别只想着跑得快，openEuler 安全加固才是真正的“护心毛衣”

今天咱不讲高并发、不讲高可用，咱聊聊——openEuler 系统的安全加固实战操作。

为什么？因为你系统跑得再快，一次提权漏洞、一场暴力破解，一夜之间照样全线崩盘。安全不到位，性能越高崩得越猛。

一、openEuler 的“出身”就注定了它必须更安全

openEuler 不是一个“纯粹”的 Linux 系统，它是面向未来基础设施的操作系统，广泛部署在云、边、端。也就是说：

• 跑在服务器上，它要支撑政企级别的安全；
• 跑在边缘侧，它要面对开放网络环境；
• 跑在设备端，它还得抗住“物理攻击”风险。

所以说，openEuler 不是“装个防火墙”就完事的，得从内核到用户空间、从网络到服务全面武装。

二、安全加固不等于“多装几个包”，是体系化能力建设

很多人对“安全加固”的理解就是：装个 fail2ban、删个 root 远程登录，就觉得“OK啦”。

但在 openEuler 中，我们更推荐一种“三层次加固策略”：

1. 系统层面：服务最小化、内核增强、安全模块启用；
2. 访问控制层：用户权限、文件隔离、审计日志；
3. 应用防护层：SELinux、AppArmor、系统调用控制。

下面，咱就从实战出发，按这个思路一一展示。

三、系统层安全加固实战

✅ 1. 禁用不必要服务

干净的系统是安全的第一步。我们可以通过 systemctl 查看并禁用无用服务：

systemctl list-unit-files --type=service | grep enabled
systemctl disable bluetooth.service
systemctl stop bluetooth.service

特别是 openEuler 默认安装时带的一些服务，如果你不跑桌面/IoT，不如直接关掉。

✅ 2. 安装并启用防火墙

openEuler 默认集成了 firewalld，推荐直接启用 zone 管理策略：

systemctl enable firewalld --now
firewall-cmd --set-default-zone=public
firewall-cmd --add-service=ssh --permanent
firewall-cmd --reload

温馨提示：开发环境随便开端口没事，生产环境不开默认全封死。

✅ 3. 使用内核参数加强系统防护

通过 /etc/sysctl.conf 加固常见内核项，比如防止 SYN 洪水、禁止 IP 转发、开启执行空间保护：

net.ipv4.tcp_syncookies = 1
net.ipv4.ip_forward = 0
kernel.randomize_va_space = 2

保存后执行 sysctl -p 生效。

四、访问控制层：把“人”管住，比什么都强

✅ 1. 禁止 root 远程登录

打开 sshd_config：

vim /etc/ssh/sshd_config
# 改为：
PermitRootLogin no

加上：

AllowUsers devops admin

只允许指定账号登录，别让“root”在暴力破解榜单上被挂号。

✅ 2. 配置基于 sudo 的最小权限策略

visudo

添加如下配置：

%devops  ALL=(ALL)       /usr/bin/systemctl restart nginx

这意味着 devops 用户组只能执行 systemctl restart nginx，其它高危操作不能碰。

✅ 3. 配置系统审计日志

openEuler 支持 auditd 服务，开启后可记录所有关键操作：

dnf install audit -y
systemctl enable auditd --now

比如记录 /etc/passwd 改动：

auditctl -w /etc/passwd -p wa -k passwd_watch

你可以用 ausearch 来审计谁动了系统配置，非常适合事后追踪。

五、应用防护层：高级玩法来了

✅ 1. 启用 SELinux

openEuler 默认支持 SELinux（很多时候是关闭状态），可以通过如下方式启用：

getenforce     # 查看当前状态
setenforce 1   # 临时启用

编辑 /etc/selinux/config 永久启用：

SELINUX=enforcing

配合策略模块，可以精细限制 nginx、mysqld 等服务只访问该有的文件、端口。

✅ 2. 使用 systemd sandbox 限制服务行为

举个例子，我们可以用 systemd 限制 nginx 的访问能力：

[Service]
ProtectSystem=full
ProtectHome=yes
PrivateTmp=true
NoNewPrivileges=true

这个配置会让 nginx 不能随便访问系统文件、不能访问用户家目录、不能提权执行命令。

六、实战小结：openEuler 安全加固“最小闭环”

下面是我自己常用的安全加固 Checklist，适合部署完 openEuler 后第一时间执行：

建议定期脚本扫描 + 漏洞更新，不要配置完就当高枕无忧。

七、写在最后：加固不是负担，而是底线

说句真话——很多开发团队看到“安全”就头疼，觉得费时、加配置、还影响部署速度。

但作为一个亲历过线上机器被扫漏洞、数据库被提权的老运维，我想说：安全配置不是性能的敌人，而是稳定的守护神。

openEuler 作为国产操作系统的中流砥柱，如果我们连基本的安全加固都不做，那就是给对手开门放狗。