【ch02】Linux网络安全运维

Linux网络安全运维Linux服务器安全管理高级运维项目2“十四五”高等教育网络空间安全产业人才培养系列丛书“互联网+”新形态立体化一体精品教材+网络实时流量监测工具——iftop01iftop的安装安装iftop的方法非常简单，分为源码编译安装和yum源安装两种。这里以安装CentOS6.4为例，简单介绍如下。（1）源码编译安装。安装iftop必需的软件库：下载iftop，并进行编译安装：iftop的安装（2）yum源安装。安装iftop必需的软件库：这样，iftop就安装完成了。使用iftop监测网络接口实时流量01iftop输出界面说明执行“iftop-P-iem1”命令，得到如图2-1所示的iftop输出结果。iftop的输出从整体上可以分为三大部分。第一部分位于iftop输出中最上面的一行，此行信息是流量刻度，用于显示网卡的带宽流量，默认形式为每秒多少个bit。第二部分是iftop输出中最大的一部分，此部分又分为左、中、右3列，左列和中列记录了正在与本机网络进行连接的IP地址或主机。其中，中列中的“=>”指示箭头代表发送数据，“<=”指示箭头代表接收数据。通过指示箭头可以很清晰地知道两个IP地址之间的通信情况。右列分为3小列，其中的实时参数分别表示外部IP地址连接到本机在过去2s、10s和40s内的平均流量值。另外，这部分还包含一个流量图形条。流量图形条是流量大小的动态展示，以第一部分中的流量刻度为基准。通过这个流量图形条，可以很方便地看出哪个IP地址的流量最大，从而迅速定位网络中可能出现的流量问题。使用iftop监测网络接口实时流量01iftop输出界面说明第三部分位于iftop输出的最下面，分为3行。其中，“TX”表示发送数据，“RX”表示接收数据，“TOTAL”表示发送和接收的全部流量。与这3行对应的有3列，其中“cumm”列表示从运行iftop到目前为止的发送、接收和总数据量；“peak”列表示发送、接收及总的流量峰值；“rates”列表示过去2s、10s、40s内的平均流量值。使用iftop监测网络接口实时流量02iftop使用参数说明iftop还有很多附加参数和功能。执行“iftop-h”命令即可显示iftop所有可使用的参数信息。iftop常用参数的含义如下。-i：指定需要监测的网卡。-n：输出的主机信息使用IP地址来显示，不进行DNS反向解析。-B：将网卡流量以byte为单位输出，默认单位为bit。-p：混杂模式，类似于网络嗅探器。-N：仅显示连接端口号，而不显示对应的服务名称。-P：显示主机及端口信息。-F：显示特定网段网卡的进出流量。-m：设置流量刻度的最大值。使用iftop监测网络接口实时流量03iftop的交互操作在iftop的实时监控界面中，可以对输出结果进行交互式操作，用于对输出信息进行整理和过滤。在如图2-1所示的界面中，按“H”键即可进入交互选项界面。iftop的交互功能与Linux系统中的top命令非常类似，交互参数主要分为4部分，分别是一般参数、主机显示参数、端口显示参数和输出排序参数。相关参数的含义如下。P：暂停/继续。h：切换交互参数和状态输出界面。b：切换显示平均流量图形条开关，以界面第一行带宽为标尺。B：切换显示2s、10s、40s内的平均流量值。T：切换显示每个连接总流量。j/k：向上/向下滚动显示。l：打开输出过滤功能。L：切换显示流量刻度范围。q：退出。使用iftop监测网络接口实时流量03iftop的交互操作n：以主机名或IP地址的方式显示输出结果。s：切换显示源主机信息。d：切换显示远端目标主机信息。t：切换显示格式。N：切换显示端口号和对应服务名称。S：切换显示本地源主机端口信息。D：切换显示远端目标主机端口信息。p：切换显示端口信息。<：根据本地主机名进行排序。>：根据远端目标主机名进行排序。o：切换固定显示当前连接。iftop的强大之处在于它能够实时显示网络的流量状态，监控网卡流量的来源IP地址和目标地址。这对检测服务器网络故障和流量异常非常有用，只需通过一个命令即可迅速定位流量异常或产生网络故障的原因。因此，对运维人员来说，iftop是一个必不可少的网络故障排查工具。+网络实时流量监测与分析工具——ntop和ntopng02安装ntop与ntopngntop支持Win32、Linux、UNIX、BSD等平台。可以在ntop官方网站下载对应的版本。ntop的安装可以通过yum源和源码编译两种方式来实现。01安装ntopntopng是目前ntop官方主推的版本，可以下载最新的源码并进行编译安装。02安装ntopngntop和ntopng的使用技巧01Web页面下ntop的使用方法与技巧ntop和ntopng的使用技巧01Web页面下ntop的使用方法与技巧ntop和ntopng的使用技巧02命令行中ntop的常用参数ntop也可以在命令行中使用。虽然在命令行中没有那么直观，但是添加和修改配置非常迅速，并且能够实现许多在Web页面下无法完成的功能。执行“ntop-h”命令即可显示所有ntop在命令行中可使用的参数信息。命令行中ntop常用参数的含义如下。-d：后台执行。-u：指定可以启动ntop的用户，默认为nobody。-i：指定ntop监听的网卡设备。-M：多块网卡分开统计。-L：将ntop输出信息写入系统日志文件/var/log/messages。-w：设置ntop的Web页面使用端口，默认为3000。-r：设定页面刷新频率，默认为3s刷新一次。ntop和ntopng的使用技巧03ntopng的使用方法与技巧ntop和ntopng的使用技巧03ntopng的使用方法与技巧+网络性能评估工具——iPerf03iPerf的安装与选项01安装iPerfiPerf支持Win32、Linux、FreeBSD、OSX、OpenBSD和Solaris等多种操作系统平台。读者可以从iPerf官方网站下载各种版本，这里下载的软件包为iperf-3.0.tar.gz，安装过程如下：这样，iPerf就安装完成了。iPerf的安装与选项02iPerf命令行选项在安装完iPerf后，执行“iperf3-h”命令即可显示iPerf选项的详细使用方法。iPerf的命令行选项共分为3类，分别是客户端与服务器端公用选项、服务器端专用选项和客户端专用选项。客户端与服务器端公用选项的含义如下。-f：指定带宽输出单位，包括Kbit/s、Mbit/s、Gbit/s，默认值为Mbit/s。-p：指定端口号。-I：指定报告时间间隔，单位为s，默认为1s。-F：指定文件作为数据流进行带宽测试。服务器端专用选项的含义如下。-s：以服务器端模式启动。-D：作为后台守护进程启动。客户端专用选项的含义如下。iPerf应用实例01测试TCP的吞吐量为了确定网络接口的最大吞吐量，可以在任意客户端上执行iperf命令，iPerf将尝试以最快的速度从客户端向服务器端发送数据请求，并输出发送的数据量和网卡平均带宽值。图2-9所示为一个简单的网络带宽测试命令的输出结果。iPerf应用实例01测试TCP的吞吐量iPerf提供很多参数，可以从多个角度全面测试网络带宽利用率。例如，想要改变iPerf的运行时间和输出频率，可以通过-t和-i参数来实现，如图2-10所示。从图2-10中可以看出，传输状态的间隔变为5s，执行测试总时间为20s，测试的带宽速率仍然保持在941Mbit/s左右，唯一变化的是失败重传次数增加了。为了模拟大量的数据传输，可以指定需要发送的数据量。这可以通过-n参数来实现。在指定-n参数后，-t参数会失效，并且iPerf在传输完指定大小的数据包后将自动结束，如图2-11所示。iPerf应用实例01测试TCP的吞吐量该例子指定发送一个5GB左右的数据包，并且每隔10s输出一次传输状态。从这个输出结果中可以看出，当失败重传次数较多时，传输速率会迅速下降。有时，为了模拟更真实的TCP应用，iPerf客户端允许从一个特定的文件中发送数据，这可以通过-F参数来实现，如图2-12所示。在该例子中，通过-F参数指定了一个webdata.tar.gz文件作为需要传输的数据。在使用-F参数时，需要同时指定一个-t参数来设置需要测试的传输时间。这个时间要尽量设置长一些，因为在默认传输时间10s内，文件可能无法完成传输。在使用iPerf进行网络带宽测试时，如果没有指定发送方式，则iPerf客户端仅使用单一的线程。然而，iPerf是支持多线程的。我们可以使用iPerf提供的-P参数来设置多线程的数目。通过使用多线程，可以在一定程度上增加网络的吞吐量。iPerf应用实例01测试TCP的吞吐量下面通过两个例子进行简单对比，图2-13是iPerf使用单线程传输1.86GB数据所消耗的时间和带宽使用情况。为了统一速率单位，这里使用-f参数将输出结果的单位都转换为Mbit/s来显示。从图2-13中可以看出，传输1.86GB的数据消耗的时间为17s，平均带宽速率为112Mbit/s（注意这里的单位）。下面再看看iPerf在使用多线程后，传输同样大小数据所消耗的时间和带宽使用情况，如图2-14所示。这里通过-P参数开启了2个多线程，从传输时间上看，传输1.86GB的数据消耗的时间为10.79s，比单线程的传输时间少了6.21s，从平均带宽速率上看，从112Mbit/s提高到177Mbit/s。从这个结果可以看出，多线程对网络传输性能的提高很有帮助。iPerf应用实例02测试UDP的丢包和延时iPerf也可以用于测试UDP数据包吞吐量、丢包率和延时指标。但是，由于UDP是一个非面向连接的轻量级传输协议，并且不提供可靠的数据传输服务，因此对UDP应用的关注点不是传输数据有多快，而是它的丢包率和延时指标。通过iPerf的-u参数可以测试UDP应用的传输性能。图2-15所示为在iPerf客户端传输100MB的UDP数据包的输出结果。读者需重点关注虚线下方的一段内容。在这段输出结果中，“Jitter”列表示抖动时间或传输延时；“Lost/Total”列表示丢失的数据包和总的数据包数量，后面的0.33%是平均丢包率；“Datagrams”列显示的是总的传输数据包数量。iPerf应用实例02测试UDP的丢包和延时这个输出结果过于简洁，想要了解更详细的UDP丢包和延时信息，可以在iPerf服务端中查看。因为在客户端执行传输测试的同时，服务器端也会同时显示传输状态，如图2-16所示。图2-16详细记录了在传输过程中每个阶段的延时信息和丢包率。在UDP应用中，随着传输数据量的增大，丢包率和延时也随之增加。对于延时和丢包，可以通过改变应用程序来缓解或修复。例如，在视频流应用中通过缓存数据的方式可以容忍更大的延时。+网络安全探测和安全审核工具Nmap04Nmap的安装Nmap官方提供了RPM格式的安装包，直接从官网下载RPM格式的安装包并进行安装即可，操作命令如下：01RPM包安装从官方网站下载源码包，并进行编译安装即可。编译安装过程无须额外参数，操作命令如下：02源码编译安装Nmap的基本使用方法Nmap的主机发现扫描主机发现扫描主要用来判断目标主机是否在线。主机发现扫描的原理类似于ping命令，通过发送探测数据包到目标主机并接收回复来进行，如果成功接收到回复，那么认为目标主机处于在线状态。Nmap支持多种主机发现方法，如发送TCPSYN/ACK包、发送SCTP包、发送ICMPecho/timestamp/netmask请求报文等。用户可以根据不同的环境选择不同的方法来探测目标主机。Nmap的端口扫描端口扫描是Nmap的核心功能。通过端口扫描，可以发现目标主机上TCP、UDP端口的开放情况。Nmap在默认状态下会扫描1000个最有可能开放的端口，并将侦测到的端口状态分为6类，具体如下。open：表示端口是开放的。closed：表示端口是关闭的。filtered：表示端口被防火墙屏蔽，无法进一步确定其状态。unfiltered：表示端口没有被屏蔽，但是否处于开放状态还需要进一步确定。open|filtered：表示不确定状态，端口可能是开放的，也可能是屏蔽的。closed|filtered：表示不确定状态，端口可能是关闭的，也可能是屏蔽的。在端口扫描方式上，Nmap支持十几种探测方法，其中较为常用的包括“TCPSYNscanning”（这是默认的端口扫描方法）、“TCPconnectscanning”、“TCPACKscanning”、“TCPFIN/Xmasscanning”和“UDPscanning”等。具体使用哪种探测方法，用户可自己指定。Nmap的应用程序与版本侦测Nmap的应用程序与版本侦测功能主要用于确定目标主机开放的端口上运行的应用程序及版本信息。Nmap的应用程序与版本侦测支持TCP/UDP协议，支持多种平台的服务侦测，支持IPv6功能，可以识别几千种服务签名。下面介绍Nmap的应用程序与版本侦测的使用方法。应用程序与版本侦测的命令非常简单，使用语法如下：01应用程序与版本侦测的使用方法应用程序与版本侦测的常用选项及含义如下。-sV：设置Nmap并进行版本侦测。--version-intensity<level>：设置版本侦测强度，取值范围为0～9，默认值为7。--version-light：轻量级侦测，类似于强度为2的扫描。--version-all：侦测强度为9。--version-trace：显示侦测详细过程。Nmap的应用程序与版本侦测下面以探测“23.76.232.59”主机上运行的应用程序的版本信息为例，简单演示应用程序与版本侦测的使用方法。首先，在联网的服务器上执行如下命令：02使用实例