Basic+vbird_s+RedHat_Linux.ppt

Linux教育訓練,第一天Linux入門上午認識LinuxLinux版本介紹RedHatLinux安裝過程下午RedHatLinux目錄/設定檔/開機流程、檔案權限與管理工具介紹,課程介紹,第二天Server架設上午DNS、DHCP、FTPserver實做時間下午WWW、MAIL、PROXY實做時間,課程介紹,課程介紹,第三天Linux系統維護/安全議題系統管理與維護RedHatErrata、up2date介紹問題討論,認識Linux,什麼是FreeSoftware？Shareware/Freeware不提供SourceCode無法讓使用者自由更改或散播,認識Linux,什麼是自由軟體(Opensource)?Freedom(自由)/Open(開放)SourceCode必須公開任何人都可以自由傳播、下載、使用或改寫,GNU計畫,1983年RichardStallman(自由軟體業的精神教父)創辦GNU(GNUsnotUnix)計畫開始於1984年，旨在發展一個類-Unix且為自由軟體的完整作業系統/,自由軟體基金會,GNU計畫的贊助單位FSF(FreeSoftwareFundation)提倡免費軟體FSF自由使用權的三個意義：可自由複製GNU的軟體可自由修改原始碼可自由散佈修改過的原始碼，但不得收取任何版權費用,GNUGenelPublicLicense,大眾公有版權/通用公共版權官方翻譯：自由文件許可證Copyleft.tw/CLDP/GNU/licences/fdl.zh.html/copyleft/gpl.html,LINUX源起,1991年8月芬蘭的一個學生在comp.os.minix新聞組貼上了以下這段話：你好，所有使用minix的人-我正在為386(486)AT做一個免費的操作系統(只是為了愛好)，不會像GNU那樣很大很專業。,GNU與Linux,GNU仍自行發展HurdKernel開發許多以GPL發行的應用程式與工具程式Linux（LinussUnix）由網路上熱心的朋友一起發展LinuxKernel採用GNU發展的許多應用程式與工具程式應該稱作GNU/Linux,Linux品牌,RedHatLinuxSuSELinuxMandrakeLinuxCalderaLinuxTurbolinuxDebianGNU/LinuxGentooLinuxLinpusLinux,LinuxKernel現況與認證,Kerenl版本發展版本2.5.70穩定版本2.4.20Linux認證RedHatRHCE,RedHatLinux9安裝,請拿出書本所附光碟片我們將開始安裝,安裝第一步,Kickstart安裝介紹光碟開機基本組態設定選擇語言鍵盤及滑鼠選擇安裝方式,分割磁碟,使用Diskdruid建立磁碟分割區選擇掛載點，例如“/”、“/home”、”/var”建立swap分割區檔案系統類型，ext2、ext3、msdosetc分割區大小,開機管理選項,開機管理程式GRUBLILO不安裝開機程式開機程式安裝在哪裡?MBR/boot的第一個磁區設定核心參數,網路組態設定,新增網路裝置選擇網路卡DHCP設定IP位址及其它網路資訊設定HostnameGatewayDNS,防火牆組態設定,使用iptables高安全中安全停用其他設定,語系/時區/root密碼設定,選取要使用的語系選取時區設定root密碼,Shadow/MD5加密認證是否使用NIS/LDAP等其它認證方式,設定認證方式,選取要安裝的套件,選擇安裝套件套件相依性問題,開始安裝過程,休息時間記得回來換片繼續安裝,xwindow組態設定,選擇解析度、開機時是否啟動xwindows預設桌面管理員選擇顯示卡設定螢幕,最後安裝,建立開機片取出安裝光碟重開機,Linux開機流程,BIOS嘗試在開機磁碟機的第0磁區、第0磁柱載入可供開機的磁區開機開機載入程式(bootloader，如LILO或Grub)的程式碼找出kernel所在位置，接著載入並執行它以啟動開機程序一旦kernel載入完畢，一些基本設備也完成初始化(initialization)嘗試從某個設備載入以及掛上(mount)rootfilesystem一旦rootfilesystem被載入並掛上，會看到一行訊息像：VFS:Mountedroot(ext3filesystem)readonly,Linux開機流程,此時系統會在rootfilesystem上找到init程式(在/binor/sbin)並執行init讀取它的組態設定檔(configurationfile)/etc/inittab，找出檔中標明sysinit的一行，並執行被指名的script。這個sysinitscript通常類似/etc/rc或/etc/init.d/boot這兩個檔。這個script是一組建立基本系統服務的shell指令，諸如：對所有磁碟執行fsck載入必備的核心模組(modules)啟動swapping進行網路初始化將指定在fstab內的磁碟掛上,Linux開機流程,當sysinitscript結束後，控制權回到init上，接著進入預設的runlevel預設的runlevel以initdefault這個關鍵字被指定在/etc/inittab內,runlevel說明,0關機halt(不要在initdefault設定這個)1單人模式Singleusermode2多人模式未含網路功能Multiuser,withoutNFS(與runlevel3相同,用在沒有網路環境下)3完整多人使用者模式Fullmultiusermode4未使用unused5xwindow模式X116重開機reboot(不要在initdefault設定這個),man男人?,線上查詢manpage#manls#man1ls#infols/etc/man.confwhatisfilename,vi,文書處理器vi管理員至少一定要會一種編輯器vi的使用：一般模式：移動、複製、刪除、貼上編輯模式：插入與取代文件指令列模式：搜尋、自動取代、檔案存取等,vihelp,h,j,k,l移動yy複製dd刪除p貼上o,i,a插入R,r取代u回復,/搜尋:%s/x/y/g自動取代:w寫入:q離開:wq!寫入強制離開,Linux檔案,#touchtest#lsaltest,Linux檔案種類,正規檔案(regularfile)第一個屬性為-純文字檔(ascii)二進位檔(binary)目錄(directory)：第一個屬性為d連結檔(link)：第一個屬性為l設備檔(device)：區塊(block)設備檔，第一個屬性為b；字元(character)設備檔，第一個屬性為c。,Linux檔案屬性,更改Linux檔案屬性指令,ugoa,+(加入)-(除去)=(設定),rwx,檔案或目錄,chmod,r=4,w=2,x=1,#chmod770test,owner=rwx=4+2+1=7group=rwx=4+2+1=7others=-=0+0+0=0,更改Linux檔案擁有者指令,語法：chown-R帳號名稱檔案或目錄chown-R帳號名稱:群組名稱檔案或目錄範例：roottestroot#chowngamestestroottestroot#ls-ltestdrw-r-r-1gamesroot0Jun2014:36testroottestroot#chownRroot:roottmp,更改Linux檔案所屬群組,語法：chgrp群組名稱檔案或目錄範例：roottestroot#chgrpuserstestroottestroot#ls-ldrw-r-r-1rootusers1Jun2014:36test,Linux目錄結構,/bin：常用系統程式目錄/boot：開機設定檔，也是預設擺放核心vmlinuz的地方/dev：擺放所有系統裝置檔案的目錄/etc：幾乎系統的所有設定檔案均在此，尤其passwd,shadow/etc/rc.d/init.d：系統開機的時候載入服務的scripts的擺放地點/home：系統使用者的家目錄,Linux目錄結構,/lib：Linux執行或編譯程式函式庫目錄/mnt：軟碟與光碟接預設掛載點的地方/proc：系統核心與執行程序的一些資訊/root：系統管理員的家目錄/usr/bin,/bin：一般執行檔擺放的地方/usr/sbin,/sbin：系統管理員常用指令集/var：擺放系統記錄檔案的地方/lost+fount：擺放系統不正常產生錯誤時遺失的片段,Linux管理工具介紹,檔案與目錄管理磁碟與硬體管理程序與資源管理RPM的管理帳號與身份管理,檔案與目錄管理,目錄與路徑相對路徑與絕對路徑.代表此層目錄.代表上層目錄代表自己的家目錄user代表到user這個人的家目錄,檔案與目錄管理,cd變換目錄cd/rootpwd顯示目前的目錄mkdir建立一個新目錄mkdirp/root/abc/123,rmdir刪除一個裡面是空的空目錄rmdirpabc/123環境變數PATHecho$PATHPATH=”$PATH”:/root,檔案與目錄管理,ls-ailS參數說明：-a:全部的檔案都列出（連同隱藏檔）-i:印出inode的值-l:長的列出，連同檔案大小的資料等等-S:以檔案大小排序,檔案與目錄管理,cp-drsu來源檔目的檔參數說明：-d：在進行copy的時候，如果是copy到link檔案，若不加任何參數，則預設情況中會將link到的原始檔案copy到目的地，若加-d時，則link檔案可原封不動的將link這個捷徑其拷貝到目的地-r：可以進行目錄的copy-s：做成連結檔，而不copy之意！與ln指令相同功能！-u,-update：如果來源檔比較新，或者是沒有目的檔，那麼才會進行copy的動作,檔案與目錄管理,rm-fir檔名參數說明：-i:提供使用者確認（這是預設值）-r:遞迴刪除-f:強力刪除,檔案與目錄管理,mv-u來源檔目的檔參數說明：-u:同樣的，為update的簡寫，當來源檔比目的檔還新的時後才會動作,觀看檔案內容,cat由第一行開始顯示檔案內容tac從最後一行開始顯示，可以看出tac是cat的倒著寫more一頁一頁的顯示檔案內容less與more類似，可以往前翻頁head只看頭幾行tail只看尾巴幾行nl顯示的時候，順道輸出行號od以二進位的方式讀取檔案內容,連結檔的介紹,連結檔的介紹：什麼是inodeBlock是記錄檔案內容資料的地區，而inode則是記錄該檔案的屬性、及該檔案放置在哪一個Block之內的資訊lnhardlink不能跨filesystem/不能link目錄symboliclinkln-s來源檔目的檔,檔案與目錄權限,chown改變檔案的擁有人chgrp改變檔案的所屬群組chmod改變檔案的可寫、可讀、可執行等屬性umask改變預設的建立檔案或目錄時的屬性chattr改變檔案的特殊屬性lsattr顯示檔案的特殊屬性,搜尋檔案或目錄,which查看可執行檔案的位置#whichlswhereis查看檔案的位置#whereisb/-mlslocate配合資料庫查看檔案位置#locatels#updatedbfind尋找檔案#find/-name“ls”,磁碟與硬體管理,查看硬碟或目錄的容量：df,du切割與格式化硬碟：fdisk,mke2fs,e2label,mknod檢查硬碟壞軌與資料同步化寫入：fsck,sync關於軟碟開機片：mkbootdisk,fdformat各式磁區的掛載：mount,umount設定開機時即掛載的方式：/etc/fstab虛擬記憶體Swap：mkswap,swapon,swapoff磁碟效能：hdparm,程序與資源管理,什麼是程序？任何觸發系統工作的事件，系統會給予一個processID來控制該事件的執行，這個PID就是程序需要注意到，程序屬於誰？他的權限是不同的！而程序執行後輸出的訊息則與資料流有關,程序與資源管理,如何觀察程序？topps常駐記憶體的程式(daemon,服務)在背景下執行是系統正常運作所必需要的(syslog,cron)是某些服務提供所必需要的(www,mail.),程序與資源管理,程序的優先執行順序？Prioritynicevaluenice新的PIDrenice已存在的PID,程序與資源管理,給予程序訊號,signalkill-signalPID-1重新讀取設定檔-9無條件強制驅離記憶體-15正常方式關閉該PID,程序與資源管理,重要的程序之一：syslog系統在背景下工作的各項服務所產生的訊息均統一由syslog這個服務(daemon)所管理/etc/syslog.conf/var/log/messages/var/log/secure.,程序與資源管理,背景與前景之工作管理fowrarders;allow-query192.100.100/24;allow-transfer192.100.100/24;,Master選項：zone“”typemaster;file“”;Slave選項：zone“”typeslave;masters;file“”;,Reverselookup(反向尋查)選項：zone“30.168.192.”typeslave;masters;file“db.30.168.192”;Root選項：zone“.”typehint;file“named.ca”;,SOA(StartofAuthority),每個ZONE選項中都要有此設定.INSOA(2003053001;serialnumber300;refresh60;retry1209600;expire43200;minimumTTLfornegativeanswers),NS(nameserver),每一個master及slaveDNS都要有一個NS紀錄例：.INNS.INA,主要紀錄的型式,A紀錄對映hostname到IP位址.INA.INACNAME定義位址的別名mxINCNAMEmailwww2INCNAME.PTR紀錄IP位址對映到hostname3INPTR.,MX紀錄,MX結合domainname來處理其電子郵件.INMX.INMX,實做,修改/etc/named.conf設定讀取目錄/var/named建立一個root的zone設定建立一個的zone設定建立一個192.168.30的反查zone設定,實做,建立.zone檔設定nsserver為設定A記錄設定MX記錄設定CNAME記錄建立.rev檔設定PTR紀錄,DNSServer啟動與停止,/etc/init.d/namedstart啟動tailf/var/log/messages查看log紀錄/etc/init.d/namedstop停止killallnamedorkill-9PID,DNSServer驗證,DNSServerLab,請建立一個以為網域且可供正查與反查的DNSServer,DNSServerLab,檢驗項目1#hasaddress檢驗項目2#name=.,DHCPserver種類,DHCP有三種方式,靜態/自動/動態靜態方式:手動指定用戶端固定IP管理者在DHCPServer輸入用戶端IP與硬體位址通常用在需要固定IP的各種伺服器主機自動方式:自動指定IP位址DHCPServer由預定的IP範圍,自動分配給用戶端,且無限期使用IP範圍必需多於用戶端電腦數量會記錄IP與MAC位址的對應資訊,所以用戶端每次開機後都分配到相同IP,DHCPServer種類,動態方式:動態分配IP位址IP範圍少於用戶端電腦數量動態分配IP時設定租用期限,用戶端電腦於租用期限到期或關機時,收回IP供其他用戶端電腦使用,DHCP租用流程,分兩種,第一種為第一次租用流程(1)先在區域網路廣播找DHCPServerDHCPClient=DHCPDISCOVER=DHCPServer(2)找到後由DCHPServer提供租用IP資訊DHCPServer=DHCP_OFFER=DHCPClient(3)DHCPClient回覆DHCPServer收到IP資訊,並請求認可DHCPClient=DHCP_REQUEST=DHCPServer(4)DHCPServer收到請求後,給予認可,DHCPClient啟始租用IPDHCPServer=DHCP_ACK=DCHPClient,DHCP租用流程,第二種為,更新租用流程(在租用期達二分之一後開始動作)(1)DHCPClient向DHCPServer請求延常租用位址時間DHCPClient=DHCP_REQUEST=DHCPServer(2)DHCPServer收到後,回覆DCHPClient認可繼續租用DHCPServer=DHCP_ACK=DHCPClient,DHCP租用流程,若在這期中DHCPServer沒有給DHCPClient任何回應,當DHCPClient達租用期限時,就會停止使用,再回到以第一種方式申請租用新的IP位址.,DHCPServer套件,套件：dhcp-3.0p11-23.i386.rpmdhcp-devel-3.0p11-23.i386.rpm設定檔路徑：/usr/share/doc/dhcp-3.0p11/dhcpd.conf.sampleCopy至/etc/dhcpd.conf相關檔案：/etc/sysconfig/dhcpd/var/lib/dhcp/dhcpd.leases,dhcp.conf,整體設定(Global)：裡面含有租約期限、還有DNSIP與router的設定動態IP設定：使用subnet的項目與range的參數來設定要分配出去的IP靜態IP設定：使用host這個項目段，配合MAC來設定#為註解符號；除了括號那一行之外，其他的每一行後面都要以;做為結尾,optiondomain-name“;#設定每部主機的後頭領域名稱為optiondomain-name-servers,;#設定DNSIP#動態IP分配的設定：subnetnetmaskrange0000;optionbroadcast-address55;optionrouters54;,dhcp.confExample,dhcp.confExample,#靜態IP的設定：hostserver1hardwareethernet00:40:95:30:43:B4;fixed-address0;optionbroadcast-address55;optionrouters54;default-lease-time259200;#預設的租約時間，後面接的時間為秒鐘。max-lease-time518400;#最大租約時間，最長到518400秒,DHCPServer啟動與除錯,/etc/init.d/dhcpdstarttail-f/var/log/messages,DHCPClient設定,將Client端的TCP/IP設定改為自動取得IPWindows驗證Ipconfig/allwinipcfgLinux驗證Ifconfig-a,DHCPServerLab,設定動態IP範圍0000設定一台主機名稱為server固定IP為0網卡MacAddress為00:40:95:30:43:B4廣播位址為55路由位址為54,FTPserver,vsFTPD(VerySecureFTPDaemon)套件：vsftpd-1.1.3-8.i386.rpmTCP20傳資料TCP21傳輸流程的控制兩種主要身份使用anonymousrealuser,vsFTPD設定檔,/etc/vsftpd.ftpusers限制登入的使用者/etc/hosts.deny限制登入的網域/etc/vsftpd/vsftpd.conf主要設定檔,vsFTPD啟動與驗證,#/etc/init.d/vsftpdstart啟動vsftpd#lftplocalhost#ncftplocalhost,FTPServerLab,請用vsFTPD架設一個FTPServer設定歡迎訊息banner_file讓匿名的使用者可以上傳檔案,WWWServer,套件：httpd,-devel,-manual服務名稱：httpd啟動的script：httpd執行埠：80/tcp(http),443/tcp(https)設定檔：/etc/httpd/*，/var/www/*相關：redhat-config-httpd，mod_ssl，以及其它,WWWServer設定檔,設定檔位置/etc/httpd/conf/httpd.conf模組位置/etc/httpd/conf.d/*網頁文件預設放置目錄/var/www/html/,httpd.conf,指定給使用者的目錄UserDirpublic_htmlMIME型態設定AddTypeapplication/x-httpd-php.phtmlAddTypetext/html.htm宣告index的頁面DirectoryIndexindex.htmldefault.html,httpd.conf,允許連結的設定orderallow,denyallowfrom使用.htaccess檔案#sampleauthentication.htaccessfileAuthName“Jackshome“AuthTypebasicAuthUserFile/home/jackrequireuserjack,VirtualHost虛擬主機,在同一台電腦下,要建立虛擬主機,可採用IP/Name/Port三種方法建立(1)IPBase:使用IP地址將網頁請求對映到正確的頁面目錄,因此每一個虛擬主機都需要一個IP位址(2)NameBase:只有單一IP位址,但要用不同的網域名稱來呈現不同的網頁內容時,就是以NameBase的方式來將網頁對映到正確的頁面,但該方式無法使用SSL功能,且需要支援HTTP/1.1的瀏覽器才可以使用.(3)PortBase:利用不同的port設定,建立起多個虛擬主機.,SSL連線步驟,Client端和WebServerSSLport連線.(https)WebServer端將憑證資料傳給Client端Client端進行憑證資料的確認,將認可傳給WebServer端WebServer端會再跟Client端傳送兩次資料,一次是以自己的私鑰產生的資料內容,另一次是WebServer端的公鑰.Client收到WebServer端的加密資料與公鑰後,將WebServer的公鑰產生SymmetricKey,並將該SymmetricKey傳給WebServer端.兩端將以此SymmetricKey建立起加密通道,WWWServer啟動與除錯,/etc/init.d/httpdstarttailf/var/log/httpd/access_logtailf/var/log/httpd/error_log,WWWServerLab,請建立一個以NameBase的虛擬主機分別可以看到不同的網頁,MailServer,MTAsendmail,postfix,qmail,eximMDAprocmailMUAOutlookExpressBecky,MailServer路由,MailServer,套件選擇-SendmailSendmail的特色：允許各種不同的emial位址路徑支援虛擬的domains及users允許偽裝的使用者及機器提供自動重試失敗傳送郵件的重傳及其它一些情況,MailServer套件sendmail,作業型態：SystemV-launcheddaemon套件：sendmail,-cf,-doc、IMAP服務名稱：sendmail執行的script：sendmail服務埠：25(smtp)設定檔位置：/etc/mail/sendmail.cf,/etc/aliases,/etc/mail/相關：procmail、/var/mail/maillog、/var/spool/mail,m4,以m4來設定sendmail.cfm4是用來幫助設定sendmail.cf的範本語言RedHat預設sendmail的設定檔是以/etc/mail/sendmail.mc來產生的RedHat建議以m4的sendmai.mc來開始設定sendmail完整的README.cf放在/usr/share/doc/sendmail裡,sendmail.cf,主要設定檔sendmail.cf包含domain的別名(alias)、標頭、傳送規則等編輯此檔時請小心並仔細地閱讀說明,/etc/mail/sendmail.cf,#開放中繼功能#SMTPdaemonoptionsODaemonPortOptions=Port=smtp,Addr=,Name=MTA改為#限制郵件大小#maximummessagesizeOMaxMessageSize=1000000,/etc/mail/access,RELAY開放中繼功能REJECT拒絕傳送DISCARD直接丟棄修改後記得在/etc/mail下執行make,/etc/aliase,設定帳號別名MAILER-DAEMON:postmasterpostmaster:rootroot:adminsales:jack,john,mary#newaliases,查詢郵件佇列與log,#mailq#tailf/var/log/maillog,sendmail啟動與測試,#/etc/init.d/sendmailstart#telnetlocalhost25mailfrom:rootrcptto:rootdataThisisatestMail.quit,MailServerLab,請用sendmail設定好一台可開放向您的Server代為轉信的功能.,ProxyServer,什麼是代理伺服器?Proxy會幫Client端的用戶去向目的地取得用戶端所需要的資料是一個代理人的角色,ProxyServer,ProxyServer運作方式,ProxyServer優缺點,優點快速的存取動作降低網路的負荷資料分流提供防火牆內部的電腦連上Internet多層次的管道(上層代理伺服器)缺點容易為Intranet的內部人員濫用需要較高超的設定技巧與除錯程序可能會取得舊的錯誤資料,上層ProxyServer,SeedNet的代理伺服器(.tw/dial/server.shtml)Hinet的代理伺服器(,硬體要求與最佳硬體配置方式,CPU最好能夠PIII550以上等級RAM最好能夠大於512MBHardDisk最好能用SCSI介面的網路卡與網路周邊最好使用GBytes的網路卡,ProxyServer套件squid,安裝Proxy套件squid-2.5.STABLE1-2.i386.rpm目錄位置：/etc/squid設定檔：/etc/squid/squid.conf紀錄檔：/var/log/squid/access.log/var/log/squid/cache.log/var/log/squid/store.log,squid.conf,http_port3128icp_port3130reference_age1monthcache_dirufs/var/spool/squid10016256cache_access_log/var/log/squid/access.logcache_log/var/log/squid/cache.logcache_store_log/var/log/squid/store.logpid_filename/var/run/squid.pid,squid.conf,#auth_parambasicchildren5#auth_parambasicrealmSquidproxy-cachingwebserver#auth_parambasiccredentialsttl2hourshttp_accessallowallcache_mgrrootcache_effective_usersquidcache_effective_groupsquid,squid設定解說,http_port3128以瀏覽器連接到本proxyserver時的portcache_mem8MB設定squid可用的記憶體空間cache_dirufs/var/spool/squid10016256設定快取目錄和快取可以使用的硬碟空間,100表示100MB;16表示第一層子目錄最多有16個;256表示每個第一層子目錄下的子目錄最多可以有256子目錄cache_access_log/var/log/squid/access.log快取記錄檔的名稱和所在目錄,負責記錄快取的所有行為cache_log/var/spool/squid/cache.log快取儲存記錄檔的名稱及所在目錄,squid設定解說,cache_store_log/var/log/squid/store.log設定store.log的存放位置store.log、cache.log、access.log要定時備份並刪除,以免佔磁碟空間reference_age1month設定快取的資料保存時間cache_mgrrootsquid出問題時要通知的管理者,acl的用法,acl類型以來源端：src,srcdomain以目地端：dst,dstdomain以正規表式法：url_regex-ihttp:/urlpath_regex-i.gif$設定的內容IPorDomainorS,http_access用法,設定允許存取squidServer的列表以acl的定義來做管制http_accessallowexample#設定只允許example的acl訂義存取http_accessdenyall#如果要開放的話,改成allowall,cache_peer用法,類別：parent(上層),sibling(同一層)http_port/icp_port：3128/3130其他參數：proxy-only,weight=n,no-query,default,no-netdb-exchange,no-digest到處向其它proxyserver請求會消耗太多網路資源，所以請勿設太多parent和siblingserver.cache_parent31283130proxy-only,cache_peer_access用法,cache_peer_allowexample,不要