運維必看！Linux 系統(tǒng)初始化優(yōu)秀實踐
今天分享一下安裝操作系統(tǒng)后需要做哪些優(yōu)化和配置工作。
本文將以 openEuler 22.04為例，安裝完成后建議執(zhí)行的優(yōu)化步驟。
1. 更新系統(tǒng)軟件包
安裝完成后，首先應(yīng)該更新系統(tǒng)軟件包，以確保系統(tǒng)處于最新狀態(tài)，減少潛在的安全漏洞和兼容性問題。
dnf update -y此外，還可以安裝常見的開發(fā)工具和內(nèi)核相關(guān)軟件包：看個人需要
sudo dnf groupinstall "Development Tools" -y
sudo dnf install kernel-devel kernel-headers -y2. 配置 EPEL 和 openEuler 源
默認(rèn)的軟件源可能無法滿足所有需求，建議添加 EPEL（Extra Packages for Enterprise Linux）和額外的 openEuler 軟件源。
(1) 安裝 EPEL 源
curl -o /etc/yum.repos.d/epel-OpenEuler.repo https://down.whsir.com/downloads/epel-OpenEuler.repo(2) 替換官方源為國內(nèi)鏡像源
openEuler算是國產(chǎn)系統(tǒng)，下載速度還行，基本不用換，其他國外的操作系統(tǒng)可以參考網(wǎng)上教程進(jìn)行更換，國內(nèi)鏡像源一般有清華、阿里云和中科大等，這里不展開講解
3. 配置防火墻
合理的防火墻策略可以增強系統(tǒng)安全性，openEuler 默認(rèn)使用 firewalld 進(jìn)行防火墻管理。 應(yīng)該開啟防火墻，然后開啟特定業(yè)務(wù)端口
sudo systemctl enable firewalld --now
sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --permanent --add-port=8080/tcp
sudo firewall-cmd --permanent --add-port=3306/tcp
sudo firewall-cmd --reload查看防火墻規(guī)則：
sudo firewall-cmd --list-all4. 配置 SELinux
SELinux 是 Linux 內(nèi)核的強制訪問控制（MAC）安全機制，默認(rèn)可能是開啟的。可以根據(jù)需求進(jìn)行調(diào)整：一般是將其關(guān)閉
sudo setenforce 1 # 開啟 SELinux（強制模式）
sudo setenforce 0 # 關(guān)閉 SELinux（寬松模式）如果希望永久生效，可編輯 /etc/selinux/config 文件：
# SELINUX=enforcing # 強制模式
# SELINUX=permissive # 寬松模式
SELINUX=disabled # 關(guān)閉 SELinux5. 添加必要的用戶和權(quán)限
為了安全性，建議創(chuàng)建非 root 用戶，并賦予 sudo 權(quán)限。
useradd myuser
passwd myuser
# 授權(quán)wheel組權(quán)限，前面添加sudo即可代替root執(zhí)行命令
usermod -aG wheel myuser6. 調(diào)整 SSH 遠(yuǎn)程訪問策略和優(yōu)化
默認(rèn)情況下，SSH 允許 root 直接登錄，出于安全考慮建議禁用 root 登錄，并修改 SSH 端口。
編輯 /etc/ssh/sshd_config 文件：
# # 修改默認(rèn) SSH 端口（默認(rèn) 22）
Port 2222
# 禁止 root 遠(yuǎn)程登錄（根據(jù)實際情況）
PermitRootLogin no
# 關(guān)閉GSSAPI認(rèn)證
GSSAPIAuthentication no
# 關(guān)閉DNS反向解析
UseDNS no然后重啟 SSH 服務(wù)：
sudo systemctl restart sshd7. 系統(tǒng)的命令提示符優(yōu)化
可以通過優(yōu)化一下命令提示符，添加一下顏色這樣看著感覺更好一點，個人喜歡，不配置也不影響使用。
vim /etc/profile
# 在/etc/profile尾部添加下面代碼
export PS1='[\[\e[32;1m\]\u@\[\e[33;1m\]\h\[\e[34;1m\] \W\[\e[0m\]]\$ '
source /etc/profile查看效果。
8. 配置時間同步
保證服務(wù)器時間同步對各個服務(wù)都非常重要：
dnf install ntpdate -y
ntpdate time.windows.com查看時間是否與互聯(lián)網(wǎng)時間一致：
date【溫馨提示】如果是內(nèi)部環(huán)境直接同步公司的時鐘服務(wù)器IP。
9. 優(yōu)化內(nèi)核參數(shù)
調(diào)整一些系統(tǒng)內(nèi)核參數(shù)可以提高網(wǎng)絡(luò)性能和文件句柄數(shù)量。
vi /etc/sysctl.conf修改下面的內(nèi)容
# 啟用 SYN Cookie 機制，防止 SYN 泛洪攻擊
net.ipv4.tcp_syncookies = 1
# 增加 TCP SYN 隊列長度，提高處理并發(fā)連接能力
net.ipv4.tcp_max_syn_backlog = 2048
# 增加文件句柄數(shù)，防止高并發(fā)應(yīng)用打開文件數(shù)受限
fs.file-max = 2097152
# 降低 Swap 使用傾向，減少磁盤 I/O
vm.swappiness = 10
# 開啟 IP 轉(zhuǎn)發(fā)（適用于路由或 NAT 功能）
net.ipv4.ip_forward = 1然后應(yīng)用更改：
sudo sysctl -p10. 配置日志管理
日志管理對于故障排查和系統(tǒng)監(jiān)控至關(guān)重要，建議使用 logrotate 自動清理舊日志，防止磁盤占滿。
sudo dnf install logrotate -y然后編輯 /etc/logrotate.conf 進(jìn)行相應(yīng)的配置：
/var/log/messages {
rotate 7
daily
compress
missingok
notifempty
}11. 安裝必要的軟件工具
安裝一些日常維護(hù)和管理工具，例如：
sudo dnf install vim git htop net-tools wget curl lsof -y
