這個月的RHCE考試是結束了，就考試本身談一下心得。

1. 通知都是早上九點開考，但是北京紅帽公司的考點其實是10點開考，別去太早

2. 中午休息一段時間，下午大概是2:00到3:00開考，這個時間有考官靈活掌握，考場環境不算太嚴肅緊張，不用太擔心。

考試內容和網上的接近，但是有幾處是需要注意的，因為我下午是滿分，上午不是，這裡只說下午考試的幾個需要注意的知識點，上午的考試很簡單，不用太擔心，還要注意甄別，大部分複習材料上的題的解答不是全部正確的，有錯誤和遺漏的地方，不要當那些是標準答案。

1. 拒絕域方面

有的材料建議直接清空iptables，然後用一條命令

iptables -A INPUT -s XX.拒絕域IP.XX -j REJECT

或者

iptables -A INPUT ! -s XX.本域IP.XX -j REJECT

請在考試過程中注意，有些題是要求不能拒絕域訪問，有些題是要求只能本域訪問，綜合起來，因為第三方域的行為未定，用第二條確實可能可以達到目的，但會引起某些服務啟動和響應速度很慢比如NFS，但是我的建議是，不要這樣做，不要全體拒絕，針對每項服務單獨對它控制，不會多花幾分鐘的時間，而且有保障，並且每個服務都可以通過好幾個手段來控制，選擇餘地很大。原則上幾乎每個服務都可以有下面三個手段來控制訪問：

• 使用/etc/hosts.deny和/etc/hosts.allow
• 使用iptables控制埠
• 使用配置檔案裡本身提供的選項

我從RHCE考試的經驗來說，建議如下：

對於只允許本域的，建議用hosts檔案，hosts.deny裡面寫ALL，hosts.allow裡面寫本域IP

而對於拒絕某域的，用iptables。

<1> ftp 服務

ftp我推薦用host檔案來做

<<HOSTS檔案>>

如果是要求只對本域172.55.10.0/24開放：

/etc/hosts.deny

vsftpd:ALL

/etc/hosts.allow

vsftpd172.55.10.0/24

<<iptables>>

iptables -A INPUT ! -s 172.55.10.0/24 -p tcp --dport 21 -j REJECT

iptables -A INPUT ! -s 172.55.10.0/24 -p udp --dport 21 -j REJECT

如果是要求拒絕域172.55.20.0/24不能訪問：
/etc/hosts.deny
sshd:172.55.20.0/24

iptables -A INPUT -s 172.55.20.0/24 -p tcp --dport 22 -j REJECT

iptables -A INPUT -s 172.55.20.0/24 -p udp --dport 22 -j REJECT

值得注意的事，在ssh服務裡面，一定要認真讀題，看清楚是要求某一使用者可以訪問，某一使用者不能訪問，還是隻可以某一使用者訪問，還是對組的控制

這時候需要使用配置檔案/etc/ssh/sshd_config裡面的選項AllowUsers或者AllowGroups，man sshd_config會看到詳細介紹。

<3> samba 服務

這個真的很好辦，你可以用hosts如上面兩個做，也可以在配置檔案smb.conf裡面寫：

[common]

path = /common

hosts allow = 172.55.10.0/24

<4> httpd服務

一般如果是拒絕某個域使用全部httpd的服務，那麼就用iptables，但是也可能是針對伺服器上的某個虛擬主機或者某個目錄，這時候就要配置httpd.conf裡面的目錄訪問控制。

/etc/httpd/conf/httpd.conf

<Directory "/var/www/html">

Order allow,deny

allow from all

deny from 172.55.20.0/24

</Directory>

注意order裡的allow和deny的順序，順序在前的規則，假如下面沒有給具體from的定義，那麼就是預設為all

<5>postfix 服務

這個用配置檔案/etc/postfix/main.cf裡面的mynetwork項配置即可

也許是我考試的時候沒有涉及，所以只用了postfix，根本沒用到dovecot

<6>nfs 服務

這個直接把允許的域在配置檔案寫就行了，如果還有別的域也允許，多寫一行就是了

/etc/exports

/common *.xxx.com(rw,sync)

好吧，拒絕域就先說這些。

2. 指令碼方面

注意題目的要求，有的輸出時要求輸出到標準輸出，有的是要求到標準錯誤輸出，需要知道預設情況下，是輸出到標準輸出，比如

echo "Hello"

如果是要求標準錯誤輸出，那麼：

echo "Hello stderr">&2

還有就是一些小陷阱了，只要細心就可以對付，熟悉系統本身是最重要的，有問題去看/var/log/message，實在不行了現場看man手冊，怎麼也能搞懂的，時間也足夠。

宣告： 本文只是梳理知識點，沒有違法和紅帽的保密協議。

[email protected]

祝各位考試順利。