在云计算环境中，腾讯云CVM（Cloud Virtual Machine）提供了灵活的计算资源，而CentOS作为稳定且广泛使用的Linux发行版，是众多企业级应用的首选操作系统。然而，系统默认的配置往往无法满足生产环境的安全性和性能要求。刚创建的实例通常仅开放默认的SSH端口，且内核参数未针对高并发场景进行调优。本文将围绕CentOS系统在腾讯云CVM上的基础配置展开，从系统安全加固、网络访问控制到性能参数优化，逐步指导你完成一个生产可用环境的搭建。
系统安全加固与用户权限管理
新购买的腾讯云CVM实例默认使用root用户进行远程登录，这在带来便利的同时也埋下了严重的安全隐患。一旦密码泄露或被暴力破解，攻击者将直接获得系统的最高控制权。因此，首要任务是配置非root管理员账户并禁用直接的root远程登录。
创建新用户并将其加入wheel组，使其具备通过sudo命令临时提权的能力。以下是具体的操作步骤。首先登录服务器，执行用户创建命令并设置密码。随后修改sudoers文件，赋予该用户免密执行sudo的权限，这样可以避免在执行高危操作时频繁输入密码，同时也能在日志中留下清晰的权限提升记录。
# 创建新用户 admin useradd admin # 设置 admin 用户密码 passwd admin # 将 admin 加入 wheel 组，使其具备 sudo 权限 usermod -aG wheel admin # 编辑 sudoers 文件，建议使用 visudo 命令以防止语法错误 visudo
在打开的sudoers文件中，找到## Allows people in group wheel to run all commands这一行，去掉前面的注释符号#，保存并退出。完成权限分配后，需要配置SSH密钥登录。密钥认证比密码认证更安全，能有效防御暴力破解。在本地机器生成密钥对后，将公钥上传至CVM服务器的/home/admin/.ssh/authorized_keys文件中。最后，编辑SSH配置文件/etc/ssh/sshd_config，将PermitRootLogin设置为no，并将PasswordAuthentication设置为no，重启sshd服务即可生效。
网络访问控制与防火墙策略
腾讯云CVM的安全组是一种虚拟防火墙，用于控制实例的入站和出站流量。虽然安全组在云平台控制台配置非常直观，但在操作系统层面配置防火墙依然是不可或缺的一环。系统层面的防火墙能够提供更细粒度的控制，例如限制特定IP访问特定端口，或者防止因安全组配置失误导致的安全暴露。
在CentOS 7及以上版本中，默认使用firewalld作为防火墙管理工具。相比于传统的iptables，firewalld支持动态更新技术，即修改规则后不需要重启防火墙服务即可生效。同时，它引入了区域的概念，将不同的网络连接划分到不同的区域中，根据区域来应用规则。我们需要了解几个常用的firewalld命令，包括查看状态、开放端口以及重载配置。
# 查看 firewalld 服务状态 systemctl status firewalld # 启动 firewalld 并设置开机自启 systemctl start firewalld systemctl enable firewalld # 开放 80 和 443 端口供 Web 服务使用 firewall-cmd --permanent --add-port=80/tcp firewall-cmd --permanent --add-port=443/tcp # 限制仅允许 192.168.1.100 访问 22 端口 firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port port="22" protocol="tcp" accept' # 重新加载防火墙规则使其生效 firewall-cmd --reload
在配置防火墙时，一个常见的误区是只关注入站规则而忽略出站规则。虽然默认情况下系统允许所有出站流量，但在高安全要求的环境下，应当严格限制出站流量，防止服务器被植入木马后向外发送敏感数据。可以通过firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 -m state --state ESTABLISHED,RELATED -j ACCEPT等命令配置基础出站策略。此外，务必确保防火墙规则与腾讯云控制台的安全组规则不冲突，例如安全组仅允许特定IP访问22端口，而防火墙允许所有IP访问，最终生效的将是两者的交集。
系统性能调优与内核参数优化
默认的CentOS系统内核参数是为了通用场景设计的，在面临高并发访问、大流量传输时，常常会出现连接超时、丢包甚至服务崩溃的情况。针对腾讯云CVM的运行环境，我们需要对内核参数进行针对性调整，以提升服务器的网络吞吐能力和稳定性。参数修改主要通过sysctl命令进行，修改/etc/sysctl.conf文件可以使其永久生效。
首先关注的是文件描述符数量限制。Linux系统默认的单进程文件句柄数通常为1024，这对于运行Nginx、MySQL等服务的生产环境来说远远不够。当并发连接数超过这个限制时，服务将无法接受新的请求，并在日志中报Too many open files错误。我们需要大幅提升这个限制。同时，TCP连接的回收和复用机制也是优化的重点，特别是在存在大量短连接的场景下，合理配置TIME_WAIT状态连接的回收能显著降低资源消耗。
# 编辑系统内核参数配置文件 vi /etc/sysctl.conf # 增加或修改以下配置项 # 增加文件描述符最大数 fs.file-max = 1048576 # 启用 SYN Cookies，防范 SYN Flood 攻击 net.ipv4.tcp_syncookies = 1 # 允许将 TIME_WAIT 状态的 socket 重新用于新的 TCP 连接 net.ipv4.tcp_tw_reuse = 1 # 缩短 TIME_WAIT 状态连接的超时时间，默认为 60 秒 net.ipv4.tcp_fin_timeout = 15 # 增加系统允许的本地端口范围，用于建立更多对外连接 net.ipv4.ip_local_port_range = 10000 65535 # 增加 TCP 最大数据包队列长度 net.core.netdev_max_backlog = 50000 # 增加监听队列大小 net.core.somaxconn = 4096 # 执行命令使配置立即生效 sysctl -p
除了网络参数，内存管理也是性能调优的关键一环。CentOS默认的swappiness参数值为60，这意味着系统在内存使用达到一定比例时，会倾向于使用交换分区，从而可能导致数据库等对I/O延迟敏感的服务出现性能抖动。对于腾讯云CVM这种通常使用云硬盘作为存储介质的实例，频繁的交换操作会加剧I/O等待。建议将vm.swappiness的值降低至10甚至更低，让系统尽可能使用物理内存。同时，为了配合文件句柄数的修改，还需要修改/etc/security/limits.conf文件，将* soft nofile和* hard nofile的值提升至1048576，确保用户进程级别的限制不会成为系统瓶颈。
自动化运维与系统监控配置
完成上述基础配置后，服务器已经具备了较好的安全性和性能底座。然而，运维工作并非一劳永逸，持续的监控和自动化维护才是保障服务长期稳定运行的关键。在腾讯云CVM上，我们可以结合云原生监控工具与系统自带的服务，构建一套轻量级的监控报警体系。
腾讯云提供的云监控（Cloud Monitor）可以无侵入地获取CVM实例的CPU、内存、网络带宽等基础指标。但系统内部的细粒度状态，如磁盘空间不足、关键服务进程崩溃等，仍需要通过系统层面的工具来监控。我们可以编写简单的Shell脚本，结合系统的crontab定时任务，实现基础的健康检查。例如，监控根分区使用率，当超过80%时触发报警。
#!/bin/bash
# 磁盘空间监控脚本
# 获取根分区使用率百分比数值
USAGE=$(df -h / | awk 'NR==2 {print $5}' | tr -d '%')
# 设定阈值
THRESHOLD=80
if [ $USAGE -gt $THRESHOLD ]; then
# 这里可以接入企业微信或钉钉机器人报警
echo "警告：根分区使用率已达到 $USAGE%，超过阈值 $THRESHOLD%" > /var/log/disk_monitor.log
fi
在配置监控的同时，不要忽视日志管理。随着系统运行，系统日志和应用日志会不断占用磁盘空间。CentOS默认安装了logrotate工具，用于自动截断、压缩和删除旧的日志文件。检查/etc/logrotate.d/目录下的配置文件，确保关键服务如Nginx、MySQL的日志轮转策略配置正确，防止单个日志文件过大或磁盘被撑满。通过这些自动化的配置，可以大幅减少人工干预的频率，让运维工作更加高效。
总结
CentOS在腾讯云CVM上的基础配置是一项系统性的工程，涉及安全、网络、性能和监控等多个维度。通过创建非root用户并配置SSH密钥登录，我们筑牢了系统安全的第一道防线；通过配置firewalld防火墙与安全组配合，实现了精细化的网络访问控制；通过调整内核参数和文件描述符限制，释放了服务器在高并发场景下的性能潜力；最后，通过简单的脚本和日志轮转策略，建立了基础的自动化运维体系。掌握这些基础配置方法，不仅能让CVM实例在运行各类应用时更加稳定高效，也能为后续更复杂的集群架构打下坚实的基础。