Linux minimal如何进行系统维护

Linux Minimal 系统维护实操清单

一 日常更新与补丁

• 保持系统与内核处于最新安全补丁状态，是稳定性的第一道防线。
• 不同发行版的常用命令如下：

• 建议至少每周例行检查更新，重大漏洞出现时立即更新。

二 安全加固基线

• 原则：坚持最小化安装、最小权限、最小服务。
• 账户与权限
  • 禁止 root 远程登录：编辑 /etc/ssh/sshd_config，设置 PermitRootLogin no；禁用空密码：PermitEmptyPasswords no；仅允许特定用户：AllowUsers youruser；设置会话保活：ClientAliveInterval 300、ClientAliveCountMax 2。
  • 使用 sudo 精细授权：执行 visudo，为用户或用户组仅分配必要命令，例如：youruser ALL=(ALL) /usr/sbin/reboot,/usr/sbin/useradd。
  • 强化口令策略：编辑 /etc/login.defs（如 PASS_MAX_DAYS 90、PASS_MIN_LEN 8），并在 /etc/pam.d/system-auth 或 /etc/security/pwquality.conf 启用复杂度校验（如 minlen、dcredit/ucredit/lcredit/ocredit）。
• 防火墙与网络
  • 启用并配置 firewalld（CentOS/RHEL）：sudo systemctl enable --now firewalld；仅放行必要端口（如 22/tcp、业务端口），变更后执行 firewall-cmd --reload。
  • 如采用 UFW（Ubuntu/Debian）：sudo ufw enable；sudo ufw allow 22/tcp；按需放行应用端口。
• SSH 与登录审计
  • 建议改用 SSH 密钥登录，禁用密码登录；配置失败登录锁定（如 pam_tally2.so deny=5 unlock_time=120）；必要时记录并审计关键操作（auditd）。

三 磁盘与日志空间管理

• 空间巡检与清理
  • 巡检：df -h、du -sh *；定位大文件与异常增长目录。
  • 清理包管理器缓存：Debian/Ubuntu 执行 sudo apt-get autoremove --purge && sudo apt-get clean；CentOS/RHEL 执行 sudo yum autoremove && sudo yum clean all。
  • 清理 systemd 日志：sudo journalctl --vacuum-time=2weeks；按需压缩旧日志：find /var/log -type f -name “*.log” -exec gzip {} ;。
  • 清理临时文件：sudo rm -rf /tmp/*（确保不影响运行中服务）。
• 日志轮转与保留策略
  • 使用 logrotate 配置按日/周轮转与保留份数，避免日志无限增长。
• 备份策略
  • 定期备份关键数据与配置（如 /etc、/home、业务数据）；采用 rsync 或 tar 做增量/全量备份，并保留异地副本以应对灾难恢复。

四 服务、监控与性能优化

• 服务最小化
  • 关闭不需要的自启服务：systemctl disable --now ；仅启用业务必需服务，降低攻击面与资源占用。
• 启动与依赖分析
  • 分析开机耗时与依赖：systemd-analyze；按需精简或并行化单元，缩短启动时间。
• 资源与性能监控
  • 实时监控：top/htop、vmstat、iostat；关注 CPU、内存、I/O、网络瓶颈并据此调优。
• 内核与 I/O 优化
  • 网络时间同步：部署 NTP/chrony，保证日志与业务时序一致性。
  • I/O 调度器：结合负载选择 deadline/noop/bfq 等调度器；必要时使用 LVM/Bcache 提升磁盘性能。
  • 内核参数：编辑 /etc/sysctl.conf 做网络与安全相关调优（变更前在测试环境验证）。

五 例行维护计划与变更管控

• 维护周期建议
  • 每日：查看与安全相关的日志（/var/log/auth.log、/var/log/secure）、检查磁盘空间与负载。
  • 每周：执行系统与安全更新、清理包缓存与临时文件、复核防火墙规则与开放端口。
  • 每月：核查用户与 sudo 授权、备份校验与恢复演练、检查磁盘 SMART/坏块、更新系统与安全基线。
• 变更与回滚
  • 任何内核参数、防火墙、SSH、PAM、服务开关等变更，务必先在测试环境验证，变更时保留回滚方案（如配置备份、快照/镜像），并在变更窗口内执行与复核。