RHCE_培训内容(上)
--------'AIDE'(Advanced Intrusion detection Environment):
: [ 先进'入侵检测'环境 ] 监控系统
--//功能：将系统当前状态 和 存储的数据库 进行对比，检查是否存在任何更改。
1. yum -y install aide-* //安装aide包
2./etc/aide.conf 自定义配置文件 //定义存储／对比的规则 ＆＆ 检查哪些文件
3.aide --init //构建初始数据库 -> /var/lib/aide/aide.db.new.gz
4.备份/etc/aide.conf && /usr/sbin/aide && aide.db.new.gz
5.cp aide.db.new.gz aide.db.gz(预期名称)
例如，useradd Joe
6.aide --check //比较 系统当前状态 和 aide.db.gz,列出变化的系统信息
/显示/var/log/aide/aide.log 记录的信息
-----'Sar'(System Activity Reporter)系统监控
--//功能：收集系统活动信息，such as 内存使用 / 磁盘I/O / 网络活动 等
rpm包：sysstat
运作模式：
1.安装sysstat后，将设置cron任务，每10min抽取1次的系统活动样例,并将其保存到文件；
2.命令行运行 sar 命令
命令：：
sar －A //显示今天收集的所有信息
sar -u 2 5 //-u:监控cpu; 2:每2s抽取一次；5：一共抽取 5次
sar -d 1 5 //-d:监控dev设备
------'iSCSI存储'
----//功能：iSCSI(Internet SCSI)支持从 Client 通过 IP 向 远程Server上的 SCSI设备 发送 iSCSI命令
IQN:“iSCSI限定名称“ －－每个发起端[Client] 和 目标[远程硬盘] 需要唯一名称标识
rpm包：iscsi-initiator-utils
命令：
1.iscsiadm -m discovery -t st -p 192.168.0.254 //查找iSCSI服务器提供的iSCSI目标:
iqn.2010-09.com.example:rdisks.demo
2.iscsiadm -m node -T iqn.2010-09.com.example:rdisks.demo -p 192.168.0.254 -l //登录iSCSI目标
3.fdisk -l //查看是否增加新的磁盘
4.对磁盘进行格式化/挂在文件系统 //用UUID挂在在fstab挂载选项：_netdev
5.service iscsi status //检查iSCSI状态：IQN/iSCSI目标的IP地址/本地设备名称
---//中断使用iSCSI
a> 从fstab删除
b> iscsiadm -m node -T iqn.2010-09.com.example:rdisks.demo -p 192.168.0.254 -u //暂时断开连接:重启iscsi,即重新挂载
c> iscsiadm -m node -T iqn.2010-09.com.example:rdisks.demo -p 192.168.0.254 -o delete //永久断开
--------'内核参数：'
文件：/etc/sysctl.conf :内核参数配置文件
net.ipv4.ip_forward = 1 //开启静态路由转发功能，即允许数据包的路由转发功能：（通过向filter表中的FORWARD链添加规则实现）
net.ipv4.icmp_echo_ignore_all = 1 //禁止ping相应，即其他host ping 该主机时，该主机无响应。
命令:
1.sysctl -a | grep icmp //查看内核所有参数
2.sysctl -p //让内核参数立即生效
3.modinfo kvm //查看kvm内核信息
------'postfix(port:25)'
补充: 1.postfix 实现了［*SMTP协议*］，'发送邮件'，邮件Server端。
2.［ICMP/POP协议］，'接收邮件'；
配置文件：
1./etc/postfix/main.cf
myhostname = desktop4.example.com //邮件Server的hostname
inet_interfaces = localhost '->' all //localhost:只允许Server本机 访问 postfix服务；
//all:允许任何host 访问 postfix服务；
命令： 1.service postfix restart //修改配置文件，重启服务
-----'ssh端口转发'：（以postfix 邮件协议为例）
功能：为 [ 其他服务 ] 设置'安全隧道'，使用'加密连接'通过防火墙传输 或 代理网络通信.
Client ----------------- sshhost -----------------------mail host
sshhost:客户端 到 服务器 之间的 '防火墙'
命令：
[ssh -L localport:remotehost:remoteport sshhost]
h
ssh -L 3000:mailhost:25 sshost
//Client 运行 以上命令，即建立安全隧道：Client localport -------22:sshhost---------25:mailhost
telnet localhost 3000 //通过访问本地端口，建立到远程host的安全连接
//1.当Client应用程序 尝试连接到 localport 时，ssh 将通过安全隧道 把连接转发到 sshhost；
//2.sshhost上的 sshd 进程, 将连接 转发到 remotehost:remoteport, 从而 完成 安全隧道。
注：'自动设置' ssh隧道的服务
1.ssh -X jacky@Server //X11转发
2.vncviewer -via bbb@Server localhost:2 //VNC
3.ssh jacky@Server command //执行某个command
------LDAP:轻量级目录访问协议（Lightweight Directory Access Protocol）
'功能'：使用LDAP服务器进行'网络身份验证'
/*切记*/：ldapuser存储在Server端，所以su - ldapuser1时，ldapuser1在client端没有主目录，需要挂在主目录
'步骤':（客户端配置）
1.安装软件包
yum -y groupinstall "directory-client" //安装包组
2.同步LDAP服务器时间
'system-config-date'
3.配置LDAP客户端
/**a.ldap client配置成功后，自动启动sssd,
b.sssd服务用于向 ldap Server 进行集中化身份验证:
/etc/nsswitch.conf: passwd files sss
**/
'system-config-authentication'
dc=example,dc=com //Server域
ftp://instructor.example.com/pub/EXAMPLE-CA-CERT //指定Server端CA证书位置
4.查看ldapuser4
getent passwd ldapuser4 //查看远程服务器上ldapuser4的passwd数据
ldapuser4:x:1704:1704:LDAP Test User 4:『**'/home/guests/ldapuser4'**』:/bin/bash
//此处的 [路径]是『ldapuser4家目录的挂载点』；即是说任何想挂载 ldapuser4的客户端，都必须在客户机创建相同的 [路径]，并挂载于此。
//即auto.master中必须于此 『路径』相同：
[/home/guests/] /etc/auto.ldap
'注': 1.getent passwd [无参数]，显示的是本地/etc/passwd中的数据
2>[修改/etc/sssd/sssd.conf:添加enumerate = True(查看ldapuser在Server端的挂在点);
重启service sssd restart
getent passwd //此时则查看的是服务器上所有ldapusers信息
5.验证ldap客户端配置是否正确
su - ldapuser4 //此时提示ldapuser4无家目录
6.挂在ldapuser1主目录
showmount -e 192.168.0.254 //查看server的NFS『导出目录』
/home/abcd 192.168.0.0/255.255.255.0 //特殊情况：---------------------- ------------------------- 不同
/home/guests 192.168.0.0/255.255.255.0 //通常情况：ldapusers的『导出目录』 和 『ldapuser4家目录的挂载点』一致
//'注'：auto.ldap中必须 和『导出目录』（/home/abcd/ | /home/guests）一致
* -rw 192.168.0.254:/home/abcd/&
* -rw 192.168.0.254:/home/guests/&
----'autofs自动挂载'
/etc/auto.master: /home/guests /etc/auto.ldap
/etc/auto.ldap: * -rw 192.168.0.254:/home/guests/& //&:匹配 * ，即和 * 一致（推荐使用）
ldapuser1 -rw 192.168.0.254:/home/guests/ldapuser1 //只挂载ldapuser1
『导出目录』 ---> 『ldapuser4家目录的挂载点』
------autofs:'按需'挂载网络文件系统NFS
'配置文件'
1./etc/sysconfig/autofs
TIMEOUT 300 //解除挂载的时间
'特殊映射' /net
/net:默认情况，当autofs运行时，存在/net目录；当服务停止时，/net消失
使用方法：当访问不存在的目录/net/nfsserver.domain会'自动'挂在该子目录，
并'显示'NFS服务器的所有导出目录(exported dir). //称为浏览共享
1.ls /net/192.168.0.1 //则/net下生成目录192.168.0.1
2.ls /net/192.168.0.1
dir1 dir2 dir3 //显示NFS服务器所有导出的目录
3.可直接访问dir[1-3]目录
'间接映射'--使用两层配置文件语法
'步骤
1./etc/auto.master('主配置文件') 添加一行：automounter map
/demo /etc/auto.jack //'第二配置文件'：/demo是挂载点的父目录
2./etc/auto.jack //默认为空
automount -ro 192.168.0.1:/dir //automount是挂载点，即/demo/automount(激活提示符)
3.service autofs stop //BUG:必须先stop，再start
4.service autofs start
====================================================================================================================
-----'分区加密'
'注'：LUKS(Linux 统一密钥设置)是标准的 设备加密'格式'。LUKS可以对 分区 && 卷 加密。
必须先解密，才能挂载其中的文件系统。
'创建加密分区'
1.fdisk 创建分区
2.cryptsetup luksFormat /dev/sda9 //对新分区加密，并设置解密密码: luks
3.cryptsetup luksOpen /dev/sda9 luks //将/dev/sda9 映射为 /dev/mapper/luck
4.mkfs.ext3 /dev/mapper/luks
5.mount /dev/mapper/luks /mnt/luks //挂载
'永久挂载加密分区'－－－/*写入fstab*/
1./etc/crypttab :包含要在系统启动时 解锁的设备列表
luks /dev/sda9 [/path/to/passwd/file] //如果省略[ ],则系统启动时提示输入解密密码。Ctrl+C可跳过，不挂载加密该分区。
2./etc/fstab
UUID=7826f66e-4fdc-4ab8-9d95-6a1ddb1c7eaa /mnt/luks ext3 defaults 0 0 //挂载/dev/mapper/sda9
[3.创建包含 解密密码的 密钥文件 ————为了安全，文件规root所有，并且600]
echo -n "luks" > /root/luks_key //将密码写入文件
chown root /root/luks_key
chmod 600 /root/luks_key
cryptsetup luksAddKey /dev/sda9 /root/luks_key //添加密钥文件
4.解除加密
umount /dev/mapper/luks
cryptsetup luksClose luks //解除加密
=======================================================================================================================================
-----'配额设置'(在文件系统上针对用户或组等) －－设置容量大小 or inode个数
1./etc/fstab
UUID=7826f66e-4fd /home ext3 default,usrquota[,grpquota] 0 0
2.mount -o remount /home //重新挂载，使fstab的修改生效
2.quotacheck -cum /home //-c:不读取存在的quota file; -u:只对user quota检查. -m:force checking
3.quotaon /home //激活/home分区的文件系统
4.edquota -u wode //设置 user quota
Disk quotas for user wode (uid 500):
Filesystem blocks soft hard inodes soft hard
/dev/sda3 36(已有) 50 80 8(已有) 10 30
'注：' a.默认单位为1K，wode创建的 文件大小 必须 < 80K && 文件个数 inodes< 30
--------GnuPG加密（GNU Privacy Guard 隐私保护）
'情景描述'：stu@192.168.0.4 向 tea@192.168.0.2 发送文件。
'所需密钥对'：
1.tea创建的密钥对——加密文件：
将tea_pub发给stu,stu用tea_pub加密传输文件file; tea使用tea_pri解密文件file.
2.stu创建的密钥对——验证文件是否被中途被截获并修改： //???原理待查
'步骤'
1.tea创建密钥对：(可以使用图形工具创建)
gpg --gen-key //创建密钥对：key-id为id_jacky,密码：123456
gpg --export --armor id_jacky -o ./tea_pub //导出tea_pub
scp ./tea_pub stu@192.168.0.4:/home/stu/ //传tea_pub －> stu
2.stu创建密钥对：（可用图形工具）
gpg --gen-key
3.stu导入tea_pub
gpg --import ~/tea_pub //导入
gpg --list-keys //查看stu的密钥（包括导入的tea_pub）
4.stu传输file -> tea
gpg --encrypt --armor -r id_jacky file //用tea_pub加密file -> file.asc
scp ./file.asc tea@192.168.0.2:/home/tea //将加密文件file.asc -> tea
5.tea用'tea创建的私钥'解密file
gpg --decrypt file.asc //输入密钥的［调用密码］123456，解密file.asc -> file
-------sudo：用户通过验证自己的密码，执行所赋予的root级别命令
0.export PATH=$PATH:/sbin //将/sbin/填入$PATH,只有本次登录有效
//永久生效：~/.bashrc export PATH=$PATH:/sbin [只对该用户生效]
//etc/profile最后添加-------------- [对所有用户生效]
1.visudo 编辑/etc/sudoers：'详情man sudoers'
root ALL=(ALL) ALL //root can run any commands anywhere
jacky ALL=(root) /sbin/fdisk //jacky may run /sbin/fdisk as root
Joe ALL=(root) NOPASSWD:/sbin/fdisk //Joe无须密码即可执行
2.su - jacky
3.sudo fdisk -l //输入jacky的密码，即可以root用户执行fdisk
-------：'搭建KVM环境'
1.yum -y install kvm libvirtd virt-manager //安装
2.开启libvirtd服务
3.即可使用KVM安装 虚拟机
4.命令集：
virsh --help //显示命令帮助
virsh list //查看虚拟机个数
-------/*d定期任务:cron*/
crontab [-u jacky] -e //添加／修改任务
分 时 日 月 周
40 12 ＊ ＊ ＊ mail -s "标题" Jenny@localhost < /home/jacky/aaa
crontab -l //查看
crontab -r [id] //删除
我在IBM工作，可以为大家内部推荐IBM各种职位
IBM全球职位尽在以下链接(请在浏览器中打开，QQ/微信 会阻止)：
http://ibmreferrals.com/
很乐意为感兴趣的小伙伴分享：我的面试经验^_^
如需咨询，请邮件发送以下邮箱，有问必回
1026096425@qq.com
