运维面试题解析及答案

运维面试题解析及答案一、运维基础知识题（总分：100分）1.选择题（每题5分，共25分）1.以下哪个命令可以用来查看Linux系统的负载情况？A.topB.psC.dfD.free答案：A解析：top命令可以实时显示系统的运行状态，包括CPU负载、内存使用情况等。ps命令用于显示当前运行的进程，df命令用于显示磁盘空间使用情况，free命令用于显示内存使用情况。只有top命令能够直接显示系统的整体负载情况。2.在Linux系统中，哪个文件包含了系统启动时需要运行的服务和程序的配置信息？A./etc/inittabB./etc/fstabC./etc/profileD./etc/sysctl.conf答案：A解析：在传统的SysVinit系统中，/etc/inittab文件包含了系统启动时需要运行的服务和程序的配置信息。虽然现代Linux发行版多采用systemd，不再使用inittab，但这是经典运维知识的一部分。/etc/fstab用于定义文件系统表，/etc/profile是全局环境变量配置文件，/etc/sysctl.conf用于系统内核参数配置。3.关于RAID技术，以下说法正确的是？A.RAID0提供了数据冗余但没有提高读写性能B.RAID1通过镜像提供了数据冗余，但没有提高读写性能C.RAID5通过分布式奇偶校验提供了数据冗余，但写性能较差D.RAID10结合了RAID0和RAID1的特点，提供了数据冗余和性能提升答案：C解析：RAID0通过条带化提高读写性能但没有数据冗余；RAID1通过镜像提供数据冗余，读性能提升但写性能降低；RAID5通过分布式奇偶校验提供数据冗余，但由于需要计算和写入奇偶校验信息，写性能相对较差；RAID10结合了RAID0和RAID1的特点，既提供数据冗余又提高读写性能。4.在TCP/IP协议栈中，以下哪个协议是可靠的面向连接的传输层协议？A.UDPB.TCPC.ICMPD.ARP答案：B解析：TCP(传输控制协议)是可靠的面向连接的传输层协议，提供数据确认、重传、流量控制和拥塞控制等功能。UDP(用户数据报协议)是无连接的传输层协议，不提供可靠性保证。ICMP(互联网控制报文协议)用于网络诊断和错误报告，ARP(地址解析协议)用于将IP地址解析为MAC地址。5.关于Linux文件权限，以下说法正确的是？A.rwxr-xr--表示所有者有读写执行权限，组用户有读执行权限，其他用户有读权限B.rwxr-xr--表示所有者有读执行权限，组用户有读写权限，其他用户有读权限C.chmod755file.txt表示所有者有读写执行权限，组用户和其他用户有读执行权限D.chownuser:groupfile.txt可以改变文件的所有者和组答案：D解析：rwxr-xr--表示所有者有读写执行权限(rwx)，组用户有读执行权限(r-x)，其他用户有读权限(r--)。chmod755file.txt中，7表示所有者有读写执行权限(111=7)，5表示组用户和其他用户有读执行权限(101=5)。chown命令用于改变文件的所有者和组。2.填空题（每题5分，共25分）1.在Linux系统中，使用________命令可以查看系统当前运行的所有进程及其详细信息。答案：psaux解析：psaux命令可以显示系统中所有进程的详细信息，包括进程ID(PID)、CPU使用率、内存使用情况等。其中a表示显示所有进程，u表示以用户为中心的格式显示，x表示显示没有控制终端的进程。2.文件系统挂载时，可以使用________选项来设置文件系统不自动卸载，即使文件系统已不再使用。答案：noauto解析：在/etc/fstab文件中，noauto选项表示文件系统不会在系统启动时自动挂载，需要手动挂载。这对于可移动设备或网络文件系统特别有用，可以避免不必要的挂载尝试。3.在网络配置中，________命令可以显示和操作系统的路由表。答案：route解析：route命令用于显示和操作Linux系统的IP路由表。它可以用来添加、删除或修改路由规则。现代Linux系统也使用iproute命令来实现类似功能。4.在Linux系统中，________命令可以用来查找文件系统中符合特定模式的文件。答案：find解析：find命令可以根据文件名、文件类型、文件大小、修改时间等多种条件在文件系统中查找文件。例如，find/-name".log"可以查找根目录下所有扩展名为.log的文件。5.在Shell脚本中，________变量用于保存脚本的命令行参数。答案：$@解析：在Shell脚本中，$@变量用于保存所有命令行参数，每个参数作为单独的字符串。$变量也用于保存命令行参数，但所有参数被视为一个字符串。$1、$2等变量分别表示第一个、第二个等命令行参数。3.判断题（每题5分，共25分）1.Linux系统中的/etc/shadow文件存储了用户的加密密码，只有root用户可以访问。答案：正确解析：/etc/shadow文件存储了用户的加密密码、密码过期信息等敏感数据，权限设置为只有root用户可读，以保护系统安全。普通用户无法直接查看此文件内容。2.RAID5至少需要3块硬盘才能实现。答案：正确解析：RAID5使用分布式奇偶校验来提供数据冗余，至少需要3块硬盘：2块用于存储数据，1块用于存储奇偶校验信息。随着硬盘数量增加，可用存储空间的比例会提高。3.在Linux系统中，符号链接(软链接)可以跨文件系统创建，而硬链接不能。答案：正确解析：符号链接(软链接)是一个指向另一个文件路径的特殊文件，可以跨文件系统创建。硬链接是文件的另一个名称，指向相同的inode，因此不能跨文件系统创建，因为不同文件系统有不同的inode空间。4.使用ping命令测试网络连通性时，如果收到"DestinationHostUnreachable"响应，表示目标主机存在但无法到达。答案：错误解析："DestinationHostUnreachable"表示目标主机不存在或无法到达，通常是由于路由问题或网络配置错误导致的。如果目标主机存在但防火墙阻止了ICMP请求，通常会收到超时(Timeout)响应，而不是"DestinationHostUnreachable"。5.在Linux系统中，使用crontab-e命令可以编辑当前用户的定时任务配置。答案：正确解析：crontab-e命令用于编辑当前用户的定时任务配置文件。保存退出后，cron守护进程会自动检测到配置文件的变更并加载新的定时任务配置。crontab-l命令用于列出当前用户的定时任务，crontab-r命令用于删除当前用户的定时任务。4.简答题（每题12.5分，共25分）1.请简述Linux系统中的inode是什么，以及它与文件的关系。答案：inode是Linux文件系统中的一个核心概念，代表索引节点(indexnode)。它是文件系统中的一个数据结构，存储了文件的元数据信息，但不包括文件名和文件内容。inode包含以下信息：-文件类型(普通文件、目录、设备文件等)-文件权限(读、写、执行)-文件所有者和所属组-文件大小-文件创建、修改和最后访问时间-文件数据块指针-链接计数文件系统中的每个文件和目录都有一个唯一的inode号。文件名存储在目录中，目录项将文件名与对应的inode号关联起来。当访问文件时，系统首先通过目录找到inode号，然后通过inode号找到文件的实际数据位置。inode与文件的关系：-一个inode可以对应多个文件名(硬链接)-文件内容存储在数据块中，inode包含指向这些数据块的指针-文件删除时，实际上是减少inode的链接计数，当链接计数为0时，文件内容空间才被释放-inode数量在文件系统创建时确定，不能动态增加，因此inode数量可能成为限制文件系统中文件数量的因素2.请解释什么是系统负载(loadaverage)，以及如何理解其数值含义。答案：系统负载(loadaverage)是衡量系统工作负载的指标，表示在特定时间间隔内，处于运行状态或等待状态的进程数量。在Linux系统中，可以通过top命令或uptime命令查看系统的负载情况。系统负载通常显示三个数值，分别代表1分钟、5分钟和15分钟内的平均负载：-loadaverage:0.45,0.78,1.23-第一个数字(0.45)表示过去1分钟内的平均负载-第二个数字(0.78)表示过去5分钟内的平均负载-第三个数字(1.23)表示过去15分钟内的平均负载理解系统负载数值的关键：-负载数值与CPU核心数相关：对于一个单核CPU系统，负载为1表示CPU处于满负荷状态；对于一个4核CPU系统，负载为4表示CPU处于满负荷状态-负载值超过CPU核心数时，表示有进程需要等待CPU资源，系统响应可能会变慢-负载值趋势比绝对值更重要：如果1分钟负载高但5分钟和15分钟负载低，可能是临时性负载高峰；如果所有三个数值都持续高于CPU核心数，则表明系统存在持续的性能问题理解系统负载时还需要考虑：-系统负载不仅包括CPU使用情况，还包括等待I/O操作的进程-在多核系统中，负载值可以超过核心数而不一定表示性能问题-不同类型的系统有不同的负载基准：Web服务器通常希望保持低负载，而批处理系统可能在高负载下运行更有效5.论述题（每题25分，共25分）1.请详细阐述Linux系统启动过程，并解释各阶段的主要作用和常见问题排查方法。答案：Linux系统启动过程是一个复杂的多阶段过程，从硬件通电到用户登录界面出现。以下是详细的启动过程及各阶段的主要作用和常见问题排查方法：第一阶段：BIOS/UEFI初始化-作用：硬件自检和初始化，加载引导程序-过程：系统加电后，BIOS/UEFI首先进行POST(加电自检)，检测硬件设备是否正常工作；然后按照预设的启动顺序(如硬盘、网络、CD-ROM等)查找引导设备；找到引导设备后，加载引导程序到内存中并执行-常见问题：如果系统无法启动，可能是BIOS/UEFI配置错误，如启动顺序不正确、硬件故障等。可以通过进入BIOS/UEFI设置界面检查和修改启动顺序，或使用诊断工具检测硬件状态第二阶段：引导程序加载-作用：加载Linux内核和initramfs-过程：引导程序(GRUB或LILO)接管系统控制权，加载配置文件(如grub.cfg)，显示引导菜单(如果配置了多系统启动)，加载Linux内核和initramfs(初始RAM磁盘)到内存中，然后将控制权交给内核-常见问题：引导菜单不显示可能是GRUB配置错误；无法找到内核文件可能是分区表损坏或文件系统错误；可以使用LiveCD/USB进入系统修复GRUB配置或恢复文件系统第三阶段：内核初始化-作用：初始化硬件设备，挂载根文件系统，启动第一个进程-过程：内核解压并初始化自身，检测和初始化硬件设备(如CPU、内存、磁盘、网卡等)；挂载根文件系统(通常是只读模式)；执行init进程(传统上是/sbin/init，现代系统可能是systemd或其他init系统)-常见问题：内核崩溃可能是硬件不兼容或驱动问题；无法挂载根文件系统可能是文件系统损坏或设备标识错误；可以通过内核参数(如init=/bin/bash)进入紧急模式进行修复第四阶段：init系统运行-作用：初始化系统环境，启动系统服务-过程：init系统(如systemd、SysVinit、Upstart等)根据配置文件启动系统必要服务，设置系统环境变量，挂载文件系统(包括proc、sys、dev等虚拟文件系统)，设置网络等-常见问题：服务启动失败可能是服务配置错误或依赖问题；文件系统挂载失败可能是设备问题或文件系统损坏；可以查看系统日志(如/var/log/messages或journalctl)排查问题第五阶段：启动多用户服务-作用：启动用户级服务，提供系统功能-过程：init系统启动网络服务、日志服务、安全服务等用户级服务，根据运行级别(或target)启动相应的服务-常见问题：网络服务无法启动可能是网络配置错误；服务启动顺序不当可能导致依赖问题；可以使用systemctl命令管理服务状态和依赖关系第六阶段：启动登录界面-作用：提供用户登录界面-过程：启动图形登录界面(XDisplayManager如GDM、KDM等)或文本登录界面(getty)，等待用户登录-常见问题：图形界面无法启动可能是X服务器配置错误或驱动问题；登录失败可能是用户认证问题；可以检查Xorg日志或使用文本模式登录进行排查启动过程常见问题排查方法：-使用系统日志：查看/var/log/messages、/var/log/syslog或使用journalctl命令查看systemd日志-使用紧急模式：通过内核参数init=/bin/bash或systemd.unit=rescue.target进入紧急模式进行手动修复-使用单用户模式：通过内核参数single或1进入单用户模式，仅启动必要服务-使用LiveCD/USB：通过启动盘进入系统，修复文件系统、恢复GRUB配置等-检查硬件：使用硬件诊断工具检测内存、硬盘等硬件是否正常工作理解Linux系统启动过程对于系统管理员至关重要，它有助于快速定位和解决启动问题，优化系统启动性能，以及在系统故障时进行有效恢复。二、系统管理题（总分：100分）1.选择题（每题5分，共25分）1.在Linux系统中，以下哪个命令可以用来查看磁盘空间使用情况？A.dfB.duC.lsD.fdisk答案：A解析：df命令用于显示文件系统的磁盘空间使用情况，包括已用空间、可用空间、挂载点等信息。du命令用于显示目录或文件的磁盘使用量。ls命令用于列出目录内容。fdisk用于磁盘分区管理。2.以下哪个命令可以用来查看系统的内存使用情况？A.freeB.topC.vmstatD.以上都可以答案：D解析：free命令用于显示系统的内存使用情况，包括物理内存和交换空间的使用量。top命令可以实时显示内存使用情况，包括各个进程的内存占用。vmstat命令可以显示虚拟内存统计信息，包括内存使用情况。这三个命令都可以用来查看系统的内存使用情况。3.在Linux系统中，以下哪个命令可以用来创建新的文件系统？A.mkfsB.fdiskC.mountD.umount答案：A解析：mkfs命令用于在设备上创建新的文件系统，如mkfs.ext4、mkfs.xfs等。fdisk用于磁盘分区管理。mount命令用于挂载文件系统。umount命令用于卸载文件系统。4.以下哪个命令可以用来查看系统日志文件？A.catB.tailC.lessD.以上都可以答案：D解析：cat命令可以查看文件内容，包括日志文件。tail命令可以查看文件的末尾部分，常用于实时查看日志更新。less命令可以分页查看文件内容。这三个命令都可以用来查看系统日志文件。5.在Linux系统中，以下哪个命令可以用来查看网络接口的配置信息？A.ifconfigB.ipC.netstatD.以上都可以答案：D解析：ifconfig命令用于显示和配置网络接口信息。ip命令是更现代的网络配置工具，可以显示和配置网络接口、路由表等。netstat命令用于显示网络连接、路由表、接口统计等信息。这三个命令都可以用来查看网络接口的配置信息。2.填空题（每题5分，共25分）1.在Linux系统中，使用________命令可以查看系统当前运行的所有进程及其详细信息。答案：psaux解析：psaux命令可以显示系统中所有进程的详细信息，包括进程ID(PID)、CPU使用率、内存使用情况等。其中a表示显示所有进程，u表示以用户为中心的格式显示，x表示显示没有控制终端的进程。2.在Linux系统中，使用________命令可以查看系统的硬件信息，如CPU、内存、磁盘等。答案：lshw解析：lshw(listhardware)命令可以列出系统的硬件信息，包括CPU、内存、磁盘、网卡等详细信息。需要root权限才能运行。类似命令还有lscpu(显示CPU信息)、free(显示内存信息)、lsblk(显示块设备信息)等。3.在Linux系统中，使用________命令可以查看系统的网络连接状态。答案：netstat解析：netstat命令可以显示系统的网络连接状态，包括TCP、UDP和RAW连接，以及监听端口。常用选项包括-t(显示TCP连接)、-u(显示UDP连接)、-l(显示监听端口)、-n(以数字形式显示地址和端口)等。现代Linux系统也可以使用ss命令替代netstat。4.在Linux系统中，使用________命令可以查看系统的系统调用统计信息。答案：strace解析：strace命令可以跟踪进程的系统调用和信号接收。通过strace，可以查看进程执行了哪些系统调用，传递了哪些参数，返回了什么结果。这对于调试程序问题、分析程序行为非常有用。5.在Linux系统中，使用________命令可以查看系统的内核模块信息。答案：lsmod解析：lsmod命令可以列出当前加载的内核模块及其依赖关系。它读取/proc/modules文件并显示格式化的信息。要加载或卸载内核模块，通常使用insmod和rmmod命令，或者更现代的modprobe命令。3.判断题（每题5分，共25分）1.在Linux系统中，使用kill命令可以终止进程，但只能终止当前用户拥有的进程。答案：错误解析：kill命令可以发送信号给进程，默认是终止信号(SIGTERM)。如果使用root权限，kill命令可以终止任何用户的进程。普通用户只能终止自己拥有的进程，除非特别授权。要强制终止进程，可以使用kill-9命令发送SIGKILL信号。2.在Linux系统中，使用chown命令可以改变文件的所有者和所属组。答案：正确解析：chown(changeowner)命令可以改变文件的所有者和所属组。例如，chownuser:groupfile.txt可以将file.txt的所有者改为user，所属组改为group。chownuserfile.txt只改变所有者，chown:groupfile.txt只改变所属组。3.在Linux系统中，使用crontab命令可以设置定时任务，但只能设置root用户的定时任务。答案：错误解析：crontab命令可以设置定时任务，任何用户都可以设置自己的定时任务。root用户也可以设置其他用户的定时任务，使用-u选项，如crontab-uusername-e。系统级的定时任务通常放在/etc/crontab或/etc/cron.d/目录下。4.在Linux系统中，使用tar命令可以创建、查看和解压tar归档文件，但不能压缩文件。答案：错误解析：tar命令可以创建、查看和解压tar归档文件，也可以结合压缩工具进行压缩。例如，tar-czvfarchive.tar.gzdirectory可以创建gzip压缩的tar归档文件，tar-cjvfarchive.tar.bz2directory可以创建bzip2压缩的tar归档文件。5.在Linux系统中，使用mount命令可以挂载文件系统，但只能由root用户执行。答案：正确解析：mount命令需要root权限才能执行，因为涉及文件系统的挂载操作。普通用户无法直接使用mount命令挂载文件系统。不过，可以通过设置/etc/fstab文件中的user选项，允许普通用户挂载特定的文件系统。4.简答题（每题12.5分，共25分）1.请简述Linux系统中的用户和组管理，包括创建、修改和删除用户和组的方法。答案：Linux系统中的用户和组管理是系统管理的重要部分，涉及用户账号的创建、修改、删除，以及用户组的创建、修改和删除。以下是详细说明：用户管理：创建用户：-使用useradd命令：useraddusername，创建一个新用户，默认创建家目录，设置基本属性-使用adduser命令：adduserusername，一个更友好的用户添加工具，会提示输入用户信息-使用useradd的选项可以自定义用户属性，如：--m：创建用户时创建家目录--d/home/customdir：指定家目录路径--s/bin/bash：指定用户默认shell--Ggroup1,group2：指定用户所属的附加组--c"comment"：添加用户注释--uuid：指定用户ID修改用户：-使用usermod命令：usermodusername，修改用户属性-常用选项：--lnewname：修改用户名--d/new/home：修改家目录--m-d/new/home：同时移动家目录内容--s/new/shell：修改默认shell--Ggroup1,group2：修改用户所属的附加组--a-Gnewgroup：添加用户到新组而不移除现有组--L：锁定用户账号--U：解锁用户账号--c"newcomment"：修改用户注释删除用户：-使用userdel命令：userdelusername，删除用户账号-使用userdel-rusername，删除用户账号及其家目录和邮件文件-注意：删除用户不会删除该用户创建的文件，除非明确指定组管理：创建组：-使用groupadd命令：groupaddgroupname，创建一个新组-使用groupadd的选项可以自定义组属性，如：--ggid：指定组ID--r：创建系统组，ID低于系统保留范围(通常为499)修改组：-使用groupmod命令：groupmodgroupname，修改组属性-常用选项：--nnewname：修改组名--ggid：修改组ID删除组：-使用groupdel命令：groupdelgroupname，删除组-注意：不能删除有成员的组，需要先移除组成员或删除用户密码管理：设置用户密码：-使用passwd命令：passwdusername，为指定用户设置密码-使用passwd，为当前用户设置密码-使用echo"password"|passwd--stdinusername，非交互式设置密码锁定/解锁用户密码：-使用passwd-lusername，锁定用户密码-使用passwd-uusername，解锁用户密码-使用passwd-eusername，立即使用户密码过期用户和组文件：Linux系统中的用户和组信息存储在以下文件中：-/etc/passwd：用户账号信息，包括用户名、密码占位符、UID、GID、家目录、默认shell等-/etc/shadow：用户密码信息，包括加密密码、密码过期信息等-/etc/group：组信息，包括组名、密码占位符、GID、组成员等-/etc/gshadow：组密码信息，包括组加密密码、管理员列表、组成员列表等通过直接编辑这些文件也可以管理用户和组，但通常不推荐，因为容易出错。推荐使用useradd、usermod、userdel、groupadd、groupmod、groupdel等命令。2.请解释Linux系统中的文件权限和访问控制列表(ACL)，以及如何设置和管理它们。答案：Linux系统中的文件权限和访问控制列表(ACL)是控制文件和目录访问权限的两种机制。以下是详细解释：基本文件权限：Linux系统中的基本文件权限分为三类：-所有者(owner)：文件或目录的创建者或被赋予所有权的用户-组(group)：与文件或目录关联的用户组-其他用户(others)：既不是所有者也不是组成员的用户每类用户对文件或目录有三种权限：-读(r)：允许读取文件内容或列出目录内容-写(w)：允许修改文件内容或创建/删除目录中的文件-执行(x)：允许执行文件或进入目录权限表示方式：-符号表示：rwx(读、写、执行)-数字表示：r=4,w=2,x=1，如755表示rwxr-xr-x查看文件权限：-使用ls-l命令：显示文件类型、权限、链接数、所有者、组、大小、修改时间和文件名修改文件权限：-使用chmod命令：chmod[选项]模式文件-符号模式：u+(添加权限)、u-(移除权限)、g+(添加权限)、g-(移除权限)、o+(添加权限)、o-(移除权限)、a+(添加权限)、a-(移除权限)、r(读)、w(写)、x(执行)-数字模式：chmod755file(设置权限为rwxr-xr-x)-递归修改：chmod-R755directory(递归修改目录及其内容的权限)修改文件所有者和组：-使用chown命令：chown[选项]所有者[:组]文件-修改所有者：chownuserfile-修改所有者和组：chownuser:groupfile-递归修改：chown-Ruser:groupdirectory使用chgrp命令修改组：chgrpgroupfile特殊权限：除了基本权限外，Linux系统还有三种特殊权限：-SUID(SetUserID)：执行文件时以文件所有者的权限运行，而不是执行者的权限-设置方式：chmodu+sfile-数字表示：4xxx-常见应用：passwd命令需要修改/etc/shadow文件，但普通用户没有该文件的写权限，通过设置SUID位，普通用户以root权限执行passwd-SGID(SetGroupID)：执行文件时以文件所属组的权限运行；对于目录，新创建的文件自动继承目录的组-设置方式：chmodg+sfile/directory-数字表示：2xxx-常见应用：团队共享目录，确保新创建的文件属于正确的组-StickyBit：对于目录，只允许文件所有者删除或重命名自己的文件，即使其他用户有写入权限-设置方式：chmod+tdirectory-数字表示：1xxx-常见应用：/tmp目录，防止用户删除其他用户的临时文件访问控制列表(ACL)：ACL是对基本文件权限的扩展，提供更细粒度的访问控制：-可以多个用户和组设置不同的权限-可以设置默认权限，应用于新创建的文件和目录查看ACL：-使用getfacl命令：getfaclfile设置ACL：-使用setfacl命令：setfacl[选项]文件-为用户设置权限：setfacl-uusername:rwfile-为组设置权限：setfacl-ggroupname:r-xfile-设置默认ACL：setfacl-d-mu:user:rwdirectory(设置默认ACL)-递归设置：setfacl-R-mu:user:rwdirectory(递归设置ACL)删除ACL：-使用setfacl命令：setfacl-xfile(删除所有ACL)-使用setfacl-kfile(删除默认ACL)ACL与基本权限的关系：ACL是基本权限的补充，而不是替代：-当文件有ACL时，访问权限由ACL决定-当文件没有ACL时，访问权限由基本权限决定-基本权限始终有效，ACL可以添加额外的权限限制或授权ACL示例：为用户alice设置对文件file.txt的读写权限：```setfacl-ualice:rwfile.txt```为组developers设置对目录project的读执行权限：```setfacl-gdevelopers:r-xproject```设置默认ACL，使新创建的文件自动继承权限：```setfacl-d-mu:alice:rw-mg:developers:r-xproject```通过合理使用基本文件权限和ACL，可以实现对文件和目录访问权限的精细控制，满足复杂的访问控制需求。5.论述题（每题25分，共25分）1.请详细阐述Linux系统中的进程管理，包括进程的创建、调度、监控和终止方法，以及进程优先级和亲和性的设置。答案：Linux系统中的进程管理是系统管理员需要掌握的核心技能之一。进程是程序执行的一个实例，包含程序代码、数据、执行状态和资源分配等信息。以下是Linux系统中进程管理的详细阐述：进程的创建：在Linux系统中，进程的创建主要有两种方式：1.fork()系统调用：-fork()是Linux中最基本的进程创建方法，它创建一个与父进程几乎完全相同的子进程-子进程继承父进程的几乎所有属性，包括文件描述符、信号处理方式、内存空间等-fork()调用在父进程中返回子进程的PID，在子进程中返回0-通常，fork()后会紧跟一个exec()系统调用，用新程序替换子进程的内存空间，执行新程序2.vfork()系统调用：-vfork()是fork()的一种优化，特别适用于立即执行exec()的情况-vfork()创建的子进程与父进程共享内存空间，直到子进程调用exec()或exit()-在子进程调用exec()或exit()之前，父进程会被阻塞-vfork()比fork()更高效，因为它避免了复制内存空间的开销3.clone()系统调用：-clone()是更通用的进程创建方法，可以控制子进程继承哪些属性-clone()允许创建线程(共享内存空间)或完全独立的进程-clone()通过参数指定要共享或复制的资源类型4.system()函数：-system()函数在C库中实现，通过调用fork()、exec()和wait()来执行命令-system()函数会启动shell来执行指定的命令，有一定的开销5.exec系列函数：-exec()函数族用于用新程序替换当前进程的内存空间-包括execl()、execlp()、execle()、execv()、execvp()、execve()等-这些函数的区别在于参数传递方式和是否搜索PATH环境变量进程的调度：Linux进程调度器负责决定哪个进程可以获得CPU时间以及运行多长时间。以下是Linux进程调度的关键概念：1.进程状态：-运行态(R)：正在CPU上运行或准备运行-睡眠态(S)：等待某个事件完成(可中断)-不可中断睡眠态(D)：等待I/O操作完成(不可中断)-僵尸态(Z)：已终止但父进程尚未读取退出状态-停止态(T)：被暂停(如收到SIGSTOP信号)2.调度类：-Linux使用完全公平调度器(CFS)作为默认调度器-CFS为每个进程维护虚拟运行时间(vruntime)，确保所有进程获得公平的CPU时间-还有实时调度类，用于对时间敏感的任务3.调度策略：-SCHED_NORMAL：普通进程调度策略-SCHED_FIFO：实时先进先出策略-SCHED_RR：实时轮转策略-SCHED_BATCH：批处理进程，适合长时间运行但不要求及时响应的任务-SCHED_IDLE：空闲进程，只在系统空闲时运行4.nice值：-nice值范围从-20到19，-20表示最高优先级，19表示最低优先级-只有root用户可以设置负的nice值-nice值影响进程的权重，权重高的进程获得更多CPU时间-使用nice命令启动新进程：nice-n10command-使用renice命令修改已运行进程的nice值：renice10pid5.实时优先级：-实时进程的优先级范围从1到99，1为最低，99为最高-实时进程总是优先于普通进程运行-使用chrt命令设置实时优先级：chrt-p99pid进程的监控：Linux系统提供了多种工具来监控进程状态和资源使用情况：1.ps命令：-显示当前运行的进程信息-常用选项：aux(显示所有进程详细信息)、-ef(显示所有进程)、-uusername(显示指定用户的进程)-输出包括PID、CPU使用率、内存使用率、运行时间、命令等信息2.top命令：-实时显示系统进程和资源使用情况-可以按CPU使用率、内存使用率等排序-可以交互式操作，如杀死进程、改变进程优先级等3.htop命令：-top的增强版，提供更友好的界面和更多功能-支持垂直和水平滚动，彩色显示，树状进程视图等4.pgrep命令：-根据条件查找进程ID-常用选项：-u(按用户查找)、-l(显示进程名)、-f(按完整命令行查找)5.pidstat命令：-显示进程的统计信息-可以监控CPU、内存、I/O等资源使用情况6./proc文件系统：-/proc目录包含系统运行的实时信息-/proc/[pid]目录包含特定进程的信息，如/proc/[pid]/status、/proc/[pid]/cmdline等-可以直接查看这些文件获取进程详细信息进程的终止：Linux提供了多种方法来终止进程：1.kill命令：-向进程发送信号-默认发送SIGTERM(15)信号，请求进程正常终止-使用kill-9pid发送SIGKILL(9)信号，强制终止进程-使用kill-l列出所有可用信号2.pkill命令：-根据进程名或其他属性杀死进程-常用选项：-u(按用户杀死)、-f(按完整命令行杀死)、-signal(指定信号)3.xkill命令：-图形界面工具，点击窗口杀死进程4.systemctl命令：-对于systemd管理的服务，使用systemctlstopservice-name停止服务进程优先级和亲和性设置：1.进程优先级设置：-使用nice命令设置新进程的优先级：nice-n10command-使用renice命令修改已运行进程的优先级：renice10pid-只有root用户可以设置负的nice值2.实时优先级设置：-使用chrt命令设置实时进程的优先级：chrt-p99pid-只能以root权限运行3.CPU亲和性设置：-CPU亲和性控制进程可以在哪些CPU核心上运行-使用taskset命令设置进程的CPU亲和性：taskset-c0,1-3command-使用numactrl命令控制进程在NUMA节点上的亲和性4.cgroups：-cgroups(ControlGroups)是Linux内核功能，用于限制、审计和隔离进程组使用的物理资源-可以设置CPU使用限制、内存限制、I/O限制等-使用cgcreate、cgset、cgexec等命令管理cgroups-systemd也支持使用cgroups限制服务资源使用进程管理最佳实践：1.合理设置进程优先级：-对交互式进程设置较高优先级(nice值较低)-对批处理进程设置较低优先级(nice值较高)-避免过度使用高优先级进程，可能导致系统响应变慢2.使用进程监控工具：-定期使用top、htop等工具监控系统进程状态-设置适当的告警阈值，及时发现异常进程3.合理使用cgroups：-对资源密集型应用使用cgroups限制资源使用-防止单个进程消耗过多系统资源4.避免使用SIGKILL：-尽量使用SIGTERM终止进程，让进程有机会清理资源-只有在进程无响应时才使用SIGKILL5.理解僵尸进程：-僵尸进程已终止但父进程尚未读取其退出状态-长期存在的僵尸进程可能表明父进程有问题-解决方法是杀死父进程或修复父程序通过掌握Linux进程管理的各个方面，系统管理员可以有效地管理系统资源，确保系统稳定运行，并优化应用程序性能。三、网络知识题（总分：100分）1.选择题（每题5分，共25分）1.在TCP/IP协议栈中，以下哪个协议是可靠的面向连接的传输层协议？A.UDPB.TCPC.ICMPD.ARP答案：B解析：TCP(传输控制协议)是可靠的面向连接的传输层协议，提供数据确认、重传、流量控制和拥塞控制等功能。UDP(用户数据报协议)是无连接的传输层协议，不提供可靠性保证。ICMP(互联网控制报文协议)用于网络诊断和错误报告，ARP(地址解析协议)用于将IP地址解析为MAC地址。2.以下哪个命令可以用来查看系统的路由表？A.routeB.netstatC.ifconfigD.arp答案：A解析：route命令用于显示和操作Linux系统的IP路由表。netstat命令用于显示网络连接、路由表、接口统计等信息。ifconfig命令用于显示和配置网络接口信息。arp命令用于显示和操作ARP缓存。3.在Linux系统中，以下哪个命令可以用来测试网络连通性？A.pingB.tracerouteC.telnetD.以上都可以答案：D解析：ping命令可以测试与目标主机的网络连通性。traceroute命令可以显示数据包到达目标主机所经过的路由路径。telnet命令可以测试与目标主机的特定端口的连接。这三个命令都可以用来测试网络连通性，但方式和目的不同。4.在TCP协议中，以下哪个状态表示连接已建立，可以进行数据传输？A.SYN_SENTB.SYN_RECEIVEDC.three-wayhandshakeD.ESTABLISHED答案：D解析：在TCP协议中，ESTABLISHED状态表示连接已建立，可以进行数据传输。SYN_SENT状态表示客户端已发送SYN包，等待服务器响应。SYN_RECEIVED状态表示服务器已收到SYN包并发送了SYN+ACK包，等待客户端确认。three-wayhandshake是TCP连接建立的过程，不是连接状态。5.在Linux系统中，以下哪个文件包含了网络接口的配置信息？A./etc/hostsB./etc/network/interfacesC./etc/resolv.confD./etc/hostname答案：B解析：在基于Debian/Ubuntu的系统中，/etc/network/interfaces文件包含了网络接口的配置信息。/etc/hosts文件包含主机名和IP地址的映射。/etc/resolv.conf文件包含DNS解析器的配置信息。/etc/hostname文件包含系统主机名。2.填空题（每题5分，共25分）1.在TCP/IP协议栈中，________协议是用于将IP地址解析为MAC地址的协议。答案：ARP解析：ARP(AddressResolutionProtocol)是用于将IP地址解析为MAC地址的协议。当主机需要与同一网络上的另一台主机通信时，它会使用ARP协议获取目标IP地址对应的MAC地址。ARP协议使用广播消息发送ARP请求，目标主机响应其MAC地址。2.在Linux系统中，使用________命令可以查看系统的网络连接状态。答案：netstat解析：netstat命令可以显示系统的网络连接状态，包括TCP、UDP和RAW连接，以及监听端口。常用选项包括-t(显示TCP连接)、-u(显示UDP连接)、-l(显示监听端口)、-n(以数字形式显示地址和端口)等。现代Linux系统也可以使用ss命令替代netstat。3.在Linux系统中，使用________命令可以查看系统的ARP缓存。答案：arp解析：arp命令可以显示和操作系统的ARP缓存。使用arp命令不带参数可以显示当前ARP缓存中的条目。arp-a命令可以显示所有接口的ARP缓存。arp-d命令可以删除ARP缓存中的条目。4.在Linux系统中，使用________命令可以查看系统的网络接口统计信息。答案：ifconfig解析：ifconfig命令可以显示和配置网络接口信息，包括接口的IP地址、MAC地址、网络统计信息等。不带参数的ifconfig命令显示所有已启用的网络接口信息。ifconfiginterface命令显示指定接口的信息。5.在Linux系统中，使用________命令可以查看系统的DNS解析器配置。答案：cat/etc/resolv.conf解析：/etc/resolv.conf文件包含系统的DNS解析器配置信息，包括DNS服务器的IP地址、搜索域等。可以使用cat/etc/resolv.conf命令查看该文件的内容。现代Linux系统可能使用systemd-resolved或NetworkManager管理DNS配置，此时可以使用resolvectl命令查看DNS配置。3.判断题（每题5分，共25分）1.在TCP协议中，三次握手是建立连接的过程，而四次挥手是终止连接的过程。答案：正确解析：在TCP协议中，三次握手是建立连接的过程：客户端发送SYN包，服务器响应SYN+ACK包，客户端发送ACK包确认。四次挥手是终止连接的过程：一方发送FIN包，另一方确认，然后另一方也发送FIN包，一方确认。2.在Linux系统中，使用ping命令测试网络连通性时，如果收到"DestinationHostUnreachable"响应，表示目标主机存在但无法到达。答案：错误解析："DestinationHostUnreachable"表示目标主机不存在或无法到达，通常是由于路由问题或网络配置错误导致的。如果目标主机存在但防火墙阻止了ICMP请求，通常会收到超时(Timeout)响应，而不是"DestinationHostUnreachable"。3.在TCP协议中，SYNFlood攻击是一种拒绝服务攻击，通过发送大量伪造的SYN包消耗服务器资源。答案：正确解析：SYNFlood攻击是一种拒绝服务攻击，攻击者发送大量伪造源IP地址的SYN包，但不完成三次握手，导致服务器维护大量半连接状态，耗尽服务器资源。防御SYNFlood攻击的方法包括使用SYNCookie、增加半连接队列大小、使用防火墙过滤等。4.在Linux系统中，使用iptables命令可以配置防火墙规则，控制网络数据包的流动。答案：正确解析：iptables是Linux内核的防火墙工具，可以配置规则来过滤、修改或转发网络数据包。iptables使用表(table)、链(chain)和规则(rule)的概念，包括filter表(用于过滤数据包)、nat表(用于网络地址转换)和mangle表(用于修改数据包)。5.在TCP协议中，窗口大小用于控制流量，表示接收方可以接收的数据量。答案：正确解析：在TCP协议中，窗口大小用于流量控制，表示接收方可以接收的数据量。发送方根据接收方通告的窗口大小调整发送速率，避免接收方缓冲区溢出。窗口大小可以在TCP连接建立时协商，也可以在数据传输过程中动态调整。4.简答题（每题12.5分，共25分）1.请简述TCP和UDP协议的主要区别，以及它们各自的应用场景。答案：TCP(传输控制协议)和UDP(用户数据报协议)是两种主要的传输层协议，它们在设计理念、特性和应用场景上有显著区别。以下是TCP和UDP的主要区别及各自的应用场景：主要区别：1.连接性：-TCP是面向连接的协议，在数据传输前需要建立连接(三次握手)，传输结束后需要终止连接(四次挥手)-UDP是无连接的协议，不需要建立连接，可以直接发送数据包2.可靠性：-TCP提供可靠的数据传输，通过序列号、确认应答、超时重传、校验和等机制确保数据完整有序-UDP不提供可靠性保证，数据包可能丢失、重复或乱序到达3.传输效率：-TCP由于需要建立连接、确认、重传等机制，传输效率较低，延迟较高-UDP没有额外的控制机制，传输效率高，延迟低4.流量控制：-TCP使用滑动窗口机制进行流量控制，根据接收方的能力调整发送速率-UDP没有内置的流量控制机制，需要应用层实现5.拥塞控制：-TCP实现了拥塞控制算法(如慢启动、拥塞避免、快速重传、快速恢复)，防止网络拥塞-UDP没有内置的拥塞控制机制，可能导致网络拥塞6.数据传输模式：-TCP是字节流协议，没有消息边界，应用层需要自行处理消息边界-UDP是数据报协议，保留了消息边界，每个UDP数据包是独立的7.头部开销：-TCP头部较大(最小20字节)，包含序列号、确认号、窗口大小、校验和等字段-UDP头部较小(8字节)，只包含源端口、目标端口、长度、校验和等基本信息8.多播和广播支持：-TCP不支持多播和广播-UDP支持多播和广播，可以同时向多个接收方发送数据TCP的应用场景：1.Web浏览：-HTTP/HTTPS协议基于TCP，需要可靠的数据传输确保网页内容完整加载-浏览器需要接收完整的HTML、CSS、JavaScript等文件2.文件传输：-FTP、SFTP等文件传输协议基于TCP，确保文件完整传输-文件传输需要保证数据的完整性和顺序3.电子邮件：-SMTP、POP3、IMAP等电子邮件协议基于TCP，确保邮件内容完整传输-邮件内容通常较大，需要可靠传输4.数据库访问：-MySQL、PostgreSQL等数据库协议基于TCP，确保查询和数据的完整传输-数据库操作需要保证数据的一致性和完整性5.远程登录：-SSH、Telnet等远程登录协议基于TCP，确保命令和响应的可靠传输-远程登录需要实时的、可靠的交互UDP的应用场景：1.实时音视频通信：-VoIP、视频会议等应用使用UDP传输音视频数据-实时应用对延迟敏感，可以容忍少量数据丢失2.在线游戏：-多人在线游戏使用UDP传输游戏状态和玩家动作-游戏需要低延迟，可以容忍少量数据丢失3.DNS查询：-DNS协议使用UDP传输查询和响应-DNS查询通常较小，需要快速响应4.广播和多播：-网络发现、DHCP、RIP等协议使用UDP广播或多播-需要同时向多个接收方发送数据选择TCP或UDP的考虑因素：1.可靠性需求：-如果应用需要可靠的数据传输，选择TCP-如果应用可以容忍少量数据丢失，选择UDP2.延迟需求：-如果应用对延迟敏感，选择UDP-如果应用可以接受较高延迟，选择TCP3.带宽需求：-如果应用需要高带宽传输，选择UDP-如果应用可以接受较低带宽，选择TCP4.数据量大小：-如果传输的数据量较大，选择TCP-如果传输的数据量较小，选择UDP5.实时性需求：-如果应用需要实时交互，选择UDP-如果应用可以接受非实时交互，选择TCP混合使用TCP和UDP的场景：一些应用同时使用TCP和UDP，例如：-流媒体应用可能使用UDP传输音视频数据，使用TCP传输控制信息-网络游戏可能使用UDP传输游戏状态，使用TCP传输聊天消息-P2P应用可能使用UDP发现节点，使用TCP传输文件理解TCP和UDP的区别以及各自的应用场景，对于网络应用设计和系统配置非常重要。选择合适的传输层协议可以提高应用的性能和可靠性。2.请解释什么是NAT(网络地址转换)，以及它在网络中的作用和实现方式。答案：NAT(NetworkAddressTranslation，网络地址转换)是一种在计算机网络中广泛使用的技术，用于修改数据包的IP地址信息。以下是NAT的详细解释：NAT的定义和作用：NAT是一种将一个IP地址空间映射到另一个IP地址空间的技术，主要用于解决IPv4地址耗尽问题，同时提供一定的安全性。NAT的主要作用包括：1.解决IPv4地址耗尽问题：-IPv4地址空间有限，随着互联网的快速发展，IPv4地址逐渐耗尽-NAT允许多个内部设备共享一个或少量公共IP地址，减少公共IP地址的需求-内部设备使用私有IP地址，通过NAT设备访问互联网2.提供网络隔离和安全：-NAT隐藏内部网络结构，外部网络无法直接访问内部设备-内部设备对外部网络不可见，提供一定程度的网络安全-可以配置NAT规则，控制内部设备访问外部网络的方式3.简化网络管理：-内部网络可以使用任意的私有IP地址，无需担心地址冲突-当内部网络需要改变ISP或公共IP地址时，只需修改NAT设备的配置-可以轻松合并多个网络，而不需要重新分配地址4.负载均衡：-一些NAT实现支持负载均衡，将外部请求分配到多个内部服务器-可以提高系统的可用性和性能NAT的类型：NAT可以分为多种类型，根据转换方式和应用场景不同：1.静态NAT(StaticNAT)：-建立固定的内部私有IP地址与外部公共IP地址的映射-每个内部设备有一个固定的外部IP地址-适用于需要从外部访问内部设备的场景，如服务器2.动态NAT(DynamicNAT)：-从外部IP地址池中动态分配IP地址给内部设备-内部设备使用外部IP地址时从池中获取，释放后返回池中-适用于内部设备临时访问外部网络的场景3.PAT/NAToverloading(端口地址转换)：-也称为NAPT(NetworkAddressPortTranslation)-多个内部设备共享一个外部IP地址，通过不同的端口号区分-最常用的NAT类型，广泛用于家庭和办公网络4.双向NAT(Two-wayNAT)：-同时进行源地址转换和目的地址转换-适用于复杂的网络环境，如企业网络与合作伙伴网络的连接5.EasyIP：-使用外部接口的IP地址作为转换后的源IP地址-不需要配置外部IP地址池，简化配置NAT的实现方式：NAT可以通过硬件或软件实现：1.硬件NAT：-专门的硬件设备，如路由器、防火墙等-通常具有高性能，适合大型网络-例如Cisco、Juniper等厂商的网络设备2.软件NAT：-在通用服务器或网络设备上运行的软件-例如WindowsServer、Linux系统的iptables/nftables、虚拟化平台等-成本较低，适合中小型网络NAT的工作原理：以PAT/NAToverloading为例，NAT的工作原理如下：1.内部设备访问外部网络：-内部设备(00)发送数据包到外部服务器(0)-数据包的源IP地址是00，源端口是12345-数据包的目的IP地址是0，目的端口是802.NAT设备转换：-NAT设备收到数据包后，将源IP地址转换为外部IP地址()-NAT设备从端口池中分配一个临时端口(如54321)-NAT设备在NAT表中记录映射关系：内部IP:端口(00:12345)↔外部IP:端口(:54321)-转换后的数据包的源IP地址是，源端口是54321-数据包的目的IP地址是0，目的端口是803.外部服务器响应：-外部服务器(0)发送响应数据包到NAT设备-响应数据包的目的IP地址是，目的端口是54321-响应数据包的源IP地址是0，源端口是804.NAT设备逆向转换：-NAT设备收到响应数据包后，查询NAT表-NAT设备找到对应的映射关系：外部IP:端口(:54321)↔内部IP:端口(00:12345)-NAT设备将目的IP地址转换为内部IP地址(00)-NAT设备将目的端口转换为内部端口(12345)-转换后的响应数据包的目的IP地址是00，目的端口是12345-响应数据包的源IP地址是0，源端口是805.内部设备接收响应：-内部设备(00)接收响应数据包-内部设备认为响应来自外部服务器(0)，不知道NAT的存在NAT表：NAT设备维护NAT表来跟踪连接状态，NAT表条目通常包括：-内部IP地址和端口-外部IP地址和端口-协议类型(TCP/UDP/ICMP等)-转换类型(源地址转换/目的地址转换)-连接状态(已建立/已终止等)-超时时间NAT的局限性：尽管NAT有诸多优点，但也存在一些局限性：1.端到端连接问题：-NAT破坏了互联网的端到端连接模型-需要特殊技术(如UPnP、NAT-PMP、STUN、TURN等)支持内部设备从外部访问2.应用层协议兼容性问题：-一些应用层协议(如FTP、SIP、P2P等)在NAT环境下可能无法正常工作-需要应用层网关(ALG)或穿透技术支持3.安全性和隐私问题：-NAT可能隐藏安全问题，使内部网络的安全配置被忽视-端口扫描可能无法检测到内部设备4.性能影响：-NAT处理会增加网络设备的CPU和内存开销-大规模NAT可能成为网络瓶颈5.IPv6过渡问题：-IPv6提供了巨大的地址空间，理论上不需要NAT。但IPv4和IPv6共存期间需要双栈或转换技术-NAT64等技术用于IPv4和IPv6网络互通NAT与IPv6：IPv6提供了巨大的地址空间，理论上不需要NAT。然而，NAT仍然在IPv6网络中使用，原因包括：-网络隔离和安全-简化网络管理-负载均衡-策略路由在IPv6中，NAT通常称为NAT66，用于IPv6地址之间的转换。NAT的未来：随着IPv6的普及，NAT作为解决IPv4地址耗尽问题的技术将逐渐减少。然而，NAT提供的安全性和管理优势可能使其继续使用。未来网络可能采用混合模式，在需要的地方使用NAT，同时支持IPv6的端到端连接。理解NAT的原理、作用和局限性，对于网络设计、配置和故障排查非常重要。NAT是现代网络基础设施的重要组成部分，尽管有争议，但它在可预见的未来仍将广泛使用。5.论述题（每题25分，共25分）1.请详细阐述Linux系统中的防火墙配置，包括iptables和nftables的使用方法，以及常见的安全策略和最佳实践。答案：Linux系统中的防火墙配置是系统安全的重要组成部分。iptables和nftables是Linux系统中两种主要的防火墙工具，它们提供了强大的数据包过滤、网络地址转换和网络连接跟踪功能。以下是详细的阐述：iptables基础：iptables是Linux内核的防火墙工具，从Linux内核2.4版本开始引入，至今仍在广泛使用。它使用表(table)、链(chain)和规则(rule)的概念来管理网络数据包。1.表(Tables)：-iptables包含多个表，每个表有不同的用途：-filter表：用于过滤数据包，是最常用的表-nat表：用于网络地址转换，包括源地址转换(SNAT)和目的地址转换(DNAT)-mangle表：用于修改数据包的标志位，如TOS、TTL等-raw表：用于配置原始数据包跟踪-security表：用于SELinux上下文标记2.链(Chains)：-每个表包含多个链，链是规则的集合-内置链：-PREROUTING：数据包进入路由决策前-INPUT：数据包进入本地系统-FORWARD：数据包需要转发-OUTPUT：本地系统生成的数据包-POSTROUTING：数据包离开路由决策后3.规则(Rules)：-规则是防火墙的核心，定义如何处理匹配的数据包-规则由匹配条件(target)和动作组成-常见的动作：-ACCEPT：接受数据包-DROP：丢弃数据包，不发送响应-REJECT：拒绝数据包，发送响应-LOG：记录日志-RETURN：返回到上一条链-REDIRECT：重定向数据包到本地端口-MASQUERADE：源地址伪装-DNAT：目的地址转换-SNAT：源地址转换iptables基本命令：1.查看规则：```iptables-L-n-viptables-LINPUT-n-viptables-LFORWARD-n-v```2.添加规则：```iptables-AINPUT-ptcp--dport22-jACCEPTiptables-AINPUT-ptcp--dport80-jACCEPTiptables-AINPUT-ptcp--dport443-jACCEPTiptables-AINPUT-jDROP```3.插入规则：```iptables-IINPUT1-picmp-jACCEPT```4.删除规则：```iptables-DINPUT-ptcp--dport22-jACCEPTiptables-DINPUT1```5.修改规则：```iptables-RINPUT5-ptcp--dport8080-jACCEPT```6.设置默认策略：```iptables-PINPUTDROPiptables-PFORWARDDROPiptables-POUTPUTACCEPT```7.保存规则：```对于iptables-persistent包serviceiptablessave或者iptables-save>/etc/iptables/rules.v4iptables-save>/etc/iptables/rules.v6```nftables基础：nftables是iptables的替代品，从Linux内核3.13版本开始引入。它提供了一个更现代、更高效的防火墙框架，支持更复杂的规则集和更好的性能。1.nftables架构：-表(Tables)：类似iptables的表，但功能更强大-链(Chains)：规则的集合，可以嵌套-规则(Rules)：定义如何处理数