2011-10-22 00:47:15

转：http://apps.hi.baidu.com/share/detail/14819035

如果你打算使用Apache httpd Web服务器，请看这里。 一、系统约定 软件源代码包存放位置 /usr/local/data-original 源码包编译安装位置(prefix) /usr/local/software_name 脚本以及维护程序存放位置 /usr/local/sbin MySQL 数据库位置 /var/lib/mysql（可按情况设置） 网站根目录 /home/www/wwwroot（可按情况设置） 虚拟主机日志根目录 /home/www/logs（可按情况设置） 运行账户 www:www 二、系统环境部署及调整 1、检查系统是否正常 # more /var/log/messages （检查有无系统级错误信息） # dmesg （检查硬件设备是否有错误信息） # ifconfig（检查网卡设置是否正确） # ping www.163.com （检查网络是否正常） # cat /proc/cpuinfo (检查CPU频率是否正常) # top (按1检测CPU核数是否正常，内存大小是否正常) 2、关闭不需要的服务 # ntsysv 以下仅列出需要启动的服务，未列出的服务一律推荐关闭： atd crond irqbalance microcode_ctl network sendmail sshd syslog 关闭SElinux：修改/etc/selinux/config文件中的SELINUX= 为 disabled 3、更换yum国内源 # cd /etc/yum.repos.d # mv CentOS-Base.repo CentOS-Base.repo.save # wget http://centos.ustc.edu.cn/CentOS-Base.repo.5 # mv CentOS-Base.repo.5 CentOS-Base.repo # yum clean all 4、服务器时间检查和设置 #data (检查时间是否正确，是否是中国时间CST) #cp -f /usr/share/zoneinfo/Asia/Shanghai /etc/localtime (如果时区不对，则执行，时间正常的跳过) #yum -y install ntp (安装ntp对时工具) #chkconfig ntpd on (让对时服务开机启动) 5、使用 yum 对系统进行更新并且安装必要软件包 #yum update –y #yum -y install make openssl openssl-devel pcre pcre-devel libpng libpng-devel libjpeg-6b libjpeg-devel-6b freetype freetype-devel gd gd-devel zlib zlib-devel gcc gcc-c++ libXpm libXpm-devel ncurses ncurses-devel libmcrypt libmcrypt-devel libxml2 libxml2-devel imake autoconf automake screen sysstat compat-libstdc++-33 curl curl-devel 复制代码 6. 重新启动系统 # init 6 三、编译安装L.A.M.P环境 1、下载软件(截止到09年10月的最新版本) # cd /usr/local/data-original #wget http://sysoev.ru/nginx/nginx-0.7.63.tar.gz #wget http://download.scientificlinux.net/nginx #wget http://download.scientificlinux.net/php-fpm.conf #wget http://download.scientificlinux.net/nginx.conf #wget http://download.scientificlinux.net/fcgi.conf #wget http://download.scientificlinux.net/php-5.2.10.tar.gz #wget http://download.scientificlinux.net/php-5.2.10-fpm-0.5.13.diff.gz #wget http://download.scientificlinux. ... glibc23-i386.tar.gz （32位系统） #wget http://download.scientificlinux. ... ibc23-x86_64.tar.gz (64位系统) #wget http://download.scientificlinux. ... i686-glibc23.tar.gz (32位系统) #wget http://download.scientificlinux. ... 6_64-glibc23.tar.gz (64位系统) 2、安装MySQL cd /usr/local/data-original tar zxvf mysql-5.1.39-linux-i686-glibc23.tar.gz mv mysql-5.1.39-linux-i686-glibc23 /usr/local/ ln -s /usr/local/mysql-5.1.39-linux-i686-glibc23/ /usr/local/mysql groupadd mysql useradd -g mysql mysql chown -R mysql:mysql /usr/local/mysql chown -R mysql:mysql /usr/local/mysql-5.1.39-linux-i686-glibc23/ cd /usr/local/mysql ./scripts/mysql_install_db --user=mysql cp ./support-files/mysql.server /etc/rc.d/init.d/mysqld chmod 755 /etc/rc.d/init.d/mysqld chkconfig --add mysqld chkconfig --level 3 mysqld on cp ./support-files/my-huge.cnf /etc/my.cnf mv /usr/local/mysql/data /var/lib/mysql chown -R mysql:mysql /var/lib/mysql 编辑/etc/my.cnf 在 [mysqld] 段增加 datadir = /var/lib/mysql skip-innodb wait-timeout = 10 max_connections = 512 max_connect_errors = 10000000 复制代码 在 [mysqld] 段修改 max_allowed_packet = 16M thread_cache_size = CPU个数*2 复制代码 将 log-bin 注释 service mysqld start bin/mysqladmin -u root password 'password_for_root' 其中引号内的password_for_root是要设置的root密码 3、安装Nginx cd /usr/local/data-original/ tar zxvf nginx-0.7.63.tar.gz cd nginx-0.7.63 ./configure --prefix=/usr/local/nginx --conf-path=/usr/local/nginx/conf/nginx.conf --with-http_realip_module --with-http_addition_module --with-http_gzip_static_module --with-http_random_index_module --with-http_stub_status_module --with-http_sub_module --with-http_dav_module make make install cp /usr/local/data-original/nginx /etc/init.d/nginx chmod 755 /etc/init.d/nginx chkconfig --add nginx chkconfig nginx on 4、安装PHP和Zend cd /usr/local/data-original tar zxvf php-5.2.10.tar.gz gzip -cd php-5.2.10-fpm-0.5.13.diff.gz | patch -d php-5.2.10 -p1 cd php-5.2.10 ./configure --prefix=/usr/local/php5 --with-config-file-path=/usr/local/etc/cgi --enable-mbstring --enable-ftp --with-gd --with-jpeg-dir=/usr --with-png-dir=/usr --enable-magic-quotes --with-mysql=/usr/local/mysql --with-pear --enable-sockets --with-ttf --with-freetype-dir=/usr --enable-gd-native-ttf --with-zlib --enable-sysvsem --enable-sysvshm --with-libxml-dir=/usr --enable-force-cgi-redirect --enable-fastcgi --with-xmlrpc --enable-zip --enable-fpm make make install mkdir -p /usr/local/etc/cgi/ cp php.ini-dist /usr/local/etc/cgi/php.ini mv -f /usr/local/data-original/php-fpm.conf /usr/local/php5/etc/php-fpm.conf groupadd www useradd -g www www echo 'ulimit -SHn 65535' >> /etc/rc.local echo '/usr/local/php5/sbin/php-fpm start' >> /etc/rc.local cd /usr/local/data-original tar zxvf ZendOptimizer-3.3.3-linux-glibc23-i386.tar.gz cd ZendOptimizer-3.3.3-linux-glibc23-i386 ./install (注意第一个要填的路径是Zend安装路径，第二个是php.ini所在的路径，即/usr/local/etc/cgi) (不要选重启apache) 5、启动Nginx和php mv -f /usr/local/data-original/fcgi.conf /usr/local/nginx/conf/ cp -f /usr/local/data-original/nginx.conf /usr/local/nginx/conf/nginx.conf mkdir -p /home/www/wwwroot ulimit -SHn 65535 /usr/local/php5/sbin/php-fpm start service nginx start 在/home/www/wwwroot放入一个index.php，内容为 打开浏览器访问，即可看到phpinfo页面 6、设置系统防火墙 编辑/usr/local/sbin/fw.sh 复制以下内容进去 #!/bin/bash # Stop iptables service first service iptables stop # Load FTP Kernel modules /sbin/modprobe ip_conntrack_ftp /sbin/modprobe ip_nat_ftp # Inital chains default policy /sbin/iptables -F -t filter /sbin/iptables -P INPUT DROP /sbin/iptables -P OUTPUT ACCEPT # Enable Native Network Transfer /sbin/iptables -A INPUT -i lo -j ACCEPT # Accept Established Connections /sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # ICMP Control /sbin/iptables -A INPUT -p icmp -m limit --limit 1/s --limit-burst 10 -j ACCEPT # WWW Service /sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT # FTP Service /sbin/iptables -A INPUT -p tcp --dport 21 -j ACCEPT # SSH Service /sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT 复制代码 退出编辑，执行以下命令 # chmod 755 /usr/local/sbin/fw.sh # echo '/usr/local/sbin/fw.sh' >> /etc/rc.local # /usr/local/sbin/fw.sh

2011-10-11 18:32:47

转：http://zhangxugg-163-com.iteye.com/blog/1153267

我们在生产环境中尝试使用varnish替代squid的主要原因：

 

1. squid不支持多核cpu, 生产环境中大多使用Dell R610系列，这种类型机器配置为2个4核双线程cpu, 操作系统识别为16个，对squid来说，只能利用到一个逻辑cpu, 其它15个逻辑cpu相当于一直浪费！

 

2. squid无法批量清除缓存

 

3. squid3.0目前还无法支持http 1.1, 这对一些管理调整（如gzip压缩，cache-control）带来不必要的麻烦

 

4. 目前我还未找到squid的grace模式（指源站不可到达时，继续使用过期缓存为用户提供服务），而varnish是完全支持的。

 

5. 经过生产环境数个月反复测试，同样访问量情况下，varnish消耗的更少，也没有出现过崩溃情况，而squid因为不支持多核，导致Dell R610机器负载往往超过4，但使用varnish后，机器负载从来没超过1.5

 

经过反复测试，我们已经开始在日独立IP百万级站点中使用varnish替换squid了。

 

但这个过程中，充满太多未知情况，目前我们所遇到的关键问题下：

 

1. 高流量情况下iptables丢包

ip_conntrack: table full, dropping packet.

按网上常规方法，只修改/etc/sysctl.conf是无效的

 

需要以下两步，方可解决之
/boot/grub/grub.conf kernel行中增加参数
ip_conntrack.hashsize=524288
/etc/sysctl.conf中增加
net.ipv4.netfilter.ip_conntrack_max = 2097152

 

注意，上面的操作需要重启机器

 

2. 登录shell ulimit的默认值
/etc/security/limits.conf中加入
* soft nofile 655360
* hard nofile 655360

默认的文件描述符限制为1024, 太小，即使调整成65536，对高负载机器也可能不够，故设置为655360,但也要注意，这个值不能设置过大，否则会导致shell无法登录。

 

修改/etc/security/limits.conf后，只对登录shell有效。对开机运行的程序，一定要注意这个问题（在启动前设置ulimit）

那么，shell级的资源限制来自于/etc/security/limits.conf，那么系统级的资源限制可在哪里修改？

 

3. squid换varnish后流量增加的解决方案：
/etc/security/limits.conf中加入

* soft memlock 1048576
* soft memlock 1048576

或执行 ulimit -HSl 1048576

默认的memlock 只有32K，对varnish来说，太小太小。varnish使用内存块保存日志，故这个值需要调大一些。

上面的值将其调整为1G，即可解决varnish流量高于squid的问题

 

3. varnish运行中频繁出现400，503错误

 

400错误出现，是因为varnish认为客户端请求header行数及长度过大，其默认最大接受的请求header行数为64，最大长度（所有请求header行长度之和）为2048，解决这个问题比较简单，在varnish启动参数中加入：

-p http_max_hdr=256

-p http_req_hdr_len=8192

 

再重启varnish, 即可解决其400错误

 

503错误，这是因为varnish对后端服务器响应header有限制，默认长度是2048，可将其调大一些

-p http_resp_hdr_len=8192

 

再重启之，即可解决这个问题

2011-04-14 00:14:56

PS：这篇优化总结不错，适合于小内存的VPS服务器。

CentOS 是免费的，并且有着 RHEL 的稳定，因此深受各大 hosting 服务商支持，几乎所有 Linux VPS 都支持 CentOS。

一般来说如果 VPS 配置较高我会选 CentOS，配置低的话就选 Debian，当然这是个人偏好，大多数 Linux VPS 服务商也会提供 Gentoo，不过每次安装程序，升级都要编译会消耗很多资源，耗时，而且性能没有明显提高，不推荐给配置低的 VPS。

VPS 服务商一般给的操作系统版本都是最小安装版本，或者优化过的版本。每个VPS服务商提供的版本都可能不同，安装 CentOS 的系统最低要求至少 64MB 内存（纯文字界面），1GB 硬盘空间。

安装和升级系统

1、登录 VPS 安装 CentOS 5。

2、安装完毕后马上升级整个系统。

yum update

有了一个干净的系统以后，剩下来就是加强和优化 Linux。

删除不必要的软件包，服务，用户，文件等

3、删除不需要的软件包。

yum remove Deployment_Guide-en-US finger cups-libs cups
bluez-libs desktop-file-utils ppp rp-pppoe wireless-tools irda-utils
nfs-utils nfs-utils-lib rdate fetchmail eject ksh mkbootdisk mtools
syslinux tcsh startup-notification talk apmd rmt dump setserial portmap yp-tools
ypbind

rpm -qa (列出所有安装了的包)
rpm -e package (删除某个包)
rpm -qi package (查询某个包)
rpm -qf command (根据程序查询包的名字)
rpm -ql package (查询某个包所有的安装文件)

4、删除一些不安全的软件包，并且用相应安全的软件替代，如: ssh/sftp/scp 替代 telnet, rsh, ftp, rcp
注意系统需要一个默认的 MAT，删除 Sendmail MAT 之前必须先安装一个，如: Postfix。

yum remove telnet rsh ftp rcp
yum install postfix
yum remove sendmail
/sbin/chkconfig postfix off

5、停掉并且删除一些不需要的 xinetd 服务。

/sbin/service xinetd stop; /sbin/chkconfig xinetd off
rm -rf /etc/xinetd.d

6、禁止一些 /etc/init.d/ 下面不需要的服务，更多信息请参考 “Understanding your (Red Hat Enterprise Linux) daemons, by Len DiMaggio”。

/sbin/chkconfig --list

for a in acpid anacron apmd atd autofs bluetooth cpuspeed cups gpm
hidd ip6tables irqbalance messagebus microcode_ctl netfs nfs nfslock
pcscd portmap readahead_early readahead_later rpcgssd rpcidmapd
sendmail smartd xinetd yum-updatesd; do /sbin/chkconfig $a off; done

7、重启系统后，检查一下正在运行中的服务，看看是不是都是必须的。

netstat -an | grep LISTEN
netstat -atunp

8、为了安全起见，删除一些不需要的用户。

cp /etc/passwd /etc/passwd.sav
cp /etc/group /etc/group.sav
for a in adm lp sync news uucp operator games gopher mailnull nscd rpc;
do /usr/sbin/userdel $a -f; done
for a in lp news uucp games gopher users floopy nscd rpc rpcuser nfsnobody;
do /usr/sbin/groupdel $a -f; done

加固和优化系统

9、打开防火墙。

system-config-securitylevel-tui

10、检查和禁止全局可写的 SUID 文件。

find / -perm +4000 -user root -type f -print
find / -perm +2000 -group root -type f -print
chmod u-s /full/path/to/filename
chmod g-s /full/path/to/filename

11、只允许 root 在一个 terminal 上登录，如: tty1。

vi /etc/securetty

12、避免其他用户按 Ctrl+Alt+Del 重启。

vi /etc/inittab

注释掉
#ca::ctrlaltdel:/sbin/shutdown -t3 -r now

13、/etc/security/console.apps/ 下面有 root 用户登录 console 后可以运行的程序，全部删除。
rm -f /etc/security/console.apps/*

14、删除一些登录信息。

vi /etc/issue (warning at login prompt)
vi /etc/motd (warning after successful login)

15、只运行一个 virtual terminal，如果是 VPS 的话，自己不可能物理登录终端，可以全部禁止掉。

vi /etc/inittab
# Run gettys in standard runlevels
#1:2345:respawn:/sbin/mingetty tty1
#2:2345:respawn:/sbin/mingetty tty2
...

16、加固 SSH 安全。

vi /etc/ssh/sshd_config
Port 2222
Protocol 2
PermitRootLogin no
PermitEmptyPasswords no
X11Forwarding no
UsePAM no
UseDNS no
AllowUsers vpsee
Banner /etc/issue

17、安装 Bastille 软件包帮助加固。

rpm -Uvh perl-Curses-1.15-1.el5.rf.i386.rpm
rpm -ivh Bastille-3.0.9-1.0.noarch.rpm
/usr/sbin/bastille -c

18、优化 Linux 内核。

vi /etc/sysctl.conf
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.all.accept_redirects = 0

定制 Linux 内核

19、定制，编译，安装 Linux 内核。

yum install rpm-build ncurses ncurses-devel
rpm -ivh kernel-2.6.18-8.1.1.el5.data-original.rpm
cd /usr/data-original/redhat/SPECS
rpmbuild -bp --target i686 kernel-2.6.spec
cd /usr/data-original/redhat/BUILD/kernel-2.6.18/linux-2.6.18.i686
sed -i 's/EXTRAVERSION = -prep/EXTRAVERSION = -8.1.1.custom.el5/' Makefile
make menuconfig
make rpm
cd /usr/data-original/redhat/RPMS/i686
rpm -ivh kernel-2.6.18prep-1.rpm
/sbin/mkinitrd /boot/initrd-2.6.18-prep.img 2.6.18-prep (2.6.18-prep -> /lib/modules)
vi /boot/grub/menu.1st

20、修改 iptables" href="http://www.ha97.com/tag/iptables">iptables，只允许 ssh，http 和 https 端口打开。

/sbin/iptables -F
/sbin/iptables -A INPUT -i lo -j ACCEPT
/sbin/iptables -A INPUT -i ! lo -d 127.0.0.0/8 -j REJECT
/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 443 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -m state --state NEW --dport 22 -j ACCEPT
/sbin/iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
/sbin/iptables -A INPUT -j REJECT
/sbin/iptables -A FORWARD -j REJECT

然后查看一下 iptables：

iptables -L

更多信息

10 Realistic Steps to a Faster Web Site
Understanding your (Red Hat Enterprise Linux) daemons, by Len DiMaggio
Linux Server Security (2nd Edition), by Michael D. Bauer, O’Reilly
Hardening Linux, by James Turnbull, Apress
RHEL 5.0 Deployment Guide, by RedHat
RHEL 5.0 Installation Guide, by RedHat

转自：http://www.vpsee.com/2009/06/128mb-vps-optimize-centos5/

2009-12-23 16:48:06

引用：http://teamojiao.javaeye.com/blog/456795

系统

# uname -a # 查看内核/操作系统/CPU信息
# head -n 1 /etc/issue # 查看操作系统版本
# cat /proc/cpuinfo # 查看CPU信息
# hostname # 查看计算机名
# lspci -tv # 列出所有PCI设备
# lsusb -tv # 列出所有USB设备
# lsmod # 列出加载的内核模块
# env # 查看环境变量 资源
# free -m # 查看内存使用量和交换区使用量
# df -h # 查看各分区使用情况
# du -sh # 查看指定目录的大小
# grep MemTotal /proc/meminfo # 查看内存总量
# grep MemFree /proc/meminfo # 查看空闲内存量
# uptime # 查看系统运行时间、用户数、负载
# cat /proc/loadavg # 查看系统负载 磁盘和分区
# mount | column -t # 查看挂接的分区状态
# fdisk -l # 查看所有分区
# swapon -s # 查看所有交换分区
# hdparm -i /dev/hda # 查看磁盘参数(仅适用于IDE设备)
# dmesg | grep IDE # 查看启动时IDE设备检测状况 网络
# ifconfig # 查看所有网络接口的属性
# iptables -L # 查看防火墙设置
# route -n # 查看路由表
# netstat -lntp # 查看所有监听端口
# netstat -antp # 查看所有已经建立的连接
# netstat -s # 查看网络统计信息 进程
# ps -ef # 查看所有进程
# top # 实时显示进程状态 用户
# w # 查看活动用户
# id # 查看指定用户信息
# last # 查看用户登录日志
# cut -d: -f1 /etc/passwd # 查看系统所有用户 # cut -d: -f1 /etc/group # 查看系统所有组
# crontab -l # 查看当前用户的计划任务 服务
# chkconfig –list # 列出所有系统服务
# chkconfig –list | grep on # 列出所有启动的系统服务 程序
# rpm -qa # 查看所有安装的软件包

2009-12-03 15:07:13

这里介绍三种限制方式

1、限制局域网内每个用户的连接数为50

iptables -I FORWARD -p tcp -m connlimit --connlimit-above 50 -j REJECT

2、限制指定局域网用户XXX.XXX.XXX.XXX的连接数为50　（这里的XXX.XXX.XXX.XXX改成大家要限制的用户的IP）

iptables -I FORWARD -p tcp -s XXX.XXX.XXX.XXX -m connlimit --connlimit-above 50 -j REJECT

这里举个例子，比如要限制192.168.1.2这个用户的连接数为50

iptables -I FORWARD -p tcp -s 192.168.1.2 -m connlimit --connlimit-above 50 -j REJECT

3、限制除用户XXX.XXX.XXX.XXX以外的IP连接数为50　（也就是除了XXX.XXX.XXX.XXX用户不限制其它的都限，这个好吧，可以给自己开特权^_^）

iptables -I FORWARD -p tcp -s !XXX.XXX.XXX.XXX -m connlimit --connlimit-above 50 -j REJECT

这里也举个例子，比如要除了不限制192.168.1.2外，限制其它所有用户的连接数为50

iptables -I FORWARD -p tcp -s !192.168.1.2 -m connlimit --connlimit-above 50 -j REJECT

2009-11-23 10:03:23

< SMTP服务器的构建 （ Postfix ） > （最近更新日：2006/09/28）

前　　言

在CentOS中，默认的邮件服务器（SMTP方面）是sendmail，但sendmail有若干的缺点，比如，配置复杂、安全漏洞曾被多次发现--并且依然存在隐患、邮件发送速度慢等等，这里就不再一一叙述。而另一个被广泛应用于邮件服务方面的“Postfix”的缺点就少得多，或者说它就是针对于sendmail的缺点，而被设计的。对应sendmail的短处，它在各方面也比较成熟。所以，无特殊要求，这里不推荐用sendmail来构建邮件服务器。本站介绍的邮件服务器配置方法，也将基于Postfix。

添加MX记录（这里假设使用动态域名）

由于MX记录添加后，可能生效要等待一段时间（通常为数分钟或数十分钟，也可能马上生效），所以在安装配置前，我们首先为动态域名添加MX记录。添加方法也会因域名ISP的不同而不同，但大致信息如下：

mx mail.centospub.com. 10
a mail 服务器的IP地址

mail为别名，10为优先度。这个别名指向服务器的IP地址。（如有疑问或需要帮忙请到 技术论坛 发贴。）

确认MX记录的添加是否生效的方法：

[root@sample ~]# host -t mx centospub.com centospub.com mail is handled by 10 mail.centospub.com.　 ← 确认MX记录生效

安装Postfix

2009-11-23 09:50:24

linux 下修改防火墙配置需要修改 /etc/sysconfig/iptables 这个文件，如果要开放哪个端口，在里面添加一条 “-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 1521 -j ACCEPT”

就可以了，其中 1521 是要开放的端口号，然后重新启动linux的防火墙服务。

停止/启动防火墙服务的命令：用root登录后，

执行 service iptables stop  --停止

service iptables start  --启动