SELinux 、系统故障修复、防火墙策略管理、服务管理

最新推荐文章于 2025-05-13 14:41:58 发布

现在还没掉头发的程序员

最新推荐文章于 2025-05-13 14:41:58 发布

阅读量1.9k

点赞数

文章标签： linux 运维 selinux

本文链接：https://blog.youkuaiyun.com/qq_39088234/article/details/109572175

版权

一、常用的网络工具

1.查看IP地址命令
[root@svr7 ~]# ifconfig | head -2
[root@svr7 ~]# ip address show
2.设置网卡的临时IP地址
[root@svr7 ~]# ip address add 192.168.5.1/24 dev eth0
[root@svr7 ~]# ip address add 192.168.6.1/24 dev eth0
[root@svr7 ~]# ip address show

3.ping 命令，测网络连接
– 选项 -c 包个数
[root@svr7 ~]# ping -c 2 192.168.4.7
[root@svr7 ~]# ping -c 4 192.168.4.7

二、自定义Yum仓库

将用户自行下载的软件包，构建为新的Yum仓库
成为仓库：1.众多的软件包 2.仓库数据文件（仓库清单）

[root@svr7 ~]# ls /root
initial-setup-ks.cfg tools.tar.gz 模板图片下载桌面

[root@svr7 ~]# tar -xf /root/tools.tar.gz -C /
[root@svr7 ~]# ls /tools/
[root@svr7 ~]# ls /tools/other/

 生成仓库数据文件
[root@svr7 ~]# createrepo /tools/other/
[root@svr7 ~]# ls /tools/other/
[root@svr7 ~]# ls /tools/other/repodata #仓库数据文件
 书写客户端配置文件
[root@svr7 ~]# vim /etc/yum.repos.d/mydvd.repo
[mydvd]
name=centos7
baseurl=file:///mydvd
enabled=1
gpgcheck=0
[abc] #仓库标识
name=centos7
baseurl=file:///tools/other #仓库的路径
enabled=1
gpgcheck=0
[root@svr7 ~]# yum repolist
[root@svr7 ~]# yum -y install cmatrix

三、日志管理

• 系统和程序的“日记本”
– 记录系统、程序运行中发生的各种事件
– 通过查看日志，了解及排除故障
– 信息安全控制的“依据”
• 由系统服务rsyslog统一记录/管理
– 日志消息采用文本格式
– 主要记录事件发生的时间、主机、进程、内容
• 常见的日志文件
日志文件主要用途
/var/log/messages 记录内核消息、各种服务的公共消息
/var/log/dmesg 记录系统启动过程的各种消息
/var/log/cron 记录与cron计划任务相关的消息
/var/log/maillog 记录邮件收发相关的消息
/var/log/secure 记录与访问限制相关的安全消息

 日志分析
• 通用分析工具
– tail、tailf、less、grep等文本浏览/检索命令
– awk、sed等格式化过滤工具
– tailf：实时跟踪日志消息
• users、who、w 命令
– 查看已登录的用户信息，详细度不同
• last、lastb 命令
– 查看最近登录成功/失败的用户信息
[root@svr7 ~]# users
[root@svr7 ~]# who
pts：图形命令行终端
[root@svr7 ~]# lastb -2 #登录失败的消息记录，最近两条

• Linux内核定义的事件紧急程度 – 分为 0~7 共8种优先级别 – 其数值越小，表示对应事件越紧急/重要
0 EMERG（紧急）会导致主机系统不可用的情况
1 ALERT（警告）必须马上采取措施解决的问题
2 CRIT（严重）比较严重的情况
3 ERR（错误）运行出现错误 4 WARNING（提醒）可能会影响系统功能的事件
5 NOTICE（注意）不会影响系统但值得注意
6 INFO（信息）一般信息
7 DEBUG（调试）程序或系统调试信息等

四、系统安全

• Security-Enhanced Linux
– 美国NSA国家安全局主导开发，一套增强Linux系统安全的强制访问控制体系
– 集成到Linux内核（2.6及以上）中运行
– RHEL7基于SELinux体系针对用户、进程、目录和文件提供了预设的保护策略，以及管理工具
• SELinux的运行模式
– enforcing（强制）、permissive（宽松）
– disabled（彻底禁用）
任何模式变成disabled模式，都要经历重启系统
• 切换运行模式
– 临时切换：setenforce 1|0
– 固定配置：/etc/selinux/config 文件
虚拟机A
[root@svr7 ~]# setenforce 0 #当前关闭SELinux
[root@svr7 ~]# getenforce #查看当前SELinux运行模式
Permissive
[root@svr7 ~]# vim /etc/selinux/config
SELINUX=permissive
虚拟机B同上

五、系统故障修复

 系统文件/etc/fstab文件书写错误
1.输入root的密码

2.进行修复
[root@localhost ~]# vim /etc/fstab
[root@localhost ~]# reboot

 破解root密码

前提：必须是服务器的管理者，涉及重启服务器
破解密码思路
1)重启系统,进入恢复模式
[root@A ~]# reboot
开启虚拟机A，在此界面按e键

找到linux16该行，在该行的最后，空格输入 rd.break console=tty0

按 ctrl + x 启动，会看到switch_root#

2)以可写方式重新挂载 /,并切换到此环境
switch_root# chroot /sysroot #切换环境，切换到硬盘操作系统的环境
sh-4.4# mount -o remount,rw / #让根目录下所有数据，可以读也可以写入
3)重新设置root的密码
sh-4.4# echo 1 | passwd --stdin root
4)如果SELinux是强制模式，才需要重设SELinux策略（其他模式不需要做此操作）
sh-4.4# vim /etc/selinux/config #查看SELinux开机的运行模式
sh-4.4# touch /.autorelabel #SELinux是强制模式，让SELinux失忆
5)强制重启系统完成修复
sh-4.4# reboot -f

六、构建Web服务器

Web服务：提供一个网页内容
Web服务器：提供网页内容机器
http协议：超文本传输协议
daemon:(古希腊神话中的)半神半人精灵,守护程序

虚拟机A：
1.安装软件包（提供Web服务的软件：httpd、Nginx、Tomcat）
[root@svr7 ~]# yum -y install httpd
[root@svr7 ~]# rpm -q httpd
2.书写一个页面文件
]# ls /var/www/html/ #默认存放网页文件路径
]# vim /var/www/html/index.html #网页文件名字
人在塔在！王者归来！哈哈哈

3.运行httpd程序（启动服务）
[root@svr7 ~]# ls /usr/sbin/httpd
/usr/sbin/httpd
[root@svr7 ~]# vim /etc/resolv.conf #清空该文件
[root@svr7 ~]# /usr/sbin/httpd #绝对路径方式运行
[root@svr7 ~]# pgrep -l httpd #查看进程信息
[root@svr7 ~]# killall httpd #杀死httpd进程

[root@svr7 ~]# /usr/sbin/httpd
4.本机进行测试
[root@svr7 ~]# curl http://192.168.4.7 #命令行浏览器
人在塔在！王者归来！哈哈哈

七、防火墙策略的管理

作用：隔离严格过滤入站，放行出站
硬件防火墙：保护一个网络中众多的机器
软件防火墙：保护本机
• 系统服务：firewalld
• 管理工具：firewall-cmd（命令）、firewall-config（图形）

• 根据所在的网络场所区分，预设保护规则集
– public：仅允许访问本机的ssh、dhcp、ping其他都拒绝
– trusted：允许任何访问
– block：拒绝任何来访请求，有回应客户端
– drop：丢弃任何来访的数据包，不会回应客户端

• Linux防火墙判定的规则（匹配及停止）

首先查看请求中来源IP地址，查看所有区域，哪个区域有该源IP地址的规则，则进入该区域
进入默认区域(默认情况下为public)

 默认区域的修改
虚拟机A:
]# firewall-cmd --get-default-zone #查看默认区域
虚拟机B：
]# curl http://192.168.4.7 #访问失败
]# ping -c 2 192.168.4.7 #访问成功
虚拟机A:
]# firewall-cmd --get-default-zone #查看默认区域
]# firewall-cmd --set-default-zone=trusted #修改默认区域
]# firewall-cmd --get-default-zone #查看默认区域
虚拟机B：
]# curl http://192.168.4.7 #访问成功
]# ping -c 2 192.168.4.7 #访问成功

 源IP地址的规则
虚拟机A：
]# firewall-cmd --zone=block --add-source=192.168.4.207
]# firewall-cmd --zone=block --list-all
虚拟机B：
]# curl http://192.168.4.7 #访问失败
]# ping -c 2 192.168.4.7 #访问失败
虚拟机A：
]# firewall-cmd --zone=block --remove-source=192.168.4.207
]# firewall-cmd --zone=block --list-all
虚拟机B：
]# curl http://192.168.4.7 #访问成功
]# ping -c 2 192.168.4.7 #访问成功

 添加允许的协议
public：仅允许访问本机的ssh、dhcp、ping其他都拒绝
虚拟机A：
]# firewall-cmd --set-default-zone=public #修改默认区域
]# firewall-cmd --zone=public --list-all
]# firewall-cmd --zone=public --add-service=http
]# firewall-cmd --zone=public --list-all
虚拟机B：
]# curl http://192.168.4.7 #访问成功
]# ping -c 2 192.168.4.7 #访问成功

 规则的永久
1.默认区域的修改，本身就是永久
2.在区域中添加的规则，需要加上 --permanent选项
]# firewall-cmd --zone=public --remove-service=http
]# firewall-cmd --zone=public --list-all

]# firewall-cmd --permanent --zone=public --add-service=http
]# firewall-cmd --zone=public --list-all
]# firewall-cmd --reload #重新加载防火墙所有永久配置
]# firewall-cmd --zone=public --list-all

八、服务的管理

•上帝进程：systemd
•Linux系统和服务管理器
–是内核引导之后加载的第一个初始化进程（PID=1）
–负责掌控整个Linux的运行/服务资源组合

•一个更高效的系统&服务管理器
–开机服务并行启动，各系统服务间的精确依赖
–配置目录：/etc/systemd/system/
–服务目录：/lib/systemd/system/
–主要管理工具：systemctl

[root@svr7 ~]# systemctl -t service --all #列出所有的服务

•对于服务的管理
systemctl restart 服务名 #重起服务
systemctl start 服务名 #开启服务
systemctl stop 服务名 #停止服务
systemctl status 服务名 #查看服务当前的状态

systemctl enable 服务名 #设置服务开机自启动
systemctl disable 服务名 #设置服务禁止开机自启动
systemctl is-enabled 服务名 #查看服务是否开机自启

[root@svr7 ~]# killall httpd #杀死手动启动的httpd
[root@svr7 ~]# systemctl restart httpd #重启httpd服务
[root@svr7 ~]# systemctl status httpd #查看服务httpd状态
[root@svr7 ~]# systemctl enable httpd #设置httpd开机自启动
Created symlink from /etc/systemd/system/multi-user.target.wants/httpd.service to /usr/lib/systemd/system/httpd.service.
[root@svr7 ~]# systemctl is-enabled httpd #查看httpd是否是开机自启动
[root@svr7 ~]# systemctl disable httpd #关闭httpd开机自启动
Removed symlink /etc/systemd/system/multi-user.target.wants/httpd.service.
[root@svr7 ~]# systemctl is-enabled httpd

 管理运行级别
RHEL6:运行级别 300
0：关机 0个服务
1：单用户模式（基本功能的实现，破解Linux密码） 50个服务
2：多用户字符界面（不支持网络） 80个服务
3：多用户字符界面（支持网络）服务器默认的运行级别 100个服务
4：未定义 0个服务
5：图形界面 300个服务
6：重起 0个服务
切换运行级别：init 数字

RHEL7：运行模式（运行级别）
字符模式：multi-user.target
图形模式：graphical.target

当前直接切换到字符模式
[root@svr7 /]# systemctl isolate multi-user.target #相当于原来的init 3
当前直接切换到图形模式
[root@svr7 /]# systemctl isolate graphical.target #相当于原来的init 5

查看每次开机默认进入模式
[root@svr7 /]# systemctl get-default
设置永久策略，每次开机自动进入multi-user.target
[root@svr7 /]# systemctl set-default multi-user.target
[root@svr7 /]# reboot