CentOS系统的tuned服务是一个动态系统调优工具，它通过预定义的配置文件（profile）来管理内核参数、CPU调度、磁盘I/O、网络栈等系统级设置。所谓"tuned安全配置文件定制"，本质上就是根据你服务器的实际用途（Web服务器、数据库服务器、虚拟化主机等），在tuned的配置目录中创建或修改profile文件，把系统参数调到既安全又高效的状态。默认的tuned配置往往偏向通用，安全加固不够，所以必须手动定制。
tuned的核心配置文件存放在两个位置：系统自带的在/usr/lib/tuned/目录下，用户自定义的应该放在/etc/tuned/目录下。你要做的安全定制，就是在/etc/tuned/下新建一个profile，或者复制一个现有profile再修改。下面我从内核安全、网络安全、文件系统安全、资源限制四个维度，给你一套完整的定制方案。
一、创建自定义安全profile的基础结构
先说怎么建文件。假设你要创建一个叫"secure-server"的profile，操作如下：
mkdir -p /etc/tuned/secure-server vi /etc/tuned/secure-server/tuned.conf
tuned.conf是主配置文件，内容格式是INI风格，必须包含一个[main]段和一个[sysctl]段。基础模板如下：
[main] include=balanced description=Custom security hardened profile for CentOS [sysctl] # 内核参数写在这里 net.ipv4.ip_forward = 0 net.ipv4.conf.all.accept_redirects = 0 net.ipv4.conf.default.accept_redirects = 0 net.ipv4.conf.all.send_redirects = 0 net.ipv4.conf.all.accept_source_route = 0 net.ipv4.conf.default.accept_source_route = 0 net.ipv6.conf.all.accept_redirects = 0 net.ipv6.conf.default.accept_redirects = 0 net.ipv4.conf.all.log_martians = 1 net.ipv4.icmp_echo_ignore_broadcasts = 1 net.ipv4.conf.all.rp_filter = 1 net.ipv4.tcp_syncookies = 1 net.ipv4.conf.all.secure_redirects = 0 kernel.randomize_va_space = 2 kernel.exec-shield = 1 kernel.kptr_restrict = 2 fs.suid_dumpable = 0 net.ipv4.conf.all.accept_redirects = 0
写完之后，执行tuned-adm profile secure-server即可激活。如果想让它开机自动生效，执行tuned-adm profile secure-server后会自动设置，也可以手动确认/etc/tuned/active_profile文件内容。
二、内核安全参数详解：防攻击的第一道墙
内核参数是安全加固的核心。上面模板里的参数不是随便写的，每一条都有明确的防御目的。我逐条给你讲清楚。
net.ipv4.ip_forward = 0：关闭IP转发。除非你的服务器是路由器或做NAT，否则必须关掉。开着的话，攻击者可以利用你的机器做跳板转发流量。
net.ipv4.conf.all.accept_redirects = 0：禁止接受ICMP重定向。攻击者可以通过伪造ICMP重定向包来篡改你的路由表，把流量引到恶意节点。
net.ipv4.conf.all.send_redirects = 0：不发送ICMP重定向。即使你不接受，自己也别发，减少攻击面。
net.ipv4.conf.all.accept_source_route = 0：拒绝源路由数据包。源路由允许发送方指定数据包经过的路径，这是经典的中间人攻击手段。
net.ipv4.conf.all.log_martians = 1：记录异常包（martian packets）。这些包的源地址明显不合理，记录下来方便排查攻击。
net.ipv4.icmp_echo_ignore_broadcasts = 1：忽略ICMP广播请求。防止"smurf攻击"这种利用广播放大流量的DDoS手段。
net.ipv4.conf.all.rp_filter = 1：开启反向路径过滤。验证数据包的源地址是否可达，防止IP欺骗。
net.ipv4.tcp_syncookies = 1：启用SYN Cookie。当半连接队列满时，用Cookie机制应对SYN Flood攻击，不会直接丢包。
kernel.randomize_va_space = 2：ASLR地址空间随机化设为完整随机。让攻击者难以预测内存地址，增加缓冲区溢出利用难度。
kernel.kptr_restrict = 2：限制内核指针暴露。普通用户无法通过/proc获取内核地址信息，防止信息泄露。
fs.suid_dumpable = 0：禁止SUID程序产生core dump。SUID程序有高权限，core dump可能泄露敏感内存数据。
三、网络栈安全加固：堵住外部入侵通道
除了上面的sysctl参数，tuned还支持通过[net]段来配置网络相关设置。在tuned.conf中加入：
[net] # 减少SYN重试次数，加快半连接回收 net.ipv4.tcp_syn_retries = 2 # 缩短TIME_WAIT超时时间，快速回收连接 net.ipv4.tcp_fin_timeout = 15 # 开启TCP时间戳保护 net.ipv4.tcp_timestamps = 1 # 限制TIME_WAIT连接数量 net.ipv4.tcp_max_tw_buckets = 5000 # 开启SYN Cookie（和sysctl重复，这里是保险） net.ipv4.tcp_syncookies = 1
还有一个容易被忽略的点：tuned可以配置防火墙规则。在profile里加入[script]段，可以在切换profile时自动执行iptables或firewalld命令。比如：
[script]
script=${i:PROFILE_DIR}/firewall.sh然后创建/etc/tuned/secure-server/firewall.sh：
#!/bin/bash # 仅允许必要端口 firewall-cmd --permanent --remove-service=ssh firewall-cmd --permanent --add-port=22/tcp firewall-cmd --permanent --add-port=80/tcp firewall-cmd --permanent --add-port=443/tcp firewall-cmd --reload
这样每次切换到secure-server profile时，防火墙规则会自动更新，保证安全策略一致性。
四、CPU和磁盘I/O调优：安全与性能兼顾
tuned不只是安全工具，它的本职是性能调优。在安全profile里也要考虑资源分配，防止某个进程耗尽资源导致服务不可用（这本身也是一种安全问题）。
在tuned.conf中加入[cpu]和[disk]段：
[cpu] # 限制CPU使用，防止单进程占满 cpu_dma_latency=50000 # 如果是数据库服务器，可以设置CPU亲和性 # 这里设为通用模式 governor=performance [disk] # 磁盘调度算法，SSD用none或noop，HDD用deadline elevator=noop # 减少磁盘写入延迟 read_ahead_kb=4096
如果你的服务器是SSD，elevator设为noop或none；如果是传统HDD，设为deadline或cfq。这个不是安全参数，但资源耗尽会导致拒绝服务，属于广义安全范畴。
五、资源限制与进程安全：防止提权和资源滥用
tuned还可以通过[vm]段控制虚拟内存参数：
[vm] # 减少swap使用倾向，避免敏感数据写入磁盘 vm.swappiness = 10 # 限制核心文件大小 vm.core_uses_pid = 1 # 限制dirty比例 vm.dirty_ratio = 10 vm.dirty_background_ratio = 5
vm.swappiness设为10意味着系统尽量用物理内存，减少swap。这有安全意义：swap分区上的数据可能被恢复读取，敏感信息会泄露。vm.core_uses_pid=1让core文件名包含进程ID，方便追踪但也要配合suid_dumpable=0使用。
另外，tuned支持通过[sysfs]段设置设备级别参数。比如限制USB设备自动加载：
[sysfs] /sys/module/usbcore/parameters/autosuspend = -1
这个参数让USB设备不自动挂起，在某些安全场景下（比如需要USB认证设备持续工作）有用。更常见的安全做法是直接在udev规则里禁用不需要的设备，但tuned也能做初步控制。
六、针对不同场景的profile变体建议
上面给的是通用安全profile，实际使用中你需要根据场景调整。我给三个典型场景的建议：
Web服务器场景：重点关注网络参数和文件系统。增加net.core.somaxconn = 65535提高并发连接数，同时保持rp_filter和syncookies开启。文件系统方面设置fs.file-max = 2097152提高文件描述符上限。
数据库服务器场景：重点是内存和磁盘。swappiness设为1甚至0，vm.dirty_ratio可以适当提高到20以提升写入性能，但要配合电池备份的RAID卡。CPU governor设为performance，关闭节能模式。
虚拟化宿主机场景：需要平衡安全和性能。ip_forward可以设为1（因为虚拟机需要网络），但要配合严格的rp_filter和iptables规则。每个虚拟机的资源限制可以通过tuned的[vm]段配合cgroup来实现。
七、验证和监控：配置生效后必须做的事
配置完不是就完了，必须验证。执行以下命令：
# 查看当前激活的profile tuned-adm active # 查看所有可用profile tuned-adm list # 查看某个profile的详细信息 tuned-adm profile secure-server # 验证sysctl参数是否生效 sysctl -a | grep net.ipv4.conf.all.accept_redirects
建议把tuned的配置纳入版本管理。把/etc/tuned/secure-server/目录整个提交到git或其他版本控制系统，每次修改有记录，出问题可以回滚。同时配合auditd审计服务监控内核参数变更，任何未经授权的修改都能被捕获。
最后说一个很多人忽略的点：tuned的profile切换是即时生效的，但不会持久化到/etc/sysctl.conf。如果你希望重启后也保持这些参数，需要把sysctl段的内容同步写入/etc/sysctl.conf或者/etc/sysctl.d/99-security.conf。两处都写是双重保险，tuned负责动态管理，sysctl.conf负责静态兜底。
八、常见误区和注意事项
第一，不要盲目照搬网上的"安全加固脚本"。很多脚本把参数设得过于激进，比如把somaxconn设成几百万，反而导致内核内存耗尽。每个参数都要理解含义再设。
第二，tuned和selinux不冲突，但要注意策略。如果你开启了selinux enforcing模式，tuned修改的某些参数可能被selinux策略覆盖。建议先确认selinux状态，再调整tuned。
第三，不要在生产环境直接修改系统自带的profile。永远在/etc/tuned/下创建新的，系统更新不会覆盖你的定制。
第四，tuned不是万能的。它能管内核参数和部分系统设置，但应用层安全（比如Web应用漏洞、数据库权限）需要其他工具配合。把tuned当作系统层安全加固的一环，而不是全部。
总结一下，CentOS tuned安全配置文件定制的核心思路就是：在/etc/tuned/下创建专属profile，通过[sysctl]段加固内核网络和内存安全，通过[net]段优化网络栈，通过[vm]段控制资源分配，通过[script]段联动防火墙，最后验证生效并纳入监控。这套方法既硬核又实用，适合所有CentOS 7/8/9的生产环境。
