Linux 操作系统管理（中篇共上中下3篇）

Linux操作系统管理项目三磁盘的配置与管理01磁盘基本配置与管理LVM磁盘管理02目录任务一磁盘基本配置与管理任务目标任务描述随着公司服务器上的用户不断增多，磁盘存储分配和管理就显得尤为重要，公司技术主管要求巴图使用磁盘配额技术给服务器上的用户和组分配相应的磁盘空间。1.能认识每个磁盘名称的含义。2.能使用常用磁盘管理工具。3.能熟练配置与管理磁盘配额。4.培养学生的实践动手能力和工匠精神。任务分析在进行磁盘配额之前，应该先学习和了解硬盘的分区以及具体磁盘管理用到的相应的技术和管理工具，为下一步自己独立配置与管理磁盘配额做准备。物理存储设备，用于保存数据。新硬盘需分区并格式化以创建文件系统，才能正常使用。磁盘定义与功能01分区操作说明02新硬盘通常为空，未分区。需执行分区操作，确定存储空间的逻辑划分，以供系统和用户存储数据。一、磁盘和磁盘分区务必备份重要数据，硬盘分区操作将清除原有数据，确保数据安全避免损失。分区前的数据安全类比房间划分，硬盘分区相当于对大空间再划分，已存数据会被清除，需谨慎操作。分区操作说明一、磁盘和磁盘分区一、磁盘和磁盘分区磁盘分区是将硬盘划分成多个逻辑部分的过程，每个部分可以被操作系统视为一个独立的存储设备。磁盘分区可以帮助用户更有效地组织和管理存储空间，并提供更灵活的数据存储和管理方式。在服务器环境中，磁盘分区的重要性尤为突出，因为服务器通常需要存储大量的数据，并且需要对存储空间进行合理的管理和分配。二、磁盘的物理组成与分区在Linux中，硬盘和分区被抽象成文件，遵循统一的命名规则。磁盘的抽象概念“一切皆文件”理念使Linux系统管理更加统一灵活，便于处理各种资源。一切皆文件理念CentOS8中的磁盘命名规则确保了管理和访问的一致性。命名规则（1）IDE/SATA硬

盘：

硬

盘

设

备

命

名

为/dev/xx[a-z]，分区命名为/dev/xx[a-z][1-9]。（2）NVMe硬盘：硬盘设备命名为/dev/nvme0n1，分区命名为/dev/nvme0n1p[1-9]。/dev/目录中保存的应当是硬件设备文件。针对IDE/SATA硬盘，xx表示的是硬件类型，有hd和sd；y表示的是同一类硬盘的编号，以字母a、b、c...表示，如果是a表示系统中同类接口中第一个被识别到的设备；在分区命名中最后的数字表示硬盘上分区的编号。如果是/dev/sda5表示的是系统中第一块别识别的硬件设备中分区编号是5的逻辑分区的设备文件。二、磁盘的物理组成与分区NVMe设备的编号方式，如nvme0，其中0代表第一个控制器，用于区分多个NVMe控制器。NVMe设备与控制器编号NVMe命名空间是逻辑存储单元，如分区或逻辑卷，以n1、n2等编号。硬盘上的分区编号为p+数字。命名空间与分区编号二、磁盘的物理组成与分区三、磁盘管理工具fdisk在安装Linux系统的时候，其中有一个步骤是进行磁盘分区。可以采用DiskDruid、RAID和LVM等方式进行分区。除此之外，在Linux系统中还有fdisk、cfdisk、parted等分区工具。注意：本任务中所有命令，都以新增一块大小为5G的NVMe硬盘为前提，新增的硬盘为/dev/nvme0n2。请在开始本任务前在虚拟机中增加该硬盘，然后启动系统，如图3-1。硬盘分区后，下一步的工作就是建立文件系统。注意在硬盘上创建文件系统会覆盖分区上的数据，并且不可恢复，因此在创建文件系统之前要确认分区上的数据不再使用。建立文件系统的命令是mkfs，格式如下：mkfs[参数]文件系统

mkfs命令常用的参数选项如下。-t：指定要创建的文件系统类型。-c：建立文件系统前首先检查坏块。-lfile：从文件file中读磁盘坏块列表，file文件一般是由磁盘坏块检查程序产生的。-V：输出建立文件系统详细信息。四、利用mkfs命令创建文件系统五、其他相关命令（一）lsblk命令完成了存储设备的分区和格式化操作，可以先用lsblk命令以树形格式列出块设备的相关信息，如图3-3所示。使用df命令可以查看文件系统的磁盘空间使用情况。df命令的语法如下。df[参数选项]df命令的常见参数选项如下。-a：显示所有文件系统磁盘使用情况，包括0块的文件系统。-k：以k字节为单位显示。-i：显示i节点信息。-t：显示各指定类型的文件系统的磁盘空间使用情况。-x：列出不是某一指定类型文件系统的磁盘空间使用情况（与t选项相反）。-T：显示文件系统类型。df使用情况如下。（1）列出各文件系统的占用情况：[root@localhost~]#df文件系统1K-块

已用

可用

已用%挂载点devtmpfs34773203477320%/devtmpfs37810862763718322%/runtmpfs37810803781080%/sys/fs/cgroup/dev/mapper/cs-root1781145655895081222194832%/tmpfs7562028755921%/run/user/0/dev/nvme0n1p1103833627967675866027%/boot/dev/sr012719916127199160100%/run/media/root/CentOS-Stream-8-BaseOS-x86_64（2）列出各文件系统的i节点的使用。（3）列出文件系统。五、其他相关命令（二）df命令du命令概述01"du命令用于显示磁盘空间使用情况，包括各子目录占用的数据块详情。"du命令参数选项02"du命令参数详解：-s显示总块数，-a显示所有文件，-b以字节计，-k以1024字节计，-c显示总计，-l计算所有文件，-x跳过不同文件系统目录。"示例命令03命令“du-ab”用于以字节为单位显示所有文件和目录的磁盘空间占用。五、其他相关命令（三）du命令挂载是将文件系统连接至系统目录的过程。挂载概念解析Linux中/mnt和/media为常用挂载点。挂载点说明创建目录作为挂载点，如/media/cdrom。创建挂载点步骤使用mount命令关联设备与挂载点。手动挂载命令光盘设备文件名通常为/dev/cdrom。设备文件名示例六、磁盘的挂载六、磁盘的挂载

（一）手动挂载"mount"命令用于挂载设备到挂载点，选项包括-t指定文件系统类型，-r挂载为只读，-w以可写方式挂载，-a挂载/etc/fstab中记录的所有设备。mount命令01umount命令用于卸载文件系统，如umount/media/cdrom，卸载前确保文件系统未被使用。umount命令02系统引导过程编辑/etc/fstab设置开机自动挂载，需编辑系统文件/etc/fstab，添加文件系统信息包括类型和挂载点参数。开机时，系统会读取/etc/fstab配置，依据其中的指令挂载文件系统。挂载参数说明每个条目应详细说明挂载点、文件系统类型、挂载选项等，确保系统启动时自动挂载正确。六、磁盘的挂载

（二）自动挂载硬盘怎么区分和合并？一、利用fdisk创建分区（1）利用如下命令打开fdisk操作菜单。[root@localhost~]#fdisk/dev/nvme0n2欢迎使用fdisk(util-linux2.32.1)。更改将停留在内存中，直到您决定将更改写入磁盘。使用写入命令前请三思。设备不包含可识别的分区表。创建了一个磁盘标识符为0xf938afd5的新DOS磁盘标签。（2）在fdisk操作界面中输入“p”，查看当前分区表。从命令执行结果可以看到，/dev/nvme0n2硬盘并无任何分区。p命令执行结果显示了/dev/nvme0n2磁盘大小是5GB，5368709120字节，10485760个扇区。（3）输入n，创建一个新分区。输入p，选择创建主分区（创建扩展分区输入e，创建逻辑分区输入l）；输入数字1，创建第一个主分区（主分区和扩展分区可选数字为1~4，逻辑分区的数字标识从5开始）；输入此分区的起始、结束扇区，以确定当前分区的大小。也可以使用+sizeM或者+sizeK的方式指定分区大小。任务实施一、利用fdisk创建分区（4）再创建1G的扩展分区/dev/nvme0n2p2,然后创建两个逻辑分区/dev/nvme0n2p5（800M）和/dev/nvme0n2p5（剩余的扩展分区空间都留给这个分区）。

（5）分区结束后，输入w，把分区信息写入硬盘分区表并退出。（6）如果要删除磁盘分区，在fdisk菜单下输入d，并选择相应的磁盘分区即可。删除后输入w，保存退出。以下为删除/dev/nvme0n2p6分区，并保存退出。任务实施二、创建文件系统在/dev/nvme0n2p5上创建xfs类型的文件系统，并显示详细信息，命令如下：任务实施二、创建文件系统在/dev/nvme0n2p6分区中创建ext4类型的文件，命令如下：任务实施三、其他查询（1）在完成存储设备的分区和格式化操作后，在命令行执行输入lsblk查看块设备的相关信息。任务实施三、其他查询（2）可以使用df命令来查看挂载状态和硬盘使用信息。任务实施四、挂载在/dev/nvme0n2p5和/dev/nvme0n2p6上建好文件系统后，把创建的文件系统挂载到系统上就可以使用了。把文件系统类型为xfs的磁盘分区/dev/nvme0n2p5挂载到/newFS目录下，可以使用命令：[root@localhost~]#mkdir/newFS[root@localhost~]#mount/dev/nvme0n2p5/newFS把文件系统类型为ext4的磁盘分区/dev/nvme0n2p6挂载到/media目录下，可以使用命令：[root@localhost~]#mount/dev/nvme0n2p6/media任务实施任务二LVM磁盘管理任务目标任务描述巴图发现在使用了标准磁盘管理后，分区的空间被使用完以后，无法在线调整分区大小，只能创建一个更大的分区把数据进行复制，但这样做在无形中既增加了成本又增加了很多工作量，而且数据也容易丢失，给公司造成损失。那么巴图想解决这个问题该使用什么技术呢？1.能创建与使用LVM(逻辑卷管理器)。2.能管理与调整LVM卷。3.培养学生的实践动手能力和工匠精神。任务分析LVM是另外一项非常普及的硬盘设备资源管理技术。重点要学习它的基本概念，以及逻辑卷管理器中建立物理卷、卷组、逻辑卷，给逻辑卷扩容，给逻辑卷缩容，删除逻辑卷等，从而更好地为我们服务。实现灵活的磁盘管理，动态的调整硬盘资源，减轻工作压力。标准磁盘管理的缺点促使LVM技术的普及，以实现硬盘资源的动态调整。物理卷、卷组、逻辑卷构成了LVM的三层结构，提供灵活的存储管理。卷组建立在物理卷上，可动态添加新物理卷，提供抽象的卷组资源。逻辑卷基于卷组创建，支持创建后动态扩大或缩小空间。LVM的引入背景LVM的层次结构卷组的作用逻辑卷的特性物理卷是LVM的最底层，可以是物理磁盘、磁盘分区或RAID阵列。物理卷的定义一、LVM的基本概念一、LVM的基本概念（1）PV（PhysicalVolume，物理卷）。物理卷处于LVM的底层，可以是整个物理磁盘，也可以是硬盘中的分区。一、LVM的基本概念

VG（VolumeGroup，卷组）卷组由一个或多个PV组成，是PV的逻辑集合，允许动态扩展，以包含更多PV，实现存储资源的统一管理。VG概念理解01创建时至少包含一个PV，可后续添加更多，提供了一种在多个物理存储上抽象和聚合的机制，便于磁盘管理。VG功能特性02在卷组上建立，动态调整大小。多个逻辑卷可属于同一卷组或不同卷组，未分配空间用于新建逻辑卷。LV基本概念01逻辑卷建立后可扩展，允许在运行时调整空间，无需停机或数据迁移。LV扩展操作02卷组中的空闲空间可随时分配给现有逻辑卷，提供资源分配的灵活性。LV调整灵活性03

一、LVM的基本概念LV（LogicalVolume，逻辑卷）建立PV时指定，不可更改，大小需统一。每个PV被切分成4MB的PE，用于VG。物理区域设定当多个PV组成VG，LVM会在所有PV上创建相同大小的PE，作为最小存储单元，便于管理。卷组中的PE一、LVM的基本概念PE（PhysicalExtent，物理区域）LE功能作为逻辑卷的最小存储单元，LE大小与物理区域相关，确保动态扩展能力。其大小始终为PE倍数。LE与PE关系LE根据PE(PhysicalExtent，物理区域)调整大小，保持一致倍数，通常1LE=1PE，保证存储管理灵活性。一、LVM的基本概念LE（LogicalExtent，逻辑区域）LVM结构包括物理卷、卷组和逻辑卷，用于管理磁盘空间，如分配信息和描述区域。LVM结构基础卷组是高于物理卷的层次，可包含多个物理卷，创建后可继续添加新的物理卷。卷组与物理卷关系LVM创建顺序：先创建物理卷（pv），再创建卷组（vg），最后创建逻辑卷（lv）。LVM创建顺序逻辑卷建立在卷组空闲资源上，可在建立后动态扩展或缩小空间，体现LVM核心理念。逻辑卷特性01020304一、LVM的基本概念VGDA（VolumeGroupDescriptorArea，卷组描述区域）二、LVM逻辑卷管理器LVM允许动态调整磁盘分区，解决空间不足或浪费问题。LVM解决磁盘空间问题在虚拟机中添加三个硬盘，重启后用lsblk查看，体现LVM的底层硬件抽象能力。添加新硬盘示例配置物理卷、卷组和逻辑卷，使用如pvcreate、vgcreate、lvcreate等命令。部署LVM步骤创建与合并物理卷创建两块新硬盘的物理卷，然后合并成一个卷组，卷组名可自定义切割逻辑卷设备将卷组切割出300MB逻辑卷设备，格式化为EXT4文件系统并挂载二、LVM逻辑卷管理器（一）物理卷、卷组和逻辑卷的建立让新添加的两块硬盘设备支持LVM技术。添加硬盘支持LVM01使用vgcreate将两硬盘设备加入storage卷组，通过vgdisplay查看卷组状态。创建并检查卷组02使用lvcreate命令以容量单位-L300M或以基本单元-l75切割出300MB逻辑卷设备。切割逻辑卷设备03二、LVM逻辑卷管理器（一）物理卷、卷组和逻辑卷的建立二、LVM逻辑卷管理器

（二）扩容逻辑卷当卷组资源充足时，可直接为逻辑卷扩容。扩容前需先卸载设备，执行命令“umount/MyDate”。卷组资源与逻辑卷扩容把上一个实验中的逻辑卷vo扩展至6GB。扩展逻辑卷至6GB当卷组空间不足时，可通过添加物理卷来扩展空间。例如，先确保/dev/sdd磁盘支持LVM，然后将/dev/sdd物理卷添加到storage卷组中，以此增加卷组的容量。增加物理卷至卷组检查硬盘完整性并重置容量，将/dev/storage/vo调整为6291456个块（每块1k）。检查硬盘与重置容量重新挂载硬盘设备并查看挂载状态。重新挂载与查看状态数据安全缩容风险大，易丢失数据，务必在操作前做好数据备份，避免数据损失。减小逻辑卷容量至300MB使用resize2fs命令将/dev/storage/vo的容量减小到300MB，执行后文件系统大小调整为307200个块。缩小逻辑卷操作前务必备份数据，检查文件系统完整性，确保数据安全。执行缩容，先卸载文件系统。检查文件系统的完整性检查文件系统完整性包括：检查inode、块和大小，目录结构，连接性，引用计数，以及组概要信息。挂载文件系统查状态使用"mount-a"命令重新挂载文件系统，然后通过"df-h"查看各挂载点的容量使用情况。二、LVM逻辑卷管理器

（三）缩小逻辑卷当生产环境中想要重新部署LVM或者不再需要使用LVM时，则需要执行LVM的删除操作。为此，需要提前备份好重要的数据信息，然后依次删除逻辑卷、卷组、物理卷设备，这个顺序不可更改。（1）取消逻辑卷与目录的挂载关联，删除配置文件中永久生效的设备参数。（2）删除逻辑卷设备，需要输入y来确认操作。（3）删除卷组，此处只写卷组名称即可，不需要设备的绝对路径。（4）删除物理卷设备。二、LVM逻辑卷管理器

（四）删除逻辑卷一、创建物理卷执行命令pvcreate/dev/sdX，将硬盘/dev/sdX初始化为LVM物理卷。[root@localhost~]#pvcreate/dev/nvme0n6Physicalvolume"/dev/nvme0n6"successfullycreated.二、创建卷组执行命令vgcreatedata_vg/dev/sdX，创建名为data_vg的卷组，并将物理卷/dev/sdX加入其中。[root@localhost~]#vgcreatedata_vg/dev/nvme0n6Volumegroup"data_vg"successfullycreated三、创建逻辑卷执行命令lvcreate-L1G-ndata_lvdata_vg，在卷组data_vg中创建名为data_lv的逻辑卷，设置容量为1GB。[root@localhost~]#lvcreate-L1G-ndata_lvdata_vgLogicalvolume"data_lv"created.任务实施四、格式化逻辑卷执行命令mkfs.ext4/dev/data_vg/data_lv，格式化逻辑卷为ext4文件系统。[root@localhost~]#mkfs.ext4/dev/data_vg/data_lvmke2fs1.45.6(20-Mar-2020)创建含有262144个块（每块4k）和65536个inode的文件系统文件系统UUID：0d79554e-0766-4bf1-a727-e046596117e2超级块的备份存储于下列块：32768,98304,163840,229376正在分配组表：

完成

正在写入inode表：

完成创建日志（8192个块）完成

写入超级块和文件系统账户统计信息：

已完成五、挂载逻辑卷执行命令mount/dev/data_vg/data_lv/data，将逻辑卷挂载到/data目录下。[root@localhost~]#mkdir/data[root@localhost~]#mount/dev/data_vg/data_lv/data任务实施六、确认和验证（1）执行命令df-h查看挂载情况，确保逻辑卷成功挂载。[root@localhost~]#df-h文件系统

容量

已用

可用

已用%挂载点devtmpfs340M0340M0%/devtmpfs370M0370M0%/dev/shmtmpfs370M6.2M364M2%/runtmpfs370M0370M0%/sys/fs/cgroup/dev/mapper/cs-root17G5.4G12G32%//dev/nvme0n1p11014M274M741M27%/boottmpfs74M28K74M1%/run/user/0/dev/sr013G13G0100%/run/media/root/CentOS_x0002_Stream-8-BaseOS-x86_64/dev/mapper/data_vg-data_lv974M24K907M1%/data任务实施六、确认和验证（2）执行命令lsblk查看逻辑卷的容量和文件系统信息。[root@localhost~]#lsblkNAMEMAJ:MINRMSIZEROTYPEMOUNTPOINTsr011:0112.1G0rom/run/media/root/CentOS_x0002_Stream-8-BaseOnvme0n1259:0020G0disk├─nvme0n1p1259:101G0part/bootnvme0n2259:305G0disk└─nvme0n1p2259:2019G0part├─cs-root253:0017G0lvm/

└─cs-swap253:102G0lvm[SWAP]├─nvme0n2p1259:401000M0part├─nvme0n2p2259:501K0part├─nvme0n2p5259:60800M0part└─nvme0n2p6259:70222M0partnvme0n3259:802G0disknvme0n4259:903G0disknvme0n5259:1004G0disknvme0n6259:1102G0disk└─data_vg-data_lv253:201G0lvm/data任务实施感谢聆听Linux操作系统管理项目四自定义软路由的配置与管理01DHCP服务的配置与管理DNS服务的配置与管理02安装和配置软路由03目录任务一DHCP服务的配置与管理任务目标任务描述巴图目前的任务是在一个计算机比较多的网络中，为整个企业的上百台机器配置IP地址。为了更方便、快捷地完成这项工作，可以采用动态主机配置协议（DynamicHostConfigurationProtocol，DHCP）来自动为客户端配置IP地址、默认网关等信息。让我们陪同巴图一起开始DHCP服务的配置与管理吧！1.能说出DHCP的概念及作用。2.能在Linux系统中安装与启动DHCP服务。3.能在Linux系统中配置DHCP服务器端。4.能配置DHCP客户端实现网络自动连接。5.培养学生的系统思维、团队合作精神。任务分析在一个计算机数量较多的网络中，如果要为每台机器逐一进行IP地址的配置绝不是一件轻松的工作，而且手工配置IP地址经常会发生IP地址冲突，无法上网的问题，针对这一问题我们可以使用DHCP服务，为网络内的客户端计算机自动分配TCP/IP配置信息。为此，巴图决定先系统学习一下DHCP的相关知识，再搭建DHCP服务器。集中管理IP地址分配，简化网络配置，提高网络管理效率。DHCP服务作用01客户端加入网络时向DHCP服务器发送请求，服务器接收请求并分配可用IP地址及网络配置信息。DHCP工作原理02DHCP服务器负责分配IP地址，防止网络中设备的IP冲突。IP地址分配03DHCP服务器不仅分配IP地址，还提供默认网关信息，使设备能访问外部网络。网关信息分配04DHCP服务器向设备分配DNS服务器信息，便于域名解析和网络访问。DNS服务器信息分配05DHCP服务器负责分配网络配置信息，如子网掩码、NTP服务器和SNMP服务器，简化网络设备配置，增强网络安全性、可扩展性和灵活性。其他网络配置信息06一、DHCP服务概述（一）DHCP服务的作用和原理新客户端启动时，通过广播DHCPDiscover消息寻找服务器，包含MAC地址等信息。DHCP服务器收到Discover消息后，选择一个可用IP地址，通过DHCPOffer消息发送给客户端，包含子网掩码、默认网关等配置信息。客户端通过DHCPRequest消息确认接受IP地址，以此请求服务器确认分配。DHCP服务器收到Request消息后，发送DHCPAcknowledge确认分配，包含IP地址和其他配置信息。客户端收到后开始使用分配的IP地址进行网络通信。DHCPDiscover消息DHCPOffer消息DHCPRequest消息DHCPAcknowledge消息一、DHCP服务概述（二）DHCP的工作过程动态IP适用于普通设备，静态IP用于需固定地址的特定设备，灵活管理网络资源。DHCP分配方式动态IP地址是通过DHCP服务器分配给设备的，用于网络连接，当设备断开时，地址会被释放回收。动态IP地址动态IP满足大多数设备需求，静态IP确保特定设备网络稳定性和可管理性。动态IP与静态IP应用静态IP是手动配置给特定设备的固定地址，常用于需要固定IP的服务器、打印机等。静态IP地址01020304一、DHCP服务概述（三）DHCP的分配方式DHCP服务配置安装服务后自动生成，包含服务相关参数，用于管理网络设备动态IP分配等设置。配置文件内容简洁明了，主要设定DHCP服务器的选项，如IP地址池，租约时间，客户端选项等。二、DHCP配置文件（一）DHCP服务程序安装Linux系统中，选择DHCP服务器软件多样，如ISCdhcpd、dnsmasq、KeaDHCP，可根据需求和网络规模择优使用。LinuxDHCP服务器选择01在CentOSStream8中，DHCP服务端程序是dhcp-server，客户端程序默认已安装。配置服务只需安装配置服务端程序。CentOSDHCP服务02使用yum命令安装DHCP服务端程序：'[root@localhost~]#yuminstalldhcp-server-y。安装DHCP服务端程序03二、DHCP配置文件（一）DHCP服务程序安装主要包括服务参数、选项和声明三部分，具体内容需参照示例文件配置。配置文件内容通常位于/etc/dhcp，文件名dhcpd.conf，初始仅含注释，示例文件/usr/share/doc/dhcpserver/dhcpd.conf.exampleDHCP配置文件路径二、DHCP配置文件（二）DHCP配置文件配置DHCP服务器任务、执行方式及发给客户端的网络配置选项。DHCP服务参数DHCP服务选项配置DHCP的可选参数，通过关键词options标识。DHCP服务选项二、DHCP配置文件（二）DHCP配置文件DHCP服务声明用于描述网络布局和配置，如IP地址信息，常用于动态分配客户端主机的网络参数。DHCP服务声明类型01range声明用于设定IP地址池，如：range，或只写一个地址表示到最大值。range声明02subnet声明用于指定子网的IP和掩码，例如：subnetnetmask{...}subnet声明03二、DHCP配置文件（二）DHCP配置文件01DHCP主机声明host语句指定客户端主机名，hardware参数绑定MAC地址，实现IP地址预约配置。02DHCP共享网络声明shared-network声明定义共享物理网络，统一管理子网参数，子网或主机声明可覆盖网络参数。二、DHCP配置文件（二）DHCP配置文件allow声明和deny声明DHCP配置示例：allowunknown-clients允许未知客户端动态获取IP，denyunknown-clients则禁止，bootp和booting关键字分别控制响应激活查询和使用者查询。DHCP服务声明allow声明许可DHCP动态分配IP给未知客户端，deny声明则拒绝此行为，unknown-clients关键字用于控制此设置。二、DHCP配置文件（二）DHCP配置文件1.安装并设置DHCP服务（1）安装前的准备工作。①

进入网卡的配置目录，查看网卡名称[root@localhost~]#cd/etc/sysconfig/network-scripts#ls本例中，网卡的名称显示是ifcfg-ens160，如图4-2所示。有时系统网卡的名称是ifcfg-ens33，用户要根据当前Linux系统的网卡配置目录来查看当前网卡的具体名称。②编辑网卡，设置服务器端的IP地址为静态IP地址③重新载入，激活生效任务实施（2）检测系统是否已经安装了DHCP相关软件。[root@localhost~]#rpm-qa|grepdhcp如果系统还没有安装dhcp软件包，可以使用yum命令安装DHCP服务器软件，步骤如下。①

挂载光盘[root@localhost~]#mount/dev/cdrom/media/查看光盘是否挂载成功[root@localhost~]#mount|grepsr0通过cd命令查看CentOS-Stream-8光盘包里的文件（如图4-5所示）[root@localhost~]#cd/media/[root@localhostmedia]#ls任务实施②

制作用于安装的本地yum源文件[root@localhost~]#vim/etc/yum.repos.d/CentOS-Stream-Media.repo通过挂载光驱，创建CentOS-Stream-Media.repo本地yum源，如图4-6所示。③

安装DHCP服务④

软件包安装完毕，可以使用rpm命令再一次查询。[root@localhost~]#rpm-qa|grepdhcp任务实施（3）设置防火墙和SELinux如果系统启用了防火墙，需要开放DHCP服务的相关端口（UDP67和68端口），依次输入以下命令查看是否设置成功。[root@localhostdhcp]#setenforce0//取消SELinux设置[root@localhostdhcp]#firewall-cmd--add-service=dhcp--permanent[root@localhostdhcp]#firewall-cmd--reload//防火墙重载[root@localhostdhcp]#firewall-cmd--list-servicescockpitdhcpdhcpv6-clientssh任务实施2.DHCP服务端配置DHCP服务的配置文件为/etc/dhcp/dhcpd.conf，通过cat命令查看只有一些提示信息，没有实际的配置，如图4-9所示。[root@localhostdhcp]#cat/etc/dhcp/dhcpd.conf将样例/usr/share/doc/dhcp-server/dhcpd.conf.example文件复制到dhcpd.conf配置文件的末尾，使用vimdhcpd.conf修改配置文件。[root@localhostdhcp]#cp/usr/share/doc/dhcp-server/dhcpd.conf.example./dhcpd.conf[root@localhostdhcp]#vimdhcpd.conf任务实施3.DHCP客户端配置与测试（1）取消NAT网络模式默认的DHCP服务。关闭NAT模式的DHCP分配IP地址功能。在VMware中打开“虚拟网络编辑器”对话框，选中VMnet8，在NAT模式下取消选中“使用本地DHCP服务将IP地址分配给虚拟机”复选框，如图4-11所示。任务实施（2）客户端采用DHCP自动获取IP地址。启动另一台客户端Linux系统，在网卡配置中采用自动获取IP地址方式，设置BOOTPROTO=dhcp，如图4-12所示。（3）重启网卡。[root@localhost~]#nmclicupens160（4）客户端从DHCP服务器获取分配到的IP地址。任务实施任务二DNS服务的配置与管理任务目标任务描述巴图所在的这家企业内部建立了多个服务器，每个服务器都有自己的IP地址，但是用户很难记住这么多服务器的IP地址，企业决定搭建DNS服务器，解析每个服务器的IP地址为一个主机域名，方便用户访问。技术主管把配置DNS服务器的这项工作交给了巴图，一起看看他是如何完成的。1.能说出DNS服务器的作用。2.能说出域名的组成部分。3.能在Linux系统中安装并配置DNS服务。4.能在内网环境下实现正反向解析及网络访问。5.培养学生精益求精的岗位素养。任务分析DNS即DomainNameSystem（域名系统）的缩写，是一种将IP地址转换成对应的主机名或将主机名转换成与之对应IP地址的一种机制。现在使用最为广泛的DNS服务器软件是BIND（BerkeleyInternetNameDomain）。要完成配置DNS服务，首先需要安装BIND服务器软件并启动，然后修改DNS服务器的主配置文档及区块声明文件，最后使用nslookup命令测试。一、DNS服务概述

（一）DNS简介DNS是一个用于将域名转换为IP地址的分布式数据库系统。它的作用是将用户输入的域名转换为对应的IP地址，从而使用户能够访问互联网上的各种服务和网站。众所周知，在“记忆”的角色上，人脑总是不如计算机，无法记住很多的IP地址，但是可以记住一些常用的网址名称，如百度等，使用这些网址来访问服务器时，需要将这些网址转换成服务器的IP地址，就要使用域名解析服务。其中，通过域名解析出IP地址的叫做正向解析，通过IP地址解析出域名的叫做反向解析。域名是互联网上标识网络资源的名称，由点分隔的字符组成，如.com、.org、.net。域名基本概念01顶级域名下有二级域名，如中的baidu，子域名如中的www，形成层级结构。域名结构解析02一、DNS服务概述

（二）DNS工作原理用户输入域名，系统首先查询本地hosts文件，若无对应IP则向DNS服务器发送解析请求。域名解析流程DNS是分布式数据库，用于高效、可靠地将域名转换为IP地址，反之亦然。DNS解析机制DNS解析过程包括服务器缓存检查、逐级查询顶级域名服务器直至找到对应IP地址，最终将结果返回并缓存。DNS解析步骤010203一、DNS服务概述

（二）DNS工作原理主DNS服务器是管理域名服务信息的中心，存储本地磁盘的区文件，包含精确的域结构信息主DNS服务器辅助DNS服务器分担主服务器查询负载，存储主服务器转移的区文件，可权威响应查询请求辅助DNS服务器一、DNS服务概述

（三）DNS服务器的分类DNS转发解析机制DNS转发解析机制中，转发DNS服务器未在本地找到解析请求时，会向其他DNS服务器转发请求并缓存返回的结果。DNS缓存与重复请求处理DNS缓存处理重复请求时，若请求的名称相同，Linux操作系统会立即响应，否则会再次进行完整的转发解析。DNS服务器配置现状所有DNS服务器都配置为转发器，会将无法解析的请求转发给其他特定DNS或根域服务器。一、DNS服务概述

（三）DNS服务器的分类操作系统选择安全与权限设置配置DNS区域BIND软件安装聚焦Linux操作系统，针对DNS服务的安装与配置进行详细步骤说明。通过命令行安装BIND软件包，确保更新源并解决所有依赖关系。创建并编辑DNS区域文件，定义域名与IP的映射关系，启用DNS解析功能。限制访问来源，设置防火墙规则，确保DNS服务安全稳定运行。二、DNS服务的安装与配置（一）BIND软件包简介BIND是开源DNS服务器软件，由加州大学伯克利分校开发，现由InternetSystemsConsortium维护，广泛用于DNS服务。BIND：开源DNS软件01BIND是主要负责域名解析到IP地址转换的软件，支持多种DNS记录类型和DNSSEC，确保解析安全和完整性。BIND的功能与支持02BIND是灵活的DNS服务器，支持主从复制和分布式架构，便于管理和配置，能适应各种规模网络。BIND的架构与管理03BIND是开源DNS服务器，以稳定安全著称，广泛应用于互联网基础设施和企业网络，提供可靠域名解析服务。BIND的应用与社区04二、DNS服务的安装与配置（一）BIND软件包简介包含BIND服务器的基本信息，如版本、管理员邮箱，以及包含其他配置文件的路径。1.全局配置文件分别声明正向和反向解析的DNS记录，列出所有域名及对应的IP地址，或IP地址对应的域名。3.缓存DNS服务器的配置定义DNS服务器的行为，如是否允许动态更新，日志记录设置，以及区域文件的位置。2.主配置文件二、DNS服务的安装与配置（二）BIND配置文件options配置段详解01options配置设置named工作目录，指定DNS解析文件存放位置，全局性配置。02allow-query配置控制允许查询DNS服务器的主机范围，可通过IP地址或地址匹配符设置。03listen-on配置指定named监听的IP地址和端口，未指定时默认监听所有IP的53号端口。二、DNS服务的安装与配置（二）BIND配置文件forwarders配置说明BIND配置文件forwardfirst为默认，先尝试转发器解析，失败后自身解析；forwardonly则仅尝试转发器，失败不自行解析。转发方式定义DNS转发器，指定8与8为转发器，采用forwardfirst方式，优先由转发器解析非本域或缓存中无记录的域名查询。二、DNS服务的安装与配置（二）BIND配置文件使用/etc/named.zones为全局配置，通过`cpnamed.rfc1912.zones/etc/named.zones`命令复制并编辑。主配置文件位置01使用`vim/etc/named.zones`命令打开文件，进行编辑以符合BIND服务需求。配置文件编辑02二、DNS服务的安装与配置（二）BIND配置文件Zone区域声明01主域名服务器正向解析声明格式含区域名称，类型为主，指定文件名，禁止更新。02从域名服务器正向解析声明格式含区域名称，类型为从，指定文件名，主服务器IP。03反向解析区域声明格式与正向相似，文件不同，区域名如。二、DNS服务的安装与配置（二）BIND配置文件1.安装BIND软件包（1）使用dnf命令安装BIND服务（光盘挂载，yum源制作请参照dhcp内容）。（2）安装完成后进行查询。（3）DNS服务的启停（设置开机自启）。任务实施2.配置和管理DNS服务配置全局配置文件、主配置文件和正反向区域文件。（1）全局配置文件。把options选项中的侦听IP（）改成any，把dnssec-validationyes改为no，把允许查询网段allowquery后面的localhost改成any。在include语句中指定主配置文件为named.zones。以下是一个简单的示例配置文件，如图4-15所示。任务实施（2）主配置文件。主配置文件位于/etc目录下，使用cp命令将named.rfc1912.zones复制为全局配置文件中指定的主配置文件，即/etc/named.zones。使用vim/etc/named.zones编辑内容。（3）区域配置文件。除了配置文件外，还需要创建区域文件来存储域名解析的信息。在/var/named/目录下创建.zone正向区域文件。先将样本文件named.如图4-16所示，在这个示例中，定义了

域的SOA记录、NS记录和A记录，用于将域名解析为IP地址。任务实施（4）防火墙设置。[root@localhostnamed]#firewall-cmd--permanent--add-service=dnssuccess[root@localhostnamed]#firewall-cmd--reloadsuccess（5）启动和管理DNS服务。配置完成后，可以启动和管理DNS服务。执行以下命令来启动BIND服务并设置开机自启动。[root@localhostnamed]#systemctlstartnamed[root@localhostnamed]#systemctlenablenamed还可以使用systemctl命令来管理DNS服务，例如查看服务状态、重新加载配置等。任务实施3.使用nslookup测试DNS服务在客户端完成测试，检查正反向域名解析配置是否正确。BIND软件包提供了3个DNS测试工具：nslookup、dig和host。其中dig和host是命令行工具，nslookup命令既是命令行模式也可以使用交互模式。用户使用工具nslookup来查看DNS服务是否正常工作。（1）正向域名解析测试。启动服务器的DNS服务。[root@localhost~]#systemctlstartnamed配置客户端IP地址。开启一台测试主机，采用静态配置IP地址的方式，配置IP地址和DNS服务。IPADDR=0NETMASK=GATEWAY=DNS1=0[root@localhostnetwork-scripts]#systemctlrestartnetwork将这台主机的DNS设置成刚才配置成功的DNS服务器地址。客户端安装bind-utils，测试DNS服务。任务实施[root@localhostnetwork-scripts]#yuminstallbind-utils-y①

使用nslookup命令查看

对应的IP地址。[root@localhostnetwork-scripts]#nslookupSERVER:0ADDRESS:0#53//DNS服务器IP地址和端口NAME:ADDRESS:0//返回主机的IP地址②

使用curl命令测试返回网站内容。[root@localhost~]#curl0//使用IP地址访问网站web1[root@localhost~]#curl//使用主机域名方式访问网站web1可以看到域名

被解析成了0的IP地址了。（2）反向域名解析测试。在另一台客户端上使用nslookup命令测试0对应的主机域名，返回了

的名称。[root@localhostnetwork-scripts]#nslookup092.name=.任务实施任务三安装和配置软路由任务目标任务描述某职业院校实施校企合作，要在企业部署一台CentOS主机，既做服务器，又做路由器，能够对外提供有线和Wi-Fi，该学校的学生可以通过IP直接访问。需要在CentOS主机上配置软路由，软路由将充当校园网络的核心设备，负责数据的转发和网络连接。看看巴图是如何解决的。1.能说出路由的作用和实现方式。2.能在Linux中安装与配置软路由。3.培养学生的创新意识和实践能力。任务分析本任务要安装与配置软路由，首先要了解路由器的作用和实现方式，进一步在Linux系统安装和配置软路由。一、路由器概述

（一）路由器简介路由器是互联网的主要节点设备，路由器通过路由决定数据的转发，转发策略成为路由选择（routing），这也是路由器名称的由来（router，转发者）。作为不同网络之间连接的枢纽，路由器系统构成了基于TCP/IP的国际互联网络Internet的主体脉络，也可以说，路由器构成了Internet的骨架。路由器的一个作用是连通不同的网络，另一个作用是选择信息传送的线路。选择通畅快捷的近路，能大大提高通信速度，减轻网络系统通信负荷，节约网络系统资源，提高网络系统流畅率，从而让网络系统发挥出更大的作用。路由器（router）是用于连接多个逻辑上分开的网络。所谓逻辑网络就是一个简单的网络或者一个子网。当数据从一个子网传输到另一个子网时，可通过路由器来完成。因此，路由器具有判断网络地址和选择路径的功能，它能在多网络互联环境中建立灵活的连接，可用完全不同的数据分组和介质访问方法连接各种子网，路由器只接受源站点或其他路由器的信息，属于网络层的一种互联设备。它不关心各子网使用的硬件设备，但要求运行与网络层协议相一致的软件。一、路由器概述

（二）路由器的工作原理软路由定义通过在普通硬件上安装特定软件实现路由器功能，以低成本、高灵活性和易管理性著称。软路由优势对比硬件路由器，软路由提供更便捷的管理选项，且在性价比上具有优势。二、软路由概述（一）软路由的作用和优势提供路由、防火墙、VPN、负载均衡，适应多种网络环境和应用需求。软路由功能特性可根据实际需求进行定制和配置，满足特定网络管理和安全需求。软路由定制灵活性基于通用硬件，成本相对较低，适合中小型企业和教育机构使用。软路由成本优势通过软件界面或命令行即可进行配置和监控，管理维护相对简便。软路由管理便捷性二、软路由概述（一）软路由的作用和优势010203软路由功能应用作为校园网络核心，提供有线Wi-Fi服务，满足上网需求。网络互联与安全实现校内外网络互联，确保安全可靠连接，满足合作项目需求。网络访问控制通过配置实现对外访问控制，保障校园网络安全和稳定。二、软路由概述（二）软路由在校企合作中的应用场景1.安装软路由（1）安装前的准备。确保CentOS主机已经安装并配置好操作系统。确保CentOS主机具备至少两个网络接口，一个用于连接学校内部网络，另一个用于连接外部网络（如互联网）或者用于连接Wi-Fi设备。检查所需软件和驱动程序的安装情况。（2）安装软路由功能。更新系统软件包列表[root@localhost~]#dnfupdate使用dnf命令安装iptables软件包[root@localhost~]#dnfinstalliptables（3）验证iptables是否安装成功。安装完成后，可以通过iptables--version命令验证iptables是否成功安装。如果成功安装，将显示iptables的版本信息。[root@localhost~]#iptables--versioniptablesv1.8.5（nf_tables）任务实施2.配置软路由（1）编辑网络接口配置文件，设置IP地址、子网掩码、网关等网络参数。假设要配置eth0接口为内网接口，eth1接口为外网接口，以下是示例配置。使用vim/etc/sysconfig/network-scripts/ifcfg-eth0编辑eth0接口配置文件任务实施（2）启用IP转发功能，使CentOS主机可以进行路由转发。编辑/etc/sysctl.conf文件，取消注释或添加以下行，启用IP转发功能[root@localhost~]#vim/etc/sysctl.confNet.ipv4.ip_forward=1使用以下命令使配置生效[root@localhost~]#sysctl-p（3）配置防火墙规则，允许数据包转发和实现网络地址转换（NAT）功能。配置防火墙规则允许数据包转发任务实施（4）保存防火墙规则，使其在系统重启后仍然生效。[root@localhost~]#serviceiptablessave（5）测试和故障排查。最后，进行网络连接测试，确保内网主机可以成功访问外网，并对可能出现的问题进行故障排查。通过以上步骤，CentOS-Stream-8系统将具备软路由功能，并且通过配置网络接口、启用IP转发、设置防火墙规则，实现了路由转发和NAT功能。任务实施感谢聆听Linux操作系统管理项目五基于Linux防火墙的配置与管理01基于Linux防火墙的构建与管理使用Iptables防火墙加固Web服务器02目录任务一基于Linux防火墙的构建与管理任务目标任务描述防御网络攻击并保障系统安全是非常重要的一项工作，而防火墙作为公网与内网之间的保护屏障，在保护系统安全性方面起着至关重要的作用。巴图要对公司最近升级的服务器操作系统CentOS-Stream-8进行防火墙的配置和管理。1.能说出防火墙的概念、作用及工作机制。2.会使用firewalld命令完成特定场景的防火墙配置。3.会使用图形工具firewall-config配置防火墙。4.培养学生增强系统安全的意识，学会应对系统安全威胁。任务分析对于防火墙的构建与管理，巴图非常感兴趣，他决定要好好学习一下防火墙的相关内容。防火墙功能监控分析信息过滤网络安全作用隔离内外网络，阻止未经授权的访问，通过安全策略控制信息流，同时具备一定的防御能力。作为不同安全域间的边界，控制进出网络的数据包，防止恶意软件传播，保护内部网络资源。设置规则过滤网络流量，允许特定数据传输，拒绝潜在威胁的数据，确保网络通信安全。实时监控网络活动，记录数据交互详情，对异常行为进行分析，提高网络安全管理水平。一、

防火墙概述（一）防火墙数据包过滤与安全协议通过防火墙阻止不符合规则的数据包，禁止不安全的协议如NFS，以保护内部网络免受攻击。数据包过滤与安全协议路由选择与地址转换功能，使局域网内使用私有IP的主机能顺利访问外部网络。路由选择与地址转换对进出网络的访问行为做日志记录，并提供网络使用情况的统计数据，实现对网络存取和访问的监控审计。访问记录与网络审计网络防火墙能抵御路由攻击，如IP选项中的源路由攻击，ICMP重定向中的重定向路径攻击，并在遭受攻击时及时发出警告。网络攻击检测与告警一、

防火墙概述（二）防火墙的功能防火墙技术有很多，按技术的不同防火墙可分为包过滤型防火墙和代理服务器型防火墙。一、

防火墙概述（三）防火墙的种类包过滤型防火墙01防火墙包过滤技术筛选数据包，依据IP地址、传输协议、端口号，决定数据包通过与否，易受地址欺骗攻击。02防火墙与应用网关配合包过滤防火墙常与应用网关结合，弥补单一技术不足，增强整体安全防护。一、

防火墙概述（三）防火墙的种类代理服务器型防火墙防火墙技术分类代理服务器型防火墙在应用层运行，不同于包过滤仅限网络层和传输层，提供更全面的防护，但建立连接时间较长。代理服务器型防火墙原理通过应用层代理程序监视和控制数据流，内外网络通信需经审核，防止数据驱动攻击，可筛选任意层数据，但速度较慢。一、

防火墙概述（三）防火墙的种类软件防火墙在普通电脑上运行，使用他人的内核，可能受操作系统安全性影响。软件防火墙特性01硬件防火墙基于特殊硬件平台，具有速度快、处理能力强、性能好但价格高的特点。它通常有三个接口：外网接口、内网接口和DMZ接口，用于连接Internet、内部网络及服务器集群。硬件防火墙特性02一、

防火墙概述（三）防火墙的种类二、Linux防火墙的历史演进与架构历史演进从早期简单包过滤到集成IPTables，再到内核集成的Netfilter，不断强化安全策略与多层过滤。架构特点基于内核实现，确保高效稳定；采用模块化设计，支持iptables命令行配置，提供灵活的规则链管理。2.0内核的包过滤机制在2.0内核中，包过滤机制是ipfw，管理防火墙的工具是ipfwadm。2.4内核的包过滤机制在2.4内核中，包过滤机制是netfilter，管理防火墙的工具是iptables。Linux包过滤历程Linux包过滤机制自1.1内核起不断发展，经历了四个阶段，随着内核版本升级逐步演进。2.2内核的包过滤机制在2.2内核中，包过滤机制是ipchain，管理防火墙的工具是ipchains。3.10内核包过滤机制包过滤机制在3.10内核后由netfilter负责，firewalld和iptables是管理工具。二、Linux防火墙的历史演进与架构（一）Linux防火墙的历史研究Linux防火墙系统由以下三层架构的三个子系统组成。01netfilter内核层Linux内核的netfilter是包过滤框架，它以表、链和规则的分层结构组织过滤规则，实现灵活的网络管理。02中间层及服务程序中间层服务程序是用户与内核之间的桥梁，它管理防火墙规则，将用户设置的策略应用于内核的netfilter，以控制防火墙行为。03用户层工具Linux系统为用户提供的用来定义和配置防火墙规则的工具软件。二、Linux防火墙的历史演进与架构（二）Linux防火墙的架构作为Linux的动态防火墙管理工具，firewalld提供CLI和GUI管理，是系统默认配置工具，简化防火墙操作。firewalld服务介绍01功能特性02firewalld支持动态更新规则，允许规则生效无需重启，提供接口和区域的管理，实现灵活的网络访问控制。三、firewalld概述firewalld通过区域简化防火墙管理，依据源IP或网络接口，将数据流量导向特定规则。火墙区域划分01数据包进入系统，首先检查源地址，若与特定区域关联，则执行该区域规则；否则，使用网络接口的区域规则。区域规则匹配02网络接口未关联区域时，使用默认区域规则，此默认区域通常为public，但可由管理员更改。默认区域应用03匹配规则遵循先到先得原则，首个匹配的规则将被优先执行。匹配规则优先级04三、firewalld概述（一）firewalld网络区域防火墙命令基础firewall-cmd是firewalld的管理工具，用于动态配置，无需重启服务。firewall-cmd功能配置firewall-cmd。端口管理。服务管理。配置IP地址伪装。端口转发。安全策略持久化配置安全策略时添加“--permanent”选项，再重启firewall服务或执行firewall-cmd--reload命令，可使策略永久生效。三、firewalld概述（二）firewall-cmd管理工具通过命令行输入"firewall-config"启动图形界面，用于简化和直观处理防火墙复杂配置。启动firewall-config界面包含四个部分：主菜单、配置选项卡、区域设置区和状态栏，方便用户进行操作。界面功能分区三、firewalld概述（三）firewall-config的工作界面“选项”菜单详细功能重载防火墙将永久配置规则应用到运行时配置，即时生效。更改连接区域调整网络连接所属区域，适应不同网络环境。改变默认区域设置网络连接或接口的默认安全区域。三、firewalld概述（三）firewall-config的工作界面修改LogDenied选择记录被拒绝连接的日志类型：all、unicast、broadcast、multicast或off。应急模式Runtime转永久配置保存当前运行时配置为永久配置，覆盖原有永久规则。启用后，丢弃所有数据包，禁止网络连接，仅在紧急情况下使用。锁定锁定防火墙配置，仅允许白名单应用改动，增强安全性。三、firewalld概述（三）firewall-config的工作界面状态栏显示连接状态、默认区域等信息，已连接表示工具已连接到firewall后台程序。修改会立即生效并自动保存。状态栏区域设置区包含6个选项卡，如“区域”选项卡，有1个区域列表和10个标签，用于详细配置防火墙规则。区域设置区firewall-config图形界面提供运行时和永久配置模式，影响系统重启时的规则生效状态。配置选项卡三、firewalld概述（三）firewall-config的工作界面Linux防火墙配置日志审计功能1.firewalld防火墙配置步骤一：检查firewalld状态。首先，需要检查firewalld的状态，确认是否已经启动。可以使用以下命令来查看firewalld的状态：[root@localhost~]#systemctlstatusfirewalldCentOS8默认已安装firewalld，如果未安装可以使用下面命令安装：[root@localhost~]#yuminstall-yfirewalld步骤二：启动firewalld。如果firewalld未启动，可以使用以下命令来启动：[root@localhost~]#systemctlstartfirewalld任务实施步骤三：设置firewalld开机自启动。为了确保firewalld