红帽RHCE培训-课程3笔记内容1

1 控制服务和守护进程 systemctl

systemctl start **

systemctl restart **

systemctl enable **

systemctl status ** -l

2 管理IPv6网络 （考点）

理论 略

ipv4 点分十进制,32位4组

mac 冒分十六进制,48位6组

ipv6 冒分十六进制，128位8组 （0123456789ABCDEF）

例如：

CDCD:910A:2222:5498:8475:1111:3900:2020

2001:0410:0000:0001:0000:0000:0000:45ff

2001: 410: 0: 1: :45ff

2001:410:0:1::45FF

:: 配置 IPv6 地址

在您的考试系统上配置接口 eth0 使用下列 IPv6 地址：

server0 上的地址应该是 fddb:fe2a:ab1e::c0a8:64/64

desktop0 上的地址应该是 fddb:fe2a:ab1e::c0a8:65/64

两个系统必须能与网络 fddb:fe2a:ab1e::c0a8:fe 内的系统通信。

地址必须在重启后依旧生效。

两个系统必须保持当前的 IPv4 地址并能通信。

[Server]

# ping6 fe80::5054:ff:fe00:b%eth0

# ping6 -I eth0 fe80::5054:ff:fe00:b

# nmcli con mod 'System eth0' ipv6.addresses fddb:fe2a:ab1e::c0a8:64/64 ipv6.method static connection.autoconnect yes

# ifdown eth0 && ifup eth0

# ip add show eth0

[desktop]

# nmcli con mod "System eth0" ipv6.addresses fddb:fe2a:ab1e::c0a8:65/64 ipv6.method manual connection.autoconnect yes 注释：manual 和static均表示静态IP

# systemctl restart network

# ip add show | grep inet6

# ping6 fddb:fe2a:ab1e::c0a8:fe

显示路由表：ipv6: ip -6 route ipv4: ip route

3 配置链路聚合和桥接 (考点)

3.1 配置网络Team

步骤：

1、创建team接口

2、确定team接口特性

3、分配接口（team网卡与物理网卡的映射）

4、启用或禁用接口

使用两个man手册：

man teamd.conf

man nmcli-examples | grep team | grep \\$

[foundation]查看脚本

# vim /content/courses/rh254/rhel7.0/grading-scripts/lab-teambridge

:: 配置链路聚合

在 server0.example.com 和 desktop0.example.com 之间按以下要求配置

此链路使用接口 eno1 和 eno2

此链路在一个接口失效时仍然能工作

此链路在 server0 使用下面的地址 192.168.0.100/255.255.255.0

此链路在 desktop0 使用下面的地址 192.168.0.200/255.255.255.0

此链路在系统重启之后依然保持正常状态

[Server]

# lab teambridge setup

# man teamd.conf | grep activebackup

# man nmcli-examples | grep team | grep \\$

# nmcli con add type team con-name t1 ifname t1 config '{"runner": {"name": "activebackup"}}'

# nmcli con add type team-slave con-name t1s1 ifname eno1 master t1

# nmcli con add type team-slave con-name t1s2 ifname eno2 master t1

# nmcli con mod t1 connection.autoconnect yes ipv4.method static ipv4.addresses 192.168.0.100/24

# systemctl restart NetworkManager

# ip add show

# ping -c4 192.168.0.100

# teamdctl t1 state

[Desktop类同]

3.2 配置网卡Bridge 自整理 未讲

配置software Bridge

– 将物理网卡配置成交换机；– 配置多个虚拟网卡；– 每块虚拟网卡对应不同网络环境；

Example 8. Adding a bridge and two slave profiles

$ nmcli con add type bridge con-name TowerBridge ifname TowerBridge

$ nmcli con add type bridge-slave con-name br-slave-1 ifname ens3 master TowerBridge

$ nmcli con add type bridge-slave con-name br-slave-2 ifname ens4 master TowerBridge

$ nmcli con modify TowerBridge bridge.stp no

brctl show

4 网络端口安全

– 2.4 版及以后的内核中，包过滤机制是netfilter，管理工具是iptables

– Rhel7为了更好的支持ipv6开始使用firewalld

• netfilter

– 位于Linux内核中的包过滤防火墙功能体系

– 称为Linux防火墙的“内核态”

• iptables

– 位于/sbin/iptables，是用来管理防火墙的命令工具

– 为防火墙体系提供过滤规则/策略，决定如何过滤或处理到达防火墙主机的数据包

– 称为Linux防火墙的“用户态”

4.1 iptables

• 规则链

– 规则的作用在于对数据包进行过滤或处理，根据处理时机的不同，各种规则被组织在不同的“链”中

– 规则链是防火墙规则/策略的集合

• 默认的5种规则链

– INPUT：处理入站数据包

– OUTPUT：处理出站数据包

– FORWARD：处理转发数据包

– POSTROUTING链：在进行路由选择后处理数据包

– PREROUTING链：在进行路由选择前处理数据包

iptables命令的语法格式

– iptables [-t 表名] 管理选项[链名] [条件匹配] [-j 目标动作或跳转]

• 几个注意事项

– 不指定表名时，默认表示filter表

– 不指定链名时，默认表示该表内所有链

– 除非设置规则链的缺省策略，否则需要指定匹配条件

iptables命令的管理选项

• 设置规则内容：

-A：在链尾追加一条新的规则

-I：在指定位置（或链首）插入一条新的规则

-R：修改、替换指定位置或内容的规则

-P：设置指定链的默认策略

• 列表查看规则

-L：列表查看各条规则信息

--line-numbers：查看规则信息时显示规则的行号

-n：以数字形式显示IP地址、端口等信息

-v：显示数据包个数、字节数等详细信息

• 清除规则

– -D：删除指定位置或内容的规则

– -F：清空规则链内的所有规则

• 自定义规则链

– -N：创建一条新的规则链

– -X：删除自定义的规则链

• 其他

– -h：查看iptables命令的使用帮助

• 通用条件匹配

– 可直接使用，不依赖于其他的条件或扩展模块

– 包括网络协议、IP地址、网络接口等匹配方式

• 隐含条件匹配

– 一般需要以特定的协议匹配作为前提

– 包括端口、TCP标记、ICMP类型等匹配方式

• 协议匹配

– 使用“-p 协议名”的形式

– 协议名可使用在“/etc/protocols”文件中定义的名称

– 常用的协议包括tcp、udp、icmp等

• 地址匹配

– 使用“-s 源地址”、“-d 目标地址”的形式

– 地址可以是单个IP地址、网络地址（带掩码长度）

• 接口匹配

– 使用“-i 网络接口名”、“-o 网络接口名”的形式，分别对应接收、发送

数据包的网络接口

• 端口匹配

– 使用“--sport 源端口”、“--dport 目标端口”的形式

– 采用“端口1:端口2”的形式可以指定一个范围的端口

• ICMP类型匹配

– 使用“--icmp-type ICMP类型”的形式

– ICMP类型可以使用类型字符串或者对应的数值，例如Echo-

Request、Echo-Reply

• 常见的数据包处理方式

– ACCEPT：放行数据包

– DROP：丢弃数据包

– REJECT：拒绝数据包

– 用户自定义链名：传递给自定义链内的规则进行处理

– SNAT：修改数据包的源地址信息

– DNAT：修改数据包的目标地址信息

• 导出规则

– iptables-save

– 结合重定向输出“>”符号保存规则信息

iptables-save > /root/iptables.160924

另一种方式：

--配置保存 service iptables save 可直接保存至配置文件/etc/sysconfig/iptables

• 导入规则

– iptables-restore

– 结合重定向输入“<”符号恢复规则信息

iptables-restore < /root/iptables.160924

SNAT策略概述

• SNAT策略的典型应用环境

– 局域网主机共享单个公网IP地址接入Internet

• SNAT策略的原理

– 源地址转换，Source Network Address Translation

– 修改数据包的源IP地址

• 推荐实现步骤

– 1. 开启网关主机的路由转发功能

– 2. 添加使用SNAT策略的防火墙规则

– 规则示例：

iptables -t nat -A POSTROUTING -s 192.168.1.0/24

-o eth0 -j SNAT --to-source 218.29.30.31

iptables -t nat -A POSTROUTING -s 192.168.1.0/24

-o eth0 -j MASQUERADE

• MASQUERADE（地址伪装）策略

– 只需将“-j SNAT --to-source 218.29.30.31”的形式改为

“-j MASQUERADE”即可

– 如果是通过ADSL拨号方式连接Internet，则外网接口名称通

常为ppp0、ppp1等

• MASQUERADE策略应用示例

DNAT策略概述

• DNAT策略的典型应用环境

– 在Internet中发布位于企业局域网内的服务器

• DNAT策略的原理

– 目标地址转换，Destination Network Address Translation

– 修改数据包的目标IP地址

• 推荐实现步骤

– 1. 确认已开启网关的路由转发功能

– 2. 添加使用DNAT策略的防火墙规则

– 规则示例：

iptables -t nat -A PREROUTING -i eth0 -d 218.29.30.31 -p tcp -

-dport 80 -j DNAT --to-destination 192.168.1.6

理解iptables条目

iptables –t filter -A INPUT -p tcp --dport 80 -j ACCPET

4.2 iptables课程命令：

table filter(default)

chain INPUT | OUTPUT | FORWARD | PRE | POST

rule

# systemctl status iptables

# iptables -L 列出各链及其规则

# iptables -F 清除规则链内的规则

# iptables -X 删除自定义的规则链

# iptables -A INPUT -s 1.1.1.1 -j DROP 在INPUT链尾增加一条规则，来自1则策略drop

# iptables -R INPUT 3 -s 1.1.1.3 -j ACCEPT 替换指定位置3的规则（位置从上向下数）

# iptables -I INPUT 2 -s 1.1.1.4 -j DROP 在位置2插入一条规则，其他>2规则位置+1

# iptables -nL --line-number 标记各规则的位置

# iptables -I INPUT -s 1.1.1.5 -j DROP 在链首，位置1插入一条规则

# iptables -P FORWARD ACCEPT 修改FORWARD链默认策略

# iptables -N cooper 创建自定义链

# iptables -E cooper sven 修改自定义链名

# iptables -X sven 删除自定义规则链

# service iptables save 保存规则链至下述配置文件

# vim /etc/sysconfig/iptables

# iptables-save > /root/iptables.160924 保存规则至指定文件

# iptables -F; iptables -X 删除全部规则 全部链

# iptables-restore < /root/iptables.160924 恢复

# iptables -nL

# systemctl status iptables

4.3 firewalld （考试：端口转发 rich规则）