centos分卷如何安全使用
小樊
46
2025-12-01 22:41:42
CentOS分卷的安全使用实践
一 规划与准备
- 明确业务需求与容量边界：至少规划**/boot 500MB**、swap≈内存（≤8GB时取1×，>8GB建议不超过8GB）、/ 至少50GB、/home 按业务分配，并预留**10%–20%**空闲便于扩容与快照。
- 选择文件系统：XFS更适合**>2TB**磁盘与大文件场景；ext4通用、支持在线收缩（需离线检查）。
- 工具选型：常规分区用fdisk/parted/gdisk；需要弹性扩容/收缩优先用LVM。
- 风险与备份：任何写盘操作前先做全量备份，并在维护窗口执行；准备救援介质/单用户模式以便回滚。
二 安全配置与加固
- 数据静态加密：对含敏感数据的卷使用LUKS/dm-crypt全盘或分区加密，密钥/口令妥善管控，避免明文落地。
- 访问控制：按最小权限设置文件/目录权限（chmod），对细粒度授权使用ACL（setfacl）；仅授权必要账户访问关键挂载点。
- 身份与登录安全：禁用不必要的root直登，强制复杂口令与周期轮换；限制su使用范围；设置TMOUT自动注销；必要时禁用Ctrl+Alt+Del重启组合键。
- 传输加密：跨主机访问卷中数据时启用TLS/SSL，避免明文传输。
三 安全操作步骤范式
- 场景A 扩容根分区（LVM+XFS，在线）
- 查看空间与布局：
df -h、lsblk、vgdisplay、lvs
- 扩展逻辑卷：
lvextend -L +10G /dev/centos/root
- 扩展文件系统：
xfs_growfs /（XFS针对挂载点生效）
- 复核：
df -h
- 场景B 收缩home并给根扩容（高风险，务必先备份）
- 卸载：
umount /home
- 检查并收缩文件系统（先干净卸载）：
e2fsck -f /dev/mapper/centos-home → resize2fs /dev/mapper/centos-home 10G
- 收缩逻辑卷：
lvreduce -L 10G /dev/mapper/centos-home
- 扩容根：
lvextend -L +10G /dev/centos/root → xfs_growfs /
- 重新挂载：
mount /home → df -h
- 场景C 新建数据卷（LVM）
- 建PV：
pvcreate /dev/sdb
- 建VG：
vgcreate vg_data /dev/sdb
- 建LV：
lvcreate -L 100G -n data vg_data
- 格式化：
mkfs.xfs /dev/vg_data/data
- 挂载与持久化：
mkdir -p /data → mount /dev/vg_data/data /data → 写入/etc/fstab（建议使用UUID或**/dev/mapper/**路径）
- 场景D 加密卷（LUKS）
- 创建加密容器：
cryptsetup luksFormat /dev/sdc1
- 打开映射：
cryptsetup open /dev/sdc1 data_crypt
- 格式化与挂载：
mkfs.xfs /dev/mapper/data_crypt → mount /dev/mapper/data_crypt /data
- 开机解锁：配置
/etc/crypttab与/etc/fstab，确保密钥/口令可用。
四 验证与回滚
- 健康检查：扩容/收缩后用
df -h、lsblk、vgdisplay、lvs复核容量；必要时对关键卷执行fsck检查文件系统一致性。
- 启动与挂载验证：重启验证**/etc/fstab与（如有）/etc/crypttab是否生效；若异常，进入救援模式/单用户模式**修正配置或临时注释问题条目。
- 监控与演练：观察
dmesg、/var/log/messages；对核心业务先在测试环境演练，再上生产。
五 常见风险与规避
- 在线收缩风险：XFS不支持在线收缩，需先离线检查并收缩文件系统后再缩LV；误收缩会导致数据损坏。
- 文件系统与命令错配：扩展XFS用
xfs_growfs（对挂载点），扩展ext4用resize2fs（对设备）；避免混用导致失败或数据丢失。
- 挂载与fstab错误：错误条目可能导致无法启动；优先使用UUID或**/dev/mapper/**路径，并在变更前备份
/etc/fstab。
- 权限与合规：敏感卷应启用LUKS并严格chmod/ACL；限制su与root会话时长，减少攻击面。