Linux系统如何加固_深度讲解提升系统稳定性【教程】

Linux系统加固核心是缩小攻击面、强化身份控制、收紧默认策略，需锁定非必要账户、强制密码策略、禁用root远程登录、精简服务端口、加固文件权限、启用日志审计、管理内核模块与自动更新，并持续复核。

Linux系统加固不是加几条防火墙规则就完事，核心是缩小攻击面、强化身份控制、收紧默认策略。重点不在“装了什么”，而在“关掉什么、限制什么、记录什么”。

账户与口令策略必须收紧

默认配置往往宽松，比如新建用户无密码过期、root可直接登录、弱口令允许通过。这些都要改。

• 锁定非必要系统账户：用 passwd -l username 禁用如sync、shutdown、halt等预置账户（root除外）
• 强制密码有效期：编辑 /etc/login.defs，设 PASS_MAX_DAYS 90、PASS_MIN_LEN 8、PASS_WARN_AGE 7
• 启用PAM复杂度校验：在 /etc/pam.d/system-auth 中添加 pam_pwquality.so retry=3 minlen=8 difok=3 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1
• 禁止root远程SSH登录：修改 /etc/ssh/sshd_config 中的 PermitRootLogin no，然后 systemctl restart sshd

服务与端口按需精简

开机自启的服务越多，潜在入口就越多。只留真正需要的，其余一律关闭或禁用。

• 查当前监听端口：ss -tuln 或 netstat -tuln（若已安装）
• 停用并禁用非必要服务：例如 systemctl stop avahi-daemon && systemctl disable avahi-daemon
• 用 systemctl list-unit-files --type=service --state=enabled 检查所有开机启动项，逐个评估
• 对Web类服务（如httpd/nginx），限制监听地址为 127.0.0.1 或内网IP，避免暴露公网

文件权限与日志审计不能松懈

关键配置文件被篡改、敏感操作没记录，等于给入侵者铺路。

标签： linux centos nginx 防火墙 端口 ubuntu usb dnf 配置文件 linux系统 red