Linux_Shell脚本学习第八章-无网不利(下)

一、在本地挂载点上挂载远程驱动器

在执行数据读写操作时,如果可以通过本地挂载点访问远程主机文件系统,那就再好不过了。SSH是网络中常用的文件传输协议。sshfs利用SSH实现了在本地挂载点上挂载远程文件系统。

1.1 将位于远程主机上的文件系统挂载到本地挂载点上

# sshfs -o allow_other user@remotehost:/home/path /mnt/mountpoint
Password:

在收到提示时输入密码。现在位于远程主机/home/path中的数据就可以通过本地挂载点/mnt/mountpoint来访问了。
使用下面的命令卸载:

# umount /mnt/mountpoint

二、分析网络流量与端口

lsof和netstat命令可用来列出端口以及运行在端口上的服务。

2.1 lsof

lsof(list open files)命令可以列出已打开的文件。选项-i将范围限制在已打开的网络连接:

$ lsof -i
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE
NAME
firefox-b 2261 slynux 78u IPv4 63729 0t0 TCP
localhost: 47797->localhost:42486 (ESTABLISHED)
firefox-b 2261 slynux 80u IPv4 68270 0t0 TCP
slynux-laptop.local:41204->192.168.0.2:3128 (CLOSE_WAIT)
firefox-b 2261 slynux 82u IPv4 68195 0t0 TCP
slynux-laptop.local:41197->192.168.0.2:3128 (ESTABLISHED)
ssh 3570 slynux 3u IPv6 30025 0t0 TCP
localhost:39263->localhost:ssh (ESTABLISHED)
ssh 3836 slynux 3u IPv4 43431 0t0 TCP
slynux-laptop.local:40414->boney.mt.org:422 (ESTABLISHED)
GoogleTal 4022 slynux 12u IPv4 55370 0t0 TCP
localhost:42486 (LISTEN)
GoogleTal 4022 slynux 13u IPv4 55379 0t0 TCP
localhost:42486->localhost:32955 (ESTABLISHED)

lsof的每一项输出都对应着一个开放端口上的服务。输出的最后一列类似于:

laptop.local:41197->192.168.0.2:3128

输出中的laptop.local:41197对应本地主机,192.168.0.2:3128对应远程主机。41197是本地主机当前的开放端口,3128是远程主机上的服务端口。

要列出本地主机当前的开放端口,可以使用下列命令:

$ lsof -i | grep ":[0-9a-z] +->" -o | grep "[0-9a-z] +" -o | sort | uniq

第一个grep中使用的正则表达式:[0-9a-z]±>用来从lsof输出中提取主机端口部分(:34395->或:ssh->)。第二个grep用来删除起始的冒号以及末尾的箭头,提取端口号(数字)。多个连接可能会使用同一个端口,因此相同的端口也许会出现多次。为了保证每个端口只显示一次,将端口号排序并使用uniq命令打印出不重复的部分。

2.1 netstat

用netstat查看开放端口与服务
用netstat -tnp列出开放端口与服务:

$ netstat –tnp
Proto Recv-Q Send-Q Local Address Foreign Address
State PID/Program name
tcp 0 0 192.168.0.82:38163 192.168.0.2:3128
ESTABLISHED 2261/firefox-bin
tcp 0 0 192.168.0.82:38164 192.168.0.2:3128
TIME_WAIT -
tcp 0 0 192.168.0.82:40414 193.107.206.24:422
ESTABLISHED 3836/ssh
tcp 0 0 127.0.0.1:42486 127.0.0.1:32955
ESTABLISHED 4022/GoogleTalkPlug
tcp 0 0 192.168.0.82:38152 192.168.0.2:3128
ESTABLISHED 2261/firefox-bin
tcp6 0 0 ::1:22 ::1:39263
ESTABLISHED -
tcp6 0 0 ::1:39263 ::1:22
ESTABLISHED 3570/ssh

三、测量网络带宽

iperf能够提供更多的网络性能指标。
iperf必须安装在链路的两端(服务器端和客户端)。安装好之后,启动服务器端:

$ iperf -s

然后运行客户端,生成吞吐量统计:

$ iperf -c 192.168.1.36
------------------------------------------------------------
Client connecting to 192.168.1.36, TCP port 5001
TCP window size: 19.3 KByte (default)
------------------------------------------------------------
[ 3] local 192.168.1.44 port 46526 connected with 192.168.1.36 port 5001
[ ID] Interval Transfer Bandwidth
[ 3] 0.0-10.0 sec 113 MBytes 94.7 Mbits/sec
选项-m会使得iperf找出最大传输单元(Maximum Transfer Size,MTU):
$ iperf -mc 192.168.1.36
------------------------------------------------------------
Client connecting to 192.168.1.36, TCP port 5001
TCP window size: 19.3 KByte (default)
------------------------------------------------------------
[ 3] local 192.168.1.44 port 46558 connected with 192.168.1.36 port 5001
[ ID] Interval Transfer Bandwidth
[ 3] 0.0-10.0 sec 113 MBytes 94.7 Mbits/sec
[ 3] MSS size 1448 bytes (MTU 1500 bytes, ethernet)

四、创建套接字

netcat或nc命令都可以创建用于在TCP/IP网络上传输数据的套接字。我们需要两个套接字:一个负责侦听连接,一个负责发起连接。

4.1 设置侦听套接字

nc -l 1234

这会在本地主机的端口1234上创建一个侦听套接字。

4.2 连接到该套接字

nc HOST 1234

如果是在运行着侦听套接字的主机上执行该命令,那么需要将HOST更换成localhost,否则将其更换成其他主机的IP地址或主机名。

4.3 在网络上快速复制文件

我们可以利用netcat和shell重定向在网络上复制文件。下面的命令能够向侦听主机发送文件。
(1) 在侦听端执行下列命令:

nc -l 1234 > destination_filename

(2) 在发送端执行下列命令:

nc HOST 1234 < source_filename

4.4 创建广播服务器

你可以利用netcat创建定制服务器。下面的脚本创建了一个能够定时(每隔10秒)发送时间的服务器。可以使用客户端连接到侦听端口获取时间:

# 该脚本会将时间发送到端口
while [ 1 ]
do
sleep 10
date
done | nc -l 12345
echo exited

五、搭建网桥

如果你有两个独立的网络,可能需要某种方法将数据从一个网络传到另一个网络。这通常可以通过使用路由器、集线器或交换机连接两个网络来实现。
Linux系统可以作为网桥使用。
网桥是一种低层连接,它并不是基于IP地址,而是使用MAC地址传递分组。其自身需要的资
源更少,效率也更高。

5.1 使用ip link命令搭建网桥

在下面的例子中,有两个网卡:eth0被配置连接到子网192.168.1.0,eth1没有配置,但会通过网桥连接到子网10.0.0.0。

# 创建名为br0的新网桥
ip link add br0 type bridge

# 将以太网适配器添加到网桥
ip link set dev eth1 master br0

# 配置网桥的IP地址
ifconfig br0 10.0.0.2

# 启用分组转发
echo 1 >/proc/sys/net/ipv4/ip_forward

所创建出的网桥使得分组可以在eth0和eth1之间传递。在网桥生效之前,我们需要将其加入路由表。
对于网络10.0.0.0/24中的主机,添加到网络192.168.1.0/16路由表项:

route add -net 192.168.1.0/16 gw 10.0.0.2

网络192.168.1.0/16中的主机需要知道如何找到网络10.0.0.0/24。如果eth0配置了IP地192.168.1.2,则使用route命令:

route add -net 10.0.0.0/24 gw 192.168.1.2

六、Internet 连接共享

大多数防火墙/路由器都能够让你的家庭或办公室设备共享Internet连接。这种技术叫作网络地址转换(Network Address Translation,NAT)。安装了两块网络接口卡(Network Interface Card,NIC)的Linux计算机可以用作路由器,提供防火墙保护以及连接共享。

我们使用iptables设置了网络地址转换,使得多个联网设备能够共享Internet连接。你需要使用iwconfig命令来获得无线接口的名称。

6.1 连接到Internet(电脑开热点)

在这里我们假设使用的是有线网络连接,通过eth0连接到Internet。

6.2 使用发行版自带的网络管理工具,创建一个新的ad hoc无线连接,配置如下

 IP地址:10.99.66.55。
 子网掩码:255.255.0.0(16)。

6.3 使用下面的shell脚本来实现Internet连接共享

#!/bin/bash
#文件名: netsharing.sh
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -A FORWARD -i $1 -o $2 -s 10.99.0.0/16 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A POSTROUTING -t nat -j MASQUERADE

6.4 执行脚本

./netsharing.sh eth0 wlan0

其中,eth0是连接到Internet的接口,wlan0是无线接口,支持与其他设备共享Internet连接。

6.5 将设备连接到刚才创建的无线网络

 IP地址:10.99.66.56(以此类推)。
 子网掩码:255.255.0.0。

七、使用iptables 架设简易防火墙

防火墙是一种网络服务,它可以过滤、阻止不需要的网络流量,允许正常的网络流量通过。Linux中的标准防火墙工具是iptables,它目前已经被集成到了内核中。

7.1 如果你不希望访问特定站点(例如恶意站点),可以阻止发送到该IP地址的流量

#iptables -A OUTPUT -d 8.8.8.8 -j DROP

如果在另一个终端中执行PING 8.8.8.8,然后再执行iptables命令,你会看到:

PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
64 bytes from 8.8.8.8: icmp_req=1 ttl=56 time=221 ms
64 bytes from 8.8.8.8: icmp_req=2 ttl=56 time=221 ms
ping: sendmsg: Operation not permitted
ping: sendmsg: Operation not permitted

ping命令在执行到第三次的时候失败了,这是因为我们使用iptables将所有发送到8.8.8.8的流量给丢弃了。

7.2 阻止发送到特定端口的流量

#iptables -A OUTPUT -p tcp -dport 21 -j DROP
$ ftp ftp.kde.org
ftp: connect: Connection timed out

如果你在/var/log/secure或/var/log/messages中发现类似于下面的信息,就说明碰上了一点小麻烦:

Failed password for abel from 1.2.3.4 port 12345 ssh2
Failed password for baker from 1.2.3.4 port 12345 ssh2

这些信息说明有机器人正在探测你的系统是否存在弱密码。你可以使用INPUT规则阻止机器
人访问站点,这条规则会丢弃所有机器人所在地址的流量:

#iptables -I INPUT -s 1.2.3.4 -j DROP

7.3 iptables工作原理

iptables是Linux系统中用来配置防火墙的命令。iptables中的第一个选项可以是-A,表明向链(chain)中添加一条新的规则,也可以是-I,表明将新的规则插入到规则集的开头。接下来的参数指定了链。所谓链就是若干条规则的集合,在早先的例子中我们使用的是OUTPUT链,它可以控制所有的出站流量(outgoing traffic),而在上一个例子中,用到的是INPUT链,它能够控制所有的入站流量(incoming traffic)。

-d指定了所要匹配的分组目的地址,-s指定了分组的源地址。最后,-j指示iptables执行到特定的处理(action)。在这些例子中,我们对分组采用的处理方式是DROP(丢弃)。其他处理方式还包括ACCEPT和REJECT。
在第二个例子中,-p指定规则仅适用于TCP,-dport指定了对应的端口。这样我们就可以
只阻止所有出站的FTP流量了。

7.4 清除

可以使用选项-flush清除对iptables链所作出的所有改动:

#iptables -flush
©️2020 CSDN 皮肤主题: 书香水墨 设计师: CSDN官方博客 返回首页
实付0元
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、C币套餐、付费专栏及课程。

余额充值