Debian 交换空间 Swapper 的安全配置
一 核心安全措施
- 加密 Swap（LUKS）
- 分区：执行 sudo cryptsetup luksFormat /dev/sdXN → sudo cryptsetup open /dev/sdXN swap_crypt → sudo mkswap /dev/mapper/swap_crypt → sudo swapon /dev/mapper/swap_crypt
- 文件：fallocate/dd 创建文件 → chmod 600 → cryptsetup luksFormat /swapfile → cryptsetup open /swapfile swap_crypt → mkswap /dev/mapper/swap_crypt → swapon /dev/mapper/swap_crypt
- 持久化：/etc/crypttab 添加 swap_crypt /dev/sdXN none luks（或 swap_crypt /swapfile none luks）；/etc/fstab 使用 /dev/mapper/swap_crypt none swap sw 0 0
- 权限与所有权
- 交换文件：sudo chmod 600 /swapfile；sudo chown root:root /swapfile
- 交换分区：确认映射设备权限为仅 root 可访问（ls -l /dev/mapper/swap_crypt）
- 降低写入倾向
- 临时：sudo sysctl vm.swappiness=10
- 永久：/etc/sysctl.conf 添加 vm.swappiness=10，执行 sudo sysctl -p
- 场景化禁用
- 内存充足且无需 Swap 时：sudo swapoff -a；/etc/fstab 注释 Swap 行并重启
- 监控与审计
- 状态：swapon --show、free -h、top/htop
- 日志：journalctl -u systemd-logind 或 /var/log/syslog 检索 Swap 异常
- 系统与依赖更新
- sudo apt update && sudo apt upgrade -y；重点关注 linux-image、cryptsetup
- 备份
- 备份前先关闭 Swap：swapoff；加密 Swap 先 cryptsetup close
- 文件：cp /swapfile /swapfile.bak；分区：dd if=/dev/sdXN of=/mnt/backup/swap.img bs=4M status=progress
- 访问控制
- 使用 ufw/iptables 限制对 /dev/sdXN 等设备的访问，仅允许本地回环
- 最小化攻击面
二 持久化与开机自动挂载
- 加密分区
- /etc/crypttab：swap_crypt /dev/sdXN none luks
- /etc/fstab：/dev/mapper/swap_crypt none swap sw 0 0
- 加密文件
- /etc/crypttab：swap_crypt /swapfile none luks
- /etc/fstab：/dev/mapper/swap_crypt none swap sw 0 0
- 验证
- 重启后执行 swapon --show、free -h 确认已启用；必要时检查 journalctl 启动日志
三 大小与策略建议
- 大小
- 通用建议：物理内存的 1–2 倍；也可按 1.5 倍估算
- 上限建议：不超过 32 GB
- 大内存场景：如 64 GB+ 可适当减少；若内存充足且无需 Swap，可完全禁用
- 策略
- 服务器：降低 vm.swappiness（如 10）以减少敏感数据落盘
- 桌面/内存紧张：可适当提高（如 30–60）以换取稳定性
- 资源紧张或嵌入式：结合 zram 使用，减少磁盘 I/O 与磨损
四 快速检查清单
- 已启用加密：/dev/mapper/swap_crypt 存在且已 swapon；/etc/crypttab 与 /etc/fstab 配置正确
- 权限正确：交换文件为 600，属主 root:root
- 策略合理：vm.swappiness 已设为 10–30（或按业务调整）
- 监控到位：能查看 swapon/free/top；异常时可通过日志定位
- 更新与备份：内核与 cryptsetup 保持更新；定期备份（先 swapoff/close）