📚 课程目录第3章边缘网关操作系统

3. 边缘网关操作系统：主流OS选型与安全加固

边缘网关的操作系统选型，说白了就是给硬件挑一个合适的“管家”。这个管家既要管好资源，又要扛得住攻击。我这些年经手过不少网关项目，从智能路灯到工业PLC，OS选型一旦出错，后面运维就是噩梦。

今天咱们就聊聊四个主流选手：OpenWrt、Yocto、Ubuntu Core、RT-Linux。每个都有脾气，选对了事半功倍。

3.1 四大主流OS选型对比

先看一张对比表，心里有个底：

特性	OpenWrt	Yocto	Ubuntu Core	RT-Linux
内核基础	Linux主线 + 补丁	自定义Linux	Ubuntu LTS	Linux + PREEMPT_RT
包管理	opkg	无（需自行构建）	snap	取决于发行版
实时性	一般	可配置	一般	强实时
安全更新	社区维护	自行维护	自动OTA	依赖上游
适用场景	家用/轻量工业	嵌入式定制	IoT/云边协同	运动控制/PLC

我的建议： 如果项目要求快速原型，选OpenWrt；如果产品要量产且硬件千奇百怪，Yocto更灵活；如果客户要求云端统一管理，Ubuntu Core的snap机制很省心；如果控制周期在毫秒级，RT-Linux是唯一选择。

3.2 系统裁剪与定制

边缘网关的硬件资源通常很紧张——128MB Flash、256MB RAM是常态。你想想看，一个完整的Ubuntu Desktop装上去，光系统就吃掉2GB，哪还有空间跑业务？

所以，裁剪是必修课。我习惯按以下步骤来：

确定最小功能集：只保留网络栈、安全模块、业务运行时。图形界面？砍掉。蓝牙？如果不用就砍掉。
内核模块裁剪：用make menuconfig逐项检查，只保留硬件驱动和必要协议。我记得有一次，一个客户网关频繁死机，查了三天发现是多了一个没用的USB驱动在轮询空端口。
文件系统瘦身：删除man手册、locale、不必要的动态库。用busybox替代coreutils，能省下好几MB。
只读根文件系统：生产环境一定要用squashfs或overlayfs。为什么？防止恶意写入篡改系统文件。

避坑指南： 我曾经在裁剪时删掉了libcrypt，结果所有用户认证都挂了。建议裁剪后做一次全功能回归测试，特别是SSH、TLS、iptables这些安全相关组件。

3.2.1 Yocto裁剪实战

Yocto的裁剪通过local.conf和image.bb控制。下面是我常用的最小镜像配置：

# local.conf 关键配置
MACHINE = "qemuarm64"
DISTRO = "poky-tiny"
PACKAGE_CLASSES = "package_ipk"

# 只保留核心包
IMAGE_INSTALL = "packagegroup-core-boot \
                 dropbear \
                 iptables \
                 ca-certificates \
                 busybox"

# 禁用图形和文档
PACKAGE_EXCLUDE = "perl python3-doc man-pages"

这样构建出来的镜像，大概只有8MB。嗯，8MB就能跑一个带SSH和防火墙的网关系统，够用了吧？

3.3 内核安全加固

系统裁剪完了，接下来就是上锁。内核安全加固，说白了就是让攻击者即使拿到shell也干不了坏事。我把它分成三个层面：

3.3.1 内核编译选项加固

在kernel.config里，以下选项必须打开：

CONFIG_SECURITY=y：启用Linux安全模块（LSM）
CONFIG_SECURITY_SELINUX=y 或 CONFIG_SECURITY_APPARMOR=y：强制访问控制
CONFIG_STACKPROTECTOR_STRONG=y：栈溢出保护
CONFIG_DEBUG_CREDENTIALS=y：凭证完整性检查
CONFIG_SYN_COOKIES=y：防SYN Flood攻击

注意： 开启SELinux后，如果策略没写好，系统可能直接变砖。我建议先在测试环境用permissive模式跑一周，收集所有违规日志，再生成正式策略。

3.3.2 运行时安全配置

系统跑起来后，通过sysctl做动态加固。这是我每台网关必设的参数：

# 防IP欺骗
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1

# 禁ICMP重定向
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0

# 限制内核日志访问
kernel.dmesg_restrict = 1

# 开启地址空间随机化
kernel.randomize_va_space = 2

# 限制ptrace
kernel.yama.ptrace_scope = 1

你可能会问：kernel.yama.ptrace_scope = 1有什么用？简单说，就是防止一个进程用ptrace调试另一个进程。攻击者常用这个手法注入恶意代码。

3.3.3 文件系统与权限加固

最后一步，把文件系统的权限锁死：

/proc 和 /sys 挂载时加 hidepid=2，普通用户看不到其他进程信息
/tmp 挂载为 noexec,nosuid，防止在临时目录执行恶意脚本
关键二进制文件设置 chmod 500，只有root能读和执行
使用 dm-verity 或 IMA 做文件完整性校验

个人经验： 有一次客户反馈网关被植入挖矿程序，排查发现攻击者利用了/tmp的可执行权限。从那以后，我所有项目的/tmp都强制noexec，再没出过类似问题。

3.4 本章知识体系

下面这张图总结了OS选型、裁剪与加固的核心逻辑：

从图中可以看出，选型、裁剪、加固、运维四个环节环环相扣。选型决定了裁剪的起点，裁剪决定了加固的边界，而运维则保证加固效果持续有效。任何一个环节出问题，整个安全体系都会打折扣。

好了，这一章的内容就到这里。记住一句话：没有绝对安全的OS，只有相对安全的配置。把基本功做扎实，边缘网关才能扛得住真实世界的考验。