2018.1.24 7周3次课

七周三次课(1月24日)

10.11 Linux网络相关
10.12 firewalld和netfilter
10.13 netfilter5表5链介绍
10.14 iptables语法

10.11 Linux网络相关

  1. 用ifconfig命令查看网卡IP

前面曾用过ip addr这个命令来查看系统的IP地址。其实在centos 7之前,我们使用最多的命令是ifconfig,它类似于Windows的ipconfig命令,后面不加任何选项和参数时,只打印当前网卡的相关信息 (如子网掩码、 网关等)。在Windows下设置IP非常简单,然而在命令窗口下如何设置呢?这就需要修改配置文件/etc/sysconfig/network-scripts/ifcfg-xxx了,这里的xxx指的是网卡的名字,可以使用ip add命令查看所有网卡。如果你的系统里没有ifconfig命令,可以使用yum install –y net-tools安装。

如果有多个网卡,而你只想重启某一个网卡的话,可以使用如下命令:

# ifdown ens33  关闭网卡

# ifup ens33  启动网卡

需要大家注意的是,如果我们远程登录服务器,当使用命令ifdown ens33时,很有可能后面的命令ifup  ens33不会运行。这样会导致我们断网而无法连接服务器

可以使用命令systemctl restart network来重启网卡。,可以使用如下命令

  1. 给一个网卡设定多个IP

在Linux系统中,网卡是可以设定多重IP的

IP的设置过程如下:

# cd /etc/sysconfig/network-scripts

# cp ifcfg-ens33 ifcfg-ens33\:0

之所以加反斜杠(\),是因为要把:转义,不然在Linux命令行下面无法识别。然后编辑 ifcfg- ens33:0这个配置文件。

修改上述NAME、DEVICE、IPADDR,设置完毕重启网卡

  1. 查看网卡连接状态

这里显示link ok,就说明网卡为连接状态。如果显示no link,说明网卡坏了或者没有连接。

还有一个命令也可以查看网卡的状态

这里显示Link detected: yes。如果网卡没有连接,则显示Link detected: no

  1. 更改主机名

安装完系统后,主机名默认为localhost. localdomain, 使用hostname命令就可以查看Linux的主机名,

使用hostname命令也可以更改主机名

下次登录时,命令提示符[[email protected]~] 中的localhost就会更改成新的主机名。不过这样修改只是保存在内存中,如果重启,主机名还会变成改动之前的名称。

如要重启后使用新的主机名,要用如下命令

更改主机名 hostnamectl set-hostname aminglinux

主机名的相关配置文件/etc/hostname。

  1. 设置DNS

DNS是用来解析域名的。平时我们访问网站都是直接输人一个网址,而DNS把这个网址解析到一个IP

在Linux下设置DNS非常简单,只要把DNS地址写到配置文件/etc/resolv.conf中即可。

如果只是临时修改DNS IP地址,就直接修改/etc/resolv.conf;如果是永久生效的话,还是要修改网卡的配置文件。

在Linux下还有一个特殊文件/etc/hosts也能解析域名,不过需要我们在里面手动添加IP和域名这内容它的作用是临时解析某个域名,非常有用。

/etc/hosts的格式很简单,每一行为一条记录分成两部分,第一部分是IP,第二部分是域名。关于hosts文件,有以下几点需要你注意:

  • 一个IP后面可以跟多个域名,可以是几十个甚至上百个;
  • 每一行只能有一个IP,也就是说一个域名不能对应多个IP;
  • 如果有多行中出现相同的域名(对应的IP不一样),会按最后面出现的记录来解析

10.12 firewalld和netfilter

  1. SELinux是Linux系统特有的安全机制。因为这种机制的限制太多,配置也特别烦琐,所以我们一般都要把SELinux关闭,以免引起不必要的麻烦。

临时关闭SELinux的方法为:

但这仅仅是临时的,要想永久关闭需要更改配置文件/etc/selinux/config需要把SELINUX= enforcing 改成SELINUX=disabled

更改完后重启系统方可生效。

  1. netfilter

centos7之前使用netfilter防火墙。centos7开始使用firewalld防火墙

关闭firewalld开启netfilter方法

禁止firewalld服务开机启动

关闭firewalld服务

安装iptables-services

开机启动iptables

启动iptables服务

查看iptable规则

上例中,-nvL选项表示查看规则,-F选项表示清除当前规则,但清除只是临时的,重启系统或者重启iptables服务后还会加载已经保存的规则,所以需要使用service tables save保存一下规则。通过上面的命令输出,我们也可以看到,防火墙规则保存在/etc/sysconfig/iptables中,你可以查看一下这个文件。

netfilter5表5链介绍

  1. netfilter的5个表

filter表主要用于过滤包,是系统预设的表,这个表也是用得最多的表。该表内建3个链:INPUT、OUTPUT以及FORWARD。 INPUT链作用于进入本机的包,OUTPUT链作用于本机送出的包,FORWARD链作用于那些跟本机无关的包 。

nat表主要用于网络地址转换,它也有3个链。REROUTING链的作用是在包刚刚到达防火墙时改变它的目的地址(如果需要的话),OUTPUT链的作用是改变本地产生的包的目的地址,POSTROUTING链的作用是在包即将离开防火墙时改变其源地址。

mangle表主要用于给数据包做标记,然后根据标记去操作相应的包。这个表几乎不怎么用, 除非你想成为一个高级网络工程师,否则就不需要太关注。

raw表可以实现不追踪某些数据包,默认系统的数据包都会被追踪,但追踪势必消耗一定的资源,所以可以用raw表来指定某些端口的包不被追踪。

security表在centos 6中是没有的,它用于强制访问控制 (MAC)的网络规则。。

2.netfilter的5个链

5个链分别为PREROUTING、 INPUT、 FORWARD、 OUTPUT、 POSTROUTING

  • REROUTING:数据包进人路由表之前。用于目标地址转换(DNAT)。
  • INPUT:通过路由表后目的地为本机。处理输入数据包
  • FORWARDING:通过路由表后,目的地不为本机。处理转发数据包。
  • OUTPUT:由本机产生,向外转发。处理输出数据包。
  • POSTROUTIONG:发送到网卡接口之前。用于源地址转换(SNAT)。

iptables和netfilter的关系:

iptables和netfilter的关系是一个很容易让人搞不清的问题。很多的知道iptables却不知道 netfilter。其实iptables只是Linux防火墙的管理工具而已,位于/sbin/iptables。真正实现防火墙功能的是 netfilter,它是Linux内核中实现包过滤的内部结构。

iptables传输数据包的过程

① 当一个数据包进入网卡时,它首先进入PREROUTING链,内核根据数据包目的IP判断是否需要转送出去。 
② 如果数据包就是进入本机的,它就会沿着图向下移动,到达INPUT链。数据包到了INPUT链后,任何进程都会收到它。本机上运行的程序可以发送数据包,这些数据包会经过OUTPUT链,然后到达POSTROUTING链输出。 
③ 如果数据包是要转发出去的,且内核允许转发,数据包就会如图所示向右移动,经过FORWARD链,然后到达POSTROUTING链输出。

iptables的规则表和链:

表(tables)提供特定的功能,iptables内置了4个表,即filter表、nat表、mangle表和raw表,分别用于实现包过滤,网络地址转换、包重构(修改)和数据跟踪处理。

链(chains)是数据包传播的路径,每一条链其实就是众多规则中的一个检查清单,每一条链中可以有一 条或数条规则。当一个数据包到达一个链时,iptables就会从链中第一条规则开始检查,看该数据包是否满足规则所定义的条件。如果满足,系统就会根据 该条规则所定义的方法处理该数据包;否则iptables将继续检查下一条规则,如果该数据包不符合链中任一条规则,iptables就会根据该链预先定 义的默认策略来处理数据包。

iptables采用“表”和“链”的分层结构。在REHL4中是三张表五个链。现在REHL5成了四张表五个链了,不过多出来的那个表用的也不太多,所以基本还是和以前一样。下面罗列一下这四张表和五个链。注意一定要明白这些表和链的关系及作用。

10.14 iptables语法

iptables是一个非常复杂和功能丰富的工具,所以它的语法也是很有特点的。下面就给大家介绍几种常用的语法。

查看规则:iptables –nvL。其中-n表示不针对IP反解析主机名,-L表示列出,-v表示列出的信息更加详细。

重启规则:service restart iptables.service

防火墙规则保存在/etc/sysconfig/iptables中

清空规则:iptables -F 。如果不加-t指定表,默认只清楚filter表的规则。iptables文件里还有,重启规则后会恢复。

保存规则:service iptables save

-t指定表 iptables -t nat:如果不加-t选项,则显示的filter表的相关信息。

把计数器清零:iptables  -Z。把包以及流量计数器清零。

增加/删除一条规则,其用法如下:

iptables -A INPUT -s 192.168.188.1 -p tcp --sport 1234 -d 192.168.188.128 --dport 80 -j DROP

  • -A/-D:表示增加/删除一条规则。在指定链的末尾添加(append)一条新的规则
  • -I:在指定链中插入(insert)一条新的规则。例:iptables -I INPUT 1 --dport 80 -j ACCEPT,默认在第一行添加
  • -p:表示指定协议,可以是tcp、udp或者icmp。
  • --dport:跟-p一起使用,表示指定目标端口。
  • --sport:跟-p一起使用,表示指定源端口。
  • -s:表示指定源IP(可以是一个IP段)。
  • -d:表示指定目的IP(可以是一个IP段)。
  • -j: 后面跟动作,其中ACCEPT表示允许包,DROP表示丢掉包,REJECT表示拒绝包。
  • -i:表示指定网卡
  • -v:查看规则表详细信息(verbose)的信息
  • -L/S:列出指定链或所有链的规则。
  • -F :删除指定链或所有链的规则
  • -N :创建用户自定义链。例:iptables -N allowed
  • -X :删除指定的用户自定义链
  • -P :为指定链设置默认规则策略,对自定义链不起作用。例:iptables -P OUTPUT DROP
  • -Z :将指定链或所有链的计数器清零
  • -E :更改自定义链的名称。例:iptables -E allowed disallowed,不改变链本身
  • -n :ip地址和端口号以数字方式显示。例:iptables -Ln

iptables -I INPUT -p tcp --dport 80 -j DROP

有时候服务器上的iptables过多了,你想删除某一条规则,但又不容易掌握创建时的规则。其实有一种比较简单的方法,根据编号来删除规则。

打印规则的序列号:iptables -nvL --line-numbers

删除某一条规则

指定网卡规则:

iptables -I INPUT -s 192.168.1.0/24 -i eth0 -j ACCEPT

预设策略:iptables –P INPUT DROP

-P后面跟链名,策略内容或为DROP,或ACCEPT,默认是ACCEPT。注意:如果你在连接远程服务器,千万不要随便执行这个命令,因为一旦输入命令并回车,远程服务器就会被断开。

这个策略一旦设定后,只有使用命令iptables –P INPUT ACCEPT才能恢复成原始状态。

原文地址:http://blog.51cto.com/415326/2064828

时间: 2024-11-06 07:31:17

2018.1.24 7周3次课的相关文章

2018.1.9 5周2次课

五周第二次课(1月9日) 7.6 yum更换国内源 7.7 yum下载rpm包 7.8/7.9 源码包安装 7.6 yum更换国内源 1.恢复之前备份的文件 2. 进入"/etc/yum.repos.d"目录 3.删除"CentOS-Base.repo"文件 4.下载"163.repo"文件 wget http://mirrors.163.com/.help/CentOS7-Base-163.repo curl -O http://mirrors

2018.1.16 6周2次课

六周第二次课(1月16日) 9.4/9.5 sed 9.4/9.5 sed 其实grep工具的功能还不够强大,它实现的只是查找功能,而不能把查找的内容替换.以前用vim操作文档的时候,可以查找也可以替换, 但只限于在文本内部操作,而不能输出到屏幕上.sed工具以及后面要介绍的awk工具就能把替换的文本输出到屏幕上,而且还有其他更丰富的功能.sed和awk都是流式编辑器,是针对文档的行来操作的. sed  '/x/'p filename:匹配x字符 sed  -n  '/x/'p  filenam

2018.3.1 10周2次课

十周第二次课(3月1日) 11.14/11.15 Apache和PHP结合 11.16/11.17 Apache默认虚拟主机 11.14/11.15 Apache和PHP结合 配置httpd支持php httpd主配置文件/usr/local/apache2.4/conf/httpd.conf vim /usr/local/apache2.4/conf/httpd.conf   //修改以下4个地方 ServerName 搜索ServerName,把#ServerName www.example

2018.4.23 17周4次课

十七周4次课(4月23日) 20.20 告警系统主脚本 20.21 告警系统配置文件 20.22 告警系统监控项目 20.20 告警系统主脚本 创建告警系统的目录: [[email protected] /usr/local/sbin]# mkdir mon [[email protected] /usr/local/sbin]# ls mon  nginx_log_rotate.sh [[email protected] /usr/local/sbin]# cd mon [[email pro

2018.1.29 8周1次课

八周一次课(1月29日) 10.23 linux任务计划cron 10.24 chkconfig工具 10.25 systemd管理服务 10.26 unit介绍 10.27 target介绍 10.23 linux任务计划cron 其实大部分系统管理工作都是通过定期自动执行某个脚本来完成的, 那么如何定期执行某个脚本呢? 这就要借助Linux的cron功能了 Linux任务计划功能的操作都是通过crontab命令来完成的, 其常用的选项有以下几个. -u:表示指定某个用户,不加- u选项则为当

2018.4.25 18周1次课

十八周一次课(4月25日) 20.27 分发系统介绍 20.28 expect脚本远程登录 20.29 expect脚本远程执行命令 20.30 expect脚本传递参数 20.27 分发系统介绍 expect是一种能够按照脚本内容里面设定的方式与交互式程序进行"会话"的程序.根据脚本内容,Expect可以知道程序会提示或反馈什么内容以及什么是正确的应答.它是一种可以提供"分支和嵌套结构"来引导程序流程的解释型脚本语言. 我们熟知的shell编程功能虽然很强大,但是

2018.1.8 5周1次课

五周第一次课(1月8日) 7.1 安装软件包的三种方法 7.2 rpm包介绍 7.3 rpm工具用法 7.4 yum工具用法 7.5 yum搭建本地仓库 7.1 安装软件包的三种方法 rpm工具 yum工具 源码包 在Windows系统下安装软件很简单,只要双击后缀为.exe的文件,然后根据提示连续单击"下一步" 按钮即可. 然而在Linux系统下安装软件就没那么容易了,因为我们不是在图形界面下.所以,你必须学会如何在Linux下安装软件 前面我们多次提到了yum命令,它是Red Ha

2018.1.10 5周3次课

五周第三次课(1月10日) 8.1 shell介绍 8.2 命令历史 8.3 命令补全和别名 8.4 通配符 8.5 输入输出重定向 8.1 shell介绍 shell是系统跟计算机硬件交互时使用的中间介质,它只是系统的一个工具.实际上,在shell和计算机硬件之间还有一层东西一一系统内核.如果把计算机硬件比作一个人的躯体,那系统内核就是人的大脑.至于shell,把它比作人的五官似乎更贴切些.言归正传,用户直接面对的不是计算机硬件而是shell,用户把指令告诉shell,然后shell再传输给系

2018.1.11 5周4次课

五周第四次课(1月11日) 8.6 管道符和作业控制 8.7/8.8 shell变量 8.9 环境变量配置文件 8.6 管道符和作业控制 1. 管道符 前面已经提过管道符|,它用于将前一个指令的输出作为后一个指令的输人. 2. 作业控制 当运行进程时,常用的命令如下: 暂停:按ctrl+Z组合键 fg n:(foreground的简写)恢复第n个进程运行 bg n:(backgroup的简写)把第n个进程放到后台运行 终止:按ctrl+C组合键 jobs:把暂停或在后台的任务列出来. 命令 &: