通常使用Firewall Configuration图形界面进行配置更方便；

Ports、Sources等普通规则（单规则）添加时应注意，这些规则的生效是取并集；Rich Rules（富语言规则）用来配置复杂规则，常用语配置交集过滤；

iptables等旧命令使用直接语言规则，在Redhat 7中已经不提倡使用，具体参考man 1 firewall-cmd和man 5 firewalld.direct；

Redhat 7推荐使用富语言规则，参考man 5 firewalld.richlanguage

• 查看服务firewall-cmd --get-services
• 查看区域已经添加或生效的策略firewall-cmd --list-all
• 查看富语言规则firewall-cmd --list-rich-rules

实验：仅允许desktop4访问server4的web服务，要求日志具有前缀NEW HTTP ，日志限速每秒3条：

• 安装httpd服务：yum -y install httpd；
• 添加内容：echo '<h1>hello world</h1>' > index.html；
• 启动服务：systemctl start httpd.service && systemctl enable httpd.service；查看服务netstat -tnlp
• 图形化界面添加：Family: ipv4、Element: service: http、Action、Source: 172.25.4.10/32、Log: Prifix: NEW HTTP; With limit: 3/second
• 查看日志在系统挑日志：tail /var/log/message；
• 查看已生效策略：firewall-cmd --list-all
• 使用命令行重新实验，重载配置：firewall-cmd --reload；
• 参考man 5 firewalld.direct：

1
# 运行时生效
2
firewall-cmd --add-rich-rule 'rule family="ipv4" source address="172.25.4.10/32" service name="http" log prefix="NEW HTTP" limit value="3/s" accept'
3
# 永久生效
4
firewall-cmd --add-rich-rule 'rule family="ipv4" source address="172.25.4.10/32" service name="http" log prefix="NEW HTTP" limit value="3/s" accept' --permanent

伪装功能Masquerading用来改“发件人”信息（通常用于保护内部网络结构），端口转发Port Forwarding用来改“收件人”信息；

• 伪装，发送包时，内网使用10.0.0.1-3...，伪装为1.2.3.4:10001-3转发去外网；接受包时将1.2.3.4:10001-3转换为内网IP10.0.0.1-3；（NAT转换）
• 富语言规则可以指定网段进行伪装，但规则伪装只能对所有包进行伪装，无法指定网段；
• 端口转发，服务器使用私有IP，外部请求为1.2.3.4:80，防火墙转发为10.0.0.1:8080，通常用于保护内网服务安全；
• 伪装不需要配置伪装前后的规则，防火墙自动转换；而端口转发需要配置转发前后的规则；

实验：服务器server4（172.25.4.11）是一个在防火墙desktop4（172.25.4.10）后面的运行web服务（8080/TCP）的服务器，配置过程如下：

• 重置虚拟机：rht-vmctl reset all
• server4安装httpd：yum install -y httpd；配置vim /etc/httpd/conf/httpd.conf监听8080；
• 启动服务：systemctl start httpd.service && systemctl enable httpd.service；查看服务netstat -tnlp，8080启动；
• 为server4添加允许来自desktop4的流量：

1
firewall-cmd --add-rich-rule 'rule family="ipv4" source address="172.25.4.10/32" port port="8080" portocol="tcp" accept'

• 为desktop4添加端口转发并开启伪装：

1
# 开启伪装
2
firewall-cmd --add-masquerade
3
# 开启端口转发
4
firewall-cmd --add-rich-rule 'rule family="ipv4" forward-port port="80" protocol="tcp" to-port="8080" to-addr="172.25.0.11"'

• 从物理机访问防火墙desktop4的80端口，会转发至server4的8080端口；
• 注意：从desktop4直接访问desktop4的80端口是不可以的，牵扯到用户态到内核态的数据转换，只能通过外部（如物理机）访问desktop4进行测试，详情Google “iptables四表五链”；

SELinux检查进程和端口的标签间的权限：

• 查看进程标签：ps Z 1757，即SELinux标签的源；
• 查看80端口的标签：semanage port -l | egrep"\b80\b"，即SELinux标签的目的；
• 查看规则：sesearch -A -s httpd_t -t http_port_t

配置SELinux端口权限：

• 修改端口为8800：vim /etc/httpd/conf/httpd.conf
• 重启systemctl restart httpd报错，具体情况查看systemctl status -l httpd；
• 为8800新增http访问的标签：semanage port -a -t http_port_t -p tcp 8800；
• 删除原来的标签：semanage port -d -p tcp 8080
• 修改原来的标签：semanage port -m -t ftp_port_t -p tcp 8800
• 注意：SELinux的默认标签是无法删除的，而对默认标签的修改也仅是新增一条相应的标签策略；

静态授权DNS位于/etc/hosts；

DNS缓存

DNS服务器位于/etc/resolv.conf

解析过程为：先找DNS静态授权数据，再找本地缓存，最后远程DNS缓存服务器（查找条件转发器forward，最后查找rootDNS服务器)；

查找DNS：

• 显示简要信息：nslookup www.example.com；
• 显示详细的查询过程过程（IPv4）：host -vt A desktop4.example.com
• 显示详细的查询过程过程（IPv6）：host -vt AAAA desktop4.example.com
• 主DNS服务器可以修改数据；辅助DNS服务器不能直接修改，只能同步主DNS服务器，主/辅DNS是授权DNS，有负责的区域，即与跟域呈树形结构；缓存服务器缓存的是任意值，即二维表型结构；
• 别名是由主机名指向主机名的记录，A、AAAA与别名都是存在正向DNS记录中；

搭建缓存名称服务：

• 安装unbound：yum install -y unbound；
• 修改配置文件：vim /etc/unbound/；

1
interface: 172.25.4.11
2
access-control: 172.25.4.0/24 allow
3
domian-insecure: "example.com"
4
forward-zone:
5
        name: "example.com"
6
        forward-addr: 172.25.254.254

• 启动服务：systemctl start unbound；查看服务启动情况：netstat -tnlp；
• 允许防火墙通过：firewall-cmd --add-service=dns；
• 检查配置文件语法错误：unbound-checkconf；
• 从desktop4上测试dig @server4.example.com A server6.example.com；
• 导出配置：unbound-control dump_cache > dump.out；
• 导入配置：unbound-control load_cache < dump.out；
• 清除缓存：unbound-control flush server4.example.com；
• 清楚域信息：unbound-control flush_zone example.com；

邮件是所有Linux自带的服务，因为crond等服务都是依赖邮件服务的；

发送邮件：mail -s 'hello student'

空客户端：禁用本地邮件投递能力，将邮箱投递全部转发到指定服务器中；

配置postfix邮件服务器：/etc/postfix/mail.cf，可以使用postconf工具，也可以直接编辑；

• 在desktop4上：重置服务器，lab smtp-nullclient setup
• 修改邮件服务器配置：vim /etc/postfix/main.cf

1
myorigin        = desktop4.example.com
2
inet_interfaces = loopback-only
3
# [空]
4
mydestination   =
5
mynetworks      = 127.0.0.0/8 [::1]/128
6
relayhost       = smtp4.example.com
7
local_transport = error:"local delivery disabled"

• 日志排错在/var/log/maillog，如果遇到服务报错或邮件未收到，可以使用日志排错；
• 在server4上发送邮件测试：

1
mail -s 'remote student' student@desktop4.example.com
2
# 正文
3
hello remote
4
# ^D提交
5
EOT

DAS(direct attach storage)

NAS(network attach storage):

• unix-like nfs;
• Windows smb(cifs)

SAN(storage area network): SCSI

概念：

• node: iSCSI initiator或iSCSI target都是node；
• IQN(iSCSI Qualified Name)：全球唯一，类似链路层的MAC地址，以及网络层的IP地址；
• target：一个带有IQN地址的提供存储资源的设备；
• initiator：一个带有IQN地址的获取存储资源的设备；
• portal：入口，由IP地址和端口组成，用于建立连接；
• TPG(Target Portal Group)：一组入口，用于指定iSCSI目标监听；
• ACL(Access Control List)：用于限制initiator访问的IQN资源；
• discovery：基于入口或入口组的资源发现；
• login：initiator验证登录；

实验：

• desktop4上安装initiatoryum install -y iscsi-initiator-utils.i686；
• server4上安装targetyum install -y targetcli.noarch；

在server4上：

• 查看硬盘：lsblk，划分分区：fdisk /dev/vdb；
• 创建pv：pvcreate /dev/vdb1；
• 创建vg：vgcreate ISCSI_vg /dev/vdb1；
• 创建lv：lvcreate -l 511 -n disk1_lv ISCSI_vg，把disk1_lv当做存储做实验；
• 进入targetcli交互模式：

1
# 创建block1：
2
/backstores/block create block1 /dev/ISCSI_vg/disk1_lv
3
# 创建IQN：
4
/iscsi create iqn.2018-07.com.example:server4
5
# 创建ACL指定desktop4：
6
/iscsi/iqn.2018-07.com.example:server4/tpg1/acls create iqn.2018-07.com.example:desktop4
7
# 切换到/iscsi/iqn.2018-07.com.example:server4/tpg1>方便一些，创建LUN
8
luns/ create /backstores/block/block1
9
# 创建监听端口，使用默认端口3260：
10
portals/ create 172.25.4.11
11
# 查看所有配置
12
ls
13
# 退出自动保存（格式为json，在/etc/target/saveconfig.json）
14
exit

• 添加防火墙策略：firewall-cmd --add-port=3260/tcp；

在desktop4上：

• 修改IQN：vim /etc/iscsi/initiatorname.iscsi中的IQN为server4 ACL允许的名称iqn.2018-07.com.example:desktop4；
• 发现target：iscsiadm --mode discoverydb --type sendtargets --portal 172.25.4.11:3260 --discover，发现后系统自动将目标记录在/var/lib/iscsi/nodes/中；
• 登录：iscsiadm --mode node -targetname iqn.2018-07.com.example:server4 --portal 172.25.4.11:3260 --login
• 查看设备：lsblk
• 登出：iscsiadm --mode node -targetname iqn.2018-07.com.example:server4 --portal 172.25.4.11:3260 --logout
• 详情参考man 8 iscsiadm

在server4上：

• 查看包是否按照rpm -q nfs-util；创建/nfsshare目录；
• 配置共享vim /etc/exports：/nfsshare desktop4.example.com(rw)；
• 启用服务systemctl status nfs-server && systemctl enable nfs-server && systemctl start nfs-server；
• 修改共享配置后重载exportfs -r；
• 添加nfs防火墙策略firewall-cmd --add-service=nfs --permanent && firewall-cmd --add-service=nfs；
• 添加rpc-bind防火墙策略（远端查看showmount需要）firewall-cmd --add-service=rpc-bind --permanent && firewall-cmd --add-service=rpc-bind；
• 添加mountd防火墙策略（远端查看showmount需要）firewall-cmd --add-service=mountd --permanent && firewall-cmd --add-service=mountd；
• 端口信息可以从grep 2049 /etc/services中看到；
• 查看共享目录showmount -e server4

在desktop4上：

• 新建挂载点mkdir /mnt/nfsshare；
• 挂载mount server4:/nfsshare /mnt/nfsshare；
• 永久挂载echo 'server4:/nfsshare /mnt/nfsshare nfs defaults,_netdev 0 0' >> /etc/fstab && mount -a；

共享权限问题：

• 若共享不可写，则检查model模型及SELinux；共享时虽然由root发起nfs-server进程，但是实际服务用户是一个名为id nfsnobody的内置账号，因此需要在server4上授权chmod o+w /nfsshare；
• 在desktop4上强制修改SELinux标签：mount -o context="system_u:object_r:public_content_rw_t:s0" server4:/nfs /media；
• 服务端的配置在/etc/sysconfig/nfs配置RPCNFSDARGS="-V 4.2"，desktop4挂载时使用mount -o v4.2 server4:/nfs /media，可以使客户端与服务端文件的SELinux一致；
• 关于各软件的SELinux目录权限标签可以参考“软件名_selinux(8)”，如man 8 nfsd\_selinux；公共目录读写通常使用public_content_rw_t；

实验：

• 安装环境：lab nfskrb5 setup
• 在server4上，下载krb凭证wget -O /etc/krb5.keytab http://classroom.example.com/pub/keytabs/server4.keytab
• 新建文件夹/securenfs；
• 设置共享/etc/exports写入/securenfs desktop4.exmaple.com(rw,sec=krb5p)；
• 修改nfs版本配置/etc/sysconfig/nfs该为RPCNFSDARGS="-V 4.2"；
• 防火墙添加服务：

1
firewall-cmd --add-service=nfs
2
firewall-cmd --add-service=nfs --permanent

• 启动nfs服务：

1
systemctl enable nfs-server
2
systemctl enable nfs-secure-server
3
systemctl start nfs-server
4
systemctl start nfs-secure-server
5
systemctl status nfs-server
6
systemctl status nfs-secure-server

• 在desktop4上，下载krb凭证wget -O /etc/krb5.keytab http://classroom.example.com/pub/keytabs/desktop4.keytab
• 新建挂载点mkdir /mnt/sercureshare
• 启动服务

1
systemctl enable nfs-secure
2
systemctl start nfs-secure
3
systemctl status nfs-secure

• 挂载mount -o sec=krb5p,v4.2 server4:/securenfs /mnt/secureshare
• 配置永久挂载：server4:/securenfs /mnt/secureshare nfs4 defaults,_netdev,sec=krb5p,v4.2 0 0
• 另外，如果挂载时遇到访问被拒绝的问题，可以使用klist /etc/krb5.keytab查看证书问题；
• 挂载选项中的_netdev选项参见man 8 mount，即网络设备启动过后再执行挂载；

安装MariaDB：

• 在server4上安装服务端，以组安装比较方便：yum groups install MariaDB\ Database\ Server
• 使用yum history list查看安装历史，使用yum history info 2查看组中安装的包详情
• 使用rpm -ql mariadb-server | grep .service查看安装的服务；
• 启动服务：

1
systemctl enable mariadb.service
2
systemctl start mariadb.service
3
# 确认默认端口3306
4
netstat -tnlp

• 添加防火墙：

1
firewall-cmd --add-service=mysql
2
firewall-cmd --add-service=mysql --permanent

• 在desktop4上安装服务端，以组安装比较方便：yum groups install MariaDB\ Database\ Client
• 运行yum history list查看安装历史，运行yum history info 2查看组中安装的包详情

登录数据库

• 本地匿名登录，使用mysql客户端：mysql：

1
SHOW DATABASES;
2
USE mysql;
3
SHOW TABLES;
4
DESC user;
5
SELECT user, host, password FROM user;

• 运行安全脚本禁用匿名用户、远程登录等功能：mysql_secure_installation
• 使用密码本地登录：mysql -u root -predhat -h localhost，注意-p选项后接密码无空格；

1
USE mysql;
2
SELECT user, host, password FROM user;

配置：

• vim /etc/my.cnf

1
# 默认配置指向套接字文件，供同一个电脑的进程间通信使用：
2
socket=/var/lib/mysql/mysql.sock
3
# bind-address，在所以配置文件中只允许一次，监听本地IP 172.25.0.11：
4
bind-address=172.25.0.11
5
# 禁用网络，仅使用本地套接字文件(以localhost连接会被自动转为本地套接字，而以server4连接则会被禁用)：
6
skip-network=1
7
# 修改配置使能够远程访问，需要指向

• 子配置位于ll /etc/my.cnf.d；
• 日志、数据文件、套接字等位于ll /var/lib/mysql；

SQL：

• DDL数据定义语言：create, show, drop, alter等，对象为容器（如表、视图）；
• DML数据管理语言：insert, delete, select, update等，对象为数据记录；

1
-- DDL与DML：
2
SHOW HELP;
3
-- %通配多位
4
SHOW TABLES FROM mysql LIKE '%zone%';
5
-- _通配一位
6
SHOW TABLES FROM mysql LIKE '_i%';
7
-- 创建库
8
CREATE DATABASE inventory;
9
USE inventory;
10
-- 创建表
11
CREATE TABLE regions (
12
    region_id int(8),
13
    region_name varchar(20),
14
    country_name varchar(20)
15
);
16
-- 查看表结构
17
DESC regions;
18
-- 插入记录
19
INSERT INTO regions values (1, 'Asia', 'China');
20
INSERT INTO regions(region_id, country_name) value ('Asia', 'Japan');
21
UPDATE regions SET country_name='CN' WHERE region_id=1;

• DCL数据控制语言：grant, revoke等；

1
-- 新建用户
2
CREATE USER 'yinhe'@'desktop4.example.com' identified by 'redhat';
3
-- 若使用主机名登录有问题，可以尝试使用IP地址登录
4
CREATE USER 'yinhe'@'172.25.4.10' identified by 'redhat';
5
-- 授予权限
6
GRANT SELECT, UPDATE, DELETE, INSERT ON inventory.regions TO 'yinhe'@'desktop4.example.com';
7
-- 刷新内存，赋权后建议刷新
8
flush privileges;
9
-- 回收权限
10
REVOKE UPDATE, INSERT, DELETE ON inventory.regions FROM 'yinhe'@'desktop4.example.com';
11
-- 查看用户权限
12
SHOW GRANTS FOR 'yinhe'@desktop4.example.com'
13
-- 用户授权支持SQL用通配符
14
mobius@'localhost'
15
mobius@'192.168.1.5'
16
mobius@'192.168.1.%'

数据备份

• 按业务分为冷备（所有业务下线）、温备（业务只读）、热备（所有业务在线）；
• 备份方式分为逻辑备份（通过SQL导出记录，可以不下线，低效、高可移植）、物理备份（复制数据目录，如/var/lib/mysql，需要下线，高效、低可移植）；
• 逻辑备份：

1
# 备份
2
mysqldump -uroot -predhat inventory > ~/dump.out
3
# 还原
4
mysql -uroot -predhat abc < /root/dump.out

• 物理备份：mysqlhotcopy是mysql提供的冷/温备工具，或直接给逻辑卷做快照（lvm snapshots，cow写前复制，所以建议数据文件规划在逻辑卷上）；

安装yum install -y httpd：

• 查看配置文件rpm -qc httpd；
• 日志默认存放在/var/log/httpd（同时也会写入系统日志/var/log/message）；
• 内容默认存放在/var/www/html；
• httpd的详细帮助文档，安装yum install -y httpd-manual；

实验，使用/srv/www4.example.com/www/为www4.example.com提供内容，使用/srv/default/www/为其他域名提供内容：

• SELinux策略已经为/srv/*/www目录授予权限，若遇到403，使用restorecon -vvvR /srv/（v越多显示的过程越详细），使用ll -RZ /srv/查看，发现SELinux已重置为httpd_sys_content_t；
• 虚拟主机配置可以参考/usr/share/doc/httpd-2.4.6/httpd-vhosts.conf，复制到/etc/httpd/conf.d/下，分屏编辑vim -o {default,www4}.conf；
• default配置：

1
<VirtualHost *:80>
2
    DocumentRoot "/srv/default/www/"
3
</VirtualHost>
4
<Directory "/srv/default/www/">
5
    AllowOverride None
6
    Require all granted
7
</Directory>

• www4配置：

1
<VirtualHost *:80>
2
    DocumentRoot "/srv/www4.example.com/www/"
3
    ServerName www4.example.com
4
    ServerAlias www4
5
</VirtualHost>
6
<Directory "/srv/www4.example.com/www/">
7
    AllowOverride None
8
    Require all granted
9
    # Allow,Deny是老版本的访问控制命令，Require是新版本的命令
10
    # Order allow,deny
11
    # Allow from all
12
    # Deny from 172.25.4.10
13
    # 多条Require放入Require容器：<RequireAny>、<RequireAl>
14
    # <RequireAny>
15
    #     Require all granted
16
    #     Require not ip 172.25.0.10
17
    # </RequireAny>
18
</Directory>

• 若有欢迎页面，重命名掉/etc/httpd/conf.d/welcome.conf，注释掉主配置Options Indexes FollowSymLinks；

实验，https（TLS）配置：

• 生成秘钥对：openssl genrsa 1024 > /root/pair.key；
• 生成新签名请求：openssl req -new -key /root/pair.key -out /root/server.csr；
• 安装SSL支持：yum install mod_ssl.x86_64，查看安装文件rpm -ql mod_ssl，主配置文件为/etc/httpd/conf.d/ssl.conf；
• 添加防火墙：

1
firewall-cmd --add-service=https
2
firewall-cmd --add-service=https --permanent

• 备份配置mv /etc/httpd/conf.d/ssl.conf{,.bak}

1
Listen 443 https
2
<VirtualHost *:443>
3
    SSLEngine on
4
    SSLProtocol all -SSLv2 -SSLv3
5
    SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5
6
    SSLHonorCipherOrder on
7
    ServerName www4.example.com
8
    DocumentRoot /srv/ssl/www/
9
    SSLCertificateFile
10
    SSLCertificateKeyFile
11
    SSLCACertificateFile /etc/pki/tls/certs/ca.crt
12
    <Directory "/srv/ssl/www/">
13
        Require all granted
14
    </Directory>
15
</VirtualHost>

• 重启服务：systemctl restart httpd.server；

实验，部署python网络应用：

• 安装wsgi插件：yum install -y mod_wsgi.x86_64；
• 修改webapp.wsgi的SELinux标签：

1
# 永久改标签
2
semanage fcontext -a -t "httpd_sys_content_t" "/srv/wsgi/www(/.*)?"
3
# 刷新标签
4
restorecon -vvvR /srv/wsgi/www/

• 修改端口的SELinux标签：

1
# 查看9981端口标签
2
semanage port -l | grep 9981
3
# 查看一般网页端口的标签
4
semanage port -l | grep 80
5
# 永久改标签
6
semanage port -a -t http_port_t -p tcp 9981

• 修改vim wsgi.conf：

1
Listen 9981
2
<VirtualHost *:9981>
3
    DocumentRoot "/srv/wsgi/www/"
4
    ServerName webapp4.example.com
5
    WSGIScriptAlias / /srv/wsgi/www/webapp.wsgi
6
</VirtualHost>
7
<Directory "/srv/wsgi/www/">
8
    AllowOverride None
9
    Require all granted
10
</Directory>

• 添加防火墙：

1
firewall-cmd --add-port=9981/tcp
2
firewall-cmd --add-port=9981/tcp --permanent