Top

NSD SERVICES DAY03

1 案例1：配置並驗證Split分離解析

1.1 問題

本例要求配置一臺智慧DNS伺服器，針對同一個FQDN，當不同的客戶機來查詢時能夠給出不同的答案。需要完成下列任務：

1. 從主機192.168.4.207查詢時，結果為：www.tedu.cn ---> 192.168.4.100
2. 從其他客戶端查詢時，www.tedu.cn ---> 1.2.3.4

1.2 方案

在配置DNS伺服器時，通過view檢視設定來區分不同客戶機、不同地址庫：

1. view "檢視1" {
2. match-clients { 客戶機地址1; .. .. ; };         //匹配第1類客戶機地址
3. zone "目標域名" IN {                             //同一個DNS區域
4. type master;
5. file "地址庫1";                             //第1份地址庫
6. };
7. };
8. view "檢視2" {
9. match-clients { 客戶機地址2; .. .. ; };         //匹配第2類客戶機地址
10. match-clients { any; };                         //匹配任意地址
11. zone "目標域名" IN {                             //同一個DNS區域
12. type master;
13. file "地址庫2";                             //第2份地址庫
14. };
15. };
16. .. ..
17. view "檢視n" {
18. match-clients { any; };                         //匹配任意地址
19. zone "目標域名" IN {                             //同一個DNS區域
20. type master;
21. file "地址庫n";                             //第n份地址庫
22. };
23. };

1.3 步驟

實現此案例需要按照如下步驟進行。

步驟一：配置Split分離解析

1）為tedu.cn區域建立兩份解析記錄檔案

第一份解析記錄檔案提供給客戶機192.168.4.207、網段192.168.7.0/24，對應目標域名www.tedu.cn的A記錄地址為192.168.4.100。相關操作及配置如下：

1. [[email protected] ~]# cd /var/named/
2. [[email protected] named]# cp -p tedu.cn.zone tedu.cn.zone.lan
3. [[email protected] named]# vim tedu.cn.zone.lan
4. $TTL 1D
5. @ IN SOA @ rname.invalid. (
6. 0 ; serial
7. 1D ; refresh
8. 1H ; retry
9. 1W ; expire
10. 3H ) ; minimum
11. @ NS svr7.tedu.cn.
12. svr7 A 192.168.4.7
13. pc207 A 192.168.4.207
14. www A 192.168.4.100

第二份解析記錄檔案提供給其他客戶機，對應目標域名www.tedu.cn的A記錄地址為1.2.3.4。相關操作及配置如下：

1. [[email protected] named]# cp -p tedu.cn.zone tedu.cn.zone.other
2. [[email protected] named]# vim tedu.cn.zone.other
3. $TTL 1D
4. @ IN SOA @ rname.invalid. (
5. 0 ; serial
6. 1D ; refresh
7. 1H ; retry
8. 1W ; expire
9. 3H ) ; minimum
10. @ NS svr7.tedu.cn.
11. svr7 A 192.168.4.7
12. pc207 A 192.168.4.207
13. www A 1.2.3.4

2）修改named.conf配置檔案，定義兩個view，分別呼叫不同解析記錄檔案

1. [[email protected] ~]# vim /etc/named.conf
2. options {
3. directory "/var/named";
4. };
5. acl "mylan" {                                     //名為mylan的列表
6. 192.168.4.207; 192.168.7.0/24;
7. };
8. .. ..
9. view "mylan" {
10. match-clients { mylan; };                     //檢查客戶機地址是否匹配此列表
11. zone "tedu.cn" IN {
12. type master;
13. file "tedu.cn.zone.lan";
14. };
15. };
16. view "other" {
17. match-clients { any; };                         //匹配任意客戶機地址
18. zone "tedu.cn" IN {
19. type master;
20. file "tedu.cn.zone.other";
21. };
22. };

3）重啟named服務

1. [[email protected] ~]# systemctl restart named

步驟二：測試分離解析效果

1）從mylan地址列表中的客戶機查詢

在客戶機192.168.4.207（或網段192.168.7.0/24內的任意客戶機）上查詢www.tedu.cn，結果是 192.168.4.100：

1. [[email protected] ~]# host www.tedu.cn 192.168.4.7
2. Using domain server:
3. Name: 192.168.4.7
4. Address: 192.168.4.7#53
5. Aliases:
6. www.tedu.cn has address 192.168.4.100

2）從其他客戶機查詢

在DNS伺服器本機或CentOS真機上查詢www.tedu.cn時，結果為 1.2.3.4：

1. [[email protected] ~]# host www.tedu.cn 192.168.4.7
2. Using domain server:
3. Name: 192.168.4.7
4. Address: 192.168.4.7#53
5. Aliases:
6. www.tedu.cn has address 1.2.3.4

2 案例2：檢視程序資訊

2.1 問題

本例要求掌握檢視程序資訊的操作，使用必要的命令工具完成下列任務：

1. 找出程序 gdm 的 PID 編號值
2. 列出由程序 gdm 開始的子程序樹結構資訊
3. 找出程序 sshd 的父程序的 PID 編號/程序名稱
4. 檢視當前系統的CPU負載/程序總量資訊

2.2 方案

檢視程序的主要命令工具：

• ps aux、ps –elf：檢視程序靜態快照
• top：檢視程序動態排名
• pstree：檢視程序與程序之間的樹型關係結構
• pgrep：根據指定的名稱或條件檢索程序

2.3 步驟

實現此案例需要按照如下步驟進行。

步驟一：找出程序 gdm 的 PID 編號值

使用pgrep命令查詢指定名稱的程序，選項-l顯示PID號、-x精確匹配程序名：

1. [[email protected] ~]# pgrep -lx gdm
2. 1584 gdm

步驟二：列出由程序 gdm 開始的子程序樹結構資訊

使用pstree命令，可以提供使用者名稱或PID值作為引數。通過前一步已知程序gdm的PID為1584，因此以下操作可列出程序gdm的程序樹結構：

1. [[email protected] ~]# pstree -p 1584
2. gdm(1584)-+-Xorg(1703)
3. |-gdm-session-wor(2670)-+-gnome-session(2779)-+-gnom+
4. | | |-gnom+
5. | | |-{gno+
6. | | |-{gno+
7. | | `-{gno+
8. | |-{gdm-session-wor}(2678)
9. | `-{gdm-session-wor}(2682)
10. |-{gdm}(1668)
11. |-{gdm}(1671)
12. `-{gdm}(1702)

步驟三：找出程序 sshd 的父程序的 PID 編號/程序名稱

要檢視程序的父程序PID，可以使用ps –elf命令，簡單grep過濾即可。找到程序sshd所在行對應到的PPID值即為其父程序的PID編號。為了方便直觀檢視，建議先列出ps表頭行，以分號隔開再執行過濾操作。

1. [[email protected] ~]# ps -elf | head -1 ; ps -elf | grep sshd
2. F S UID PID PPID C PRI NI ADDR SZ WCHAN STIME TTY TIME CMD
3. 4 S root 1362 1 0 80 0 - 20636 poll_s Jan05 ? 00:00:00 /usr/sbin/sshd –D
4. .. ..                                 //可獲知程序sshd的父程序PID為1

然後再根據pstree –p的結果過濾，可獲知PID為1的程序名稱為systemd：

1. [[email protected] ~]# pstree -p | grep '(1)'
2. systemd(1)-+-ModemManager(995)-+-{ModemManager}(1018)

步驟四：檢視當前系統的CPU負載/程序總量資訊

使用top命令，直接看開頭部分即可；或者 top -n 次數：

1. [[email protected] ~]# top
2. top - 15:45:25 up 23:55, 2 users, load average: 0.02, 0.03, 0.05
3. Tasks: 485 total, 2 running, 483 sleeping, 0 stopped, 0 zombie
4. %Cpu(s): 1.7 us, 1.0 sy, 0.0 ni, 97.3 id, 0.0 wa, 0.0 hi, 0.0 si, 0.0 st
5. KiB Mem : 1001332 total, 76120 free, 419028 used, 506184 buff/cache
6. KiB Swap: 2097148 total, 2096012 free, 1136 used. 372288 avail Mem
7. .. ..

觀察Tasks: 485 total部分，表示程序總量資訊。

觀察load average: 0.02, 0.03, 0.05 部分，表示CPU處理器在最近1分鐘、5分鐘、15分鐘內的平均處理請求數（對於多核CPU，此數量應除以核心數）。

對於多核CPU主機，如果要分別顯示每顆CPU核心的佔用情況，可以在top介面按數字鍵1進行切換：

1. [[email protected] ~]# top
2. top - 15:47:45 up 23:57, 2 users, load average: 0.02, 0.03, 0.05
3. Tasks: 485 total, 2 running, 269 sleeping, 0 stopped, 1 zombie
4. Cpu0 : 0.6%us, 7.8%sy, 0.0%ni, 91.6%id, 0.0%wa, 0.0%hi, 0.0%si, 0.0%st
5. Cpu1 : 0.7%us, 3.7%sy, 0.0%ni, 95.6%id, 0.0%wa, 0.0%hi, 0.0%si, 0.0%st
6. Cpu2 : 0.7%us, 1.7%sy, 0.0%ni, 97.6%id, 0.0%wa, 0.0%hi, 0.0%si, 0.0%st
7. Cpu3 : 0.3%us, 1.0%sy, 0.0%ni, 98.3%id, 0.3%wa, 0.0%hi, 0.0%si, 0.0%st
8. Mem: 16230564k total, 15716576k used, 513988k free, 326124k buffers
9. Swap: 8388604k total, 220656k used, 8167948k free, 11275304k cached
10. .. ..

3 案例3：程序排程及終止

3.1 問題

本例要求掌握排程及終止程序的操作，使用必要的工具完成下列任務：

1. 執行“sleep 600”命令，再另開一個終端，查出sleep程式的PID並殺死
2. 執行多個vim程式並都放入後臺，然後殺死所有vim程序
3. su切換為zhsan使用者，再另開一個終端，強制踢出zhsan使用者

3.2 方案

程序排程及終止的主要命令工具：

• 命令列 &：將命令列在後臺執行
• Ctrl + z 組合鍵：掛起當前程序（暫停並轉入後臺）
• jobs：列出當前使用者當前終端的後臺任務
• bg 編號：啟動指定編號的後臺任務
• fg 編號：將指定編號的後臺任務調入前臺執行
• kill [-9] PID...：殺死指定PID值的程序
• kill [-9] %n：殺死第n個後臺任務
• killall [-9] 程序名...：殺死指定名稱的所有程序
• pkill：根據指定的名稱或條件殺死程序

3.3 步驟

實現此案例需要按照如下步驟進行。

步驟一：根據PID殺死程序

1）開啟sleep測試程序

1. [[email protected] ~]# sleep 600
2. //.. .. 進入600秒等待狀態

2）找出程序sleep的PID

另開一個終端，ps aux並過濾程序資訊（第2列為PID值）：

1. [[email protected] ~]# ps aux | grep sleep
2. root 32929 0.0 0.0 4312 360 pts/1 S+ 17:25 0:00 sleep 600

3）殺死指定PID的程序

1. [[email protected] ~]# kill -9 32929

返回原終端會發現sleep程序已經被殺死：

1. [[email protected] ~]# sleep 600
2. Killed

步驟二：根據程序名殺死多個程序

1）在後臺開啟多個vim程序

1. [[email protected] ~]# vim a.txt &
2. [1] 33152
3. [[email protected] ~]# vim b.txt &
4. [2] 33154
5. [1]+ 已停止 vim a.txt
6. [[email protected] ~]# vim c.txt &
7. [3] 33155
8. [2]+ 已停止 vim b.txt

2）確認vim程序資訊

1. [[email protected] ~]# jobs -l
2. [1] 33152 停止 (tty 輸出) vim a.txt
3. [2]- 33154 停止 (tty 輸出) vim b.txt
4. [3]+ 33155 停止 (tty 輸出) vim c.txt

3）強制殺死所有名為vim的程序

1. [[email protected] ~]# killall -9 vim
2. [1] 已殺死 vim a.txt
3. [2]- 已殺死 vim b.txt
4. [3]+ 已殺死 vim c.txt

4）確認殺程序結果

1. [[email protected] ~]# jobs -l
2. [[email protected] ~]#

步驟三：殺死屬於指定使用者的所有程序

1）登入測試使用者zhsan

1. [[email protected] ~]# useradd zhsan
2. [[email protected] ~]# su - zhsan
3. [[email protected] ~]$

2）另開一個終端，以root使用者登入，查詢屬於使用者zhsan的程序

1. [[email protected] ~]# pgrep -u zhsan
2. 33219
3. [[email protected] ~]# pstree -up 33219                             //檢查程序樹
4. bash(33219,zhsan)

3）強制殺死屬於使用者zhsan的程序

1. [[email protected] ~]# pkill -9 -u zhsan
2. [[email protected] ~]#

4）返回原來使用者zhsan登入的終端，確認已經被終止

1. [[email protected] ~]$ 已殺死
2. [[email protected] ~]#

4 案例4：系統日誌分析

4.1 問題

本例要求熟悉Linux系統中的常見日誌檔案，使用必要的命令工具完成下列任務：

1. 列出所有包含關鍵詞8909的系統日誌訊息
2. 檢視啟動時識別的滑鼠裝置資訊
3. 列出最近2條成功/不成功的使用者登入訊息
4. 列出最近10條重要程度在 ERR 及以上的日誌訊息
5. 列出所有與服務httpd相關的訊息
6. 列出前4個小時內新記錄的日誌

4.2 方案

常見的系統日誌及各自用途：

• /var/log/messages，記錄核心訊息、各種服務的公共訊息
• /var/log/dmesg，記錄系統啟動過程的各種訊息
• /var/log/cron，記錄與cron計劃任務相關的訊息
• /var/log/maillog，記錄郵件收發相關的訊息
• /var/log/secure，記錄與訪問限制相關的安全訊息

日誌訊息的優先順序（高-->低）：

• EMERG（緊急）：級別0，系統不可用的情況
• ALERT（警報）：級別1，必須馬上採取措施的情況
• CRIT（嚴重）：級別2，嚴重情形
• ERR（錯誤）：級別3，出現錯誤
• WARNING（警告）：級別4，值得警告的情形
• NOTICE（注意）：級別5，普通但值得引起注意的事件
• INFO（資訊）：級別6，一般資訊
• DEBUG（除錯）：級別7，程式/服務除錯訊息

RHEL7提供的journalctl日誌工具的常見用法：

• journalctl | grep 關鍵詞
• journalctl -u 服務名 -p 優先順序
• journalctl -n 訊息條數
• journalctl --since="yyyy-mm-dd HH:MM:SS" --until="yyyy-mm-dd HH:MM:SS"

4.3 步驟

實現此案例需要按照如下步驟進行。

步驟一：分析系統日誌及使用者日誌

1）列出所有包含關鍵詞8909的系統日誌訊息

簡單模擬一個故障（SELinux阻止Web開放8909埠）：

1. [[email protected] ~]# vim /etc/httpd/conf.d/8909.conf         //新增開8909埠配置
2. Listen 8909
3. [[email protected] ~]# setenforce 1                             //開啟強制模式
4. [[email protected] ~]# systemctl restart httpd                 //起服務失敗
5. Job for httpd.service failed because the control process exited with error code. See "systemctl status httpd.service" and "journalctl -xe" for details.

從日誌檔案/var/log/messages中檢索資訊：

1. [[email protected] ~]# grep 8909 /var/log/messages
2. Jan 6 17:53:48 svr7 setroubleshoot: SELinux is preventing /usr/sbin/httpd from name_bind access on the tcp_socket port 8909. For complete SELinux messages. run sealert -l 6d37b8f0-ab8a-4082-9295-c784f4f57190
3. Jan 6 17:53:48 svr7 python: SELinux is preventing /usr/sbin/httpd from name_bind access on the tcp_socket port 8909.#012#012***** Plugin bind_ports (92.2 confidence) suggests ************************#012#012If you want to allow /usr/sbin/httpd to bind to network port 8909#012Then you need to modify the port type.#012Do#012# semanage port -a -t PORT_TYPE -p tcp 8909#012 where PORT_TYPE is one of the following: http_cache_port_t, http_port_t, jboss_management_port_t, jboss_messaging_port_t, ntop_port_t, puppet_port_t.#012#012***** Plugin catchall_boolean (7.83 confidence) suggests ******************#012#012If you want to allow nis to enabled#012Then you must tell SELinux about this by enabling the 'nis_enabled' boolean.#012#012Do#012setsebool -P nis_enabled 1#012#012***** Plugin catchall (1.41 confidence) suggests **************************#012#012If you believe that httpd should be allowed name_bind access on the port 8909 tcp_socket by default.#012Then you should report this as a bug.#012You can generate a local policy module to allow this access.#012Do#012allow this access for now by executing:#012# grep httpd /var/log/audit/audit.log | audit2allow -M mypol#012# semodule -i mypol.pp#012
4. .. ..

使用完畢記得刪除測試配置檔案：

1. [[email protected] ~]# rm -rf /etc/httpd/conf.d/8909.conf
2. [[email protected] ~]# systemctl restart httpd

2）檢視啟動時識別的滑鼠裝置資訊

1. [[email protected] ~]# dmesg | grep -i mouse
2. [ 1.020385] mousedev: PS/2 mouse device common for all mice
3. [ 1.249422] input: ImPS/2 Generic Wheel Mouse as /devices/platform/i8042/serio1/input/input2
4. [ 2.279665] usb 2-1: Product: VMware Virtual USB Mouse
5. [ 2.603999] input: VMware VMware Virtual USB Mouse as /devices/pci0000:00/0000:00:11.0/0000:02:00.0/usb2/2-1/2-1:1.0/input/input3
6. [ 2.604222] hid-generic 0003:0E0F:0003.0001: input,hidraw0: USB HID v1.10 Mouse [VMware VMware Virtual USB Mouse] on usb-0000:02:00.0-1/input0

3）列出最近2條成功/不成功的使用者登入訊息

檢視成功登入的事件訊息：

1. [[email protected] ~]# last -2
2. zhsan pts/2 192.168.4.207 Fri Jan 6 18:00 - 18:00 (00:00)
3. root pts/2 192.168.4.110 Fri Jan 6 17:26 - 17:59 (00:33)
4. wtmp begins Thu Aug 4 00:10:16 2016

檢視失敗登入的事件訊息：

1. [[email protected] ~]# lastb -2
2. anonymou ssh:notty 192.168.4.207 Fri Jan 6 18:00 - 18:00 (00:00)
3. anonymou ssh:notty 192.168.4.207 Fri Jan 6 18:00 - 18:00 (00:00)
4. btmp begins Fri Jan 6 18:00:34 2017

步驟二：使用journalctl日誌提取工具

1）列出最近10條重要程度在 ERR 及以上的日誌訊息

1. [[email protected] ~]# journalctl -p err -n 10
2. -- Logs begin at Thu 2017-01-05 15:50:08 CST, end at Fri 2017-01-06 18:01:01 CST. --
3. Jan 06 14:56:57 svr7 setroubleshoot[23702]: SELinux is preventing /usr/sbin/vsftpd from getattr access on the file /rhel7/repodata/repomd.xml. For complete SELinux mes
4. Jan 06 14:56:57 svr7 setroubleshoot[23702]: SELinux is preventing /usr/sbin/vsftpd from read access on the file repomd.xml. For complete SELinux messages. run sealert
5. Jan 06 14:56:57 svr7 setroubleshoot[23702]: SELinux is preventing /usr/sbin/vsftpd from read access on the file repomd.xml. For complete SELinux messages. run sealert
6. Jan 06 14:56:57 svr7 setroubleshoot[23702]: SELinux is preventing /usr/sbin/vsftpd from lock access on the file /rhel7/repodata/repomd.xml. For complete SELinux messag
7. Jan 06 17:53:48 svr7 setroubleshoot[33743]: Plugin Exception restorecon_source
8. Jan 06 17:53:48 svr7 setroubleshoot[33743]: SELinux is preventing /usr/sbin/httpd from name_bind access on the tcp_socket port 8909. For complete SELinux messages. run
9. Jan 06 17:53:53 svr7 setroubleshoot[33743]: SELinux is preventing /usr/sbin/httpd from name_connect access on the tcp_socket port 8909. For complete SELinux messages.
10. Jan 06 17:53:54 svr7 systemd[1]: Failed to start The Apache HTTP Server.
11. .. ..
12. lines 1-11/11 (END)

2）列出所有與服務httpd相關的訊息

1. [[email protected] ~]# journalctl -u httpd
2. -- Logs begin at Thu 2017-01-05 15:50:08 CST, end at Fri 2017-01-06 18:01:01 CST. --
3. Jan 06 14:57:16 svr7 systemd[1]: Starting The Apache HTTP Server...
4. Jan 06 14:57:16 svr7 httpd[23812]: AH00557: httpd: apr_sockaddr_info_get() failed for svr7
5. Jan 06 14:57:16 svr7 httpd[23812]: AH00558: httpd: Could not reliably determine the server's fully qualified domain name, using 127.0.0.1. Set the 'ServerName' directi
6. Jan 06 14:57:16 svr7 systemd[1]: Started The Apache HTTP Server.
7. Jan 06 17:53:44 svr7 systemd[1]: Stopping The Apache HTTP Server...
8. Jan 06 17:53:46 svr7 systemd[1]: Starting The Apache HTTP Server...
9. Jan 06 17:53:46 svr7 httpd[33741]: AH00557: httpd: apr_sockaddr_info_get() failed for svr7
10. .. ..

3）列出前4個小時內新記錄的日誌

根據當前日期時間往前推4個小時，確定--since起始和--until結束時刻:

1. [[email protected] ~]# journalctl --since "2017-01-06 14:11" --until "2017-01-06 18:11"
2. -- Logs begin at Thu 2017-01-05 15:50:08 CST, end at Fri 2017-01-06 18:10:01 CST. --
3. Jan 06 14:20:01 svr7 systemd[1]: Started Session 160 of user root.
4. Jan 06 14:20:01 svr7 CROND[22869]: (root) CMD (/usr/lib64/sa/sa1 1 1)
5. Jan 06 14:20:01 svr7 systemd[1]: Starting Session 160 of user root.
6. Jan 06 14:30:01 svr7 systemd[1]: Started Session 161 of user root.
7. Jan 06 14:30:01 svr7 CROND[23028]: (root) CMD (/usr/lib64/sa/sa1 1 1)
8. Jan 06 14:31:39 svr7 systemd[1]: Starting Session 162 of user root.
9. Jan 06 14:32:17 svr7 sshd[23046]: pam_unix(sshd:session): session closed for user root
10. Jan 06 14:31:39 svr7 systemd[1]: Started Session 162 of user root.
11. Jan 06 14:31:39 svr7 sshd[23046]: pam_unix(sshd:session): session opened for user root by (uid=0)
12. Jan 06 14:31:39 svr7 systemd-logind[985]: New session 162 of user root.
13. .. .