解决CentOS虚拟化环境中rngd进程CPU占用过高问题
1. 问题现象与背景分析
最近在维护CentOS服务器时，发现系统CPU使用率异常飙升，通过top命令排查发现是rngd进程占用了大量CPU资源。这种情况在虚拟化环境中尤为常见，特别是在KVM虚拟机中安装的CentOS系统上。
rngd是Linux系统中的随机数生成守护进程（Random Number Generator Daemon），它的主要职责是从硬件随机数生成器（如/dev/hwrng）收集熵数据，并将其注入到内核的熵池中。这对于需要高质量随机数的应用（如加密操作）非常重要。
2. 问题根源探究
2.1 为什么rngd会导致CPU飚高？
在虚拟化环境中，通常缺乏真正的硬件随机数生成器。当rngd无法从/dev/hwrng获取足够的熵时，它会进入一个高CPU占用的循环状态，不断尝试获取随机数源。这会导致以下问题：
- 持续的高CPU占用（通常是一个核心的100%）
- 系统响应变慢
- 可能影响依赖随机数的服务（如SSH、SSL等）
2.2 诊断方法
确认是否是rngd导致的问题：
top -c查看进程列表，如果发现rngd进程占用过高CPU，通常就是这个问题。
检查系统熵值：
cat /proc/sys/kernel/random/entropy_avail正常值应该在3000左右，如果低于1000，说明系统熵值不足。
3. 解决方案
3.1 方案一：禁用rngd服务（适合不需要高质量随机数的环境）
- 停止当前运行的rngd服务：
systemctl stop rngd- 禁止rngd开机启动：
systemctl disable rngd- 验证服务状态：
systemctl status rngd注意：这种方法虽然简单，但会降低系统随机数质量，可能影响加密操作的安全性。
3.2 方案二：使用haveged作为替代熵源（推荐）
haveged是一个用户空间的熵守护进程，它通过收集处理器时序变化来生成熵。
- 安装haveged：
yum install -y haveged- 启动并启用haveged：
systemctl enable --now haveged- 停止并禁用原来的rngd：
systemctl disable --now rngd- 验证熵值：
watch -n 1 cat /proc/sys/kernel/random/entropy_avail现在应该能看到熵值维持在较高水平。
3.3 方案三：配置rngd使用更合适的熵源
如果必须使用rngd，可以调整其配置：
- 编辑配置文件：
vi /etc/sysconfig/rngd- 修改或添加以下内容：
EXTRAOPTIONS="--rng-device /dev/urandom"- 重启rngd服务：
systemctl restart rngd4. 深入分析与优化建议
4.1 为什么虚拟化环境中熵值容易不足？
在虚拟化环境中，由于缺乏真实的硬件随机源（如键盘、鼠标、磁盘等物理设备的时序变化），熵池补充缓慢。而现代加密应用（如SSL/TLS）对随机数需求量大，导致熵池快速耗尽。
4.2 各种解决方案的优缺点对比
| 方案 | 优点 | 缺点 | 适用场景 |
|---|---|---|---|
| 禁用rngd | 简单直接，立即降低CPU使用 | 降低系统安全性 | 测试环境或不重要的系统 |
| 使用haveged | 提供稳定的熵源，不影响安全性 | 需要额外安装软件 | 生产环境推荐方案 |
| 配置rngd | 保持原有架构 | 可能仍需调整参数 | 需要保持rngd的特殊环境 |
4.3 长期监控建议
设置监控告警，当熵值低于阈值时发出通知：
# 添加到crontab中 */5 * * * * [ $(cat /proc/sys/kernel/random/entropy_avail) -lt 1000 ] && echo "Low entropy warning" | mail -s "Entropy Alert" admin@example.com5. 常见问题排查
5.1 安装haveged后熵值仍然低
可能原因：
- haveged服务未正常运行
- 系统中有其他进程消耗熵过快
解决方法：
systemctl restart haveged # 检查是否有大量消耗熵的进程 ls -l /proc/*/fd | grep random5.2 禁用rngd后某些服务无法启动
某些安全敏感的服务（如sshd）需要足够的熵才能启动。如果遇到这种情况，建议采用方案二（安装haveged）而不是完全禁用熵源。
5.3 系统升级后问题重现
CentOS系统升级可能会重置服务配置。如果问题重现，需要重新应用上述解决方案。
6. 高级配置技巧
对于高安全性要求的系统，可以考虑以下组合方案：
- 安装haveged提供基础熵源
- 保留rngd，但配置其使用haveged生成的熵
- 定期检查熵值并记录日志
配置示例：
# 安装必要软件 yum install -y haveged rng-tools # 配置rngd使用urandom echo 'EXTRAOPTIONS="--rng-device /dev/urandom"' > /etc/sysconfig/rngd # 启动服务 systemctl enable --now haveged systemctl enable --now rngd # 设置监控 echo '* * * * * root echo "$(date) Entropy: $(cat /proc/sys/kernel/random/entropy_avail)" >> /var/log/entropy.log' > /etc/cron.d/entropy-monitor7. 性能影响评估
在解决这个问题后，应该对系统性能进行验证：
- CPU使用率是否恢复正常
- 加密操作（如SSL握手）是否仍然流畅
- 系统整体响应时间是否改善
可以使用以下命令进行简单测试：
# 测试OpenSSL性能（执行10次SHA256哈希） time for i in {1..10}; do openssl speed sha256; done # 测试随机数生成速度 dd if=/dev/random of=/dev/null bs=1 count=10248. 虚拟化环境特殊考量
在KVM等虚拟化环境中，还可以考虑：
- 启用virtio-rng设备
- 调整虚拟机的熵源设置
- 在宿主机层面提供熵源
KVM配置示例（在虚拟机XML配置中添加）：
<devices> <rng model='virtio'> <backend model='random'>/dev/random</backend> </rng> </devices>9. 安全注意事项
- 不要完全禁用系统的随机数生成功能
- 在生产环境中，避免使用质量低的随机源
- 定期检查系统的熵值水平
- 监控与随机数相关的安全事件
10. 总结与个人实践建议
经过多次实践，我发现对于大多数CentOS虚拟化环境，安装haveged是最平衡的解决方案。它不仅解决了CPU飚高的问题，还能维持足够的熵值供应。
在实施时，建议按照以下步骤：
- 先安装haveged并启用
- 观察系统熵值和CPU使用率
- 如果效果良好，再考虑禁用或调整rngd
- 设置长期监控
对于特别关键的系统，可以考虑同时运行haveged和配置合理的rngd，以提供双重保障。