CentOS运维中，系统资源被恶意耗尽是常见的安全威胁，比如通过SYN洪水、进程数爆炸或内存消耗攻击导致服务器宕机。要防住这类攻击，除了防火墙和内核参数调整，tuned工具能帮你自动优化系统性能配置，尤其在资源限制和防护层面。下面直接讲怎么用tuned配置来加固CentOS，防止资源耗尽型攻击。
一、理解tuned工具的核心作用
tuned是CentOS/RHEL自带的动态性能调优守护进程，它通过预定义或自定义配置文件调整内核参数、磁盘调度、网络栈等。默认配置如throughput-performance注重吞吐量，但针对资源耗尽攻击，我们需要定制配置来限制进程数、内存分配和网络连接，从系统层面阻断攻击路径。比如，攻击者常fork炸弹耗尽进程槽，或发起大量连接吃光内存，tuned能实时应用cgroup、sysctl等规则来设防。
二、创建自定义tuned配置文件防攻击
首先检查tuned服务状态，用
systemctl status tuned
确认它正在运行。默认配置在/usr/lib/tuned/目录下，我们新建一个防攻击配置，比如在/etc/tuned/下建目录anti-exhaustion：
mkdir /etc/tuned/anti-exhaustion
然后创建主配置文件tuned.conf，内容如下：
[main]
summary=Configuration to prevent resource exhaustion attacks
include=throughput-performance
[sysctl]
# 限制进程数防fork炸弹
kernel.pid_max = 65535
kernel.threads-max = 65535
# 防SYN洪水攻击
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_syncookies = 1
# 限制内存分配过度
vm.overcommit_memory = 2
vm.overcommit_ratio = 80
# 防文件描述符耗尽
fs.file-max = 2097152
fs.nr_open = 2097152
[script]
script=${i:PROFILE_DIR}/script.sh
[scheduler]
# 调整CPU调度减少上下文切换负担
runtime=0这个配置基于吞吐量优化，但通过sysctl参数设了硬边界：pid_max和threads-max限制总进程/线程数，防止fork炸弹；tcp_max_syn_backlog和syncookies缓解SYN洪水；overcommit_memory设为2（严格模式）避免内存过分配。注意，参数值需根据服务器实际资源调整，比如内存大的机器可提高overcommit_ratio。
三、集成cgroup规则强化资源隔离
单靠sysctl不够，tuned还能整合cgroup来隔离资源。在配置目录下创建script.sh，用cgroup限制用户或服务的资源使用：
#!/bin/bash # 创建cgroup防资源耗尽 cgcreate -g memory,cpu:/anti-exhaustion # 限制内存使用为总内存的50% echo "50%" > /sys/fs/cgroup/memory/anti-exhaustion/memory.limit_in_bytes # 限制CPU使用为总核数的30% echo "30000" > /sys/fs/cgroup/cpu/anti-exhaustion/cpu.cfs_quota_us echo "100000" > /sys/fs/cgroup/cpu/anti-exhaustion/cpu.cfs_period_us # 将关键服务（如sshd）加入cgroup cgclassify -g memory,cpu:anti-exhaustion $(pidof sshd)
脚本创建名为anti-exhaustion的cgroup，限制内存和CPU用量，并把sshd等关键服务纳入管控。这样即使攻击通过sshd爆破入侵，也无法拖垮整机资源。需安装libcgroup-tools并启动cgred服务来生效。
四、应用配置并测试防护效果
启用自定义配置：
tuned-adm profile anti-exhaustion
用
tuned-adm active
验证是否切换成功。然后测试防护效果，比如模拟进程耗尽攻击：运行
:(){ :|:& };:这种fork炸弹，观察系统是否因pid_max限制而快速阻断。再比如用hping3测试SYN洪水：
hping3 -S -p 80 --flood 目标IP
，通过
netstat -an | grep SYN_RECV | wc -l
检查半连接数是否被tcp_max_syn_backlog限制。同时监控
top
和
free -m
看内存/CPU是否被cgroup约束。
五、结合系统服务优化整体防御
tuned配置需与其他服务协同。例如，配合systemd设置服务资源限制：编辑sshd的systemd单元文件，加入
LimitNPROC=1000
限制进程数。同时，用firewalld或iptables规则屏蔽异常IP，比如每分钟超过100个连接的IP加入黑名单。此外，定期用
tuned-adm recommend
让tuned根据负载推荐配置，但防攻击参数应保持固定。注意，在虚拟化环境如KVM中，tuned还可配置磁盘和网络适配器，减少攻击面。
六、监控与调优策略
部署后需持续监控：通过
tuned-adm monitor
跟踪tuned活动，用sar或Prometheus收集系统指标。如果发现参数过严影响业务（如文件描述符限制导致数据库错误），调整tuned.conf中的数值并重启服务：
systemctl restart tuned
。建议每季度审查一次配置，根据新攻击模式更新规则，例如近年容器逃逸攻击增多，可加强cgroup对docker服务的限制。
总之，CentOS的tuned工具通过动态调优提供了一层灵活的资源防护网，能有效减缓耗尽型攻击。关键是把sysctl、cgroup和脚本整合进自定义配置，并与其他安全措施联动。这不止是性能优化，更是主动防御的一环，让运维在资源层面提前设卡，减少系统被拖垮的风险。
