CentOS系统全方位优化指南:性能调优与安全加固
一、网络优化配置
1.1 TCP协议栈调优
优化作用：
- 提升高延迟/高带宽网络吞吐量
- 增强服务器并发处理能力
- 减少TCP连接建立延迟
配置方法：
# 编辑内核参数文件
cat >> /etc/sysctl.conf << EOF
# 启用TCP窗口扩展
net.ipv4.tcp_window_scaling = 1
# 内存分配策略（最小值/默认值/最大值）
net.ipv4.tcp_rmem = 4096 87380 16777216
net.ipv4.tcp_wmem = 4096 65536 16777216
# 启用TFO（服务端+客户端）
net.ipv4.tcp_fastopen = 3
# 半连接队列长度
net.ipv4.tcp_max_syn_backlog = 8192
# 全连接队列长度
net.core.somaxconn = 8192
# 临时端口范围
net.ipv4.ip_local_port_range = 1024 65535
EOF
# 应用配置
sysctl -p验证命令：
ss -ltn | grep 'LISTEN'
sysctl net.ipv4.tcp_fastopen1.2 服务精简管理
推荐操作：
# 禁用老旧服务
systemctl disable rpcbind nfs-lock rpc-statd
# 查看网络监听端口
netstat -tunlp | grep -v '127.0.0.1'
# 推荐保留的核心服务：
# - sshd (22端口)
# - chronyd (时间同步)
# - firewalld (防火墙)二、存储子系统优化
2.1 磁盘调度策略
设备类型判断：
# 识别磁盘类型
lsblk -d -o NAME,ROTA
# ROTA=1为机械盘，0为SSD调度策略调整：
# 临时设置（SSD推荐）
echo 'mq-deadline' > /sys/block/sda/queue/scheduler
# 永久生效（GRUB配置）
sed -i '/GRUB_CMDLINE_LINUX/s/"$/ elevator=mq-deadline"/' /etc/default/grub
grub2-mkconfig -o /boot/grub2/grub.cfg2.2 文件系统优化
挂载参数优化：
# 修改/etc/fstab示例：
/dev/sda1 / ext4 defaults,noatime,nodiratime,barrier=0 0 1
# 参数说明：
# noatime - 禁用访问时间记录
# nobarrier - 关闭写入屏障（带电池的RAID卡）预读参数设置：
# 查看当前预读值
blockdev --getra /dev/sda
# 设置预读为8MB（4096*512B）
blockdev --setra 4096 /dev/sda
# 持久化配置
echo "blockdev --setra 4096 /dev/sda" >> /etc/rc.local
chmod +x /etc/rc.d/rc.local三、内存管理优化
3.1 Swap控制策略
配置建议：
# 降低swap使用倾向
echo 'vm.swappiness=10' >> /etc/sysctl.conf
# 透明大页禁用（适合数据库场景）
echo 'never' > /sys/kernel/mm/transparent_hugepage/enabled
# 持久化配置
grubby --update-kernel=ALL --args="transparent_hugepage=never"3.2 服务内存回收
典型可关闭服务：
systemctl stop cups
systemctl disable cups
# 其他常见可精简服务：
# - bluetooth
# - postfix
# - avahi-daemon四、处理器性能调优
4.1 CPU调度策略
内核参数调整：
cat >> /etc/sysctl.conf << EOF
# 最小调度粒度（10ms）
kernel.sched_min_granularity_ns = 10000000
# 唤醒抢占粒度（15ms）
kernel.sched_wakeup_granularity_ns = 15000000
EOF
sysctl -p4.2 电源管理模式
性能模式设置：
# 安装工具
yum install -y tuned
# 启用性能模式
tuned-adm profile throughput-performance
# 验证当前模式
tuned-adm active五、安全增强配置
5.1 防火墙策略
最佳实践：
# 清空默认规则
firewall-cmd --panic-on
# 放行必要服务
firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --add-service=http
# 限制SSH访问源
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" service name="ssh" accept'
firewall-cmd --reload5.2 SSH安全加固
配置示例：
# 修改/etc/ssh/sshd_config
Port 2222
PermitRootLogin no
MaxAuthTries 3
ClientAliveInterval 300
PasswordAuthentication no
# 重启服务
systemctl restart sshd六、系统参数深度优化
6.1 文件描述符限制
全局配置：
# 用户级限制
cat >> /etc/security/limits.conf << EOF
* soft nofile 65535
* hard nofile 65535
root soft nofile unlimited
root hard nofile unlimited
EOF
# 系统级限制
echo "fs.file-max = 1000000" >> /etc/sysctl.conf
sysctl -p6.2 内核参数补充
网络增强配置：
cat >> /etc/sysctl.conf << EOF
# SYN洪水防护
net.ipv4.tcp_syncookies = 1
# TIME-WAIT回收
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_fin_timeout = 30
# 最大跟踪连接数
net.netfilter.nf_conntrack_max = 1000000
EOF
sysctl -p七、自动化任务管理
7.1 定时任务清理
管理建议：
# 查看所有定时任务
for user in $(cut -f1 -d: /etc/passwd); do crontab -l -u $user; done
# 系统级任务目录：
# /etc/crontab
# /etc/cron.d/
# /etc/cron.hourly/
# /etc/cron.daily/7.2 日志轮转配置
优化示例：
# 编辑/etc/logrotate.conf
compress
daily
rotate 30
missingok
notifempty八、补充优化建议
8.1 系统更新策略
# 配置自动更新
yum install -y yum-cron
sed -i 's/apply_updates = no/apply_updates = yes/' /etc/yum/yum-cron.conf
systemctl enable yum-cron8.2 时间同步配置
# 安装chrony
yum install -y chrony
# 配置NTP服务器
sed -i 's/^server.*/server ntp.aliyun.com iburst/' /etc/chrony.conf
systemctl restart chronyd
timedatectl8.3 安全审计配置
# 安装审计工具
yum install -y audit
# 监控关键文件
echo "-w /etc/passwd -p wa -k identity" >> /etc/audit/rules.d/audit.rules
systemctl enable auditd
service auditd restart优化验证清单
- 网络状态检查：ss -s
- 内存使用分析：free -h
- 磁盘I/O性能：iostat -x 1
- CPU负载监控：mpstat -P ALL 1
- 安全审计日志：ausearch -k identity
通过以上综合优化措施，可使CentOS系统在性能提升30%以上的同时，显著增强安全防护能力。建议在生产环境实施前进行逐项验证，并根据具体业务场景进行参数微调。
上一篇：linux修改文件句柄限制