安装SUN的文档，希望对大家有点用-xxlinux.com




┊linux社区┊ 爱心援助 ┊ Linux认证┊系列教程 ┊ 业界动态┊ 站务新闻 ┊ 公司招聘┊ 建议留言 ┊ 网址大全 ┊LPI专题┊ CISCO专题

设为首页

加入收藏

管理团队

联盟首页	入门区	安装配置	使用技巧	桌面应用	开发区	WEB开发	数据库	内核研究	SHELL	软件开发
软件下载	网络区	服务器	网络应用	网络安全	UNIX区	UNIX入门	UNIX提高	C专题	JAVA专题	嵌入应用
开发语言	PHP	JSP	ASP	ASP.NET	JAVA	C/C++/C#	PERL	JavaScript	Basic	Delphi

		您的位置：首页 > article > unix > unix入门 >

栏目导栏

unix入门

unix提高

资料搜索

最新文章

·Solaris SSH的配置和管理介绍

·在Unix环境下mount ISO文件

·Solaris 管理员常用的168条命令

·solaris raid 制作大集合

·在Solaris下使用USB存储设备

·SecureCRT访问HPUX没办法用vi问

·scounix网络设置心得

·solaris网络配置

·solaris上直接运行linux二进制

·HP Unix的补丁安装

·系统备份与恢复命令：fbackup+

·Oracle 10g基于Solaris 9 x86平

·完全硬盘安装solaris10

·solaris点滴9.29-10.07

·solaris volume manager do RA

安装SUN的文档，希望对大家有点用

[ 作者:Linux联盟收集加入时间:2006-07-19 12:51:58 来自:Linux联盟收集 ]

系统平台安装操作手册

SUN Fire 280安装配置手册

1．基本安装：
a.从CDROM启动安装
# sync;sync;sync
# halt
Oct 21 11:01:47 adclient1 halt: halted by root
Oct 21 11:01:53 snmpdx: received signal 15
Oct 21 11:01:53 rpcbind: rpcbind terminating on signal.
syncing file systems... done
Program terminated
ok boot cdrom
Resetting ...

(先用sync停止上面的程序运行,然后用halt退到ok状态，最后才能 boot cdrom 用光盘重起机器，开始安装)
Netra t1 (UltraSPARC-IIi 440MHz), No Keyboard
OpenBoot 3.10.24 ME, 512 MB memory installed, Serial #12750180.
Ethernet address 8:0:20:c2:8d:64, Host ID: 80c28d64.

b.选择网络服务
Executing last command: boot cdrom
Boot device: /pci@1f,0/pci@1/pci@1/ide@e/cdrom@2:f  File and args:
SunOS Release 5.8 Version Generic [UNIX(R) System V Release 4.0]
Copyright (c) 1983-1998, Sun Microsystems, Inc.
|      Name service
      ==========
      [ ] NIS+
      [ ] NIS (formerly yp)
      [ ] Other
      [X] None
========================================
    F2_Continue    F6_Help

Confirm Information =============================

  >; Confirm the following information.  If it is correct, press F2;
    to change any information, press F4.

    Name service: None

========================================
    F2_Continue    F4_Change    F6_Help

c.设置IP地址及子网掩码
Subnets ===================================

  On this screen you must specify whether this system is part of a subnet.  If
  you specify incorrectly, the system will have problems communicating on the
  network after you reboot.

  >; To make a selection, use the arrow keys to highlight the option and
    press Return to mark it [X].

      System part of a subnet
      ===========?
      [X] Yes
      [ ] No

========================================
    F2_Continue    F6_Help

Netmask ===================================

  On this screen you must specify the netmask of your subnet.  A default
  netmask is shown; do not accept the default unless you are sure it is
  correct for your subnet.  A netmask must contain four sets of numbers
  separated by periods (for example 255.255.255.0).

    Netmask: 255.255.255.0

========================================
    F2_Continue    F6_Help

Confirm Information =============================

  >; Confirm the following information.  If it is correct, press F2;
    to change any information, press F4.

    System part of a subnet: Yes
                    Netmask: 255.255.255.0
                  Time zone: PRC
              Date and time: 2002-10-21 11:26:00

========================================
    F2_Continue    F4_Change    F6_Help

d.设置时区

Time Zone ==================================

  On this screen you must specify your default time zone.  You can specify a
  time zone in three ways:  select one of the geographic regions from the
  list, select other - offset from GMT, or other - specify time zone file.

  >; To make a selection, use the arrow keys to highlight the option and
    press Return to mark it [X].

      Regions
      =================
  ^   [X] Asia, Eastern
  ?  [ ] Asia, Western
  ?  [ ] Australia / New Zealand
  ?  [ ] Canada
  ?  [ ] Europe
  ?  [ ] Mexico
  ?  [ ] South America
  ?  [ ] United States
  v   [ ] other - offset from GMT

========================================
    F2_Continue    F6_Help

Time Zone ==================================

  >; To make a selection, use the arrow keys to highlight the option and
    press Return to mark it [X].

      Time zones
      ===============
      [X] People's Republic of China
      [ ] Republic of China / Taiwan
      [ ] Hong Kong
      [ ] Japan
      [ ] Republic of Korea
      [ ] Singapore

========================================
    F2_Continue    F5_Cancel    F6_Help

Date and Time ================================

  >; Accept the default date and time or enter
    new values.

  Date and time: 2002-10-21 11:26

    Year   (4 digits) : 2002
    Month  (1-12)     : 10
    Day    (1-31)     : 21
    Hour   (0-23)     : 11
    Minute (0-59)     : 26

========================================
    F2_Continue    F6_Help

System identification is completed.
Starting Solaris installation program...
Executing JumpStart preinstall phase...
Searching for SolStart directory...
Checking rules.ok file...
Using begin script: install_begin
Using finish script: patch_finish
Executing SolStart preinstall phase...
Executing begin script "install_begin"...
Begin script install_begin execution completed.

e.选择安装方式

Solaris Interactive Installation ======================

  This system is upgradable, so there are two ways to install the Solaris
  software.

  The Upgrade option updates the Solaris software to the new release, saving
  as many modifications to the previous version of Solaris software as
  possible.  Back up the system before using the Upgrade option.

  The Initial option overwrites the system disks with the new version of
  Solaris software.  This option allows you to preserve any existing file
  systems.  Back up any modifications made to the previous version of Solaris
  software before starting the Initial option.

  After you select an option and complete the tasks that follow, a summary of
  your actions will be displayed.

========================================
     F2_Upgrade    F4_Initial    F5_Exit    F6_Help
安装F4
升级F2

f.选择文件系统布局模式，推荐用自动布局

Automatically Layout File Systems  =====================

  Do you want to use auto-layout to automatically layout file systems?
  Manually laying out file systems requires advanced system administration
  skills.

========================================
     F2_Auto Layout    F3_Go Back    F4_Manual Layout    F5_Exit    F6_Help

g.定制硬盘分区

Automatically Layout File Systems ======================

  On this screen you must select all the file systems you want auto-layout to
  create, or accept the default file systems shown.

  NOTE: For small disks, it may be necessary for auto-layout to break up some
  of the file systems you request into smaller file systems to fit the
  available disk space. So, after auto-layout completes, you may find file
  systems in the layout that you did not select from the list below.

            File Systems for Auto-layout
            ========================================
            [X]  /
            [X]  /opt
            [X]  /usr
            [ ]  /usr/openwin
            [X]  /var
            [X]  swap

   Please wait ...
========================================
     F2_Continue    F5_Cancel    F6_Help

File System and Disk Layout =========================

  The summary below is your current file system and disk layout, based on the
  information you've supplied.

  NOTE: If you choose to customize, you should understand file systems, their
  intended purpose on the disk, and how changing them may affect the operation
  of the system.

        File system/Mount point           Disk/Slice             Size
        =============================================================
        /                                 c0t0d0s0              50 MB
        /var                              c0t0d0s1              32 MB
        overlap                           c0t0d0s2           17269 MB
        swap                              c0t0d0s3             296 MB
        /opt                              c0t0d0s5              32 MB
        /usr                              c0t0d0s6             897 MB
        /export/home                      c0t0d0s7           15960 MB

========================================
F2_Continue    F3_Go Back    F4_Customize    F5_Exit    F6_Help
选F4

Customize Disk: c0t0d0 ===========================
  Boot Device: c0t0d0s0

  Entry: /                          Recommended:   35 MB     Minimum:   30 MB
================================================================================
  Slice  Mount Point                 Size (MB)
     0   /                                3000
     1   /var                               32
     2   overlap                         17269
     3   swap                              296
     4                                       0
     5   /opt                               32
     6   /usr                              897
     7   /export/home                    15960
================================================================================
                         Capacity:       17269 MB
                        Allocated:       17267 MB
                   Rounding Error:           2 MB
                             Free:           0 MB

========================================
     F2_OK    F4_Options    F5_Cancel    F6_Help
================================================================================
?File System and Disk Layout =========================

  The summary below is your current file system and disk layout, based on the
  information you've supplied.

  NOTE: If you choose to customize, you should understand file systems, their
  intended purpose on the disk, and how changing them may affect the operation
  of the system.

        File system/Mount point           Disk/Slice             Size
        =============================================================
        /                                 c0t0d0s0            3000 MB
        /var                              c0t0d0s1            2001 MB
        overlap                           c0t0d0s2           17269 MB
        swap                              c0t0d0s3            2049 MB
        /opt                              c0t0d0s5            7141 MB
        /usr                              c0t0d0s6            2049 MB
        /export/home                      c0t0d0s7            1026 MB

========================================
     F2_Continue    F3_Go Back    F4_Customize    F5_Exit    F6_Help

?Mount Remote File Systems? =========================?

  Do you want to mount software from a remote file server? This may be
  necessary if you had to remove software because of disk space problems.

========================================
     F2_Continue    F3_Go Back    F4_Remote Mounts    F5_Exit    F6_Help

?Profile ===================================

  The information shown below is your profile for installing Solaris software.
  It reflects the choices you've made on previous screens.

  ============================================================================

                Installation Option: Initial
                        Boot Device: c0t0d0s0
                    Client Services: None

                          Languages: Simplified Chinese EUC locale (zh)
                                     Simplified Chinese GBK locale (zh.G
                           Software: Solaris 2.7, Entire Distribution plus OEM s

        File System and Disk Layout: /                   c0t0d0s0 3000 MB
                                     /var                c0t0d0s1 2001 MB
                                     swap                c0t0d0s3 2049 MB
                                     /opt                c0t0d0s5 7141 MB
                                     /usr                c0t0d0s6 2049 MB
                                     /export/home        c0t0d0s7 1026 MB

========================================
     F2_Continue    F4_Change    F5_Exit    F6_Help

?Reboot After Installation? =========================?

  After Solaris software is installed, the system must be rebooted. You can
  choose to have the system automatically reboot, or you can choose to
  manually reboot the system if you want to run scripts or do other
  customizations before the reboot.  You can manually reboot a system by using
  the reboot(1M) command.

            [X] Auto Reboot
            [ ] Manual Reboot

========================================
     F2_Begin Installation    F5_Cancel

开始安装

Preparing system for Solaris install

Configuring disk (c0t0d0)
        - Creating Solaris disk label (VTOC)

Creating and checking UFS file systems
        - Creating / (c0t0d0s0)
        - Creating /var (c0t0d0s1)
        - Creating /opt (c0t0d0s5)
        - Creating /usr (c0t0d0s6)
        - Creating /export/home (c0t0d0s7)

Beginning Solaris software installation

     Solaris Initial Install

            MBytes Installed:   504.51
            MBytes Remaining:    92.88

                  Installing: Simplified Chinese L10N for CDE HELP RUNTIME

                                                             \
          |           |           |           |           |           |
          0          20          40          60          80         100

h.安装gzip

#cd /cdrom/cdrom0/gzip/bin/svr4/
#cp gzcat /usr/bin
#cd /tmp
# eject
# init 5
#
INIT: New run level: 5
The system is coming down.  Please wait.
System services are now being stopped.
Print services stopped.
Aug  7 17:51:23 ultra60 syslogd: going down on signal 15

The system is down.
syncing file systems... done

adclient1 console login: root
Password:
Last login: Mon Jan 21 13:19:32 on console
Oct 21 10:59:53 adclient1 login: ROOT LOGIN /dev/console
Sun Microsystems Inc.   SunOS 5.8      Generic August 1997

2．安装系统后常做的几个步骤
a.首先需要做的事情就是去 http://sunsolve.sun.com 下载最新的安全补丁。
b.设置缺省路由：增加路由的 IP 地址到 /etc/defaultrouter 。
c.设置 DNS：把域名服务器添加到 /etc/resolv.conf ：
nameserver 1.2.3.4
nameserver 5.6.7.8
domainname freelamp.com
编辑 /etc/nsswitch.conf ，如果域名不能在 /etc/hosts 找到的话，就会去 DNS 服务器解析。
hosts: files dns
e.设置域名：把域名添加到 /etc/defaultdomain 文件中。
f.把域名添加到 /etc/hosts 中，这样能让 sendmail 不会因为老是找不到全名称地址而报错。
g.为 man 页面建立 windex ，这样就能使用 "man -k" 在 man 页面中搜索关键字。
#catman -w
h.建立一个管理用户，作远程登录，然后 su 为 root 来管理系统。
#useradd -s /usr/bin/ksh -d /export/home/admin -m admin
#passwd admin
i.更改 root 的 shell 环境，root 的缺省 shell 为 sh ，如果要安装 bash ，所以需要安装 Solaris 8
第二张盘上的 SUNWbash 软件包。然后修改 shell 为 /usr/bin/bash 。
#usermod -s /usr/bin/bash root
或者用
#vi /etc/passwd
root:x:0:1:Super-User:/:bin/bash
......
test:x:100:1::/home/ghost:/bin/bash
这样就可以用上下键找历史命令了，按backspace也不会不删字符了
建立 .bashrc 文件，
stty erase ^H （注意，这里输入 Ctrl-V + Ctrl-H）
stty istrip
PATH=/usr/bin:/usr/sbin:/usr/ucb:/etc:/usr/local/bin
BASH 的功能十分强大，关于 .bashrc 的设置，不在本文范围之内。

j.删除多余的服务，只留telnet和ftp，(telnet一会安装好ssh后，我也会删除)
#cp /etc/inetd.conf inetd.bak
#vi /etc/inetd.conf
只留telnet和ftp
/etc/rc2.d和/etc/rc3.d下，没用的也都删除。
#cd /etc/rc2.d
#ls
README S05RMTMPFILES S72inetsvc S74xntpd S75savecore S89PRESERVE
S01MOUNTFSYS S69inet S74syslog S75cron S88utmpd S99audit
rc3.d下什么也没有，记得先备份

k.下载安装常用工具和软件
gcc-3.1-sol9-sparc-localtar-1.13.19-sol9-sparc-local gzip-1.3[1]nmap-2.54BETA28.tar httpd-2.0.39.tar proftpd-1.2.5.tar ssh-3.0.1.tarmake-3.79.1-sol9-sparc-local
wget-1.8.1-sol9-sparc-localmemconf-1.46-sol9-sparc-local tcp_wrappers-7.6-sol9-sparc-local

#pkgadd -d gzip*
#/usr/local/bin/gzip -d *.gz
#pkgadd -d make*
#pkgadd -d wget*
#pkgadd -d gcc*
#pkgadd -d tar*
#pkgadd -d memconf*
#pkgadd -d tcp_wrappers*
#bash
#PATH=/bin:/sbin:/usr/bin:/usr/sbin:/etc:/usr/local/bin:/usr/ccs/bin;export PATH
上面这步很重要，不能少
#tar xvf ssh*
#cd /home/test/ssh-3.0.1
#./configure;make;make install;
然后
vi /etc/rc2.d/S10ssh
if [ -x /usr/local/sbin/sshd ]; then
/usr/local/sbin/sshd
echo "sshd2 startup.."
fi
nmap,proftpd,apache方法相同，这里就不说了

l.删除多余的驱动
# pkginfo | grep -i pcmcia
system SUNWpcelx 3COM EtherLink III PCMCIA Ethernet Driver
system SUNWpcmci PCMCIA Card Services, (Root)
system SUNWpcmcu PCMCIA Card Services, (Usr)
system SUNWpcmem PCMCIA memory card driver
system SUNWpcser PCMCIA serial card driver
system SUNWpsdpr PCMCIA ATA card driver

If there is no PCMCIA in the sytem, just remove them:

# pkgrm SUNWpcelx SUNWpcmci SUNWpcmcu SUNWpcmem SUNWpcser SUNWpsdpr

m.时间同步
#vi /etc/inet/ntp.conf

# fall back on local clock when no server available
server 127.127.1.0
# SURFnet stratum 2 servers:
server 这里给同步时间的ip
# Local peers
# driftfile
driftfile /etc/ntp.drift

n．关闭键盘检测
#kbd –a disable
o.关闭电源管理
#dtpower
选择disable

3．配置上网步骤

1, 使用ifconfig -a 命令查看当前网卡配置状态，例如：
  #ifconfig -a
   lo0: flags=849<UP,LOOPBACK,RUNNING,MULTICAST>; mtu 8232
       inet 127.0.0.1 netmask ff000000
   hme0: flags=863<UP,BROADCAST,NOTRAILERS,RUNNING,MULTICAST>; mtu 1500
       inet 192.9.200.24 netmask ffffff00 broadcast 192.9.200.255
       ether 8:0:20:e7:b2:29
   上面的信息表明，我的网卡是100M网卡，目前的IP地址为192.9.200.24,子网掩码为：
    ffffff00,也就是255.255.255.0
   这个IP地址192.9.200.24是我的内部IP,我为了直接上网，所以必须将这个ip地址改
   为合法ip地址，61.150.43.142,子网掩码使用：255.255.255.0

2,更改ip地址为合法IP
   #ifconfig hme0 61.150.43.142 netmasks 255.255.255.0
  然后使用ifconfig -a 查看一下，结果如下：
  eir 0: flags=849<UP,LOOPBACK,RUNNING,MULTICAST>; mtu 8232
       inet 127.0.0.1 netmask ff000000
  firp0: flags=863<UP,BROADCAST,NOTRAILERS,RUNNING,MULTICAST>; mtu 1500
       inet 61.150.43.142 netmask ffffff00 broadcast 61.150.43.255
       ether 8:0:20:e7:b2:29
  注意：为了永久更改配置，需要修改/etc/hosts文件，将里面原来的ip地址
  192.9.200.24改为61.150.43.142，保存退出即可。
  还要修改/etc/netmasks文件，将这个文件的ip地址和子网掩码改正！
3,设定默认网关：
  修改/etc/defaultrouter文件，如果你的/etc下面没有该文件，使用vi编辑器自己
  创建该文件，然后在里面之加入一行：
  61.150.43.129
  即可，这个IP地址要是你上网的默认网关哦！
4, 设定客户端DNS服务器配置
  修改/etc/resolv.conf和/etc/nsswitch.conf文件
  在/etc/resolv.conf文件中加入一行
  nameserver 202.100.4.15          这是你的DNS服务器ip地址
  然后在/etc/nsswitch.conf中找到下面一行
  host:   files
  改为：
  host:   dns files
  保持退出即可！
重新启动工作站！

4．tcp_wrapper安装使用
tcp_wrapper是一个常用的安全工具，用来保护ftp、telnet等服务
1．下载tcp_wrapper
下载网站  www.sunfreeware.com
tcp_wrappers-7.6-sol8-sparc-local.gz
2.安装tcp_wrapper
  a.解压缩
   #gunzip tcp_wrappers-7.6-sol8-sparc-local.gz
  b.安装
   #pkgadd –d tcp*

  注意：如果要支持IPV6则要下载tcp_wrappers_ipv6-7.6-sol8-sparc-local.gz代替

3.设置tcp_wrapper

基于服务的设置
   a. 设定/etc/inet/inetd.conf
ftp stream tcp nowait root /usr/sbin/in.ftpd in.ftpd
改成
ftp stream tcp nowait root /usr/local/bin/tcpd in.ftpd
telnet stream tcp nowait root /usr/sbin/in.telnetd  in.telnetd
改成
telnet stream tcp nowait root /usr/local/bin/tcpd  in.telnetd
注意：把tcp6要改为tcp
b.设置/etc/hosts.allow
in.telnetd:202.66.202.:ALLOW
in.ftpd:202.66.202.:ALLOW
c.设置/etc/hosts.deny
in.telnetd:ALL:DENY
in.ftpd:ALL:DENY
d. /etc/hosts
( 加入授权使用的 ip Address 和主机名称 )
4．重新启动 inetd Daemon
# /etc/init.d/inetsvc stop
# /etc/init.d/inetsvc start

基于IP策略的设置

1.Tcp_Wrappers
在默认情况下，Solaris允许所有的服务请求。用Tcp_Wrappers来保护服务器的安全，使其免受外部的攻击，比想像的要简单和轻松的多。
在/etc/hosts.deny 文件中加入 ALL：ALL以禁止所有计算机访问服务器，然后在/etc/hosts.allow 文件中加入允许访问服务器的计算机。这种做法是最安全的。
Tcp_Wrappers是由两个文件控制的，它们是/etc/hosts.allow 和 /etc/hosts.deny。

2．设置
a.编辑/etc/hosts.deny 文件
# vi /etc/hosts.deny
加入下面这些行：
ALL：ALL
这样做的目的是：所有的服务、访问位置，如果没有被明确的允许，也就是在/etc/hosts.allow 中找不到匹配的项，就是被禁止的。

b. 编辑/etc/hosts.allow 文件
# vi /etc/hosts.allow
例：我们只希望允许同一个局域网的机器使用服务器的telnet功能，而禁止互联网上面的telnet服务请求，本地局域网由 202.39.154. 、202.39.153. 和202.39.152. 三个网段组成。在hosts.deny文件中，我们定义禁止所有机器请求所有服务： ALL:ALL。在hosts.allow文件中，我们定义只允许局域网访问telnet功能：
in.telnetd: 202.39.154. 202.39.153. 202.39.152.
这样，当非局域网的机器请求telnet服务时，就会被拒绝。而局域网的机器可以使用telnet服务。

如果我们要设置IP为218.1.64.112 和IP在10.10.10网段中的机器所有的服务可以访问，其他的IP被拒绝则做如下设置。
a.设置/etc/hosts.allow
all:218.1.64.112 218.1.2 10.10.10
b.设置/etc/hosts.deny
all:all

附加：禁止所有不需要的服务
用grep -v “^#”/etc/inetd.conf命令来察看你当前没有注释的服务
# vi /etc/inetd.conf
在/etc/inetd.conf中注释掉左右不需要的服务，比如：
name、shell、login、exec、comsat、talk、rusersd、printer、finger、uucp 所有以“r”开头的服务，对必须提供的服务采用tcpwapper来保护。

5 . Solairs安全配置手册

一  solaris系统安装
系统patch
解决方案：
连接站点http://sunsolve.sun.com寻找solaris的最新补丁路径
showrev -p [安装的补丁列表命令]
建立/var分区
解决方法：
/var分区是存放logfile以及系统变动文件的文件系统，因为它的易变化性，以及在系统运作过程中的不断扩大，所以不要把/var文件系统包括再root分区里，以免有恶意程序恶意扩大日志文件来dos根分区。
1）在系统安装之初解决这个问题。
2）划分较小的独立的文件系统给/var
3）并挂接在/下。

二  系统
eeprom安全
安全层面：本地
解决方法：
先解释一下openboot安全级别：
none          不需要任何口令
command      除了boot和go之外的所有命令都需要口令。
Full           除了go命令之外的所有openboot命令都需要openboot口令
好！用# eeprom security-mode=command命令来改变openboot的安全级别到command级。当然，你首先得要用# eeprom security-password命令来给openboot设置强壮口令。
为什么要这样做：因为能够访问openboot的用户可以从几乎所有的scsi设备（外部硬盘或cdrom）上引导系统，这样用户如果从他们自己的媒体来引导系统的话，就等于完全控制了系统。同样，用户能够用stop-A停止系统，可以修改所有openboot环境变量。这是非常危险的事情。

置核心大小为零
安全层面：本地
解决方法：
添加行到：/etc/system文件里：
set sys:coredumpsize = 0
我建议这样做，因为你需要去分析内核，这样做可以防止由于你的误操作而损坏你的硬盘。
参考脚本：
disable-core.sh

三  用户管理

禁止所有的系统账户（system accounts）
安全层面：本地
解决方法：
编辑/etc/passwd文件使所有系统账户没有shell。如：noaccess:x 60002:60002:No Access User:/:/sbin/noshell
noshell.c应该这样写：
#include <stdio.h>;
void main() {
printf(“sorry!no shell with this account\n”);
return 0;
}
gcc -o ./noshell ./noshell. c
cp /sbin/noshell /sbin/noshell.solaris
cp ~/noshell /sbin/noshell
禁止不需要的系统账户，在/etc/shadow文件中用NP标志放在那些用户的密码段，这样那些用户就被禁止了。
基本的sys V unix系统账户：
bin, daemon,adm,lp,smtp,sys,uucp,nuucp,nobody,noaccess
用强壮的密码设置程序
安全层面：远程
解决方法：
对于所有用户账户而言都应该用强壮的密码，在solaris下有一个叫npasswd的工具运行的很好，利用npasswd代替passwd程序来让用户设置密码，它附带了一个配置文件，可以让用户设定密码的长度，字符，期限等控制信息。

设置默认的密码参数
安全层面：本地
解决方法：
添加或编辑/etc/default/passwd文件如下入口：
PWMIN= 1 #密码可以被改变的最小时段
设置密码的最大生存周期
安全层面：本地
解决方法：
添加或编辑/etc/default/passwd文件如下入口：
PWMAX= 13 #密码的最大生存周期
设定离用户密码过期的天数，当系统启动时提醒用户。
安全层面：本地
解决方法：
添加或编辑/etc/default/passwd文件如下入口：
PWWARN= 4
设定最小用户密码长度
安全层面：本地
解决方法：
添加或编辑/etc/default/passwd文件如下入口：
PWLEN= 8 #设定最小用户密码长度为8位
防止远程的root登陆
安全层面：本地
解决方法：
添加或编辑/etc/default/login文件如下入口：
LCONSOLE=/dev/console #这样root只能从/dev/console这个设备登陆
记录所有root的登陆情况
安全层面：本地
解决方法：
添加或编辑/etc/default/login文件如下入口：
LSYSLOG= YES #syslog纪录root的登陆失败，成功的情况
设置登陆会话超时时间
安全层面：本地
解决方法：
添加或编辑/etc/default/login文件如下入口：
LTIMEOUT= 120
设置默认的屏蔽掩码
安全层面：本地
解决方法：
添加或编辑/etc/default/login文件如下入口：
LUMASK= 027 #这将设定标准掩码为：750，也可以将这行加到/etc/.login /etc/profile /etc/skel/local.cshrc /etc/skel/local.login /etc/skel/local.profile这些文件里
设置root的umask
安全层面：本地
解决方法：
确定root的umask是027或077
检查root的.profile
确定登陆需要密码验证
安全层面：本地
解决方法：
添加或编辑/etc/default/login文件如下入口：
LPASSREQ= YES
设置shell的环境变量
安全层面：本地
解决方法：
添加或编辑/etc/default/login文件如下入口：
LALTSHELL= YES
检查每个用户的密码档设置
安全层面：本地
解决方法：
检查/etc/passwd;/etc/shadow文件里的每个用户的加密行，如：
user:lRs.8R9EfQXx.:11137:0:10000::::
加密段有无被修改的迹象
去掉所有path环境变量里的“.”
安全层面：本地
解决方法：
从用户及root的初始化脚本中的path变量里去除“.”，比如如下脚本：
/.login /etc/.login /etc/default/login /.cshrc /etc/skel/local.cshrc
/etc/skel/local.login /etc/skel/local.profile /.profile /etc/profile
限制su命令，添加可以su的用户到sugroup里
安全层面：本地
解决方法：
1）在/etc/group文件里建立一个特殊的组
2）使你的admin账号在这个组里
3）改变/bin/su的权限为：r-sr-sr-x 1 root sugroup
# chmod 550 /bin/su
# chmod +s /bin/su
# chown root:sugroup /bin/su
# ls -al /bin/su
-r-sr-s--- 1 root sugroup 18360 Jan 15 1998 /bin/su
# grep sugroup /etc/group
sugroup::600:root,httpadm,wsphere
只有是sugroup组里的用户才可以使用su命令

四  inetd超级进程
注释掉所有确实不需要的服务
安全层面：远程
解决方法：
用grep -v “^#”/etc/inetd.conf命令来察看你当前没有注释的服务
去掉一切你不是真正需要的服务，并且是那些没有注释的服务保护在tcp_wrapper之下。
对inetd的服务实现TCP wrapper
安全层面：远程
解决方法：
编译安装tcpd到/usr/local/bin目录下，编辑/etc/inetd.conf如下：
ftp stream tcp nowait root /usr/local/bin/ tcpd in.ftpd
telnet stream tcp nowait root /usr/local/bin/ tcpd in.telnetd
加固inetd
安全层面：远程
解决方法：
检查/etc/hosts.deny和/etc/hosts.allow文件，确定如下格式：
/etc/hosts.deny
ALL:ALL
开启的服务:
/etc/hosts.allow
<service>;:<source-ip>;
关于xinetd
安全层面：本地
解决方法：
xinetd有这比inetd更强大的灵活性和安全性，所以尽量用xinetd来代替inetd。

五  系统启动服务（rc.X）
去掉不需要的启动服务
安全层面：远程
解决方法：
用mv命令来去掉不需要的启动服务，一个例子如下：
mv /etc/rc3.d/S92volmgt /etc/rc2.d/not_usedS92volmgt
这样vlomgt这个服务就被禁止启动了
下面一些服务最好禁止启动（不过具体情况具体决定）：
snmpdx
autofs(Automounter)
volmgt(Volume Deamon)
lpsched(LP print service)
nscd (Name Service Cache Daemon)
Sendmail
Keyserv
禁止rpcbind服务，如果它不是一定需要的话。（以上列表可以代表所有不需要的服务，但具体情况请进入到rc.X目录里自行决定=些服务需要，=些不需要）
禁止DMI服务
安全层面：远程
解决方法：
禁止所有的dmi服务：mv /etc/rc3.d/S??dmi /etc/rc3.d/D??dmi
DMI服务通过/etc/init.d/init.dmi里的几个bin文件来运行：
/usr/lib/dmi/dmispd
/usr/lib/dmi/snmpXdmid
/etc/dmi/ciagent/ciinvoke
禁止默认的mounting suid features
安全层面：远程
解决方法：
在/etc/rmmount.Conf文件里添加行：
mount hsfs -o nosuid
mount ufs -o nosuid
检查所有的.rhosts文件
安全层面：远程
解决方法：
.rhosts文件允许用户或远程主机访问系统而不经过密码验证。假如一台远程的主机被攻破，这将成为极大的安全隐患。建议禁止任何.rhosts文件。
禁止基于rhosts的用户认证
安全层面：远程
解决方法：
更改并删除/etc/pam.conf文件里的：
rlogin auth sufficient /usr/lib/security/pam_rhosts_auth.so.1
改变rsh行：
rsh auth required /usr/lib/security/pam_unix.so.1
参考脚本：
pam-rhosts-2. 6.sh
检查信任关系
安全层面：远程
解决方法：
确定/etc/hosts.equiv文件为空。
启动服务脚本的屏蔽掩码
安全层面：远程
解决方法：
在每个rc.X目录中建立S00umask文件：
/etc/rc0.d/S00umask.sh
/etc/rc1.d/S00umask.sh
/etc/rc2.d/S00umask.sh
/etc/rc3.d/S00umask.sh
/etc/rcS.d/S00umask.sh
/etc/init.d/umask
参考脚本：
add-umask.sh

六  网络接口的调整和安全
缩短ARP缓存的存在周期
安全层面：远程
解决方法：
在/etc/rc2.d/S??inet脚本中添加如下：
ndd -set /dev/arp arp_cleanup_interval 60000 /* 1 min (default is 5 min)*/
缩短条目在arp-table里刷新的时间
安全层面：远程
解决方法：
在/etc/rc2.d/S??inet脚本中添加如下：
ndd -set /dev/ip ip_ire_flush_interval 60000 /* 1 min (default is 20 min)*/
禁止回应广播的的请求来防止一些特殊的具有危害性的ping包
安全层面：远程
解决方法：
添加或修改/etc/rc2.d/S??inet如下：
ndd -set /dev/ip ip_respond_to_echo_broadcast 0 # default is 1
启动时禁止源路由
安全层面：远程
解决方法：
添加或修改/etc/rc2.d/S??inet如下：
ndd -set /dev/ip ip_forward_src_routed 0 # default is 1
防止系统在启动时启动ip转发
安全层面：远程
解决方法：
添加或修改/etc/rc2.d/S??inet如下：
ndd -set /dev/ip ip_forwarding 0 # default is 1
设置系统禁止ip包转发
安全层面：远程
解决方法：
添加或修改/etc/rc2.d/S??inet如下：
ndd -set /dev/ip ip_ignore_redirect 1 # default is 0
(adds it into /etc/init.d/nddconfig)
设置系统精确的多路寻址
安全层面：远程
解决方法：
添加或修改/etc/rc2.d/S??inet如下：
ndd -set /dev/ip ip_strict_dst_multihoming 1 # default is 0
(adds it into /etc/init.d/nddconfig)
保证系统不响应icmp网络掩码请求
安全层面：远程
解决方法：
添加或修改/etc/rc2.d/S??inet如下：
ndd -set /dev/ip ip_respond_to_address_mask_broadcast= 0 # default is 0
(adds it into /etc/init.d/nddconfig)
防止系统响应icmp的时间戳请求
安全层面：远程
解决方法：
添加或修改/etc/rc2.d/S??inet如下：
ndd -set /dev/ip ip_ip_respond_to_timestamp= 0 # default is 1
(adds it into /etc/init.d/nddconfig)
防止系统响应icmp时间戳广播
安全层面：远程
解决方法：
添加或修改/etc/rc2.d/S??inet如下：
ndd -set /dev/ip ip_ip_respond_to_timestamp_broadcast= 0 # default is 1
(adds it into /etc/init.d/nddconfig)
防止系统发送icmp转发信息
安全层面：远程
解决方法：
添加或修改/etc/rc2.d/S??inet如下：
ndd -set /dev/ip ip_send_redirects= 0 # default is 1
(adds it into /etc/init.d/nddconfig)
改变TCP初始序列号生成参数
安全层面：远程
解决方法：
改变/etc/default/inetinit文件的条目：
TCP_STRONG_ISS= 2
设置in.routed在静态模式
安全层面：远程