★ FEATURED ARTICLE 1. 双机免密登录原理与实战配置在企业级Linux运维环境中服务器之间的免密登录是自动化运维的基础设施。这种基于SSH密钥对的认证方式相比传统密码认证具有更高的安全性和便利性。下面我将结合生产环境中的实际案例详细解析配置过程中的技术细节。1.1 SSH密钥对生成的最佳实践在控制端机器上执行ssh-keygen命令时多数教程会直接回车采用默认参数但在生产环境中我们需要更严谨的配置ssh-keygen -t ed25519 -a 100 -f ~/.ssh/ops_rsa -C ops-key-$(date %Y%m%d)参数解析-t ed25519采用EdDSA算法比传统RSA更安全高效-a 100增加密钥派生迭代次数提升抗暴力破解能力-f指定密钥文件路径和命名规范-C添加注释信息便于后续管理重要提示密钥文件权限必须设置为600.ssh目录权限为700否则SSH会拒绝使用密钥1.2 密钥分发与授权配置将公钥传输到目标服务器后需要检查~/.ssh/authorized_keys文件的权限设置。我遇到过因权限问题导致认证失败的案例# 正确的权限设置流程 cat ~/.ssh/ops_rsa.pub | ssh usertarget mkdir -p ~/.ssh chmod 700 ~/.ssh cat ~/.ssh/authorized_keys chmod 600 ~/.ssh/authorized_keys常见问题排查如果提示Agent admitted failure to sign using the key执行ssh-add ~/.ssh/ops_rsa遇到Permission denied (publickey)错误时检查目标服务器的/etc/ssh/sshd_config中是否启用PubkeyAuthentication yes多密钥管理时建议在~/.ssh/config中配置主机别名和密钥对应关系1.3 安全加固措施免密登录虽然方便但也需要严格的安全控制在authorized_keys文件中添加限制参数command/usr/bin/sudo /path/to/restricted_script,no-agent-forwarding,no-port-forwarding,no-X11-forwarding ssh-ed25519 AAAAC3Nz... ops-key定期轮换密钥建议每90天通过ssh-copy-id -i指定密钥文件避免意外覆盖现有密钥2. 网络配置从基础到高级调优Linux网络配置是运维人员的核心技能之一。下面以CentOS/RHEL 7和Ubuntu 18.04为例解析不同场景下的配置方法。2.1 基础网络接口配置传统ifconfig已被iproute2工具集取代新环境应使用ip命令# 查看所有接口信息 ip -br -c a # 临时配置IP地址 ip addr add 192.168.1.100/24 dev eth0 # 永久配置CentOS nmcli con mod eth0 ipv4.addresses 192.168.1.100/24 nmcli con mod eth0 ipv4.gateway 192.168.1.1 nmcli con mod eth0 ipv4.dns 8.8.8.8 8.8.4.4 nmcli con up eth0 # Ubuntu使用netplan的配置示例 network: version: 2 renderer: networkd ethernets: eth0: addresses: [192.168.1.100/24] gateway4: 192.168.1.1 nameservers: addresses: [8.8.8.8, 8.8.4.4]2.2 多网卡绑定与负载均衡生产服务器通常需要网卡绑定bonding提高可靠性# 创建bond0接口 nmcli con add type bond con-name bond0 ifname bond0 mode active-backup # 添加从属接口 nmcli con add type bond-slave ifname eth0 master bond0 nmcli con add type bond-slave ifname eth1 master bond0 # 查看绑定状态 cat /proc/net/bonding/bond0绑定模式选择建议balance-rr轮询模式需要交换机支持active-backup主备模式配置简单802.3ad动态聚合需要LACP支持2.3 网络性能调优参数在高并发场景下需要调整内核网络参数# 增加TCP连接队列大小 echo net.ipv4.tcp_max_syn_backlog 8192 /etc/sysctl.conf echo net.core.somaxconn 8192 /etc/sysctl.conf # TIME_WAIT状态优化 echo net.ipv4.tcp_tw_reuse 1 /etc/sysctl.conf echo net.ipv4.tcp_fin_timeout 30 /etc/sysctl.conf # 应用配置 sysctl -p3. 时间管理NTP与chronyd深度配置准确的时间同步对分布式系统至关重要。现代Linux系统已从ntpd转向chronyd作为默认时间服务。3.1 chronyd基础配置# 检查时间同步状态 chronyc tracking chronyc sources -v # 典型配置文件(/etc/chrony.conf) server ntp.aliyun.com iburst server cn.pool.ntp.org iburst stratumweight 0 driftfile /var/lib/chrony/drift makestep 1.0 3 rtcsync allow 192.168.1.0/24关键参数说明iburst启动时快速同步makestep允许时间跳变前3次同步rtcsync同步硬件时钟3.2 时区与时间格式转换# 查看当前时区 timedatectl # 修改时区亚洲上海 timedatectl set-timezone Asia/Shanghai # CST与UTC转换示例 date -d 2023-05-20 15:30:00 CST %s # CST转时间戳 date -d 1684567800 %Y-%m-%d %H:%M:%S %Z # 时间戳转UTC3.3 时间同步异常排查常见问题处理流程检查服务状态systemctl status chronyd journalctl -u chronyd -n 50测试NTP服务器可达性chronyc -n -v pool.ntp.org手动同步时间chronyc -a makestep检查防火墙规则iptables -L -n | grep 1234. 运维实战中的综合应用案例4.1 自动化部署场景在Ansible自动化运维中免密登录是基础前提。这里分享一个批量配置脚本#!/bin/bash # 批量配置免密登录 USERopsadmin PASSSafePass123 KEY_PATH/home/opsadmin/.ssh/ops_rsa.pub for IP in $(cat host_list); do sshpass -p $PASS ssh-copy-id -i $KEY_PATH -o StrictHostKeyCheckingno $USER$IP ssh $USER$IP echo Defaults:opsadmin !requiretty | sudo tee /etc/sudoers.d/opsadmin done安全提示实际环境中应使用SSH证书或Vault管理密码避免明文存储4.2 网络诊断工具箱常用网络诊断命令速查场景命令说明连通性测试mtr -n -b 8.8.8.8实时路由跟踪端口检查nc -zv 192.168.1.1 22TCP端口检测带宽测试iperf3 -c 192.168.1.100网络吞吐量测试DNS解析dig short A example.com 8.8.8.8指定DNS服务器查询抓包分析tcpdump -i eth0 -w /tmp/cap.pcap保存数据包供后续分析4.3 时间敏感型应用配置对于金融交易等对时间敏感的系统需要特别配置# 启用PPS信号支持 echo refclock PPS /dev/pps0 lock NMEA /etc/chrony.conf # 提高同步频率 echo server ntp1.example.com minpoll 3 maxpoll 3 /etc/chrony.conf # 启用硬件时间戳 ethtool -T eth0 | grep hardware-transmit # 确认网卡支持 echo hwtimestamp eth0 /etc/chrony.conf在实际运维工作中我发现很多时间同步问题源于硬件时钟RTC不准确。建议每月至少执行一次硬件时钟同步hwclock --systohc --utc对于虚拟机环境需要注意禁用主机时间同步VMware Tools中的时间同步功能在KVM中启用clockhost参数避免频繁挂起/恢复虚拟机
阅读完成 · 觉得有帮助？
