centos7主机安装后需要做哪些安全配置？

CentOS 7 作为一款基于 Red Hat Enterprise Linux (RHEL) 源代码构建的社区企业级操作系统，自发布以来便以其无与伦比的稳定性、安全性和长期支持，成为了全球服务器领域的中流砥柱，无数企业和开发者选择将其作为关键业务应用和服务的承载平台，尽管其生命周期（EOL）已于 2025 年 6 月 30 日结束，但了解和掌握 CentOS 7 主机的管理与运维，对于维护现有系统以及理解其继承者的运作逻辑，依然具有不可替代的价值。

核心特性与优势

CentOS 7 的成功并非偶然，其背后是坚实的技术特性和庞大的社区生态，它之所以能成为经典，主要归功于以下几点：

• 卓越的稳定性：作为 RHEL 的复刻版，CentOS 7 继承了其企业级的内核和经过严格测试的软件包，确保了系统在高负载、长时间运行下的可靠性。
• 强大的兼容性：与 RHEL 完全二进制兼容，意味着所有为 RHEL 7 编译的软件、驱动和商业应用无需修改即可在 CentOS 7 上运行，极大地简化了软件部署和兼容性问题。
• 成熟的软件生态：通过 YUM 包管理器，用户可以轻松访问官方仓库及 EPEL (Extra Packages for Enterprise Linux) 扩展仓库中数以千计的成熟软件包，涵盖了从 Web 服务、数据库到开发工具的方方面面。
• 长期支持周期：长达十年的支持周期为用户提供了稳定、可预测的维护环境，减少了因系统版本频繁升级带来的风险和成本。

常用系统管理实践

有效管理一台 CentOS 7 主机，需要熟练掌握其核心管理工具和命令，以下涵盖了网络、软件、服务和防火墙等关键领域的日常操作。

网络配置

CentOS 7 默认使用 NetworkManager 服务来管理网络，推荐使用 nmcli 命令行工具进行配置，它既强大又直观。

• 查看网络连接：nmcli connection show
• 查看网卡状态：nmcli device status
• 为名为 eth0 的网卡配置静态 IP 地址：

  nmcli connection modify eth0 ipv4.addresses 192.168.1.100/24
  nmcli connection modify eth0 ipv4.gateway 192.168.1.1
  nmcli connection modify eth0 ipv4.dns "8.8.8.8,8.8.4.4"
  nmcli connection modify eth0 ipv4.method manual
  nmcli connection up eth0

软件包管理

yum（Yellowdog Updater, Modified）是 CentOS 7 的包管理器，负责软件的安装、更新和卸载。

• 安装软件包（如 Apache Web 服务器）：sudo yum install httpd
• 更新所有软件包：sudo yum update
• 卸载软件包：sudo yum remove httpd
• 搜索软件包：yum search keyword
• 查看已安装的软件包信息：yum info httpd

服务管理

systemd 是 CentOS 7 的系统和服务管理器，systemctl 是与之交互的主要命令。

• 启动服务：sudo systemctl start httpd
• 停止服务：sudo systemctl stop httpd
• 重启服务：sudo systemctl restart httpd
• 设置服务开机自启：sudo systemctl enable httpd
• 禁止服务开机自启：sudo systemctl disable httpd
• 查看服务状态：systemctl status httpd

防火墙管理

firewalld 是默认的动态防火墙管理工具，使用 firewall-cmd 进行配置，它基于“区域”和“服务”的概念，比传统的 iptables 更易于管理。

• 查看当前活动的区域：sudo firewall-cmd --get-active-zones
• 查看公共区域允许的服务：sudo firewall-cmd --zone=public --list-services
• 在公共区域永久开放 HTTP 服务（80 端口）：

  sudo firewall-cmd --zone=public --add-service=http --permanent
  sudo firewall-cmd --reload

• 在公共区域永久开放一个特定端口（如 8080）：

  sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent
  sudo firewall-cmd --reload

性能监控与初步优化

了解主机的实时状态是保障服务稳定运行的前提,以下是一些基础的监控命令。

命令	功能描述	常用示例
top	实时显示系统中各个进程的资源占用状况，包括 CPU、内存等。	top
htop	top 的增强版，界面更友好，支持鼠标操作，需通过 EPEL 安装。	sudo yum install htp && htop
df -h	以人类可读的格式（如 G, M）显示磁盘分区的使用情况。	df -h
free -h	以人类可读的格式显示系统内存和交换空间的使用情况。	free -h
netstat -tulnp	显示所有监听的 TCP 和 UDP 端口，以及对应的进程。	sudo netstat -tulnp

安全加固基础

服务器的安全是重中之重,以下是一些基本的安全加固措施：

1. 定期更新系统：及时安装安全补丁，修复已知漏洞。
2. 使用 SSH 密钥认证：禁用密码登录，改用更安全的公钥/私钥对进行 SSH 认证。
3. 配置防火墙：遵循最小权限原则，仅开放业务必需的端口。
4. 禁用不必要的服务：使用 systemctl 禁用并停止不需要的系统服务，减少攻击面。
5. 创建普通用户：避免直接使用 root 用户进行日常操作，通过 sudo 提权。

CentOS 7 之后的路径

随着 CentOS 7 EOL 的到来，用户必须规划未来的迁移路径，主要有三个方向：

• CentOS Stream：成为 RHEL 的上游开发版，它介于 Fedora 和 RHEL 之间，提供比 RHEL 更新的软件包，但更新频率更高，适合需要紧跟技术前沿且能接受一定不确定性的用户。
• AlmaLinux / Rocky Linux：这两个项目都旨在成为 CentOS 7/8 的“精神续作”，提供与 RHEL 1:1 二进制兼容的免费 downstream 发行版，它们是寻求稳定、可预测的 RHEL 替代品的用户的理想选择，迁移过程相对平滑。

相关问答FAQs

问题1：如何永久修改 CentOS 7 主机名？

解答：在 CentOS 7 中，推荐使用 hostnamectl 命令来管理主机名，它会同时更新三个相关的配置文件，确保一致性。

1. 设置新的静态主机名（web-server-01）：

   sudo hostnamectl set-hostname web-server-01

2. 验证设置：

   hostnamectl

   该命令会显示静态、瞬态和灵活主机名，你还可以通过编辑 /etc/hostname 文件来确认修改是否生效，修改后通常需要重新登录或重启终端才能看到新的提示符。

问题2：我的服务器仍在运行 CentOS 7，现在应该怎么办？

解答：这是一个非常重要且普遍的问题，首要任务是制定一个明确的迁移计划。

1. 评估风险：CentOS 7 EOL 意味着不再有官方的安全更新和补丁，系统将面临安全风险，如果服务器承载关键业务或暴露在公网，迁移的紧迫性更高。
2. 选择迁移目标：
   • 如果你追求极致的稳定性,希望系统行为与 CentOS 7/RHEL 7 尽可能一致，且不希望频繁更新，AlmaLinux 或 Rocky Linux 是最佳选择。
   • 如果你的开发团队需要更接近 RHEL 最新功能的测试环境，并且能够适应滚动更新的模式，可以考虑 CentOS Stream。
3. 执行迁移：可以参考所选发行方提供的官方迁移工具（如 AlmaLinux 的 elevate 项目）或文档，通常建议先在测试环境中进行演练，确认业务应用兼容性后，再对生产服务器执行迁移，对于无法迁移的旧系统，应考虑将其置于严格的内部网络隔离环境中，并尽快进行业务重构或系统替换。