl enable chronyd systemctl start chronyd # Ubuntu/Debian apt install -y chrony systemctl enable chrony systemctl start chrony配置文件中可以添加国内可靠的NTP服务器server ntp.aliyun.com iburst server ntp1.tencent.com iburst server ntp.tuna.tsinghua.edu.cn iburst注意金融等对时间精度要求高的场景建议部署本地NTP服务器再与外网时间源同步。6. 软件源与包管理6.1 配置国内镜像源国内使用官方源速度较慢替换为国内镜像可以大幅提升下载速度。以阿里云镜像为例# CentOS 7 mv /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/CentOS-Base.repo.backup curl -o /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo # Ubuntu mv /etc/apt/sources.list /etc/apt/sources.list.backup curl -o /etc/apt/sources.list http://mirrors.aliyun.com/ubuntu/sources.list更新缓存# CentOS yum makecache # Ubuntu apt update6.2 基础软件包安装根据系统用途安装必要的工具集# 开发环境基础工具 yum groupinstall -y Development Tools yum install -y vim git wget curl net-tools # 生产环境监控工具 yum install -y htop iotop iftop nmon7. 日志与监控配置7.1 系统日志管理配置合理的日志轮转策略可以防止日志文件占用过多空间。编辑/etc/logrotate.conf/var/log/messages { rotate 5 weekly compress missingok notifempty create 0640 root root }对于高负载系统建议将日志发送到远程日志服务器集中管理。7.2 基础监控设置即使没有专业监控系统也应该配置基础监控# 安装sysstat收集系统性能数据 yum install -y sysstat systemctl enable sysstat systemctl start sysstat # 配置每日报告 sed -i s/^HISTORY.*/HISTORY7/ /etc/sysconfig/sysstat8. 常见问题排查在实际操作中经常会遇到各种问题。以下是我总结的几个典型场景网络配置后无法连接检查IP、子网掩码、网关是否正确确认防火墙规则是否放行使用ip a和ip route命令验证配置SSH连接失败检查sshd服务状态systemctl status sshd查看日志journalctl -u sshd确认端口是否开放netstat -tulnp | grep ssh软件包安装失败检查软件源配置是否正确清理缓存后重试yum clean all或apt clean检查网络连接是否正常磁盘空间不足使用df -h查看磁盘使用情况使用du -sh *定位大文件清理日志文件或临时文件经过多年的实践我发现系统基础设置虽然看似简单但细节决定成败。一个配置不当的参数可能导致系统不稳定或安全漏洞。建议在修改重要配置前做好备份并记录所有变更方便后续排查问题。
