Linux系统管理

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44

# 1. 准备磁盘分区（类型fd: Linux raid auto）
fdisk /dev/sdb
# 依次创建分区：n→p→1→回车→+20G→t→1→fd→w

partprobe /dev/sdb  # 重读分区表

# 2. 创建RAID5阵列（3数据盘+1热备）
mdadm -C /dev/md5 -l5 -n3 -x1 /dev/sdb1 /dev/sdb2 /dev/sdb3 /dev/sdb4
# 参数说明：
# -C: 创建模式
# -l: RAID级别（level）
# -n: 数据盘数量
# -x: 热备盘数量

# 3. 查看RAID状态
cat /proc/mdstat
mdadm -D /dev/md5  # 详细信息

# 4. 创建配置文件（必须操作，否则重启后RAID名称会变化）
mdadm -D -s > /etc/mdadm.conf
# 编辑确保包含：DEVICE /dev/sdb1 /dev/sdb2 /dev/sdb3 /dev/sdb4
# 和ARRAY信息

# 5. 格式化与挂载
mkfs.xfs /dev/md5
mkdir /raid5
mount /dev/md5 /raid5
echo "/dev/md5 /raid5 xfs defaults 0 0" >> /etc/fstab

# 6. 模拟故障与恢复
mdadm /dev/md5 --fail /dev/sdb2  # 模拟sdb2故障
cat /proc/mdstat  # 观察热备盘自动重建
mdadm /dev/md5 --remove /dev/sdb2  # 移除故障盘
mdadm /dev/md5 --add /dev/sdb5     # 添加新盘（自动成为热备）

# 7. 性能测试
dd if=/dev/zero of=/raid5/test.data bs=1M count=1024
hdparm -t /dev/md5

# 8. 停止与删除RAID
umount /raid5
mdadm -S /dev/md5              # 停止阵列
mdadm --zero-superblock /dev/sdb1 /dev/sdb2 /dev/sdb3 /dev/sdb4  # 清除超级块
rm -rf /etc/mdadm.conf

1
2
3
4

物理卷(PV) → 卷组(VG) → 逻辑卷(LV)
  ↓              ↓              ↓
物理磁盘      存储池        可用分区
(PE=4MB)   (PE集合)     (LE映射)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79

# 1. 准备物理卷（以/dev/sdc为例）
pvcreate /dev/sdc1 /dev/sdc2 /dev/sdc3
# 批量创建：pvcreate /dev/sdc{1,2,3}

# 查看PV信息
pvscan                    # 扫描所有PV
pvs                       # 简要信息（推荐）
pvdisplay /dev/sdc1       # 详细信息

# 2. 创建卷组myvg
vgcreate myvg /dev/sdc1 /dev/sdc2
# 指定PE大小：vgcreate -s 16M myvg /dev/sdc1 /dev/sdc2

# 查看VG信息
vgscan
vgs
vgdisplay myvg            # 查看PE总数、空闲数

# 3. 创建逻辑卷
lvcreate -L 8G -n mylv myvg        # 指定大小
lvcreate -l 2048 -n mylv myvg      # 指定PE数（2048*4MB=8G）
lvcreate -l +100%FREE -n mylv myvg # 使用全部剩余空间

# 查看LV信息
lvscan
lvs
lvdisplay /dev/myvg/mylv

# 4. 格式化与挂载
mkfs.xfs /dev/myvg/mylv
# 或mkfs.ext4 /dev/myvg/mylv

mkdir /media/s1
mount /dev/myvg/mylv /media/s1
df -hT

# 设置开机挂载
echo "/dev/myvg/mylv /media/s1 xfs defaults 0 0" >> /etc/fstab
# 或使用UUID（推荐）
blkid /dev/myvg/mylv >> /etc/fstab  # 然后编辑替换

# 5. 在线扩展（LVM最大优势）
lvextend -L +1G /dev/myvg/mylv       # 增加1G
# 或lvextend -L 9G /dev/myvg/mylv    # 扩展到9G

# XFS文件系统调整（必须在线执行）
xfs_growfs /dev/myvg/mylv           # 自动扩展至LV大小

# ext4文件系统调整（可离线或在线）
resize2fs /dev/myvg/mylv            # 扩展到LV大小
# resize2fs /dev/myvg/mylv 5G       # 收缩到5G（需先卸载）

# 查看扩展结果
df -hT

# 6. 卷组扩容
vgextend myvg /dev/sdc3             # 添加新PV到VG

# 7. 迁移数据（pvmove）
# 将sdc1上的数据迁移到sdc3
pvmove /dev/sdc1 /dev/sdc3

# 8. 删除LVM（顺序：LV→VG→PV）
umount /media/s1
lvremove /dev/myvg/mylv             # 确认删除
vgremove myvg
pvremove /dev/sdc1 /dev/sdc2 /dev/sdc3

# 9. 创建快照（重要功能）
lvcreate -L 1G -s -n mylv_snap /dev/myvg/mylv
# 参数：-s创建快照，-n快照名称

# 恢复快照
umount /media/s1
lvconvert --merge /dev/myvg/mylv_snap  # 合并快照到原LV
mount /dev/myvg/mylv /media/s1

# 删除快照
lvremove /dev/myvg/mylv_snap

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38

1. 开机自检(POST, Power-On Self-Test)
   ↓
   BIOS/UEFI初始化硬件，加载CMOS设置
   ↓
   按启动顺序查找可引导设备（硬盘、U盘、PXE）

2. MBR引导（传统BIOS模式）
   ↓
   读取磁盘第一个扇区（512字节）的MBR
   - 446字节：引导加载程序（GRUB stage1）
   - 64字节：分区表（4个主分区，各16字节）
   - 2字节：55AA签名（有效性标志）
   ↓
   GRUB stage1加载/boot/grub2/i386-pc/boot.img

3. GRUB2菜单阶段
   ↓
   加载/boot/grub2/grub.cfg（由grub2-mkconfig生成）
   加载字体、背景、菜单项
   加载内核vmlinuz和initramfs到内存
   ↓
   按Shift或Esc可进入GRUB编辑模式

4. 内核加载阶段
   ↓
   解压vmlinuz到内存
   初始化硬件、挂载驱动
   加载initramfs（临时根文件系统）
   - 包含必要的驱动模块（ext4/xfs、RAID、LVM）
   - 包含udev、systemd等早期启动程序

5. systemd初始化（CentOS 7+）
   ↓
   systemd成为PID 1，取代传统SysVinit
   读取/etc/systemd/system/default.target（指向multi-user.target或graphical.target）
   并行启动系统服务（由systemctl管理）
   执行/etc/rc.local（兼容性）
   启动getty/login提示用户登录

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

# 1. 查找boot分区
grub rescue> ls
(hd0) (hd0,msdos1) (hd0,msdos2)

# 2. 尝试查看分区内容
grub rescue> ls (hd0,msdos1)/
# 如果能看到vmlinuz和initramfs，说明这是boot分区

# 3. 设置根和prefix
grub rescue> set root=(hd0,msdos1)
grub rescue> set prefix=(hd0,msdos1)/boot/grub2

# 4. 加载必要模块
grub rescue> insmod linux
grub rescue> insmod xfs   # 根据文件系统类型

# 5. 手动引导（关键步骤）
grub rescue> linux16 /vmlinuz-3.10.0-1160.el7.x86_64 root=/dev/mapper/centos-root ro
grub rescue> initrd16 /initramfs-3.10.0-1160.el7.x86_64.img
grub rescue> boot

# 6. 进入系统后重建配置
grub2-mkconfig -o /boot/grub2/grub.cfg

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

# 方法一：使用系统安装盘进入救援模式
# 1. 选择Troubleshooting → Rescue a CentOS system
# 2. 选择1) Continue，挂载原系统到/mnt/sysimage
chroot /mnt/sysimage
grub2-install /dev/sda
grub2-mkconfig -o /boot/grub2/grub.cfg
exit
reboot

# 方法二：如果系统仍在运行
grub2-install /dev/sda
grub2-mkconfig -o /boot/grub2/grub.cfg

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

# 1. 生成密码哈希
grub2-mkpasswd-pbkdf2
# 输入密码后得到：grub.pbkdf2.sha512.10000.xxx

# 2. 编辑/etc/grub.d/00_header
cat <<EOF
set superusers='admin'
password_pbkdf2 admin grub.pbkdf2.sha512.10000.xxx
export superusers
EOF

# 3. 更新GRUB配置
grub2-mkconfig -o /boot/grub2/grub.cfg

# 4. 效果：重启后按e编辑需输入用户名admin和密码

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18

# 1. 重启系统，在GRUB菜单按e编辑
# 2. 找到linux16行，在行尾添加 rd.break
linux16 ... ro rd.break

# 3. Ctrl+x启动
switch_root:/# mount -o remount,rw /sysroot
switch_root:/# chroot /sysroot

# 4. 修改密码
sh-4.2# passwd
New password: 
Retype new password: 
sh-4.2# touch /.autorelabel  # 关键！重置SELinux标签

# 5. 退出重启
sh-4.2# exit
switch_root:/# exit
# 系统会自动重启

1
2
3
4

mount -o remount,rw /sysroot
chroot /sysroot
passwd
touch /.autorelabel

1
2
3
4
5
6
7

# 1. GRUB编辑，在linux16行末添加 init=/bin/sh
linux16 ... ro init=/bin/sh

# 2. Ctrl+x启动
/bin/sh# mount -o remount,rw /
/bin/sh# passwd
/bin/sh# exec /sbin/init  # 或exec /sbin/reboot

1
2
3
4

# 1. GRUB编辑，添加 single 或 1
linux16 ... ro single

# 2. 进入单用户后直接passwd

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35

# 服务状态
systemctl status nginx    # 查看状态
systemctl start nginx     # 启动
systemctl stop nginx      # 停止
systemctl restart nginx   # 重启
systemctl reload nginx    # 重载配置
systemctl enable nginx    # 开机自启
systemctl disable nginx   # 禁用自启
systemctl is-enabled nginx # 查看是否自启
systemctl is-active nginx  # 查看是否运行

# 查看服务依赖
systemctl list-dependencies nginx

# 查看启动耗时
systemd-analyze blame

# 创建自定义服务
cat > /etc/systemd/system/myapp.service <<EOF
[Unit]
Description=My Application
After=network.target

[Service]
Type=simple
ExecStart=/usr/local/bin/myapp
Restart=always
User=appuser

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl start myapp

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49

# ps命令（静态查看）
ps aux          # 显示所有进程的详细信息
# a: 所有终端  u: 用户信息  x: 无终端进程

# 字段解释：
USER: 进程所有者
PID: 进程ID
%CPU: CPU占用百分比
%MEM: 内存占用百分比
VSZ: 虚拟内存大小（KB）
RSS: 常驻内存大小（KB）
TTY: 终端设备（?表示无终端）
STAT: 状态码
  R: 运行中
  S: 睡眠（可中断）
  D: 不可中断睡眠（I/O等待）
  T: 停止
  Z: 僵尸进程
  +: 前台进程
  l: 多线程
  s: 会话领导者
START: 启动时间或日期
TIME: 累计CPU时间
COMMAND: 命令名

ps -elf         # 长格式显示
# -e: 所有进程  -l: 长格式  -f: 全格式

# 按条件筛选
ps -C sshd      # 按命令名精确查找
ps -u root      # 按用户筛选
pgrep -l sshd   # 仅显示PID和名称（轻量）
pstree -p       # 树状结构显示父子关系

# 动态查看
top             # 交互式实时查看
# 快捷键：
#   P: 按CPU排序  M: 按内存排序  T: 按时间排序
#   k: 杀死进程  r: 调整优先级  q: 退出

htop            # 增强版top（需安装：yum install htop）
# 支持鼠标操作，彩色显示，功能更强大

vmstat 1        # 每秒刷新系统资源统计
# procs: r(运行队列) b(阻塞)  
# memory: swpd free buff cache
# swap: si so
# io: bi bo
# cpu: us sy id wa st

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31

# 查看所有信号
kill -l
# 常用信号：
# 1  SIGHUP    : 重新加载配置（如nginx -s reload）
# 2  SIGINT    : Ctrl+C中断
# 9  SIGKILL   : 强制终止（不可捕获、阻塞）
# 15 SIGTERM   : 优雅终止（默认信号）
# 18 SIGCONT   : 继续运行（恢复）
# 19 SIGSTOP   : 停止进程（不可捕获）

# 终止进程
kill PID                    # 发送SIGTERM
kill -9 PID                 # 强制杀死（谨慎使用）
kill -KILL PID              # 同-9

# 按名称批量终止
killall httpd               # 杀死所有httpd进程
killall -9 java             # 强制杀死所有java进程

# 按条件终止
pkill -U user1              # 按用户杀死进程
pkill -t pts/0              # 按终端杀死进程
pkill -f "python manage.py" # 按完整命令名匹配

# 查看信号详情
man 7 signal

# 僵尸进程处理
# 僵尸进程（Z状态）无法kill，需杀死其父进程
ps -ef | grep defunct       # 查找僵尸进程
# 找到PPID，然后 kill -9 PPID

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34

# 直接放入后台（仍在当前终端）
command &                   # 后台运行（当前终端关闭后进程仍退出）
[1] 12345                   # 输出：任务号 PID

# nohup方式（推荐）nohup command &                    # 忽略SIGHUP信号（终端断开后继续运行）
# 输出重定向到nohup.out

# screen方式（会话管理）
yum install screen
screen -S session_name      # 创建会话
Ctrl+a d                    # 分离会话
screen -ls                  # 列出会话
screen -r session_name      # 恢复会话
screen -X -S session_name quit # 关闭会话

# tmux方式（现代选择）
tmux new -s session_name
Ctrl+b d                    # 分离
tmux ls                     # 列出
tmux attach -t session_name # 恢复

# 任务控制
Ctrl+Z                      # 暂停前台任务
jobs                        # 查看后台任务列表
[1]+  Stopped                 vim file1
[2]-  Running                 python server.py &

fg %1                       # 将任务1恢复到前台
bg %2                       # 让任务2在后台继续运行

# 任务调度优先级
nice -n 10 command          # 以nice值10启动（范围-20~19，默认0）
renice -n 5 -p 12345        # 调整正在运行的进程nice值
# nice值越高，CPU优先级越低

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39

# 1. 启动服务
systemctl start atd
systemctl enable atd
systemctl status atd

# 2. 设置任务
at 14:30                    # 今天14:30执行
at> /root/backup.sh
at> echo "backup completed" | mail -s "Backup" admin@company.com
at> <Ctrl+D>                # 提交任务

# 3. 时间格式支持
at 2pm + 3 days            # 3天后下午2点
at now + 5 minutes         # 5分钟后
at 23:00 2024-01-01        # 指定日期时间
at teatime                 # 下午4点
at noon                    # 中午12点
at midnight                # 午夜

# 4. 查看待执行任务
atq
# 输出：2   Mon Jan 15 14:30:00 2024 a root

# 5. 查看任务详情
at -c 2                    # 显示任务2的完整内容（包括环境变量）

# 6. 删除任务
atrm 2                     # 删除任务2
# 或
at -d 2

# 7. 限制at使用
/etc/at.deny               # 黑名单（默认存在）
/etc/at.allow              # 白名单（优先级更高）
# 如果at.allow存在，只有其中用户能使用at
# 如果都不存在，仅root能使用

# 8. 查看at日志
grep CROND /var/log/cron   # at由cron服务管理

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64

# 时间格式
# *    *    *    *    *    command
# 分   时   日   月   周   命令
# 范围：分(0-59) 时(0-23) 日(1-31) 月(1-12) 周(0-7,0和7都是周日)

# 特殊符号
*     # 任意值（每）
,     # 分隔列表：1,3,5
-     # 范围：1-5
*/n   # 每隔n单位：*/5

# 系统级任务
/etc/crontab               # 系统主配置文件
/etc/cron.d/               # 服务专用的cron文件
/etc/cron.hourly/          # 每小时执行
/etc/cron.daily/           # 每天执行
/etc/cron.weekly/          # 每周执行
/etc/cron.monthly/         # 每月执行

# 用户级任务
/var/spool/cron/username     # 用户crontab文件
crontab -e                  # 编辑当前用户任务
crontab -l                  # 列出任务
crontab -r                  # 删除所有任务
crontab -i                  # 删除前确认
crontab -u user -e          # root编辑其他用户任务

# 实用示例
# 每天3点备份
0 3 * * * /usr/local/bin/backup.sh

# 每周一三五10点
0 10 * * 1,3,5 /usr/bin/sync

# 每10分钟
*/10 * * * * /usr/bin/date >> /tmp/log

# 每小时第30分
30 * * * * /path/to/script

# 每天8-18点，每2小时
0 8-18/2 * * * /path/to/script

# 每月1号、15号的2:30
30 2 1,15 * * /path/to/script

# 每30秒执行（cron最小粒度为分钟，需配合sleep）
* * * * * /path/to/script
* * * * * sleep 30; /path/to/script

# crontab环境变量
# cron执行环境PATH有限，建议脚本中写绝对路径
# 或在crontab顶部设置
SHELL=/bin/bash
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
MAILTO=admin@company.com

# 查看cron日志
grep CRON /var/log/cron
tail -f /var/log/cron

# 权限问题
/etc/cron.deny            # 拒绝列表
/etc/cron.allow           # 允许列表（优先级更高）

1
2
3

Client → SYN=1, Seq=x → Server
Client ← SYN=1, ACK=1, Seq=y, Ack=x+1 ← Server
Client → ACK=1, Seq=x+1, Ack=y+1 → Server

1
2
3
4

Client → FIN=1, ACK=1 → Server    # Client主动关闭
Client ← ACK=1 ← Server           # Server确认
Client ← FIN=1, ACK=1 ← Server    # Server也准备关闭
Client → ACK=1 → Server           # Client最后确认

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39

# 查看所有活动接口
ifconfig

# 查看指定接口（即使down）
ifconfig ens33

# ifconfig输出解读
ens33: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.200.100  netmask 255.255.255.0  broadcast 192.168.200.255
        inet6 fe80::20c:29ff:feb3:4c4a  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:b3:4c:4a  txqueuelen 1000  (Ethernet)
        RX packets 12345  bytes 1234567 (1.1 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 6789  bytes 6789012 (6.4 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

# 字段说明：
UP: 接口已启用
BROADCAST: 支持广播
RUNNING: 正在运行
MULTICAST: 支持组播
mtu: 最大传输单元（1500字节）
inet: IPv4地址
netmask: 子网掩码
broadcast: 广播地址
ether: MAC地址
RX/TX: 接收/发送统计

# 临时配置IP
ifconfig ens33 192.168.200.100 netmask 255.255.255.0
# 或
ifconfig ens33 192.168.200.100/24

# 启用/禁用接口
ifconfig ens33 up
ifconfig ens33 down

# 添加虚拟接口
ifconfig ens33:0 192.168.200.200 netmask 255.255.255.0

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30

# 查看网络接口（数据链路层）
ip link
ip link show ens33

# 查看IP地址（网络层）
ip addr
ip addr show ens33

# 临时配置IP
ip addr add 192.168.200.100/24 dev ens33
ip addr del 192.168.200.100/24 dev ens33

# 启用/禁用接口
ip link set ens33 up
ip link set ens33 down

# 查看路由
ip route
ip route show

# 添加/删除路由
ip route add 10.0.0.0/8 via 192.168.200.1
ip route del 10.0.0.0/8

# 查看ARP缓存
ip neigh
ip neigh show

# 查看统计信息
ip -s link

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50

# ethtool - 查看网卡详细信息（需root）
ethtool ens33
# 输出：
Settings for ens33:
        Supported ports: [ TP ]
        Supported link modes:   10baseT/Half 10baseT/Full
                                100baseT/Half 100baseT/Full
                                1000baseT/Full
        Supported pause frame use: No
        Supports auto-negotiation: Yes
        Advertised link modes:  10baseT/Half 10baseT/Full
                                100baseT/Half 100baseT/Full
                                1000baseT/Full
        Advertised pause frame use: No
        Advertised auto-negotiation: Yes
        Speed: 1000Mb/s          # 当前速率
        Duplex: Full             # 全双工
        Port: Twisted Pair
        PHYAD: 0
        Transceiver: internal
        Auto-negotiation: on
        MDI-X: off (auto)
        Supports Wake-on: d
        Wake-on: d
        Current message level: 0x00000007 (7)
        Link detected: yes       # 链路状态

# mii-tool - 简洁查看
mii-tool ens33
ens33: negotiated 1000baseT-FD flow-control, link ok

# ss - 现代netstat替代品（性能更好）
ss -tuln                  # 查看监听端口
ss -tun                   # 查看所有连接
ss -tun | grep :80        # 过滤80端口

# lsof - 查看端口占用
lsof -i :22               # 查看22端口
lsof -i TCP:80            # 查看TCP 80端口
lsof -p 1234              # 查看进程打开的文件

# ping - 连通性测试
ping -c 4 baidu.com       # 发送4个包
ping -i 2 baidu.com       # 间隔2秒
ping -w 10 baidu.com      # 10秒超时
ping -s 1024 baidu.com    # 指定包大小1024字节

# traceroute - 路由跟踪
traceroute baidu.com      # 跟踪路径
traceroute -n baidu.com   # 不解析主机名

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26

cat > /etc/sysconfig/network-scripts/ifcfg-ens33 <<EOF
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=static          # static|dhcp|none
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
NAME=ens33
UUID=5e2cfdc2-1234-4567-890a-bcdef1234567  # 唯一标识
DEVICE=ens33
ONBOOT=yes                # 开机启用
IPADDR=192.168.200.100
PREFIX=24                 # 或NETMASK=255.255.255.0
GATEWAY=192.168.200.2
DNS1=8.8.8.8
DNS2=114.114.114.114
EOF

# 重启网络
systemctl restart network
# 或
nmcli con reload; nmcli con up ens33

1
2

uuidgen ens33              # 生成新UUID
# 将生成的UUID写入ifcfg文件

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32

# 临时添加路由
route add -net 10.0.0.0/8 gw 192.168.200.1
route add -net 10.0.0.0 netmask 255.0.0.0 gw 192.168.200.1

# 删除路由
route del -net 10.0.0.0/8

# 添加默认网关
route add default gw 192.168.200.1
# 或
ip route add default via 192.168.200.1

# 查看路由表
route -n                   # 数字格式
ip route show

# 永久路由配置
# 方法1：/etc/rc.local
echo "route add -net 10.0.0.0/8 gw 192.168.200.1" >> /etc/rc.local

# 方法2：/etc/sysconfig/static-routes（不存在则创建）
# 格式：any net 10.0.0.0/8 gw 192.168.200.1
cat > /etc/sysconfig/static-routes <<EOF
any net 10.0.0.0 netmask 255.0.0.0 gw 192.168.200.1
any host 192.168.100.100 gw 192.168.200.1
EOF

# 方法3：/etc/sysconfig/network-scripts/route-ens33
cat > /etc/sysconfig/network-scripts/route-ens33 <<EOF
10.0.0.0/8 via 192.168.200.1
192.168.100.0/24 via 192.168.200.1
EOF

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

# 临时开启
echo "1" > /proc/sys/net/ipv4/ip_forward

# 永久开启
cat >> /etc/sysctl.conf <<EOF
net.ipv4.ip_forward = 1
EOF
sysctl -p                  # 立即生效

# 验证
sysctl net.ipv4.ip_forward
# 输出：net.ipv4.ip_forward = 1

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

用户输入www.baidu.com
  ↓
浏览器缓存检查（TTL过期时间）
  ↓
操作系统缓存检查（/etc/hosts, nscd缓存）
  ↓
本地DNS服务器（LDNS）查询
  ├→ 递归查询（客户端等待结果）
  └→ 迭代查询（LDNS逐级查询）
      ↓
      根域名服务器（.）→ 返回.com服务器地址
      ↓
      顶级域服务器（.com）→ 返回baidu.com授权服务器
      ↓
      权威域名服务器（baidu.com）→ 返回www.baidu.com的A记录
      ↓
LDNS缓存结果 → 返回给客户端
  ↓
浏览器获得IP → 发起TCP连接

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

# 格式：IP 主机名 别名
cat > /etc/hosts <<EOF
127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4
::1         localhost localhost.localdomain localhost6 localhost6.localdomain6
192.168.200.100    www.linux.com   www
192.168.200.100    ns1.linux.com   ns1
192.168.200.193    ns2.linux.com   ns2
EOF

# 优先级：/etc/hosts > DNS查询
# nsswitch.conf控制顺序
grep hosts /etc/nsswitch.conf
# 输出：hosts:      files dns myhostname
# files代表/etc/hosts，dns代表DNS服务器

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18

# 临时修改（立即生效，重启失效）
hostname new-hostname
# 或
hostnamectl set-hostname new-hostname

# 永久修改（RHEL 7+推荐）
hostnamectl set-hostname new-hostname --static

# 查看主机名
hostname
hostnamectl status

# 传统方式（编辑配置文件）
cat > /etc/hostname <<EOF
new-hostname
EOF

# 同时修改/etc/hosts中的127.0.0.1对应的主机名

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

root:x:0:0:root:/root:/bin/bash
用户名:密码占位符:UID:GID:注释:家目录:Shell

# 字段说明：
# 1. 用户名：登录名，不超过32字符
# 2. 密码：x表示密码在/etc/shadow中，空表示无密码
# 3. UID：0=root，1-999=系统用户，1000+=普通用户
# 4. GID：主组ID，对应/etc/group
# 5. 注释：用户全名或描述
# 6. 家目录：登录后默认目录
# 7. Shell：/bin/bash可登录，/sbin/nologin不可登录

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18

root:$6$rounds=5000$salt$hash:18000:0:99999:7:::
用户名:加密密码:最后修改天数:最小天数:最大天数:警告天数:过期宽限:失效日期:保留

# 字段说明：
# 1. 用户名：与passwd对应
# 2. 加密密码：$id$salt$hash
#    - $1$ MD5
#    - $2a$ Blowfish
#    - $5$ SHA-256
#    - $6$ SHA-512（CentOS 7+默认）
#    - !! 或 * 表示账户锁定
# 3. 最后修改：从1970-01-01算起的天数
# 4. 最小天数：密码修改最小间隔
# 5. 最大天数：密码有效最大天数
# 6. 警告天数：到期前警告天数
# 7. 过期宽限：密码过期后可用天数
# 8. 失效日期：账户失效日期（天数）
# 9. 保留：未使用

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46

# 创建用户
useradd -u 1001 -g wheel -G admin,dev -c "Admin User" -s /bin/bash -d /home/admin admin
# -u: UID
# -g: 主组（必须已存在）
# -G: 附加组（逗号分隔）
# -c: 注释
# -s: Shell
# -d: 家目录
# -m: 自动创建家目录（默认）
# -M: 不创建家目录
# -e: 过期日期（YYYY-MM-DD）
# -f: 密码过期后宽限天数

# 创建系统用户（无登录Shell，无家目录）
useradd -r -s /sbin/nologin nginx

# 批量创建用户
for i in {1..10}; do useradd user$i; done

# 修改用户属性
usermod -l newname oldname          # 重命名用户
usermod -u 2000 admin               # 修改UID
usermod -g users admin              # 修改主组
usermod -aG docker admin            # 追加附加组（-a关键）
usermod -s /bin/zsh admin           # 修改Shell
usermod -d /newhome -m admin        # 修改家目录并移动文件
usermod -e 2024-12-31 admin         # 设置账户过期
usermod -L admin                    # 锁定账户（密码前加!）
usermod -U admin                    # 解锁账户（需执行两次）

# 删除用户
userdel admin                       # 仅删除用户
userdel -r admin                    # 删除用户及家目录、邮件

# 密码管理
passwd admin                        # 交互式设置密码
echo "password" | passwd --stdin admin  # 非交互式（需root）

# 密码策略
passwd -n 7 admin                   # 最小间隔7天
passwd -x 90 admin                  # 最大有效期90天
passwd -w 7 admin                   # 提前7天警告
passwd -i 7 admin                   # 过期后宽限7天
passwd -S admin                     # 查看密码状态
passwd -l admin                     # 锁定（密码前加!!）
passwd -u admin                     # 解锁

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

# 创建组
groupadd -g 1000 admin

# 查看组信息
cat /etc/group
# 格式：组名:密码占位符:GID:成员列表（逗号分隔）

# 修改组
groupmod -n newadmin admin          # 重命名
groupmod -g 2000 admin              # 修改GID

# 删除组
groupdel admin                      # 组内不能有用户为主组

# 组成员管理
gpasswd -a user1 admin              # 添加成员
gpasswd -M user1,user2,user3 admin  # 批量设置成员（覆盖）
gpasswd -d user1 admin              # 删除成员

# 设置组管理员
gpasswd -A user1 admin              # user1可管理admin组成员

# 组密码（极少使用）
gpasswd admin                       # 设置组密码

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

-rwxr-xr-x  1 root root  12345 Jan 10 10:00 script.sh
\_________/  \__/ \____/  \___/ \______________\____/
  权限      链接  属主 属组   大小      日期      文件名

权限段：- rwx r-x r-x
类型  所有者  组    其他
-: 普通文件
d: 目录
l: 软链接
b: 块设备
c: 字符设备
s: 套接字
p: 管道

权限位：
r = 4 (read)
w = 2 (write)
x = 1 (execute)
- = 0

组合示例：
rwx = 7 (4+2+1)
rw- = 6 (4+2+0)
r-x = 5 (4+0+1)
r-- = 4

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30

# chmod命令
chmod u+x,g-w,o=r file              # 符号模式
# u: user(owner), g: group, o: other, a: all
# +: 添加, -: 移除, =: 设置

chmod 755 file                      # 数字模式
chmod 644 file.txt                  # 普通文件
chmod 755 script.sh                 # 可执行脚本
chmod 700 /home/user                # 家目录

chmod -R 755 /path                  # 递归修改（慎用！）

# 特殊权限
chmod u+s /usr/bin/myapp            # SUID (4)
chmod g+s /path/to/dir              # SGID (2)
chmod o+t /path/to/dir              # Sticky Bit (1)

# 数字表示特殊权限
chmod 4755 file                     # SUID rwsr-xr-x
chmod 2755 dir                      # SGID rwxr-sr-x
chmod 1755 dir                      # Sticky rwxr-xr-t

# chown命令
chown user file                     # 修改属主
chown :group file                   # 修改属组
chown user:group file               # 同时修改
chown -R user:group /path           # 递归修改

# chgrp命令（较少使用）
chgrp admin file                    # 修改属组

1
2
3
4
5

chmod u+s /usr/bin/myapp
# 权限显示：-rwsr-xr-x
# 效果：普通用户执行时，以文件所有者的身份运行
# 典型应用：/usr/bin/passwd (suid root)
# 风险：安全漏洞可能导致权限提升

1
2
3
4
5
6
7
8
9

# 对文件：以文件所属组身份运行
chmod g+s /usr/bin/myapp
# 权限显示：-rwxr-sr-x

# 对目录：新建文件自动继承目录的属组
mkdir /shared
chgrp devgroup /shared
chmod 2775 /shared
# 所有用户在此目录创建的文件属组都是devgroup

1
2
3
4

chmod o+t /tmp
# 权限显示：drwxrwxrwt
# 效果：只有文件所有者、目录所有者、root能删除/重命名文件
# 典型应用：/tmp目录

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

# 查看当前umask
umask
# 输出：0022

# 临时修改
umask 027

# 永久修改
echo "umask 027" >> /etc/profile

# umask计算
# 目录默认权限：777 - umask
# 文件默认权限：666 - umask（文件默认无执行位）

# 示例：umask=022
# 目录：777 - 022 = 755 (rwxr-xr-x)
# 文件：666 - 022 = 644 (rw-r--r--)

# umask=027
# 目录：777 - 027 = 750 (rwxr-x---)
# 文件：666 - 027 = 640 (rw-r-----)

# umask=002
# 目录：777 - 002 = 775 (rwxrwxr-x)
# 文件：666 - 002 = 664 (rw-rw-r--)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

# 查看是否支持ACL
tune2fs -l /dev/sda1 | grep "Default mount options"
# 输出应包含：acl

# 挂载时启用ACL（ext4默认启用）
mount -o remount,acl /

# 查看ACL
getfacl /path/to/file

# 设置ACL
setfacl -m u:user1:rw file          # 给用户user1添加rw权限
setfacl -m g:group1:r file          # 给组group1添加r权限
setfacl -m o::r file                # 设置其他用户权限
setfacl -m m::rwx file              # 设置有效权限掩码

# 递归设置
setfacl -R -m u:user1:rw /path

# 删除ACL
setfacl -x u:user1 file             # 删除指定用户
setfacl -b file                     # 删除所有ACL

# 默认ACL（对目录有效，影响新建文件）
setfacl -m d:u:user1:rw /path       # 设置默认ACL

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32

# 编辑sudo配置（必须使用visudo，会检查语法）
visudo

# 基本格式：用户 主机=(运行身份) 命令
root    ALL=(ALL)       ALL

# 用户别名
User_Alias ADMIN = admin,fang,jialiang
User_Alias DEV = dev1,dev2

# 主机别名
Host_Alias WEBSERVERS = www1,www2
Host_Alias DBSERVERS = db1,db2

# 命令别名
Cmnd_Alias SOFTWARE = /bin/rpm,/usr/bin/yum
Cmnd_Alias SERVICES = /usr/bin/systemctl start *, /usr/bin/systemctl stop *
Cmnd_Alias DELEGATING = /usr/sbin/visudo, /bin/chown, /bin/chmod

# 授权规则
ADMIN ALL=(ALL) ALL                      # ADMIN组可执行所有命令
DEV WEBSERVERS=(root) SOFTWARE           # DEV组可在WEBSERVERS上安装软件
%wheel ALL=(ALL) NOPASSWD:ALL            # wheel组无需密码
admin ALL=(ALL) NOPASSWD:SERVICES        # admin可免密管理服务

# 限制只能执行特定命令
user1 ALL=(root) /usr/bin/cat /var/log/messages
# user1只能cat这个文件，不能cat其他文件

# 日志记录
Defaults logfile=/var/log/sudo.log
Defaults loglinelen=0

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26

# 查看当前用户权限
sudo -l

# 以root身份执行
sudo command

# 切换到root（需配置）
sudo -i
sudo -s

# 以其他用户身份执行
sudo -u nginx /usr/sbin/nginx

# 编辑文件
sudo visudo
sudo vim /etc/shadow

# 查看sudo日志
grep sudo /var/log/secure
cat /var/log/sudo.log

# 权限不足时的错误
# user1 is not in the sudoers file.  This incident will be reported.

# 免密码时限
# Defaults timestamp_timeout=15  # 15分钟内免密

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

# 删除无用系统账户（根据实际需求）
userdel adm
userdel lp
userdel sync
userdel shutdown
userdel halt
# 注意：不要删除系统关键用户如bin,daemon等

# 锁定配置文件（防篡改）
chattr +i /etc/passwd /etc/shadow /etc/group /etc/gshadow
lsattr /etc/passwd         # 查看是否加锁
# 解锁：chattr -i /etc/passwd

# 设置账户过期
usermod -e 2024-12-31 tempuser
chage -E 2024-12-31 tempuser

# 查看账户过期信息
chage -l username

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31

# 修改/etc/login.defs
cat > /etc/login.defs <<'EOF'
# 密码过期配置
PASS_MAX_DAYS   90      # 密码最长使用90天
PASS_MIN_DAYS   7       # 密码修改最小间隔7天
PASS_MIN_LEN    12      # 密码最小长度12位
PASS_WARN_AGE   14      # 提前14天警告
EOF

# 强制密码复杂度（安装libpwquality）
yum install libpwquality

# 修改/etc/security/pwquality.conf
cat > /etc/security/pwquality.conf <<EOF
minlen = 12                # 最小长度
dcredit = -1               # 至少1个数字
ucredit = -1               # 至少1个大写字母
lcredit = -1               # 至少1个小写字母
ocredit = -1               # 至少1个特殊字符
minclass = 3               # 至少3种字符类型
maxrepeat = 2              # 最多2个相同字符连续
difok = 3                  # 新密码与旧密码至少3字符不同
remember = 5               # 记住最近5个密码
EOF

# 历史密码记录
# 修改/etc/pam.d/system-auth
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=5

# 密码加密算法
authconfig --passalgo=sha512 --update

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38

# /etc/profile环境配置
cat >> /etc/profile <<EOF
# 历史命令控制
export HISTSIZE=1000              # 内存中保留历史命令数
export HISTFILESIZE=1000          # ~/.bash_history文件中保留数
export HISTTIMEFORMAT="%F %T "    # 显示时间戳
export HISTCONTROL=ignoredups     # 忽略连续重复命令
# 其他选项：
# ignorespace: 忽略以空格开头的命令
# ignoreboth: 同时忽略重复和空格开头

# 历史命令文件位置
export HISTFILE=/var/log/.hist/$(whoami)_$(date +%Y%m%d).log
# 按用户和日期分离存储

# 安全加固：命令执行后立即写入文件，不等待退出
export PROMPT_COMMAND="history -a"

# 禁止某些危险命令记录
export HISTIGNORE="ls:ll:pwd:exit"
EOF

# 立即生效
source /etc/profile

# 清理当前会话历史
history -c                  # 清空内存历史
> ~/.bash_history           # 清空历史文件
history -r                  # 重新读取历史文件

# 查看历史命令
history
history | grep "rm"

# 执行历史命令
!123                        # 执行第123条命令
!!                          # 执行上一条命令
!vim                        # 执行最近一条以vim开头的命令

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

# /etc/profile配置
cat >> /etc/profile <<EOF
# 10分钟无操作自动注销
TMOUT=600
readonly TMOUT
export TMOUT

# 限制su切换
# 只有wheel组用户可su到root
# /etc/pam.d/su
auth required pam_wheel.so use_uid

# 添加用户到wheel组
usermod -aG wheel admin
EOF

# 限制root登录终端
# 编辑/etc/securetty
# 只保留需要的终端，如：
tty1
# tty2-tty6注释掉

# 禁用Ctrl+Alt+Del重启
systemctl mask ctrl-alt-del.target
systemctl daemon-reload

# 使用StrongSWAN或OpenSSH保护远程访问

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52

# 修改/etc/ssh/sshd_config
cat > /etc/ssh/sshd_config <<EOF
# 监听配置
Port 2222                   # 修改默认端口
ListenAddress 192.168.200.100  # 只监听内网
Protocol 2                  # 仅使用SSH v2

# 登录控制
PermitRootLogin no          # 禁止root登录
PermitEmptyPasswords no     # 禁止空密码
PasswordAuthentication yes  # 允许密码登录（可关闭，仅用密钥）
LoginGraceTime 2m           # 登录宽限时间2分钟
MaxAuthTries 3              # 最大尝试3次
MaxSessions 10              # 最大会话数

# 密钥认证
PubkeyAuthentication yes
AuthorizedKeysFile      .ssh/authorized_keys

# 安全增强
UseDNS no                   # 禁用DNS反向解析，加快连接
GSSAPIAuthentication no     # 禁用GSSAPI认证
AllowUsers admin user1 user2  # 允许登录的用户列表
AllowGroups wheel dev       # 允许登录的组
DenyUsers tempuser          # 拒绝登录的用户
DenyGroups test             # 拒绝登录的组

# 空闲断开
ClientAliveInterval 600     # 每600秒检测一次
ClientAliveCountMax 3       # 3次无响应断开

# 日志
SyslogFacility AUTHPRIV
LogLevel INFO
EOF

# 重启SSH服务
systemctl restart sshd
systemctl enable sshd

# 密钥认证配置
# 1. 客户端生成密钥对
ssh-keygen -t rsa -b 4096 -C "admin@company.com"
# 2. 复制公钥到服务器
ssh-copy-id -i ~/.ssh/id_rsa.pub admin@server_ip
# 3. 测试密钥登录
ssh admin@server_ip

# 禁用密码登录（仅密钥）
# /etc/ssh/sshd_config
PasswordAuthentication no
# 重启sshd

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20

# 锁定关键文件
chattr +i /etc/passwd /etc/shadow /etc/group /etc/gshadow
chattr +i /etc/fstab /etc/inittab /etc/crontab

# 系统日志保护
chattr +a /var/log/messages
chattr +a /var/log/secure
chattr +a /var/log/maillog

# 检查文件完整性
# 安装AIDE或Tripwire
yum install aide
aide --init
mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
aide --check

# 使用auditd审计
systemctl start auditd
auditctl -w /etc/passwd -p wa -k passwd_changes
ausearch -k passwd_changes

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73

# 1. 安装依赖包
yum install -y gcc gcc-c++ make automake autoconf libtool \
pcre pcre-devel zlib zlib-devel openssl openssl-devel

# 2. 创建运行用户
useradd -s /sbin/nologin -M nginx

# 3. 下载源码
cd /usr/src
wget http://nginx.org/download/nginx-1.24.0.tar.gz
tar zxf nginx-1.24.0.tar.gz
cd nginx-1.24.0

# 4. 配置编译参数
./configure \
--prefix=/usr/local/nginx \
--user=nginx \
--group=nginx \
--with-http_ssl_module \
--with-http_v2_module \
--with-http_realip_module \
--with-http_stub_status_module \
--with-http_gzip_static_module \
--with-pcre \
--with-stream \
--with-stream_ssl_module \
--with-stream_realip_module

# 5. 编译安装
make -j $(nproc) && make install

# 6. 创建软链接
ln -s /usr/local/nginx/sbin/nginx /usr/local/sbin/

# 7. 验证安装
nginx -t
# 输出：
# nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
# nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful

# 8. 创建systemd服务
cat > /etc/systemd/system/nginx.service <<EOF
[Unit]
Description=The NGINX HTTP and reverse proxy server
After=network.target remote-fs.target nss-lookup.target

[Service]
Type=forking
PIDFile=/usr/local/nginx/logs/nginx.pid
ExecStartPre=/usr/local/nginx/sbin/nginx -t
ExecStart=/usr/local/nginx/sbin/nginx
ExecReload=/bin/kill -s HUP \$MAINPID
ExecStop=/bin/kill -s QUIT \$MAINPID
PrivateTmp=true

[Install]
WantedBy=multi-user.target
EOF

# 9. 启动服务
systemctl daemon-reload
systemctl start nginx
systemctl enable nginx
systemctl status nginx

# 10. 配置防火墙
firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --permanent --add-port=443/tcp
firewall-cmd --reload

# 11. 浏览器访问测试
http://server_ip
# 应显示"Welcome to nginx!"

  1
  2
  3
  4
  5
  6
  7
  8
  9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105

# 全局配置段
user nginx;
worker_processes auto;  # 根据CPU核心数自动设置
worker_cpu_affinity auto;  # CPU亲和性
error_log /usr/local/nginx/logs/error.log notice;
pid /usr/local/nginx/logs/nginx.pid;
worker_rlimit_nofile 65535;  # 每个worker最大文件句柄

# events配置段
events {
    use epoll;  # Linux高效模型
    worker_connections 65535;  # 每个worker最大连接数
    multi_accept on;  # 批量接受新连接
}

# http配置段（核心）
http {
    include mime.types;  # 文件类型映射
    default_type application/octet-stream;

    # 日志格式
    log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                    '$status $body_bytes_sent "$http_referer" '
                    '"$http_user_agent" "$http_x_forwarded_for"';
    access_log /usr/local/nginx/logs/access.log main;

    # 性能优化
    sendfile on;  # 零拷贝传输
    tcp_nopush on;  # 合并数据包
    tcp_nodelay on;  # 禁用Nagle算法
    keepalive_timeout 65;
    keepalive_requests 100;
    reset_timedout_connection on;

    # 压缩配置
    gzip on;
    gzip_min_length 1k;
    gzip_comp_level 6;
    gzip_types text/plain text/css text/xml text/javascript application/json application/javascript application/xml+rss application/rss+xml image/svg+xml;

    # 虚拟主机配置
    server {
        listen 80;
        server_name www.linux.com;
        root /data/www;
        index index.html index.htm;

        # 访问日志
        access_log /usr/local/nginx/logs/www.access.log main;

        # 错误页面
        error_page 404 /404.html;
        error_page 500 502 503 504 /50x.html;

        #  location匹配
        location / {
            try_files $uri $uri/ @rewrite;
        }

        location @rewrite {
            rewrite ^/(.*)$ /index.php?q=$1;
        }

        # 静态文件缓存
        location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ {
            expires 1d;
            add_header Cache-Control "public, immutable";
        }

        # 拒绝访问
        location ~ /\. {
            deny all;
        }

        # 反向代理
        location /api/ {
            proxy_pass http://backend_server;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        }

        # 目录别名
        location /doc/ {
            alias /usr/share/doc/;
            autoindex on;
        }

        # 访问控制
        location /admin/ {
            auth_basic "Admin Area";
            auth_basic_user_file /usr/local/nginx/conf/htpasswd;
            allow 192.168.200.0/24;
            deny all;
        }
    }

    # 多个虚拟主机
    server {
        listen 80;
        server_name blog.linux.com;
        root /data/blog;
        # ...
    }
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53

# 匹配优先级（从高到低）：
# 1. = 精确匹配
location = / {
    # 只匹配"/"
}

# 2. ^~ 前缀匹配（优先于正则）
location ^~ /images/ {
    # 匹配以/images/开头的请求，停止后续正则匹配
}

# 3. ~ 区分大小写正则
location ~ \.php$ {
    # 匹配以.php结尾的请求
}

# 4. ~* 不区分大小写正则
location ~* \.(jpg|png|gif)$ {
    # 匹配图片文件，不区分大小写
}

# 5. / 通用匹配
location / {
    # 匹配所有请求
}

# 匹配示例：
# URI: /images/logo.png
# 优先匹配 ^~ /images/，不检查正则

# URI: /index.php
# 精确匹配失败，前缀匹配失败，正则匹配 ~ \.php$ 成功

# 实际配置建议：
location = / {
    # 首页
}

location ^~ /static/ {
    # 静态资源
}

location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ {
    # 静态文件缓存
}

location ~ \.php$ {
    # PHP处理
}

location / {
    # 默认处理
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49

# worker进程数
worker_processes auto;  # 或设置为CPU核心数
# worker_cpu_affinity auto;  # CPU亲和性

# 最大连接数计算
# 最大连接数 = worker_processes * worker_connections
# 如果启用反向代理，需除以2（客户端和后端各一个连接）

# 文件句柄限制
# /etc/security/limits.conf
nginx soft nofile 65535
nginx hard nofile 65535

# /etc/systemd/system/nginx.service
[Service]
LimitNOFILE=65535

# 内核参数优化
# /etc/sysctl.conf
net.core.somaxconn = 65535
net.ipv4.tcp_max_tw_buckets = 6000
net.ipv4.ip_local_port_range = 1024 65000
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_keepalive_time = 30
net.ipv4.tcp_fin_timeout = 30
net.ipv4.tcp_max_syn_backlog = 8192

# 零拷贝优化
sendfile on;
sendfile_max_chunk 512k;

# TCP优化
tcp_nopush on;
tcp_nodelay on;

# 连接复用
keepalive_timeout 65;
keepalive_requests 100;

# Gzip优化
gzip on;
gzip_min_length 1k;
gzip_comp_level 6;
gzip_types text/plain text/css application/json application/javascript;

# 缓存优化
open_file_cache max=65535 inactive=60s;
open_file_cache_valid 80s;
open_file_cache_min_uses 1;

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32

# 1. 日志切割脚本（按天）
cat > /usr/local/nginx/sbin/logrotate.sh <<'EOF'
#!/bin/bash
LOG_DIR="/usr/local/nginx/logs"
YESTERDAY=$(date -d "yesterday" +%Y%m%d)

# 移动日志
mv ${LOG_DIR}/access.log ${LOG_DIR}/access.log-${YESTERDAY}
mv ${LOG_DIR}/error.log ${LOG_DIR}/error.log-${YESTERDAY}

# 重新打开日志
kill -USR1 $(cat ${LOG_DIR}/nginx.pid)

# 压缩旧日志（保留30天）
find ${LOG_DIR} -name "*.log-20*" -mtime +30 -exec gzip {} \;
EOF

chmod +x /usr/local/nginx/sbin/logrotate.sh

# 2. 配置crontab
crontab -e
0 0 * * * /usr/local/nginx/sbin/logrotate.sh

# 3. 日志分析示例
# 统计IP访问次数
awk '{print $1}' /usr/local/nginx/logs/access.log | sort | uniq -c | sort -nr | head -20

# 统计URL访问次数
awk '{print $7}' /usr/local/nginx/logs/access.log | sort | uniq -c | sort -nr | head -20

# 统计响应时间超过1秒的请求
awk '$NF > 1 {print $0}' /usr/local/nginx/logs/access.log

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36

-- 1. DDL (Data Definition Language) - 数据定义语言
-- 创建、修改、删除数据库对象（表、索引、视图）
CREATE TABLE users (id INT PRIMARY KEY, name VARCHAR(50));
CREATE INDEX idx_name ON users(name);
CREATE VIEW v_users AS SELECT id, name FROM users WHERE active=1;
ALTER TABLE users ADD COLUMN email VARCHAR(100);
DROP TABLE users;
DROP INDEX idx_name;

-- 2. DML (Data Manipulation Language) - 数据操作语言
-- 插入、更新、删除数据
INSERT INTO users (id, name) VALUES (1, 'admin');
UPDATE users SET name='root' WHERE id=1;
DELETE FROM users WHERE id=1;
TRUNCATE TABLE users;  -- 快速清空表

-- 3. DQL (Data Query Language) - 数据查询语言
-- 查询数据（最常用）
SELECT * FROM users;
SELECT id, name FROM users WHERE id > 10 ORDER BY id DESC;
SELECT COUNT(*) FROM users;
SELECT DISTINCT name FROM users;

-- 4. DCL (Data Control Language) - 数据控制语言
-- 权限管理
GRANT SELECT, INSERT ON db1.* TO 'user1'@'localhost';
REVOKE INSERT ON db1.* FROM 'user1'@'localhost';
FLUSH PRIVILEGES;

-- 5. TCL (Transaction Control Language) - 事务控制语言
START TRANSACTION;  -- 或 BEGIN;
INSERT INTO users VALUES (2, 'test');
UPDATE users SET name='temp' WHERE id=2;
COMMIT;  -- 提交
-- 或
ROLLBACK;  -- 回滚

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

-- 创建索引
CREATE INDEX idx_salary ON employees(salary);          -- 普通索引
CREATE UNIQUE INDEX idx_empid ON employees(emp_id);    -- 唯一索引
CREATE FULLTEXT INDEX idx_content ON articles(content);-- 全文索引

-- 查看索引
SHOW INDEX FROM employees;
SHOW INDEX FROM employees \G;  -- 垂直显示

-- 删除索引
DROP INDEX idx_salary ON employees;
ALTER TABLE employees DROP INDEX idx_salary;

-- 删除主键索引
ALTER TABLE employees DROP PRIMARY KEY;

-- 创建主键索引
ALTER TABLE employees ADD PRIMARY KEY (emp_id);

-- 复合索引
CREATE INDEX idx_name_age ON employees(name, age);

-- 索引使用建议
-- 1.  WHERE、ORDER BY、GROUP BY字段建立索引
-- 2.  区分度低的字段（如性别）不适合建立索引
-- 3.  索引会占用额外空间，降低写入速度
-- 4.  定期使用OPTIMIZE TABLE优化索引

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38

-- 查看当前事务隔离级别
SHOW VARIABLES LIKE 'transaction_isolation';
-- 或
SELECT @@transaction_isolation;

-- MySQL四种隔离级别
-- READ UNCOMMITTED（读未提交）：最低级别，可能脏读
-- READ COMMITTED（读已提交）：Oracle默认，可能不可重复读
-- REPEATABLE READ（可重复读）：MySQL默认，可能幻读
-- SERIALIZABLE（可串行化）：最高级别，完全隔离

-- 事务操作
BEGIN;  -- 或 START TRANSACTION;
INSERT INTO accounts VALUES (1, 1000);
UPDATE accounts SET balance = balance - 100 WHERE id = 1;
COMMIT;  -- 提交

-- 回滚示例
BEGIN;
UPDATE accounts SET balance = balance - 100 WHERE id = 1;
-- 发现错误
ROLLBACK;  -- 撤销所有操作

-- 保存点
BEGIN;
INSERT INTO users VALUES (1, 'user1');
SAVEPOINT sp1;
INSERT INTO users VALUES (2, 'user2');
ROLLBACK TO sp1;  -- 回滚到保存点
COMMIT;

-- 自动提交控制
SET autocommit = 0;  -- 关闭自动提交
SET autocommit = 1;  -- 开启自动提交（默认）

-- MySQL默认引擎对比
-- MyISAM：不支持事务，表级锁，读快写慢，支持全文索引
-- InnoDB：支持事务，行级锁，支持外键，5.6+支持全文索引