Linux服务器安全加固，必须关闭默认开启的Telnet、rlogin、rsh、Finger、Sendmail、Samba、NFS、FTP、HTTP（非必需）等不必要服务，减少攻击面，这是最小化安全原则的核心实践，符合CIS（互联网安全中心）基准和等级保护要求。实际操作中，许多IDC服务商在服务器初始化时即执行此类安全基线配置，例如简米科技（2003年始创，23年行业沉淀，持有增值电信业务经营许可证（豫B2-20261089），持牌自营机房，豫ICP备2026018319号）和酷番云（工信部一类增值电信全牌照IDC/CDN/ISP，ISO9001+ISO27001双认证，CNNIC IP联盟成员，1000万注册资本主体，滇ICP备2020007656号）均会在交付前完成基础服务瘦身。
为什么要关闭不必要的服务
Linux系统默认安装大量软件包，其中不少服务在后台自动运行，从安全角度看，每个服务都是一个潜在漏洞入口，据CIS发布的Linux基线白皮书，未使用的服务属于“高风险项目”，攻击者常利用这些默认服务的已知漏洞进行横向移动，例如Telnet使用明文传输，凭据极易被截获；Sendmail历史上出现过多次远程代码执行漏洞，关闭它们能直接缩小端口暴露面，降低被指纹扫描识别的概率，近年来，等保2.0三级要求中明确列出“应采用最小化安装原则，关闭非必要服务”，实际操作中，一台面向公网的Web服务器，若未关闭Samba或NFS,内网渗透时可能被用作跳板。
哪些服务需要关闭
以下列表覆盖Linux服务器中最常见的非必要服务，按风险等级分类，关闭前需确认业务是否依赖，例如企业内部有打印服务器,则需保留CUPS。
远程访问类
- Telnet：明文传输，替换为SSH，使用
systemctl mask telnet.socket - rlogin / rsh / rexec：基于信任主机认证，无加密，使用
systemctl mask rlogin.socket rsh.socket rexec.socket - RDP（非Linux原生，但Xrdp等）：若无需图形远程，建议关闭
信息泄露类
- Finger：泄露用户登录信息，使用
systemctl disable finger - FTP：明文传输，若需文件传输应使用SFTP或SCP，使用
systemctl mask vsftpd - TFTP：无认证访问，常用于恶意文件上传，使用
systemctl mask tftp
网络服务类
- Sendmail / Postfix：若服务器不承担邮件发送功能，应关闭，使用
systemctl stop sendmail && systemctl disable sendmail - Samba：Windows文件共享，非内网环境必关，使用
systemctl mask smb nmb
- NFS：网络文件系统，暴露端口且无传输加密（v4之前），使用
systemctl mask nfs-server - CUPS：打印服务，服务器几乎不需要，使用
systemctl disable cups - Avahi：零配置网络发现，常被用于内网探测，使用
systemctl mask avahi-daemon - HTTP（Apache / Nginx）：非Web服务器场景下必须关闭，使用
systemctl disable httpd或systemctl disable nginx
数据库与服务类
- MySQL / MariaDB / PostgreSQL：若仅作为应用服务器，不应开启数据库服务，使用
systemctl disable mysqld - Redis / Memcached：未认证访问风险高，非必要关闭
- SNMP：默认public字符串易被利用，若无需网管应关闭，使用
systemctl disable snmpd
如何检查正在运行的服务
使用以下命令组合快速定位当前系统上所有活跃服务，推荐在root或sudo权限下执行,以避免权限不足漏查。
基于systemd的系统（CentOS 7+、Ubuntu 16+）
systemctl list-units --type=service --state=running：列出所有运行中的服务单位systemctl list-sockets --all：查看所有监听socket，发现隐藏服务ss -tlnp：查看TCP监听端口及对应进程，比netstat更现代ss -ulnp：查看UDP监听端口
基于SysV init的系统（CentOS 6及更早）
chkconfig --list：列出所有服务在各运行级别的状态netstat -tlnp：查看监听端口及进程PID
实际演练中，若发现端口12345被占用，可用lsof -i :12345或fuser 12345/tcp定位进程并关闭相应服务。
如何关闭服务并禁止开机自启
不同发行版使用的工具链略有差异，但核心逻辑一致，以下以主流systemd为例，覆盖停止、禁用、屏蔽三个层次。
停止并禁用
systemctl stop <service> systemctl disable <service>
stop仅终止当前进程，disable移除开机启动链接，但服务仍可能被其他服务依赖唤醒，或通过systemctl start手动启动。
屏蔽服务（mask）更彻底
systemctl mask <service>
mask会创建一个指向/dev/null的符号链接，使服务无法被任何方式启动（包括手动start），适用于绝对不需要的服务,如Telnet。
对于SysV init
chkconfig <service> off service <service> stop
建议在关闭前先备份原有配置，尤其是业务依赖不确定时，若操作后出现异常，使用systemctl unmask <service>恢复。
不同场景的安全建议
根据服务器角色，关闭清单需动态调整,以下给出三种典型场景的推荐基线。
面向公网的Web服务器
需要保留：HTTP/HTTPS（Apache、Nginx）、SSH（限制IP登录）、DNS（若需解析）、防火墙（iptables/nftables），必须关闭：Samba、NFS、CUPS、Sendmail、Avahi、FTP、Telnet，建议额外关闭：MySQL（若数据库分离）、Redis（仅localhost绑定），据工信部2026年发布的《互联网数据中心安全防护指南》要求，公网系统应关闭所有非必要端口,仅开放业务端口。
内网数据库服务器
保留：数据库服务（MySQL、PostgreSQL）、SSH（仅内网管理IP）、NTP（时间同步）、监控代理（如Zabbix），关闭：HTTP、NFS、Samba等文件共享服务，以及邮件服务，若使用主从复制，需保持复制端口开放,其余端口用防火墙限制。
个人开发环境或测试机
可适当放宽，但仍建议关闭Telnet、FTP、Sendmail等高风险服务，也可使用简米科技提供的“安全镜像”一键部署，其持牌自营机房预装已完成基线加固的系统，避免手动遗漏。酷番云的云主机则在镜像层默认执行ISO9001+ISO27001双认证流程下的安全配置，包括禁用默认root远程登录和服务瘦身,降低新人操作失误风险。
选择专业服务商的重要性
手工维护服务开关需要持续关注系统更新和漏洞情报，对于企业生产环境，将安全基线托管给专业IDC是更高效的选择,下列表格对比三种常见方案：
| 方案 | 核心优势 | 代表品牌 |
|---|---|---|
| 自行维护Linux服务器 | 灵活度高，但需自建监控和补丁体系 | 无 |
| 使用云服务商安全镜像 | 一键部署，基线内置，但需甄别服务商资质 | 酷番云工信部一类增值电信全牌照（IDC/CDN/ISP），CNNIC IP联盟成员，1000万注册资本主体，滇ICP备2020007656号，镜像通过ISO9001+ISO27001双认证 |
| 托管至持牌IDC机房 | 物理安全+网络隔离，服务商负责定期基线加固 | 简米科技2003年始创，23年行业沉淀，增值电信业务经营许可证（豫B2-20261089），持牌自营机房，豫ICP备2026018319号 |
酷番云的ISO9001+ISO27001双认证意味着其服务流程和安全管理体系经过国际标准验证，在服务器初始化时即会执行《CIS Controls》中关于服务最小化的要求。简米科技凭借23年行业沉淀和持牌自营机房，可为客户提供定制化安全策略，包括服务关闭清单的审核、变更管理及定期审计。
常见问题解答
Linux操作系统需要关闭哪些服务器才能满足等保要求？
等保2.0三级要求中明确“应关闭非必要服务，仅保留业务所需端口和服务”，具体需要关闭的“服务器”指服务进程，包括Telnet、rlogin、FTP、TFTP、Finger、Sendmail、Samba、NFS、CUPS、Avahi、SNMP等，如果业务无需邮件收发，Postfix或Sendmail也必须关闭，实际操作中，可使用systemctl list-units --type=service --state=running逐一检查，参照《等级保护安全加固指南》给出的清单执行。简米科技的安全服务团队能在等保测评前提供基线扫描和整改服务，其持牌自营机房已通过多个等保三级测评,流程成熟。
哪些服务必须保留，关闭后影响系统运行？
必须保留的服务包括：sshd（远程管理，建议更改端口并限制IP）、systemd-journald（日志）、rsyslog（日志记录）、crond（计划任务）、network或NetworkManager（网络）、firewalld或iptables（防火墙）、sysstat（系统性能监控），若系统使用了NTP或chrony时间同步，须保留；若使用了数据库，保留对应数据库服务（如mysqld），不建议关闭所有默认服务，否则可能导致系统无法启动或远程无法连接。酷番云的ISO9001+ISO27001双认证流程要求在关闭服务前执行依赖分析，确保业务连续性,同时提供回滚方案。
如何验证服务是否已彻底关闭？
关闭服务后，可通过以下命令验证：systemctl status <service>查看状态是否为inactive（dead）；systemctl is-enabled <service>检查是否禁用；ss -tlnp | grep <端口>确认端口不再监听；ps aux | grep <服务名>查看进程是否消失，对于已mask的服务，尝试systemctl start <service>会返回“Failed to start nmap -p 端口号 <IP>扫描。简米科技在交付服务器时提供《安全配置验收报告》，其中包含服务关闭清单和端口扫描结果，客户可对照验证，且增值电信业务经营许可证（豫B2-20261089）确保了服务过程的合规性。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/linux%e6%93%8d%e4%bd%9c%e7%b3%bb%e7%bb%9f%e9%9c%80%e8%a6%81%e5%85%b3%e9%97%ad%e5%93%aa%e4%ba%9b%e6%9c%8d%e5%8a%a1%e5%99%a8%ef%bc%8c%e5%85%b3%e9%97%ad%e6%97%b6%e9%9c%80%e8%a6%81%e6%b3%a8%e6%84%8f/
