第6章存储结构与磁盘划分
6.1 一切从“/”开始
在Linux系统中，目录、字符设备、块设备、套接字、打印机等都被抽象成了文件
目录名称 |
应放置文件的内容 |
/boot |
开机所需文件—内核、开机菜单以及所需配置文件等 |
/dev |
以文件形式存放任何设备与接口 |
/etc |
配置文件 |
/home |
用户主目录 |
/bin |
存放单用户模式下还可以操作的命令 |
/lib |
开机时用到的函数库，以及/bin与/sbin下面的命令要调用的函数 |
/sbin |
开机过程中需要的命令 |
/media |
用于挂载设备文件的目录 |
/opt |
放置第三方的软件 |
/root |
系统管理员的家目录 |
/srv |
一些网络服务的数据文件目录 |
/tmp |
任何人均可使用的“共享”临时目录 |
/proc |
虚拟文件系统，例如系统内核、进程、外部设备及网络状态等 |
/usr/local |
用户自行安装的软件 |
/usr/sbin |
Linux系统开机时不会使用到的软件/命令/脚本 |
/usr/share |
帮助与说明文件，也可放置共享文件 |
/var |
主要存放经常变化的文件，如日志 |
/lost+found |
当文件系统发生错误时，将一些丢失的文件片段存放在这里 |
6.2 物理设备的命名规则
系统内核中的udev设备管理器会自动把硬件名称规范起来，目的是让用户通过设备文件的名字可以猜出设备大致的属性以及分区信息等；这对于陌生的设备来说特别方便。另外，udev设备管理器的服务会一直以守护进程的形式运行并侦听内核发出的信号来管理/dev目录下的设备文件
硬件设备 |
文件名称 |
IDE设备 |
/dev/hd[a-d] |
SCSI/SATA/U盘 |
/dev/sd[a-p] |
软驱 |
/dev/fd[0-1] |
打印机 |
/dev/lp[0-15] |
光驱 |
/dev/cdrom |
鼠标 |
/dev/mouse |
磁带机 |
/dev/st0或/dev/ht0 |
一般的硬盘设备都会是以“/dev/sd”开头的。而一台主机上可以有多块硬盘，因此系统采用a～p来代表16块不同的硬盘（默认从a开始分配）：
l 主分区或扩展分区的编号从1开始，到4结束；
l 逻辑分区从编号5开始
“/dev/sda5”表示的就是“这是系统中第一块被识别到的硬件设备中分区编号为5的逻辑分区的设备文件”
6.3 文件系统与数据资料
用户在硬件存储设备中执行的文件建立、写入、读取、修改、转存与控制等操作都是依靠文件系统来完成的。文件系统的作用是合理规划硬盘，以保证用户正常的使用需求
6.4 挂载硬件设备
当用户需要使用硬盘设备或分区中的数据时，需要先将其与一个已存在的目录文件进行关联，而这个关联动作就是“挂载”。mount命令用于挂载文件系统，格式为：
“mount 文件系统 挂载目录” |
要把设备/dev/sdb2挂载到/backup目录，只需要在mount命令中填写设备与挂载目录参数就行，系统会自动去判断要挂载文件的类型，因此只需要执行下述命令即可：
# mount /dev/sdb2 /backup
umount命令用于撤销已经挂载的设备文件，格式为：
umount [挂载点/设备文件] |
手动卸载掉/dev/sdb2设备文件：
[root@linuxprobe ~]# umount /dev/sdb2
6.5 添加硬盘设备
硬盘设备的操作思路：首先需要加入一块新的硬盘存储设备，然后再进行分区、格式化、挂载等操作，最后通过检查系统的挂载状态并真实地使用硬盘来验证硬盘设备是否成功添加
l fdisk命令
fdisk命令用于管理磁盘分区，格式为“fdisk [磁盘名称]”，它提供了添加、删除、转换分区等功能
参数 |
作用 |
m |
查看全部可用的参数 |
n |
添加新的分区 |
d |
删除某个分区信息 |
l |
列出所有可用的分区类型 |
t |
改变某个分区的类型 |
p |
查看分区表信息 |
w |
保存并退出 |
q |
不保存直接退出 |
如果硬件存储设备没有进行格式化，则Linux系统无法得知怎么在其上写入数据。因此，在对存储设备进行分区后还需要进行格式化操作，在Linux系统中用于格式化操作的命令是mkfs
mkfs.xfs /dev/sdb1
完成了存储设备的分区和格式化操作，接下来就是要来挂载并使用存储设备。用mount命令将存储设备与挂载点进行关联；最后可以使用df -h命令来查看挂载状态和硬盘使用量信息
l du命令
用于查看文件数据占用量的du命令，其格式为“du [选项] [文件]”，还可以使用du -sh /*命令来查看在Linux系统根目录下所有一级目录分别占用的空间大小
# du -sh /*
6.6 添加交换分区
SWAP（交换）分区是一种通过在硬盘中预先划分一定的空间，然后将把内存中暂时不常用的数据临时存放到硬盘中，以便腾出物理内存空间让更活跃的程序服务来使用的技术，其设计目的是为了解决真实物理内存不足的问题。但由于交换分区毕竟是通过硬盘设备读写数据的，速度肯定要比物理内存慢，所以只有当真实的物理内存耗尽后才会调用交换分区的资源。
6.7 软硬连接方式
硬链接（hard link）：可以将它理解为一个“指向原始文件inode的指针”，系统不为它分配独立的inode和文件。所以，硬链接文件与原始文件其实是同一个文件，只是名字不同
软链接（也称为符号链接[symbolic link]）：仅仅包含所链接文件的路径名，因此能链接目录文件，也可以跨越文件系统进行链接。但是，当原始文件被删除后，链接文件也将失效，从这一点上来说与Windows系统中的“快捷方式”具有一样的性质。
ln命令用于创建链接文件，格式为“ln [选项] 目标”
参数 |
作用 |
-s |
创建“符号链接”（如果不带-s参数，则默认创建硬链接） |
-f |
强制创建文件或目录的链接 |
-i |
覆盖前先询问 |
-v |
显示创建链接的过程 |
ln -s readme.txt readit.txt
第7章使用RAID与LVM磁盘阵列技术
本章主要讲解硬盘管理，未细读
第8章 Iptables与Firewalld防火墙
8.1 防火墙管理工具
当前在Linux系统中其实存在多个防火墙管理工具，旨在方便运维人员管理Linux系统中的防火墙策略。防火墙策略可以基于流量的源目地址、端口号、协议、应用等信息来定制，然后防火墙使用预先定制的策略规则监控出入的流量，若流量与某一条策略规则相匹配，则执行相应的处理，反之则丢弃
8.2 Iptables
8.2.1 策略与规则链
防火墙会从上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（即放行或阻止）。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略
iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类：
l 在进行路由选择前处理数据包（PREROUTING）；
l 处理流入的数据包（INPUT）；
l 处理流出的数据包（OUTPUT）；
l 处理转发的数据包（FORWARD）；
l 在进行路由选择后处理数据包（POSTROUTING）
8.2.2 基本的命令参数
iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功，iptables就会根据策略规则所预设的动作来处理这些流量
参数 |
作用 |
-P |
设置默认策略 |
-F |
清空规则链 |
-L |
查看规则链 |
-A |
在规则链的末尾加入新规则 |
-I num |
在规则链的头部加入新规则 |
-D num |
删除某一条规则 |
-s |
匹配来源地址IP/MASK，加叹号“!”表示除这个IP外 |
-d |
匹配目标地址 |
-i 网卡名称 |
匹配从这块网卡流入的数据 |
-o 网卡名称 |
匹配从这块网卡流出的数据 |
-p |
匹配协议，如TCP、UDP、ICMP |
--dport num |
匹配目标端口号 |
--sport num |
匹配来源端口号 |
使用示例，增加一条不允许ICMP协议的配置，这样就ping不了ip地址了（亲测有效）：
# iptables -I INPUT -p icmp -j DROP
删除上面的规则：
iptables –D INPUT 1
火墙策略规则是按照从上到下的顺序匹配的，因此一定要把允许动作放到拒绝动作前面，否则所有的流量就将被拒绝掉，从而导致任何主机都无法访问我们的服务
特别注意，使用iptables命令配置的防火墙规则默认会在系统下一次重启时失效，如果想让配置的防火墙策略永久生效，还要执行保存命令：
# service iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables: [ OK ]
8.3 Firewalld
firewalld支持动态更新技术并加入了区域（zone）的概念。简单来说，区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换
区域 |
默认规则策略 |
trusted |
允许所有的数据包 |
home |
拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关，则允许流量 |
internal |
等同于home区域 |
work |
拒绝流入的流量，除非与流出的流量数相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量 |
public |
拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量 |
external |
拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量 |
dmz |
拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量 |
block |
拒绝流入的流量，除非与流出的流量相关 |
drop |
拒绝流入的流量，除非与流出的流量相关 |
8.3.1 终端管理工具
firewall-cmd是firewalld防火墙配置管理工具的CLI（命令行界面）版本。它的参数一般都是以“长格式”来提供的
参数 |
作用 |
--get-default-zone |
查询默认的区域名称 |
--set-default-zone=<区域名称> |
设置默认的区域，使其永久生效 |
--get-zones |
显示可用的区域 |
--get-services |
显示预先定义的服务 |
--get-active-zones |
显示当前正在使用的区域与网卡名称 |
--add-source= |
将源自此IP或子网的流量导向指定的区域 |
--remove-source= |
不再将源自此IP或子网的流量导向某个指定区域 |
--add-interface=<网卡名称> |
将源自该网卡的所有流量都导向某个指定区域 |
--change-interface=<网卡名称> |
将某个网卡与区域进行关联 |
--list-all |
显示当前区域的网卡配置参数、资源、端口以及服务等信息 |
--list-all-zones |
显示所有区域的网卡配置参数、资源、端口以及服务等信息 |
--add-service=<服务名> |
设置默认区域允许该服务的流量 |
--add-port=<端口号/协议> |
设置默认区域允许该端口的流量 |
--remove-service=<服务名> |
设置默认区域不再允许该服务的流量 |
--remove-port=<端口号/协议> |
设置默认区域不再允许该端口的流量 |
--reload |
让“永久生效”的配置规则立即生效，并覆盖当前的配置规则 |
--panic-on |
开启应急状况模式 |
--panic-off |
关闭应急状况模式 |
使用firewalld配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会失效。如果想让配置策略一直存在，就需要使用永久（Permanent）模式了，方法就是在用firewall-cmd命令正常设置防火墙策略时添加--permanent参数，这样配置的防火墙策略就可以永久生效了。但是，永久生效模式有一个“不近人情”的特点，就是使用它设置的策略只有在系统重启之后才能自动生效。如果想让配置的策略立即生效，需要手动执行firewall-cmd --reload命令
# firewall-cmd --permanent --zone=public --add-service=https
# firewall-cmd --reload
firewalld中的富规则表示更细致、更详细的防火墙策略配置，它可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有针对性的策略配置。它的优先级在所有的防火墙策略中也是最高的
8.3.2 图形管理工具
firewall-config是firewalld防火墙配置管理工具的GUI（图形用户界面）版本，几乎可以实现所有以命令行来执行的操作
8.4 服务的访问控制列表
TCP Wrappers是RHEL 7系统中默认启用的一款流量监控程序，它能够根据来访主机的地址与本机的目标服务程序作出允许或拒绝的操作
TCP Wrappers服务的防火墙策略由两个控制列表文件所控制，用户可以编辑允许控制列表文件来放行对服务的请求流量，也可以编辑拒绝控制列表文件来阻止对服务的请求流量。控制列表文件修改后会立即生效，系统将会先检查允许控制列表文件（/etc/hosts.allow），如果匹配到相应的允许策略则放行流量；如果没有匹配，则去进一步匹配拒绝控制列表文件（/etc/hosts.deny），若找到匹配项则拒绝该流量。如果这两个文件全都没有匹配到，则默认放行流量。