如何通过ulimit提升Debian安全性

5月 7th, 2025

ulimit 是一个用于控制 shell 进程资源使用的命令行工具。通过限制用户可以使用的资源，可以提高系统的安全性。以下是如何使用 ulimit 提升 Debian 系统安全性的方法：

临时更改 ulimit 设置：

在 shell 中，您可以使用 ulimit 命令临时更改资源限制。例如，要限制一个用户进程可以打开的最大文件描述符数量，可以使用以下命令：
```
ulimit -n 4096
```
请注意，这些更改仅在当前 shell 会话中有效。当您关闭 shell 或重新启动系统时，更改将丢失。
永久更改 ulimit 设置：

要永久更改 ulimit 设置，您需要编辑 /etc/security/limits.conf 文件。使用文本编辑器打开文件，例如：
```
sudo nano /etc/security/limits.conf
```
在文件中添加以下行以设置资源限制。例如，要限制用户 username 可以打开的最大文件描述符数量为 4096，请添加以下行：
```
username soft nofile 4096
username hard nofile 4096
```
您还可以为其他用户或所有用户设置限制。保存并关闭文件后，新的限制将在下次用户登录时生效。
限制特定服务的资源使用：

如果您希望限制特定服务（例如，Web 服务器或数据库服务器）的资源使用，可以在 /etc/systemd/system 目录下创建或编辑服务单元文件。例如，要限制名为 my_service.service 的服务的最大内存使用量为 512 MB，请执行以下操作：

a. 使用文本编辑器打开服务单元文件，例如：
```
sudo nano /etc/systemd/system/my_service.service
```
b. 在 [Service] 部分下添加以下行：
```
MemoryLimit=512M
```
c. 保存并关闭文件。

d. 重新加载 systemd 配置并重启服务：
```
sudo systemctl daemon-reload
sudo systemctl restart my_service
```