linux学习（二）

LVM 逻辑卷管理
PE 物理扩展
PV 物理卷
VG 卷组
LV 逻辑卷
将物理磁盘设备初始化为物理卷
如：pvcreate /dev/sdb 
创建卷组，并将PV加入卷组
如：vgcreate linuxcast（卷组名字） /dev/sdb
基于卷组创建逻辑卷
如：lvcreate -n mylv（逻辑卷名字） -L 2G linuxcast（从卷组中哪个卷组）
为创建好的逻辑卷创建文件系统
如：mkfs.ext4 /dev/linuxcast/mylv
将格式化好的逻辑卷挂载使用
如：mount /dev/linuxcast/mylv /mmt
删除LV 
lvremove 路径
删除VG
vgremove
删除物理卷
pvremove
查看命令
pvdisplay
pvs
vgdisplay
vgs
lvdisplay
lvs
逻辑卷的拉伸可以在线执行
保证VG有足够的空间大小
vgdisplay
扩充逻辑卷
lvextend -L +1G /dev/linuxcast/mylv
查看扩充后大小
lvdisplay
更新文件系统
resize2fs /dev/linuxcast/mylv
查看更新后的文件系统
df -h
若VG大小不够
将要添加到VG的硬盘格式化为pv
pvcreat /dev/sdd
vgextend linuxcast /dev/sdd
缩小逻辑卷
缩小无法在线缩小
卸载已经挂载的逻辑卷
umount /dev/linuxcast/mylv
缩小文件系统
resize2fs /dev/linuxcast/mylv 5G(缩小到的大小)
缩小LV
lvreduce -L -1G /dev/linuxcast/mylv
挂载
mount /dev/linuxcast/mylv /mnt
缩小卷组
vgreduce linuxcast /dev/sdd


ACL（access control list）高级的权限机制，允许针对不同用户、不同组对一个目标文件夹进行权限设置，不受UGO模型限制
ACL需要在挂载文件的时候打开ACL功能
mount -o acl /dev/sda5 /mnt
查看一个文件的ACL设置
getfacl 
设置用户权限
setfacl -m u:username：rwx（或-wx、r-x等） filename
设置组权限
setfacl -m g:groupname：rwx filename
删除ACL设置
setfacl -x u:username filename
touch 可建立一个文件




硬盘
机械硬盘[SATA（<150M/s） SCSI(<200M/s) SAS(200M/s左右)] SSD（500M/s左右）
RAID(redundant array of independent disks)廉价磁盘冗余阵列技术是通过多磁盘并行运行来提高计算机的存储IO性能
常用
RAID 0  读写性能（使用最少2块应硬盘，性能为所有磁盘速度之和，空间为：所用空间之和）
RAID 1  读取性能、冗余性（所有硬盘数据都一样，空间为所有磁盘中最小的那块，读性能为所有硬盘速度之和，写性能有所减弱）
RAID 5  读写性能、冗余性（允许损坏1块硬盘）（最少使用3块硬盘，读写数据的时候会将数据分布式的读写在所有硬盘上，写数据进行奇偶校验，将校验信息同时保存在硬盘上，校验信息可以进行数据恢复使用，读性能接近RAID0，写性能较RAID0弱，空间利用率：1-1/n）
RAID 6  读写性能、冗余性（允许损坏2块硬盘）(最少使用4块硬盘，与R、D相似，比RAID多保存一份校验信息，空间使用率：1-2/n)
RAID实现
软件RAID 
硬件RAID：独立RAID硬件卡实现


mdadm
创建好的软件RAID对应/dev/mdn(n为第几个RAID)
RAID信息保存在/proc/mdstat 文件中
mdadm -C（创建新的RAID） /dev/md0 -a yes -l（创建级别） 0 -n(多少块磁盘) 2 /dev/sdb /dev/sdc
创建好RAID后，创建新的配置文件
mdadm -D --scan > /etc/mdadm.conf
创建文件系统之后挂载使用
mkfs.ext4 /etc/md0
mount /dev/md0/mnt
cat /proc/mdstat 查看RAID
mdadm -S /dev/md0 关闭RAID（关闭前线卸载）
mdadm -R /dev/md0 重新启用RAID
模拟一个磁盘故障：mdadm /dev/md0 -f /dev/sdb
从一个RAID中移出一个磁盘：mdadm /dev/md0 -r /dev/sdb
向一个RAID中添加一个磁盘：mdadm /dev/md0 -a /dev/sdc


mii-tool查看网卡状态
ethtool eth0(网卡) 查看网卡物理特性
ethtool -i eth0 查看驱动信息
ethtool -s eth0 查看网卡状态
linux支持在一个网卡上配置多个IP地址，用来实现接口之类的功能，称为IP别名
service NetworkManager 
chkconfig Networkmanger off  （禁用NetworkManager）
临时创建IP别名
ip addr add 10.1.1.1/24 dev eth0 label eth0:0 (eth0第一别名）
永久添加IP别名，创建配置文件于/etc/sysconfig/network-scripts
配置文件内容
 DEVICE=eth0
 IPADDR=10.1.1.1
 PREFIX=24(子网掩码)
 ONPARENT=yes
多网卡绑定
linux支持将多块网卡绑定为一个逻辑网卡，提带宽及稳定性
网卡绑定模式
 模式0：平衡轮训
 模式1：主动备份
 模式3：广播
绑定的逻辑网卡命名为bondn（后面的n为编号）
创建绑定网卡的配置文件于/etc/sysconfig/network-scripts/ifcfg-bond0
内容
 DEVICE=bond0
 IPADDR=192.168.1.1
 PREFIX=24(子网掩码)
 ONBOOT=yes（开机自启动）
 BOOTPROTO=none（启动协议）
 USERCTL=no（用户控制）
 BONDING_OPTS="mode=1 miimon=50"（模式与周期）
编辑物理网卡配置文件 /etc/sysconfig/network-scripts/ifcfg-eth0
内容
 DEVICE=eth0
 BOOTPROTO=none
 ONBOOT=yes
 MASTER=bond0（从属哪块逻辑网卡）
 SLAVE=yes
 USERCLT=no
为bond网卡添加驱动支持 于/etc/modprobe/bonding_conf创建文件bonding.conf
内容
 allas bond0(哪块网卡) bonding
if bond0 启动网卡


SElinux（secure enhance linux）安全增强linux是有NSA开发的linux安全策略机制 是内核级安全机制 2.6内核之后集成
安全机制对两样限制：进程、系统资源（文件、网络套接字、系统调用）
SElinux两个概念：域（domain） 上下文（context）
 域用来对进程进行限制
 上下文限制系统资源
ps -Z查看进程的域
ls -Z查看文件的上下文
SElinux通过定义策略来控制哪些域课访问哪些上下文
策略 目标（target）策略 等
工作模式
强制（enfocing）：违反策略的行动都被禁止，并作为内核信息记录
允许（permissive）：违反策略的行动不被禁止，但会产生警告信息
禁用（disabled）：禁用SElinux，与不带SElinux的系统一样
配置文件 /etc/sysconfig/selinux
SElinux=permissive
getenforce查看当前SElinux工作状态（暂时更改，该配置文件才可以保存更改）
setenforce设置当前SElinux工作状态
restorecon 恢复文件默认的上下文
chcon --refercnce=/etc/named.conf.orig(参照文件) /etc/named.conf 通过参照文件修改


网络访问控制
linux内核继承网络访问控制功能，通过netfilter模块实现
通过iptable程序对netfilter进行控制管理
netfilter可以对数据进行允许、丢弃、修改操作
netfilter以下方式对数据包进行分类
源IP地址 目标IP地址 使用接口 使用协议 端口号 连接状态
Fliter point、chain（链，也叫过滤点）：INPUT、FORWARD、OUTPUT、PREROUTING、POSTROUTING
table[表]（功能）：filter、nat、mangle
linux作为服务器使用：
 过滤到本机的流量 INPUT链 filter链
 过滤到本机发出的流量 OUTPUT链 filter链
linux作为路由器使用：
 过滤转发的流量 forward链 filter链
 对转发数据的源、目标IP进行修改（NAT功能） forward链 nat表
iptable通过规则对数据进行访问
一个规则使用一行配置
规则
iptables -t filter（表） -A INPUT（链） -s 192.168.1.1（匹配属性） -j DROP（动作）
 表：规定使用的表（filter、nat、mangle，不同的表友不同功能）
 链：规定过滤点
 匹配属性：规定匹配数据包的特征 【源、目标IP地址、协议（TCP/IP）、端口号、接口】
 匹配后的动作：放行、丢弃、记录 【ACCEPT、DROP、REJECT】


iptables -L 列出现有iptable规则
插入一个规则
iptables -I IPPUT 3（INPUT链的第三个） -p tcp --dport 22（匹配属性） -j ACCEPT（动作）
iptables -D INPUT 3 删除iptables规则
匹配参数
基于地址 -s（源地址） 192.168.1.1、 -d（目标地址） 10.0.0.0/8
基于接口 -i eth0、 -o eth1
排除参数 -s “1” 192.168.1.1/24
基于协议机端口 -p tcp --dport（目标地址） 23、  -p udp --sport（源地址） 53、 -p icmp
NAT（Network Address Translation）网络地址转换是用来对数据包的IP地址进行修改的机制
NAT分为：
SNAT 源地址转换，通常用于伪装内部地址
DNAT 目标地址转换，通常用于跳转
通过NAT进行跳转
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-dest 192.169.1.10(对80端口的访问转到后面一个地址)
通过NAT对出向数据进行跳转
iptables -t nat -A OUTPUT -p tcp --dropt 80 -j DNAT --to-dest 192.168.1.10
通过NAT对数据流进行伪装（一般意义上的NAT，将内部地址全部伪装为一个外部公网IP地址）
iptables -t nat -A POSTROUTING -o enth0 -j MASQUERADE(将所有发出IP地址伪装成eth0的IP地址)
通过NAT隐藏IP地址
iptables -t nat POSTROUTING -j SNAT --to-source 1.2.3.4（伪装成的地址）
通过iptables添加的规则不会永久保存，需要将规则保存在 /etc/sysconfig/iptables 配置文件中
将iptables规则永久保存 service iptables save
远程管理一个linux主机并修改iptable规则，必须先允许来自客户端主机的SSH流量并确保这是第一条iptables规则，以防将自己锁住
数据包在匹配iptables规则后就不会继续匹配




远程管理
远程管理方式
RDP（remote desktoop protocol）windows
telnet CLI界面，几乎所有操作系统都有
SSH（secure shell） CLI界面，几乎所有操作系统都有
RFB（remote framebuffer） 图形远程管理协议，VNC（virtual network computing）使用的协议
SSH使用秘钥对数据进行传输
SSH2是使用最广泛的版本
SSH协议使用TCP协议，端口号22
openssh是ssh的一个开源程序
SSH分为服务端与客户端，常驻服务运行service sshd status
以ssh协议登陆其他主机
ssh root（用户名）@192.168.1.1（主机）
ssh信息保存在家目录下.ssh隐藏文件内
scp用以通过ssh在两台计算机之间进行快速的、加密的数据传输
scp 源文件 目标地址
scp linuxcast.tar root@192.168.1.1:/root/(将linuxcast文件传输到root问价夹中)
-r 递归进行拷贝（用以传输文件夹）
-p 传输室保留文件权限及时间戳
-C 传输时进行数据压缩
rsync用以在两台计算机之间通过ssh协议同步文件夹，是一种增量同步方式，只会拷贝变化的文件
rsync *.* root@192.168.1.1:/root/
安装VNC（分为客户端和服务端）
yum install -y tiger-sever
（安装客户端 yum install -y tigervnc）
配置vnc服务，配置文件保存在/etc/sysconfig/vncservers
VNCSEVERS="1:linuxcast" 
VNC需要单独的登陆密码，创建密码：
vncpasswd
创建密码后启动vnc服务
service vncserver start
可能要清空规则 iptables -F


日志是系统用来记录系统运行时候一些相关信息的纯文本文件
目的是为了保存相关程序的运行状态、错误信息等，为了对系统进行分析、保存历史记录以及在出现错误的时候发现分析错误使用
linux一般保存一下类型的日志：
内核信息 服务信息 应用程序信息
rsyslog是syslog的增强版本，实行日志功能的服务
日志消息保存在 /var/log
日志的配置文件 /etc/rsyslog.conf
通常使用tail -f、logfile方式来实时监控日志文件
rsyslog通过Facility概念来定义日志消息的来源
kern 内核消息、user 用户级消息、mail 邮件系统消息、daemin 系统服务消息、auth 认证系统消息 
syslog 日志自身消息、authpriv 权限系统消息、lpr 打印系统消息、cron 定时任务消息、news 新闻系统消息
uucp uucp系统消息、ftp ftp消息、loacl0-local7
Priority/Severity Level
对同一来源的日志消息，进行优先级划分，由上自下减弱
Emergency 系统已经不可用
Alert 必须立即进行处理
Critical 严重错误
Error 错误
Warning 警告
Notice 正常信息、但较为重要
Information 正常信息
Debug debug信息
rsyslog配置文件的日志配置规则
facility.priority   log_location(日志位置)
如mail.*     -/var/log/maiilog
*.info;mail.none;authpriv.none;croe.noe  /var/log/messages
将日志发送至一个统一的日志服务器
*.*   @192.168.1.1  (使用UDP协议发送)
*.*   @@192.168.1.1 (使用TCP协议发送)