Linux服务器安全加固技巧

本文深入剖析Linux服务器安全加固的核心实践，强调禁用非必要服务与内核参数优化必须建立在严谨依赖分析和业务影响评估之上——既不能凭印象盲目关停如avahi-daemon、rpcbind等“陌生”服务，也不能脱离实际网络架构机械套用内核加固参数；通过systemctl依赖反查、分阶段停用验证、端口与账号残留清理，结合icmp响应控制、反向路径过滤、SYN Cookie启用及SSH连接层内核限流等关键措施，实现真正稳健、可落地的安全提效，尤其警示chronyd等看似边缘实则支撑集群稳定的关键服务不可轻动。

如何快速识别并禁用不必要的服务

直接关掉“看着不熟”的服务容易导致业务中断，必须先确认哪些服务真没用。关键不是数量，而是是否被业务或依赖链调用。

• systemctl list-units --type=service --state=running 查当前运行的服务，重点关注非系统核心且无业务关联的项，比如 avahi-daemon、bluetooth、rpcbind、telnet
• systemctl list-dependencies --reverse 看谁依赖它，避免误停上游服务（例如停 dbus 可能让 polkit 失效）
• 停用前先 systemctl stop 测试，确认无报错、无日志告警后再 systemctl disable
• CentOS/RHEL 7+ 默认启用 firewalld，若改用 iptables，必须先 systemctl disable firewalld 再启动 iptables，否则端口规则不生效

修改内核参数防范基础攻击面

内核参数不是调得越严越好，很多加固项会干扰正常网络行为（比如容器通信、NAT转发）。重点关三个最常被忽略但见效快的项：

• net.ipv4.icmp_echo_ignore_all = 1：禁用所有 ICMP 响应，防 ping 扫描；但注意监控系统若依赖 ping 探活，需同步调整探测方式
• net.ipv4.conf.all.rp_filter = 1：开启反向路径过滤，防 IP 欺骗；若服务器有多个网卡或使用策略路由，设为 2（宽松模式）更稳妥
• net.ipv4.tcp_syncookies = 1：启用 SYN Cookie，缓解 SYN Flood；现代内核默认已开，但旧系统或定制镜像可能关闭，务必检查

写入方式统一用 echo 'net.ipv4.icmp_echo_ignore_all = 1' >> /etc/sysctl.conf，然后 sysctl -p 生效；不要直接改 /proc/sys/ 下文件，重启即失效。

SSH服务加固中容易漏掉的内核级限制

只改 sshd_config 不够。Linux 内核本身能从连接层压制异常行为，比应用层拦截更早、更省资源。

• net.ipv4.tcp_max_syn_backlog：调低（如设为 256）可减少半连接队列堆积，配合 sshd 的 MaxStartups 参数形成双重限流
• net.core.somaxconn：必须 ≥ tcp_max_syn_backlog，否则内核会静默截断；常见错误是只调前者却忘了后者
• 若启用 Fail2ban，确保 net.netfilter.nf_conntrack_max 足够大（建议 ≥ 65536），否则连接跟踪表溢出会导致新连接被丢弃，现象是 SSH 登录偶尔超时、HTTP 请求 502

禁用服务后必须验证的三件事

很多人停完服务就以为结束了，但实际环境里最容易出问题的是残留监听、权限继承和日志污染。

• 执行 ss -tuln | grep ':' 或 lsof -i :，确认端口真没进程在监听（有些服务停了但子进程还占着端口）
• 检查 /etc/passwd 中对应服务的用户账号是否仍存在，如 ftp、nfsnobody，无用账号建议用 usermod -s /sbin/nologin 锁定登录 shell，而非直接删用户
• 查 /var/log/secure 和 journalctl -u ，确认停用后无反复启动失败的日志——这往往意味着某个定时任务或 systemd 依赖还在试图拉起它

真正难的不是操作步骤，而是判断“这个服务到底算不算必要”。比如 chronyd 看似只是时间同步，但 Kubernetes 集群节点间证书校验严重依赖时间一致性，盲目禁用会导致 etcd 通信中断。

终于介绍完啦！小伙伴们，这篇关于《Linux服务器安全加固技巧》的介绍应该让你收获多多了吧！欢迎大家收藏或分享给更多需要学习的朋友吧~golang学习网公众号也会发布文章相关知识，快来关注吧！