Linux系统基础知识·5
本文基于马哥教育就业班第五周课程总结
- 总结openssh服务安全加固
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17OpenSSH是Linux系统中常用的远程登录工具，为了保证系统的安全性，需要对OpenSSH服务进行加固。以下是OpenSSH服务安全加固措施的主要内容：
禁用root用户登录：
禁用root用户登录可以防止黑客使用root账户进行暴力破解。可以通过修改/etc/ssh/sshd_config文件中的PermitRootLogin配置项为no来实现。
修改SSH端口号：
修改SSH端口号可以防止黑客使用默认端口号进行暴力破解。可以通过修改/etc/ssh/sshd_config文件中的Port配置项来实现。
使用SSH密钥登录：
使用SSH密钥登录可以防止黑客使用密码进行暴力破解。可以通过生成SSH密钥对，并将公钥添加到~/.ssh/authorized_keys文件中来实现。
禁用不安全的SSH协议版本：
禁用不安全的SSH协议版本可以防止黑客利用SSH漏洞进行攻击。可以通过修改/etc/ssh/sshd_config文件中的Protocol配置项为2来禁用SSH协议版本1。
使用防火墙限制SSH访问：
使用防火墙可以限制SSH访问，只允许特定的IP地址或IP地址段访问SSH服务。可以通过iptables或firewalld等防火墙工具来实现。
总之，OpenSSH服务安全加固措施包括禁用root用户登录、修改SSH端口号、使用SSH密钥登录、禁用不安全的SSH协议版本和使用防火墙限制SSH访问等。这些措施可以有效提高系统的安全性，防止黑客攻击和暴力破解。 - 总结sudo配置文件格式，总结相关示例
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26sudo是Linux系统中常用的权限管理工具，可以授权普通用户执行特定的命令或操作。sudo配置文件是用来配置sudo的授权规则和选项的文件，通常位于/etc/sudoers或/etc/sudoers.d目录下。以下是sudo配置文件格式和示例：
格式：
sudo配置文件采用类似于INI文件的格式，包括注释、别名、用户、主机、命令等部分。常用的配置项包括：
（1）User_Alias：定义用户别名；
（2）Host_Alias：定义主机别名；
（3）Cmnd_Alias：定义命令别名；
（4）Defaults：定义sudo的默认选项；
（5）root ALL=(ALL) ALL：允许root用户执行任何命令；
（6）%wheel ALL=(ALL) ALL：允许wheel组的用户执行任何命令；
（7）user ALL=(root) /usr/bin/passwd：允许user用户执行/usr/bin/passwd命令；
（8）user ALL=(root) NOPASSWD: /usr/bin/passwd：允许user用户执行/usr/bin/passwd命令，无需输入密码。
示例：
以下是一个简单的sudo配置文件示例：
User alias specification
User_Alias ADMINS = user1, user2
Command alias specification
Cmnd_Alias SHUTDOWN = /sbin/shutdown, /sbin/reboot
User privilege specification
root ALL=(ALL) ALL
ADMINS ALL=(ALL) NOPASSWD: SHUTDOWN
在示例中，定义了用户别名ADMINS和命令别名SHUTDOWN，允许root用户执行任何命令，允许ADMINS用户执行SHUTDOWN命令，无需输入密码。 - 总结PAM架构及工作原理
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22PAM（Pluggable Authentication Modules）是Linux系统中的一个身份验证框架，可以实现灵活的身份验证和授权机制。PAM架构包括应用程序、PAM库、PAM配置文件和PAM模块四个部分。以下是PAM架构及工作原理的主要内容：
应用程序：
应用程序是使用PAM进行身份验证和授权的程序，如登录、su、sudo等。
PAM库：
PAM库是PAM的核心组件，负责加载和调用PAM模块，以实现身份验证和授权功能。
PAM配置文件：
PAM配置文件是用来配置PAM模块的文件，通常位于/etc/pam.d目录下。每个应用程序都有一个对应的PAM配置文件，用来定义PAM模块的顺序和选项。
PAM模块：
PAM模块是实现身份验证和授权功能的代码库，可以通过PAM库进行加载和调用。PAM模块包括认证模块、授权模块和会话模块等。
PAM的工作原理如下：
（1）应用程序调用PAM库：应用程序调用PAM库进行身份验证和授权。
（2）PAM库加载PAM配置文件：PAM库根据应用程序指定的PAM配置文件，加载对应的PAM模块。
（3）PAM库调用PAM模块：PAM库按照PAM配置文件中定义的顺序，调用PAM模块进行身份验证和授权。
（4）PAM模块返回结果：PAM模块根据身份验证和授权的结果，返回成功或失败的信息。
（5）PAM库返回结果：PAM库根据所有PAM模块的返回结果，返回最终的身份验证和授权结果给应用程序。
总之，PAM架构包括应用程序、PAM库、PAM配置文件和PAM模块四个部分。PAM的工作原理是应用程序调用PAM库，PAM库加载PAM配置文件，调用PAM模块进行身份验证和授权，最终返回结果给应用程序。PAM的优点是可以实现灵活的身份验证和授权机制，可以根据不同的应用程序和用户需求进行定制。 - 总结PAM配置文件格式，总结相关示例, nologin.so, limits,等模块的使用
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31PAM（Pluggable Authentication Modules）是Linux系统中的一个身份验证框架，可以实现灵活的身份验证和授权机制。PAM配置文件是用来配置PAM模块的文件，通常位于/etc/pam.d目录下。以下是PAM配置文件格式和示例，以及nologin.so、limits等模块的使用：
格式：
PAM配置文件采用类似于INI文件的格式，包括注释、模块类型、模块名称、模块选项等部分。常用的配置项包括：
（1）auth：身份验证模块；
（2）account：授权模块；
（3）password：密码模块；
（4）session：会话模块；
（5）module_name control_flag module_path module_options：模块配置项，包括模块名称、控制标志、模块路径和模块选项。
示例：
以下是一个简单的PAM配置文件示例：
PAM configuration for the sudo service
auth required pam_env.so
auth required pam_unix.so
account required pam_unix.so
session required pam_unix.so
在示例中，定义了身份验证模块auth、授权模块account和会话模块session，使用了pam_env.so和pam_unix.so两个模块。
nologin.so模块：
nologin.so模块可以禁止指定用户登录系统，通常用于系统维护期间。可以在PAM配置文件中添加以下配置项：
auth required pam_nologin.so
limits模块：
limits模块可以限制用户的资源使用，如CPU时间、内存、文件打开数等。可以在PAM配置文件中添加以下配置项：
session required pam_limits.so
总之，PAM配置文件是用来配置PAM模块的文件，通常位于/etc/pam.d目录下。PAM配置文件采用类似于INI文件的格式，包括注释、模块类型、模块名称、模块选项等部分。常用的PAM模块包括nologin.so和limits等模块，可以实现禁止用户登录和限制用户资源使用等功能。 - 实现私有时间服务器
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28私有时间服务器是指在局域网内部署的时间服务器，可以为局域网内的设备提供时间同步服务。实现私有时间服务器的步骤如下：
安装NTP服务：
NTP（Network Time Protocol）是一种用于时间同步的协议，可以通过安装NTP服务来实现私有时间服务器。可以使用以下命令安装NTP服务：
sudo apt-get install -y ntp
配置NTP服务：
可以通过修改/etc/ntp.conf文件来配置NTP服务。可以添加如下配置项：
server 0.cn.pool.ntp.org
server 1.cn.pool.ntp.org
server 2.cn.pool.ntp.org
server 3.cn.pool.ntp.org
以上配置项表示使用中国NTP服务器提供的时间同步服务。
启动NTP服务：
可以使用以下命令启动NTP服务：
sudo systemctl start ntp
可以使用以下命令验证NTP服务是否正常工作：
sudo ntpq -p
以上命令可以显示NTP服务器的状态和同步情况。
配置客户端设备：
可以在客户端设备上配置私有时间服务器，以实现时间同步。可以在/etc/ntp.conf文件中添加如下配置项：
server <私有时间服务器IP地址>
以上配置项表示使用私有时间服务器提供的时间同步服务。
总之，实现私有时间服务器的步骤包括安装NTP服务、配置NTP服务、启动NTP服务、验证NTP服务和配置客户端设备。私有时间服务器可以为局域网内的设备提供时间同步服务，提高系统的时间精度和稳定性。 - 总结DNS域名三级结构
1
2
3
4
5
6
7
8
9
10DNS（Domain Name System）是互联网中用于域名解析的系统，可以将域名转换为IP地址。DNS域名通常采用三级结构，包括主机名、域名和顶级域名。以下是DNS域名三级结构的主要内容：
主机名：
主机名是指计算机在网络中的名称，通常由字母、数字和连字符组成。主机名可以用来标识网络中的不同计算机，如www表示Web服务器，mail表示邮件服务器等。
域名：
域名是指互联网中的一个名称空间，用于标识不同的组织、机构或服务。域名通常由多个标签组成，每个标签之间用点号（.）分隔。例如，www.example.com中，example是域名，com是顶级域名。
顶级域名：
顶级域名是指域名中最后一个标签，通常表示域名的类型或国家/地区。顶级域名包括通用顶级域名（gTLD）和国家/地区顶级域名（ccTLD）。例如，com、org、net是通用顶级域名，cn、us、uk是国家/地区顶级域名。
总之，DNS域名采用三级结构，包括主机名、域名和顶级域名。主机名用于标识网络中的不同计算机，域名用于标识不同的组织、机构或服务，顶级域名用于表示域名的类型或国家/地区。DNS域名解析是互联网中的重要服务，可以将域名转换为IP地址，实现网络通信。 - 总结DNS服务工作原理，涉及递归和迭代查询原理
1
2
3
4
5
6
7
8
9
10
11
12
13
14DNS（Domain Name System）是互联网中用于域名解析的系统，可以将域名转换为IP地址。DNS服务的工作原理包括递归查询和迭代查询两种方式。以下是DNS服务工作原理的主要内容：
递归查询：
递归查询是指DNS客户端向DNS服务器发出查询请求，DNS服务器负责查询并返回结果。如果DNS服务器无法解析域名，它会向其他DNS服务器发出查询请求，直到找到能够解析域名的DNS服务器为止。递归查询的优点是可以减少DNS客户端的负担，但缺点是会增加DNS服务器的负担。
迭代查询：
迭代查询是指DNS客户端向DNS服务器发出查询请求，DNS服务器只返回自己所知道的信息，如果无法解析域名，它会返回一个指向其他DNS服务器的引用，由DNS客户端继续查询。迭代查询的优点是可以减少DNS服务器的负担，但缺点是会增加DNS客户端的负担。
DNS服务的工作原理如下：
（1）DNS客户端向DNS服务器发出查询请求；
（2）DNS服务器根据查询请求，进行递归查询或迭代查询；
（3）如果DNS服务器无法解析域名，它会向其他DNS服务器发出查询请求，直到找到能够解析域名的DNS服务器为止；
（4）DNS服务器返回查询结果给DNS客户端。
总之，DNS服务的工作原理包括递归查询和迭代查询两种方式。递归查询是DNS服务器负责查询并返回结果，迭代查询是DNS服务器只返回自己所知道的信息，如果无法解析域名，它会返回一个指向其他DNS服务器的引用。DNS服务是互联网中的重要服务，可以将域名转换为IP地址，实现网络通信。 - 实现私有DNS, 供本地网络主机作DNS递归查询
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36安装BIND服务：
sudo apt-get install bind9
配置BIND服务：
可以通过修改/etc/bind/named.conf文件来配置BIND服务。可以添加如下配置项：
zone "example.com" IN {
type master;
file "/etc/bind/db.example.com";
};
以上配置项表示创建一个名为example.com的DNS区域，并将其配置为主服务器。
配置DNS区域文件：
可以在/etc/bind/db.example.com文件中配置DNS区域文件。可以添加如下配置项：
TTL 86400
@ IN SOA ns1.example.com. admin.example.com. (
1 ; Serial
3600 ; Refresh
1800 ; Retry
604800 ; Expire
86400 ) ; Minimum TTL
@ IN NS ns1.example.com.
ns1 IN A <私有DNS服务器IP地址>
以上配置项表示设置DNS区域文件的TTL、SOA、NS和A记录。
启动BIND服务：sudo systemctl start bind9
配置客户端设备：
可以在客户端设备上配置私有DNS服务器，以实现DNS递归查询。可以在/etc/resolv.conf文件中添加如下配置项：
nameserver <私有DNS服务器IP地址>
以上配置项表示使用私有DNS服务器提供的DNS递归查询服务。
总之，实现私有DNS的步骤包括安装BIND服务、配置BIND服务、配置DNS区域文件、启动BIND服务和配置客户端设备。私有DNS可以为本地网络主机提供DNS递归查询服务，提高网络的安全性和稳定性。 - 总结DNS服务器类型，解析答案，正反解析域，资源记录定义
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21DNS（Domain Name System）是互联网中用于域名解析的系统，可以将域名转换为IP地址。DNS服务器类型包括递归DNS服务器和权威DNS服务器，解析答案包括正向解析和反向解析，正反解析域包括域名和IP地址，资源记录定义包括A记录、CNAME记录、MX记录、NS记录等。以下是DNS服务器类型、解析答案、正反解析域、资源记录定义的主要内容：
DNS服务器类型：
（1）递归DNS服务器：递归DNS服务器负责向其他DNS服务器发出查询请求，并返回查询结果给DNS客户端。
（2）权威DNS服务器：权威DNS服务器负责管理特定域名的DNS信息，包括域名解析和资源记录。
解析答案：
（1）正向解析：正向解析是指将域名转换为IP地址，通常用于Web服务器、邮件服务器等服务的访问。
（2）反向解析：反向解析是指将IP地址转换为域名，通常用于网络安全、邮件反垃圾等方面。
正反解析域：
（1）域名：域名是指互联网中的一个名称空间，用于标识不同的组织、机构或服务。
（2）IP地址：IP地址是指互联网中的一个标识符，用于标识不同的计算机或设备。
资源记录定义：
（1）A记录：A记录是指将域名解析为IPv4地址的记录。
（2）CNAME记录：CNAME记录是指将域名解析为另一个域名的别名记录。
（3）MX记录：MX记录是指将域名解析为邮件服务器的记录。
（4）NS记录：NS记录是指将域名解析为权威DNS服务器的记录。
总之，DNS服务器类型包括递归DNS服务器和权威DNS服务器，解析答案包括正向解析和反向解析，正反解析域包括域名和IP地址，资源记录定义包括A记录、CNAME记录、MX记录、NS记录等。DNS服务是互联网中的重要服务，可以将域名转换为IP地址，实现网络通信。 - 实现DNS主从同步
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35DNS主从同步是指将主DNS服务器上的DNS信息同步到从DNS服务器上，以提高DNS服务的可靠性和稳定性。以下是实现DNS主从同步的步骤：
配置主DNS服务器：
可以在主DNS服务器上配置DNS信息，包括域名解析和资源记录。可以使用以下命令安装BIND服务并配置DNS信息：
sudo apt-get install bind9
sudo vi /etc/bind/named.conf.local
配置从DNS服务器：
可以在从DNS服务器上配置DNS信息，包括域名解析和资源记录。可以使用以下命令安装BIND服务并配置DNS信息：
sudo apt-get install bind9
sudo vi /etc/bind/named.conf.local
配置主DNS服务器的授权：
可以在主DNS服务器上配置从DNS服务器的授权，以允许从DNS服务器同步DNS信息。可以在/etc/bind/named.conf.local文件中添加如下配置项：
zone "example.com" {
type master;
file "/etc/bind/db.example.com";
allow-transfer { <从DNS服务器IP地址>; };
};
以上配置项表示允许从DNS服务器同步名为example.com的DNS区域信息。
配置从DNS服务器的转发：
可以在从DNS服务器上配置主DNS服务器的转发，以便从DNS服务器能够获取DNS信息。可以在/etc/bind/named.conf.options文件中添加如下配置项：
forwarders {
<主DNS服务器IP地址>;
};
以上配置项表示将DNS查询请求转发到主DNS服务器。
启动BIND服务：
可以使用以下命令启动BIND服务：
sudo systemctl start bind9
验证DNS主从同步：
可以使用以下命令验证DNS主从同步是否正常工作：
sudo systemctl status bind9
以上命令可以显示BIND服务的状态和同步情况。
总之，实现DNS主从同步的步骤包括配置主DNS服务器、配置从DNS服务器、配置主DNS服务器的授权、配置从DNS服务器的转发、启动BIND服务和验证DNS主从同步。DNS主从同步可以提高DNS服务的可靠性和稳定性，确保DNS信息的一致性和准确性。 - 实现DNS子域授权
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36DNS子域授权是指将特定子域名的DNS信息授权给其他DNS服务器管理，以提高DNS服务的可靠性和稳定性。以下是实现DNS子域授权的步骤：
配置主DNS服务器：
可以在主DNS服务器上配置DNS信息，包括域名解析和资源记录。可以使用以下命令安装BIND服务并配置DNS信息：
sudo apt-get install bind9
sudo vi /etc/bind/named.conf.local
配置子域授权：
可以在主DNS服务器上配置子域授权，以允许其他DNS服务器管理特定子域名的DNS信息。可以在/etc/bind/named.conf.local文件中添加如下配置项：
zone "sub.example.com" {
type master;
file "/etc/bind/db.sub.example.com";
allow-transfer { <其他DNS服务器IP地址>; };
};
以上配置项表示允许其他DNS服务器管理名为sub.example.com的DNS子域信息。
配置其他DNS服务器：
可以在其他DNS服务器上配置DNS信息，包括域名解析和资源记录。可以使用以下命令安装BIND服务并配置DNS信息：
sudo apt-get install bind9
sudo vi /etc/bind/named.conf.local
配置其他DNS服务器的授权：
可以在其他DNS服务器上配置主DNS服务器的授权，以便其他DNS服务器能够获取DNS信息。可以在/etc/bind/named.conf.options文件中添加如下配置项：
zone "sub.example.com" {
type slave;
file "/var/cache/bind/db.sub.example.com";
masters { <主DNS服务器IP地址>; };
};
以上配置项表示将名为sub.example.com的DNS子域信息从主DNS服务器同步到其他DNS服务器。
启动BIND服务：
sudo systemctl start bind9
验证DNS子域授权：
可以使用以下命令验证DNS子域授权是否正常工作：
sudo systemctl status bind9
以上命令可以显示BIND服务的状态和同步情况。
总之，实现DNS子域授权的步骤包括配置主DNS服务器、配置子域授权、配置其他DNS服务器、配置其他DNS服务器的授权、启动BIND服务和验证DNS子域授权。DNS子域授权可以提高DNS服务的可靠性和稳定性，确保DNS信息的一致性和准确性。 - 基于acl实现智能DNS
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68基于ACL（Access Control List）实现智能DNS是指根据客户端IP地址或其他条件，对DNS查询请求进行智能路由和负载均衡，以提高DNS服务的性能和可靠性。以下是基于ACL实现智能DNS的步骤：
配置主DNS服务器：
可以在主DNS服务器上配置DNS信息，包括域名解析和资源记录。可以使用以下命令安装BIND服务并配置DNS信息：
sudo apt-get install bind9
sudo vi /etc/bind/named.conf.local
配置ACL规则：
可以在主DNS服务器上配置ACL规则，以根据客户端IP地址或其他条件，对DNS查询请求进行智能路由和负载均衡。可以在/etc/bind/named.conf.options文件中添加如下配置项：
acl "internal" {
<内部网络IP地址段>;
};
acl "external" {
!<内部网络IP地址段>;
};
以上配置项表示将IP地址分为内部网络和外部网络两个ACL规则。
配置DNS策略：
可以在主DNS服务器上配置DNS策略，以根据ACL规则，对DNS查询请求进行智能路由和负载均衡。可以在/etc/bind/named.conf.options文件中添加如下配置项：
options {
recursion yes;
allow-query { any; };
forwarders {
<外部DNS服务器IP地址>;
};
zone "example.com" {
type master;
file "/etc/bind/db.example.com";
allow-transfer { <其他DNS服务器IP地址>; };
};
zone "sub.example.com" {
type master;
file "/etc/bind/db.sub.example.com";
allow-transfer { <其他DNS服务器IP地址>; };
};
view "internal" {
match-clients { internal; };
recursion yes;
zone "example.com" {
type master;
file "/etc/bind/db.example.com";
};
zone "sub.example.com" {
type master;
file "/etc/bind/db.sub.example.com";
};
};
view "external" {
match-clients { external; };
recursion no;
zone "example.com" {
type master;
file "/etc/bind/db.example.com";
forwarders {
<外部DNS服务器IP地址>;
};
};
zone "sub.example.com" {
type master;
file "/etc/bind/db.sub.example.com";
forwarders {
<外部DNS服务器IP地址>;
};
};
};
};
以上配置项表示将DNS查询请求分为内部网络和外部网络两个视图，根据ACL规则对DNS查询请求进行智能路由和负载均衡。
启动BIND服务：sudo systemctl start bind9 - 总结防火墙分类
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18防火墙是一种网络安全设备，用于保护计算机和网络免受未经授权的访问和攻击。根据不同的分类标准，防火墙可以分为多种类型。以下是防火墙分类的主要内容：
按照部署位置分类：
（1）网络层防火墙：网络层防火墙通常部署在网络边界，用于过滤和控制网络流量。
（2）主机层防火墙：主机层防火墙通常部署在主机上，用于保护主机免受攻击。
按照过滤方式分类：
（1）包过滤防火墙：包过滤防火墙根据IP地址、端口号和协议类型等信息，对网络流量进行过滤和控制。
（2）状态检测防火墙：状态检测防火墙根据网络连接的状态，对网络流量进行过滤和控制。
按照技术实现分类：
（1）软件防火墙：软件防火墙是一种基于软件的防火墙，通常运行在操作系统或应用程序中。
（2）硬件防火墙：硬件防火墙是一种基于硬件的防火墙，通常作为独立设备部署在网络边界。
按照功能分类：
（1）包过滤防火墙：包过滤防火墙主要用于过滤和控制网络流量，以保护网络安全。
（2）入侵检测防火墙：入侵检测防火墙主要用于检测和防止网络入侵和攻击。
（3）网关防火墙：网关防火墙主要用于保护网络 - 总结iptable 5表5链, 基本使用，扩展模块。
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27iptables是Linux系统中的一种防火墙软件，可以用于过滤和控制网络流量，以保护计算机和网络安全。iptables包括5个表和5个链，可以通过基本使用和扩展模块来实现不同的防火墙功能。以下是iptables的主要内容：
5个表：
（1）filter表：filter表是iptables默认的表，用于过滤和控制网络流量。
（2）nat表：nat表用于网络地址转换（NAT），可以将私有IP地址转换为公共IP地址。
（3）mangle表：mangle表用于修改网络数据包的头部信息，可以实现QoS（Quality of Service）和路由策略等功能。
（4）raw表：raw表用于处理网络数据包的原始数据，可以实现连接跟踪和状态检测等功能。
（5）security表：security表用于实现SELinux（Security-Enhanced Linux）安全策略。
5个链：
（1）INPUT链：INPUT链用于处理进入计算机的数据包。
（2）OUTPUT链：OUTPUT链用于处理从计算机出去的数据包。
（3）FORWARD链：FORWARD链用于处理通过计算机转发的数据包。
（4）PREROUTING链：PREROUTING链用于处理数据包到达计算机之前的操作。
（5）POSTROUTING链：POSTROUTING链用于处理数据包离开计算机之后的操作。
基本使用：
（1）查看iptables规则：iptables -L
（2）添加iptables规则：iptables -A <链名> <规则>
（3）删除iptables规则：iptables -D <链名> <规则>
（4）保存iptables规则：iptables-save > /etc/sysconfig/iptables
（5）恢复iptables规则：iptables-restore < /etc/sysconfig/iptables
扩展模块：
（1）conntrack模块：conntrack模块用于连接跟踪，可以实现状态检测和连接管理等功能。
（2）limit模块：limit模块用于限制网络流量 - 总结iptables规则优化实践，规则保存和恢复
1
2
3
4
5
6
7
8
9
10
11
12
13
14iptables规则优化实践是指通过优化iptables规则，提高防火墙的性能和安全性。规则保存和恢复是指将iptables规则保存到文件中，以便在系统重启或防火墙重启后恢复规则。以下是iptables规则优化实践和规则保存和恢复的主要内容：
规则优化实践：
（1）合并规则：将多个规则合并成一个规则，可以减少规则数量，提高防火墙性能。
（2）使用链：将规则分组到不同的链中，可以提高规则的可读性和管理性，同时也可以提高防火墙性能。
（3）使用IP集合：使用IP集合可以将多个IP地址合并成一个集合，可以减少规则数量，提高防火墙性能。
（4）使用扩展模块：使用扩展模块可以实现更复杂的防火墙功能，例如连接跟踪、状态检测和QoS等功能。
规则保存和恢复：
（1）保存规则：可以使用iptables-save命令将iptables规则保存到文件中，例如：iptables-save > /etc/sysconfig/iptables。
（2）恢复规则：可以使用iptables-restore命令从文件中恢复iptables规则，例如：iptables-restore < /etc/sysconfig/iptables。
（3）自动保存规则：可以使用iptables-persistent软件包自动保存iptables规则，例如：sudo apt-get install iptables-persistent。
总之，iptables规则优化实践和规则保存和恢复可以提高防火墙的性能和安全性，确保防火墙规则的一致性和准确性。 - 总结NAT转换原理, DNAT/SDNAT原理，并自行设计架构实现DNAT/SNAT
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20NAT（Network Address Translation）是一种网络地址转换技术，用于将私有IP地址转换为公共IP地址，以实现网络连接和通信。NAT转换原理是将私有IP地址和端口号映射到公共IP地址和端口号，以便网络数据包能够正确地传输和接收。DNAT（Destination NAT）和SNAT（Source NAT）是NAT的两种常见形式，分别用于目标地址转换和源地址转换。以下是DNAT/SDNAT的原理和自行设计架构实现DNAT/SNAT的主要内容：
DNAT原理：
DNAT是一种目标地址转换技术，用于将公共IP地址和端口号映射到私有IP地址和端口号，以实现网络连接和通信。DNAT的原理是在网络数据包到达NAT设备之前，将目标IP地址和端口号修改为私有IP地址和端口号，然后将数据包转发到目标主机。当目标主机返回数据包时，NAT设备将私有IP地址和端口号修改为公共IP地址和端口号，然后将数据包转发回源主机。
SNAT原理：
SNAT是一种源地址转换技术，用于将私有IP地址和端口号映射到公共IP地址和端口号，以实现网络连接和通信。SNAT的原理是在网络数据包离开NAT设备之前，将源IP地址和端口号修改为公共IP地址和端口号，然后将数据包转发到目标主机。当目标主机返回数据包时，NAT设备将公共IP地址和端口号修改为私有IP地址和端口号，然后将数据包转发回源主机。
自行设计架构实现DNAT/SNAT：
可以使用iptables命令和网络拓扑结构，自行设计架构实现DNAT/SNAT。以下是一个简单的架构实现DNAT/SNAT的示例：
（1）网络拓扑结构：
Internet – Router – Web Server
（2）DNAT规则：
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:80
（3）SNAT规则：
iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 203.0.113.1
以上规则表示将公共IP地址203.0.113.1的网络数据包转发到私有IP地址192.168.1.100的Web服务器，并将私有IP地址和端口号转换为公共IP地址和端口号。同时，将私有IP地址和端口号转换为公共IP地址和端口号，以便网络数据包能够正确地传输和接收。
总之，NAT转换原理是将私有IP地址转换为公共IP地址，以实现网络连接 - 使用REDIRECT将90端口重定向80，并可以访问到80端口的服务
1
2
3
4
5
6
7可以使用iptables命令和REDIRECT选项将90端口重定向到80端口，并可以访问到80端口的服务。以下是具体步骤：
添加iptables规则：iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 90
启动服务：sudo systemctl start apache2
访问服务：http://127.0.0.1:90/。
以上步骤可以将90端口重定向到80端口，并可以访问到80端口的服务。注意，需要确保80端口的服务已经启动，并且iptables规则已经添加成功。 - firewalld常见区域总结
1
2
3
4
5
6
7
8
9
10
11
12
13firewalld是一种Linux系统中的防火墙管理工具，可以用于过滤和控制网络流量，以保护计算机和网络安全。firewalld中的区域是指不同的网络环境，可以根据不同的区域设置不同的防火墙规则。以下是firewalld常见区域的主要内容：
public区域是firewalld默认的区域，适用于公共网络环境，例如互联网。在public区域中，所有的网络服务都是禁止的，需要手动添加防火墙规则。
internal区域适用于内部网络环境，例如局域网。在internal区域中，所有的网络服务都是允许的，可以自由访问内部网络资源。
dmz区域适用于半信任网络环境，例如企业的外部网络。在dmz区域中，只允许特定的网络服务，例如Web服务器和邮件服务器等，其他的网络服务都是禁止的。
work区域适用于工作网络环境，例如办公室网络。在work区域中，只允许特定的网络服务，例如文件共享和打印机共享等，其他的网络服务都是禁止的。
home区域适用于家庭网络环境，例如家庭网络。在home区域中，只允许特定的网络服务，例如文件共享和打印机共享等，其他的网络服务都是禁止的。
总之，firewalld常见区域可以根据不同的网络环境设置不同的防火墙规则，以保护计算机和网络安全。需要根据实际情况选择合适的区域，并设置相应的防火墙规则。 - 通过ntftable来实现暴露本机80/443/ssh服务端口给指定网络访问
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17ntftable是Linux系统中的一种网络过滤工具，可以用于过滤和控制网络流量，以保护计算机和网络安全。可以使用ntftable来实现暴露本机80/443/ssh服务端口给指定网络访问。以下是具体步骤：
创建ntftable规则：
可以使用以下命令创建ntftable规则，允许指定网络访问本机80/443/ssh服务端口：
sudo iptables -I INPUT -p tcp -s 192.168.1.0/24 --dport 80 -j ACCEPT
sudo iptables -I INPUT -p tcp -s 192.168.1.0/24 --dport 443 -j ACCEPT
sudo iptables -I INPUT -p tcp -s 192.168.1.0/24 --dport 22 -j ACCEPT
保存ntftable规则：
可以使用以下命令保存ntftable规则，以便在系统重启后自动加载规则：
sudo iptables-save > /etc/sysconfig/iptables
重启ntftable服务：
可以使用以下命令重启ntftable服务，以使新的规则生效：
sudo systemctl restart iptables
以上步骤可以使用ntftable实现暴露本机80/443/ssh服务端口给指定网络访问。需要根据实际情况修改规则中的IP地址和端口号，并确保ntftable服务已经启动。 - 总结关系型数据库相关概念，关系，行，列，主键，惟一键，域
1
2
3
4
5
6
7
8
9
10
11
12
13
14关系型数据库是一种基于关系模型的数据库，使用表格来存储和管理数据。以下是关系型数据库相关概念的主要内容：
关系：关系是指表格中的数据之间的关系，可以用图形化的方式表示为箭头或线段。关系可以是一对一、一对多或多对多的关系。
行：行是指表格中的一条记录，也称为元组或实例。每一行包含多个列，表示该行的数据。
列：列是指表格中的一个字段，也称为属性或域。每一列包含相同类型的数据，例如整数、字符串或日期。
主键：主键是指表格中的一个或多个列，用于唯一标识每一行数据。主键可以是单个列或多个列的组合，用于确保数据的唯一性和完整性。
唯一键：唯一键是指表格中的一个或多个列，用于确保数据的唯一性，但不用于标识每一行数据。唯一键可以是单个列或多个列的组合。
域：域是指列中的数据类型和取值范围，例如整数、字符串或日期。域可以用于限制数据的类型和范围，以确保数据的正确性和一致性。
总之，关系型数据库是一种基于关系模型的数据库，使用表格来存储和管理数据。关系、行、列、主键、唯一键和域是关系型数据库中的重要概念，需要深入理解和掌握。 - 总结关联类型，1对1，1对多，多对多关系。可以自行设计表进行解释
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52关联类型是指表格之间的关系类型，包括1对1、1对多和多对多关系。以下是关联类型的主要内容和自行设计表进行解释的示例：
1对1关系：
1对1关系是指两个表格之间的一种关系，其中每个记录在另一个表格中只有一个匹配项。例如，一个人只能有一个身份证号码，一个身份证号码也只能对应一个人。
示例：
表格1：人员信息表
ID 姓名 年龄 性别
1 张三 20 男
2 李四 25 女
表格2：身份证信息表
ID 身份证号码
1 1234567890
2 0987654321
1对多关系：
1对多关系是指两个表格之间的一种关系，其中一个表格中的每个记录在另一个表格中可以有多个匹配项。例如，一个部门可以有多个员工，但一个员工只能属于一个部门。
示例：
表格1：部门信息表
ID 部门名称
1 研发部
2 销售部
表格2：员工信息表
ID 姓名 年龄 性别 部门ID
1 张三 20 男 1
2 李四 25 女 1
3 王五 30 男 2
多对多关系：
多对多关系是指两个表格之间的一种关系，其中一个表格中的每个记录在另一个表格中可以有多个匹配项，反之亦然。例如，一个学生可以选修多门课程，一门课程也可以被多个学生选修。
示例：
表格1：学生信息表
ID 姓名 年龄 性别
1 张三 20 男
2 李四 25 女
表格2：课程信息表
ID 课程名称
1 数学
2 英语
表格3：选课信息表
ID 学生ID 课程ID
1 1 1
2 1 2
3 2 1
总之，关联类型是指表格之间的关系类型，包括1对1、1对多和多对多关系。需要根据实际情况选择合适的关联类型，并设计相应的表格结构。 - 总结mysql设计范式
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15MySQL设计范式是指在MySQL数据库中，为了保证数据的一致性、完整性和可靠性，需要遵循一定的设计规范和标准。MySQL设计范式主要包括以下几个方面：
第一范式（1NF）：
第一范式要求每个数据列都是原子性的，即每个数据列都不能再分解为更小的数据项。例如，一个订单表中的“订单明细”列应该拆分为多个列，而不是将多个订单明细放在同一个列中。
第二范式（2NF）：
第二范式要求每个非主键列都完全依赖于主键，而不是依赖于主键的一部分。例如，一个订单表中的“订单金额”列应该与“订单号”列一起作为主键，而不是只依赖于“订单号”列。
第三范式（3NF）：
第三范式要求每个非主键列都不依赖于其他非主键列，而是直接依赖于主键。例如，一个订单表中的“客户地址”列应该拆分为多个列，而不是与“客户名称”列放在同一个列中。
巴斯-科德范式（BCNF）：
巴斯-科德范式要求每个非主键列都不依赖于其他非主键列，而是直接依赖于主键或超键。BCNF是第三范式的扩展，可以更好地保证数据的一致性和完整性。
总之，MySQL设计范式是为了保证数据的一致性、完整性和可靠性，需要遵循一定的设计规范和标准。第一范式、第二范式、第三范式和巴斯-科德范式是MySQL设计范式中的重要概念，需要深入理解和掌握。 - 总结Mysql多种安装方式，及安全加固，并总结mysql配置文件
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24MySQL是一种流行的关系型数据库管理系统，有多种安装方式和安全加固方法。以下是MySQL多种安装方式和安全加固的主要内容：
源码安装：
源码安装是指从MySQL官网下载源代码，然后编译和安装MySQL。源码安装需要一定的Linux系统和编译知识，适合高级用户和开发人员。
二进制包安装：
二进制包安装是指从MySQL官网下载预编译的二进制包，然后解压和安装MySQL。二进制包安装比源码安装更简单，适合普通用户和系统管理员。
包管理器安装：
包管理器安装是指使用Linux系统自带的包管理器，例如yum或apt-get，安装MySQL。包管理器安装比二进制包安装更简单，可以自动解决依赖关系。
安全加固：
为了保护MySQL数据库的安全性，可以采取以下措施：
修改默认的root密码
创建新的用户和密码，并授权给特定的数据库和表格
禁止远程root登录
启用防火墙，限制MySQL的访问
MySQL配置文件：
MySQL配置文件是指MySQL服务器的配置文件，用于配置MySQL服务器的各种参数和选项。MySQL配置文件通常位于/etc/mysql/my.cnf或/etc/my.cnf，可以使用文本编辑器进行修改。MySQL配置文件中的主要参数和选项包括：
数据库目录和日志文件目录
端口号和套接字文件
缓存大小和连接数
字符集和排序规则
安全选项和日志记录
总之，MySQL有多种安装方式和安全加固方法，需要根据实际情况选择合适的方式和方法。MySQL配置文件是MySQL服务器的配置文件，用于配置MySQL服务器的各种参数和选项。需要深入理解和掌握MySQL的安装、配置和安全加固。
All articles on this blog are licensed under CC BY-NC-SA 4.0 unless otherwise stated.
Related Articles
2023-06-01
Linux系统基础知识·4
本文基于马哥教育就业班第四周课程总结 总结脚本高级命令trap, install, mktemp, expect, 进程优先级命令：nice, renice, 进程管理工具: ps, pstree, prtstat, pgrep, pidof, uptime,mpstat,top,htop, free, pmap, vmstat, iostat, iotop, iftop, nload, nethogs, iptraf-ng, dstat, glances, cockpit, kill, job, 任务相关的命令: at, crontab, 命令，选项，示例。123456789101112131415161718192021222324252627282930313233#脚本高级命令：trap命令：trap命令用于捕获和处理shell脚本中的信号。它可以用于在脚本执行期间处理中断、退出等信号。以下是一个trap命令的示例：trap 'echo "Interrupted"; exit'...
2023-05-21
Linux系统基础知识·3
本文基于马哥教育就业班第三周课程总结 软件管理 尝试基于gcc命令说明 c语言编译过程。1234567891011C语言编译过程主要包括预处理、编译、汇编和链接四个阶段。gcc命令是一个常用的C语言编译器，可以完成这四个阶段的工作。下面是gcc命令的使用示例和各个阶段的说明：1. 预处理阶段主要是对源代码进行宏替换、头文件包含等操作，生成预处理后的代码。gcc命令中使用参数“-E”来进行预处理，示例命令如下：$ gcc -E main.c -o main.i2. 编译阶段主要是将预处理后的代码转换成汇编代码。gcc命令中使用参数“-S”来进行编译，示例命令如下：$ gcc -S main.i -o main.s3. 汇编阶段主要是将汇编代码转换成机器码。gcc命令中使用参数“-c”来进行汇编，示例命令如下：$ gcc -c main.s -o main.o4. 链接阶段主要是将多个目标文件链接成一个可执行文件。gcc命令中使用参数“-o”来指定输出文件名，示例命令如下：$ gcc main.o -o...
2023-05-14
Linux系统基础知识·2
本文基于马哥教育就业班第二周课程总结 系统设计 请总结Linux的安全模型 1234567Linux的安全模型基于许多不同的安全措施，包括访问控制、加密、审计和漏洞修补以下是Linux安全模型的主要要点：1. 访问控制：Linux使用许多不同的访问控制机制来保护系统和数据其中最常见的是基于用户和组的访问控制，它允许管理员为每个用户和组分配不同的权限此外，Linux还支持访问控制列表（ACL）和强制访问控制（MAC）等高级访问控制机制；2. 加密：Linux支持许多不同的加密技术，包括SSL / TLS、SSH、IPSec和GPG等这些技术可以用于保护数据传输和存储，以及验证用户身份；3. 审计：Linux支持系统级别的审计，可以记录用户活动、系统事件和安全事件等这些日志可以用于监控系统安全性，并帮助管理员识别潜在的安全问题；4....
2023-04-10
Linux系统基础知识·1
一个完整计算系统的简要介绍 123456789一个完整的计算系统通常包含以下几个组成部分：1. 输入设备：用于输入数据和指令的设备，例如键盘、鼠标、触控屏等。2. 输出设备：用于显示计算结果和其他信息的设备，例如显示器、打印机等。3. 中央处理器（CPU）：执行计算机指令、控制数据处理流程的核心部件。4. 存储器：用于存储程序和数据的设备，包括内存和外存。5. 总线：连接各个硬件组件的通信路径。6. 操作系统：控制计算机各个部分的软件系统，管理计算机资源，提供用户接口等功能。7. 应用程序：各种用于完成特定任务的软件程序，例如文字处理、图像处理、音频制作等。在一个完整的计算系统中，这些部件通常紧密配合、相互协作，共同完成各种复杂的计算任务。 简述进制转换，并举例 123456789101112131415161718192021进制转换是指将一个数字从一种进制表示方式转换为另一种进制表示方式的过程。常见的进制包括二进制、八进制、十进制和十六进制。下面以十进制为例，简述一下如何将一个十进制数转换成其他进制的表示方式。1....
2023-05-29
Linux动手实践·1
根据马哥教育架构班课程第一周作业而来 题目要求 在两台服务器上安装kvm虚拟化，把其中一台的虚拟机迁移到另一台； 手动制作一个容器镜像创建成容器并正常运行。 操作实践 KVM虚拟化 1234567891011121314151617181920212223242526272829303132333435363738394041# 新建三个虚机，分别承担KVM两个节点和一个NFS主机的角色# Node1: 192.168.10.101 KVM主机# Node2: 192.168.10.102 KVM主机# Stor1: 192.168.10.11 NFS主机，提供iso和kvm两个共享挂载点# 在三台主机的/etc/hosts配置解析记录192.168.10.101 node1192.168.10.102 node2192.168.10.11 stor1# KVM主机的部署，Node1和Node2同步操作# 最小虚拟化宿主环境,仅包括libvirt和qemu-kvmyum group install -y virtualization-hypervisor #...
2024-08-28
简述HPC
高性能计算 (HPC:High Performance Computing) 是一种利用强大处理器集群并行处理海量多维数据集（也称为大数据）并以极高速度解决复杂问题的技术。 几十年来，超级计算机（搭载数百万个处理器或处理器核心的专用计算机）一直是高性能计算的关键。如今，越来越多的组织在托管在本地或云端的高速计算机服务器集群上运行 HPC 服务。HPC 工作负载揭示了重要的新洞察分析，推动了人类知识的进步，并创造了显著的竞争优势。例如，HPC 用于 DNA 测序、自动化股票交易，并运行人工智能 (AI) 算法和模拟（例如自动驾驶汽车），实时分析来自物联网传感器、雷达和 GPS 系统的 TB 数据流，以做出瞬间决策。 2024.08 摄于山东济南 马路边一个树枝长得特别舒展的行道树 HPC的内容主要包括： 大规模并行计算 并行计算在多台计算机服务器或处理器上同时运行多个任务。大规模并行计算是利用成千上万至数百万个处理器或处理器内核进行并行计算。 计算机集群（也称 HPC Cluster） HPC Cluster...