SQL语言的组成部分:
    DDL
    DML
    完整性定义语言:DDL的一部分功能
    视图定义
    事务控制
    嵌入式SQL和动态SQL
    授权:DCL
   
使用程序设计语言如果跟RDBMS交互:
    嵌入式SQL:比动态SQL更底层;与动态SQL类似，但其语言必须程序编译时完全确定下来；
        如ODBC
    动态SQL:程序设计语言中使用函数(mysql_connect()或者方法与RDBMS服务器建立连接，并进行交互；通过建立连接SQL服务器发送查询语句，并将结果保存至变量中而后进行处理)
        如JDBC
   
MySQL插件式存储引擎
  5.5.8:MyLSAM
  5.5.8:InnoDB
  http://www.php100.com/html/webkaifa/database/Mysql/2011/0326/7789.html
 
表管理器:负责创建、读取或修改表定义文件；维护表描述符高速缓存；管理表锁；
    表结构定义文件
   
表修改模块:表创建、删除、重命名、移除、更新或插入之类的操作；
表维护模块:检查、修改、备份、恢复、优化(碎片整理)及解析；

行:定长；变长

文件中记录组织:
    堆文件组织:一条记录可以放在文件中的任何地方；
    顺序文件组织:根据”搜索码”值顺序存放；
    散列文件组织；
   
表结构定义文件，表数据文件

表空间:table space

数据字典:Data Diretionary
    关系的元数据
        关系的名字
        字段名字
        字段的类型和长度
        视图
        约束
       
        用户名字:授权，密码
       
缓冲区管理器:
    缓存置换策略
    被钉住的块

访问路径的选择性:一个访问路径的选择性是所有获取的页面数(如果使用这个访问路径去获取所有想要的元组)，如果一个表包含一个给定条件相匹配的索引，就至少存在两条访问路径；使用索引和扫描整个数据文件

最有选择性的路径是检索最少页数的路径，使用最有选择性的路径将使用获取数据的代价降到最小，而一个访问路径的选择性依赖于选择条件中的主合取体(与涉及的索引有关)，每个合取体就好比表上的一个过滤器，满足一个给丁合取的元组在表中所占的百分比称为缩减因子。

数据库系统阶段管理数据的特点有如下方面:
(1)数据结构化
    数据库中的数据不再仅仅针对某个应用，而是面向全组织；这句话的意思指早期的文件基本上对应一个application,即文件仍然是面向应用的，那么当不同的应用程序所使用的数据具有共同部分时，也必须建立自己的数据文件，数据不能共享，同时，由于相同数据的重复存储、各自管理，在对数据进行更新操作时，不但浪费磁盘空间，同时也容易造成数据的不一致性。
    由于数据库系统不仅描述数据本身，还描述数据之间的联系，记录之间的联系可以用参照完整性来表述，进行多表查询时可以很容易的实现。
(2)数据共享性高、冗余度低
    所谓的数据共享是指数据库中的一组数据集合可为多个应用和多个用户共同使用。由于同一组数据可供多个用户或应用共享，这样便避免了同一数据在数据库中重复出现并具有不同值的现象。
(3)数据独立性高
    所以数据的独立性是指数据库中的数据与应用程序间相互独立，即数据的逻辑结构、存储结构以及存取方式的改变不影响应用程序
(4)有统一的数据控制功能
    1、数据的安全(Security)控制
    2、数据的完整性(Integrity)控制
    3、并发(Concurrency)控制
    4、数据恢复(Recovery)
    
那么可以看出，一个文件所可能具有的问题，如下所示:    
文件:
    数据冗余和不一致性
    数据访问困难
    数据孤立
    完整性问题
    原子性问题
    并发访问异常
    安全性问题
DBMS
    层次模型
    网状模型
    关系模型
    面向对象模型

关系模型(结构化数据模型)    
    关系模型
    E-R:实体-关系模型(基本成分:实体型 属性 联系(一对一、一对多、多对多))
    对象关系模型:基于对象的数据模型
    半结构化数据模型XML:扩展标记语言

关系性数据:
    表示层:表
    逻辑层:存储引擎
    物理层:数据文件
        如果这个放在操作系统概念上来讲:表示层就是文件，逻辑层就是文件系统，物理层就是数据块。
RDB对象:
    约束(例如，更多可自行查看23_03)
        域约束:数据类型约束
        外键约束:引用完整性约束
        主键约束:某字段能唯一标识此字段所属的实体，并且不允许为空
            一张表只允许有一个主键
        唯一性约束:每一行的某字段不允许出现相同值，可以为空
            一张表中可以有多个
        检查性约束:age:int
    
数据存储和查询:
    存储管理器:
        权限及完整性管理器
        事务管理器
        文件管理器
        缓冲区管理器
    查询管理器:
        DML解释器
        DDL解释器
        查询执行引擎         

MySQL:
   单进程
    多线程
       守护线程
       应用线程    
thread reuse(线程重用):数据查询时，为了避免更多的性能降低，在查询完成以后，线程并不会销毁，下一个查询可直接重用这个线程进行查询。

MySQL最大内存使用:32bit:2.7G ； 64bit:不好说~~，所以生产环境中一定要使用64bit。
        
MySQL对smp(对称多处理器)的支持不好，意味着一条语句查询时只能使用一颗CPU，
这个是一个非常大的缺陷。
        
关系运算:        
    投影:只输出指定属性
    选择:只输出符合条件的行
    自然连接:具有相同名字的所有属性上取值相同的行
    笛卡尔积:(a+b)*(c+d)=ac+ad+bc+bd      多表查询时非常有用
    并:集合运算
        
        
自然连接:
    例如:
        user.shellid=shell.shellid
    有两张表，其中一张表记录了如下内容：
    marry  1
    tom       2
    jerry  3
    另外一张表:
    1        bash
    2        csh
    3        zsh    
    4        ksh
    5        tcsh
    那么，
    marry 1=1    bash
    tom      2=2    csh
    jerry 3=3    zsh
这种具有等值关系的运算叫做自然连接。         

        
        
这篇文章部分参考《数据库原理及应用》，由于没有更为结构化、全面的认知，所以这篇文章会有很多缺陷，更多可自行参考其他书籍，以获得详细的解答，这篇文章仅作为最最低下的个人认知，
可完全不看。

例如我想创建一个脚本，可以让别人引用，例如:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

#!/bin/bash 
#Name:mkscript 
#Description:Create script 
#Author:unravel 
#Version:0.0.1 
#Datatime:05112015 
#Usage: mkscript FILENAME 
cat >$1<< EOF 
#!/bin/bash 
#Name:`basename $1` 
#Description: 
#Author:unravel 
#Version:0.0.1 
#Datatime:`date +%F-%H-%M-%S` 
#Usage: 
 
EOF

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

# vim +8 $1 
 
#chmod +x mkscript && ./mkscript test.sh 
这样有个缺点，就是如果这个文件事先存在，则会抹除所有事先存在的内容，那么: 
#!/bin/bash 
#Name:mkscript 
#Description:Create script 
#Author:unravel 
#Version:0.0.1 
#Datatime:05112015 
#Usage: mkscript FILENAME 
if ! grep "[^[:space:]]" $1 &>/dev/null;then 
cat >$1<< EOF 
#!/bin/bash 
#Name:`basename $1` 
#Description: 
#Author:unravel 
#Version:0.0.1 
#Datatime:`date +%F-%H-%M-%S` 
#Usage: 
 
EOF 
fi 

vim + $1

#cp /etc/fstab . && ./mkscript fstab
 
如果我在编辑的时候有语法错误，没检测出来，当我保存退出的时候，希望可以帮我检测出来并提示:
#!/bin/bash
#Name:mkscript
#Description:Create script
#Author:unravel
#Version:0.0.1
#Datatime:05112015
#Usage: mkscript FILENAME
if ! grep “[^[:space:]]” $1 &>/dev/null;then
cat >$1<< EOF
#!/bin/bash
#Name:basename $1
#Description:
#Author:unravel
#Version:0.0.1
#Datatime:date +%F-%H-%M-%S
#Usage:

EOF
fi
vim + $1

until bash -n $1 &>/dev/null;do
    read -p “syntax error,q|Q quiting,others for editing:” OPT
    case $OPT in
        q|Q)
            echo “quit”
            exit 8
            ;;
        *)
            vim + $1
            ;;
    esac
done    
chmod +x $1

#./mkscript test.sh
可以专门把这个放到/bin目录下，当作命令来用:
#cp /tmp/mkscript /bin

getopts:这个命令可以获取脚本的选项

getopts : getopts   optstring    name

例如:
#vim opt.sh
getopts “abcd” OPT
echo $OPT    可以实现选项
#chmod +x opt.sh
#./opt.sh -a
a
#./opt.sh -b
b
但:
#./opt.sh -a -b
a

#vim opt.sh
getopts “bd:” OPT
echo $OPT
echo $OPTARG   (这个默认就有这个变量)
#./opt.sh -d “haha”
d
haha   (所以这个:表示可以后接参数)
但是:
#./opt.sh -b “haha”
只会输出b,只接受最后一个参数。

所以，任何一个参数想带上参数，就在哪个参数后面加: , 例如:
getopts “b:d:” OPT
echo $OPT
echo $OPTARG
#./opt.sh -b “bb”
b
bb

如果输入./opt.sh -e 就会报错，非法字符，就会感觉不友好:
getopts “:b:d:” OPT (在最前面添加:即可)
echo $OPT
echo $OPTARG

接受多个参数:
USAGE() {
    echo “Usage:opt.sh [-b argu] [-b argu]”
        }
while getopts “:b:d:” SWITCH;do
    case $SWITCH in
        b)echo “The option is b”
          echo $OPTARG
          ;;
        d)echo “The option is d”
          echo $OPTARG
          ;;
        *)USAGE;;
       
    esac
done        

#./opt.sh -b haha -d dada
The option is b
haha
The option is d
dada

最终脚本:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44

#!/bin/bash 
#Name:mkscript 
#Description:Create script 
#Author:unravel 
#Version:0.0.1 
#Datatime:05112015 
#Usage: mkscript FILENAME 
while getopts ":d:" SWITCH;do 
    case $SWITCH in 
        d) 
            DESC=$OPTARG 
            ;; 
        *) 
            echo "Usage:"mkscript [-d Description]"" 
            ;; 
    esac 
done 
shift $[$OPTIND -1]    (OPTIND也是内置的，指向最后一个，所以到文件名那要-1) 
if ! grep "[^[:space:]]" $1 &>/dev/null;then 
cat >$1<< EOF 
#!/bin/bash 
#Name:`basename $1` 
#Description: $DESC 
#Author:unravel 
#Version:0.0.1 
#Datatime:`date +%F-%H-%M-%S` 
#Usage: 
 
EOF 
fi 
vim + $1 
 
until bash -n $1 &>/dev/null;do 
    read -p "syntax error,q|Q quiting,others for editing:" OPT 
    case $OPT in 
        q|Q) 
            echo "quit" 
            exit 8 
            ;; 
        *) 
            vim + $1 
            ;; 
    esac 
done     

大概更新到这个地方

————————————————–常用模块简介———————————————————-
/etc/pam.d/* : 每个程序个别的PAM配置文件
/lib(64)/security/* : PAM模块文件的实际放置目录
/etc/secutiry/* : 其他PAM环境的配置文件

1、实现指定组用户可以登录系统
/etc/pam.d/login实际上指向 /etc/pam.d/system-auth,所以，修改
#vim /etc/pam.d/system-auth
在auth    required pam_env.so后面添加，因为这行做环境变量等操作
auth    required pam_listfile.so item=group sense=allow file=/etc/pam_allowgroups
#vim /etc/pam_allowgroups  (把权限改成700)
root
allowgrp
#groupadd allowgrp
#usermod -a -G allowgrp fedora
即可实现某些运行的组可以登录（这种需要用户名和密码）

方式二:
vim /etc/pam.d/su
#auth    sufficient    pam_wheel.so trust use_uid
把这行启用，另外添加用户到wheel组中，用户可以直接su到root。

个人觉得挺重要的是/etc/security/limits.conf文件:

domain:
    a user name
    a group name,with @group syntax
    …
    
type:
    soft:软限制
    hard:硬限制
    -   :表示软硬都包含

item:
    fsize :文件的最大值(KB)
    nofile:最大文件个数 ulimit -n
    nproc:最大进程个数 ulimit -u
    data  :最大数据大小
如果内容多，可以建立保存到/etc/security/limit.d/*.conf

ulimit:
-a      显示所有限制
-d      进程数据段大小的上限
-f      shell所能创建的文件大小的上限
-m      驻留内存大小的上限
-n      打开文件数的上限
-u      进程数的上限
-v      虚拟内存的上限

示例:
    
1、限制test用户只能新建100M的文件，且大于90M便会有警告
    #vim /etc/security/limits.conf
    test    soft    fsize    90000
    test    hard    fsize    100000
    $ulimit -a 可以看到有限制
    $dd if=/dev/zero of=test bs=1M count=110
    File size limit exceeded
2、限制pro1这个组，每次只能有一个用户登录系统
    #vim /etc/security/limits.conf
    @pro1    hard    maxlogins    1

另外想说明，在设置文件最大打开数的时候，不可以直接设置成unlimited,否则会无法验证登录。

ulimit unlimited 不限制用户可以使用的资源，但本设置对可打开的最大文件数（max open files） 　　
和可同时运行的最大进程数（max user processes）无效 　　

另外在设置最大打开文件数时，看到《构建Linux高可用服务器》P56说道在/etc/security/limits.conf中开机后不会生效，这个我在实验时没有遇到，
不知道是不是6+版本什么其他的原因。。

个人觉得这篇文章不错:
http://blog.itpub.net/22418990/viewspace-715239/
更多关于这个文件和ulimit命令，可以参考这个文章!!

关于常见模块的介绍，可以直接如下。
这篇文章主要参考《鸟哥的Linux私房菜》，更多可直接参阅原书。。

Authentication:认证
Authorized:授权
例如:当你登录一个服务器，输入用户名和密码，这个时候服务器要Authentication,登录进去后
能够完成什么事以及其他什么的，要Authorized。所以往下两篇文章将会介绍Linux上的NIS和pam。

NIS:http://linux.vbird.org/linux_server/0430nis.php

PAM:
/etc/pam.conf(这个文件不存在)
    Service type control module-path module-arguments
        service
        this filename must be in lower case(服务名必须小写)
    
/etc/pam.d/service(必须小写)
    type control module-path module-arguments

type 验证类型
 auth        :authentication,主要用来检验用户的身份验证
 account    :authorization,主要完成授权
 session    :session管理的是用户在这次登录期间PAM所给予的环境设置
 password    :主要就是修改/更改密码
 
 
 
example:
    这四个验证通常是有顺序的，不过也有例外。通常:先经过验证身份(auth)后，系统才能够通过用户的身份给予适当的授权与权限设置(account),而且登录与注销期间的环境才需要设置，才需要记录登录与注销的信息(session)，如果在运行期间需要更改密码，才给予password的类型。

control
    required:若成功则带有success的标志，失败则带有failure标志，但不论成功与失败都会继续后续的验证流程
    requisite:如果失败则终止后续的验证流程，这点是和required的不同
    sufficient:如果成功，则终止后续的查询，如果失败，则继续后续的认证，和requisite相反
    optional:只是个可选的
    include:我把这个权力移交给其他人
    substack
    
such as:
ok: this modules passed,keep checking
done:this modules passed,and return the final result to the application now
bad:the result is failed,keep checking
die:the result is failed,and return the failure result to the application now
ignore:the result will not affect the overall result
reset:ignore any results that have already been collected in the final result

EXAMPLE:
required     [success=ok new_authtok_reqd=ok ignore=ignore default=bad]
requisite    [success=ok new_authtok_reqd=ok ignore=ignore default=die]
sufficient  [success=done new_authtok_reqd=done default=ignore]
optional     [success=ok new_authtok_reqd=ok default=ignore]

module-path

/etc/pam.d/other:定义默认规则

更多直接参考《鸟哥的Linux私房菜》

ldap:http://zh.wikipedia.org/wiki/%E8%BD%BB%E5%9E%8B%E7%9B%AE%E5%BD%95%E8%AE%BF%E9%97%AE%E5%8D%8F%E8%AE%AE

gentent:http://blog.chinaunix.net/uid-7761148-id-2044672.html

Linux/Unix通过NFS来共享远端主机的磁盘，而samba让Linux/UNIX主机与windows的SMB/CIFS协议做共享，这种服务与ftp服务不同之处在于:可以直接操作远端主机的磁盘，而ftp只能修改后上传与下载，这个是不同之处。
CIFS/SMB:windows平台共享文件协议

NetBIOS:network basic input output system(基于广播，向其他主机请求主机名，获得其他主机)
    由IBM开发，作用是互联局域网中的计算机，由于并非针对大型网络涉及，所以NETBIOS并不能跨路由，但是它在局域网中的应用是较为有效和便利的，但是也要明白缺点。
    当然samba也是基于NETBIOS协议。。
Winbindd:让Linux做成windows下的域控制器,结合LDAP
LDAP:(Openldap)
    CIFS:Common Internet File System(网络文件共享系统)
    SMB:Service Message Block(服务器消息区块)
    NetBIOS:(WINNS)由于NetBIOS会向网络中进行广播，所以第一次打开的时候会相当的慢，因为它这种实现方式(向网络中发送大量广播包)不合理性，所以出现了WINNS,类似DNS，但是只是基于windows。
        格式:UNC:\IP\Shared_Path\

在运行这NETBIOS的主机之间的通信，需要通过他们的NetBIOS名称来定位对方。通信流程:
    首先互通的主机需要工作在一个工作组中(Workgroup)内，然后通过NetBIOS名称识别找到对方主机，接下来就是进行连接及身份和权限方面的验证。。

sanba有两个守护进程，分别做NetBIOS名称解析和权限验证:
    nmbd:此守护进程用于对工作组和NetBIOS名称的判断和解析，它监听在UDP的137和138端口。
    smbd:此守护进程管理着服务器上的文件、目录和打印机。资料传输时使用TCP协议，它监听139和445端口。。

vim /etc/samba/smb.conf

#:纯注释
;:表示可启用的选项    

————————Global Setting———————–
[global]
    workgroup = MYGROUP
    server string = Samba Server Version %v
———————–Logging Options———————–
    log file = /var/log/samba/log.%m 每一个来访用户都会有对应的日志文件记录%m表示的就是来访的username
    max log size = 50(KB) 超出后日志会滚动
———————–Standalone Server Options——————
    security = user 安全级别
    passdb backend = tdbsam  存放的格式
————————Printing options————————–
    load printers = yes  (表示默认加载打印机)
    cups options = raw (cup:common unix printer ,使用raw打印机制)
———————-Share Definitions————————-    

    [homes]
        comment = Home Directories（注释）
        browseable = no(是否能被浏览到)
        writable = yes（是否具有写权限）
        vaild users = %S
        vaild users = MYDOMAIN%S
       
    [printers]
        comment = All Printers
        path = /var/spool/samba
        browseable = no
        guest ok = no
        writable = no
        printable = yes

基本格式:
[share_name]
comment =
path =
browseable =
public =
read only =
writable =
write list = user1,user2 定义可写用户列表
            @group,+group
valid users =
invalid users =     
    
    
    
mkdir /share/test -pv
[tools]
    comment = share testing
    path = /share/test
    public = yes
    writable = yes
    
#testparm 这个命令专门可以用来判断是否有语法错误，然后敲enter可以看看配置信息。。(这个相当方便)

#setfacl -m u:smbtest:rwx /share/test

#smbpasswd -a smbtest
\192.168.100.12\tools

部分参考:《完美应用红帽企业版Linux》
更多可直接参学本书

错误1:
Failed to add entry for user jack.
这种原因是由于没有相应的系统用户，添加系统用户后在添加到smb上，就可以。。

错误2:
smbclient -L 10.0.2.15
session setup failed: NT_STATUS_LOGON_FAILURE

要确保这个用户存在于系统和samba中。。

l7-protocols-version其实里面装的就是一些可以控制的协议
/etc/l7protocols
放着可以控制的协议

外网: 172.16.100.7
内网: 192.168.10.6

禁止QQ:

1
2

iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j SNAT --to-source 172.16.100.7 
iptables -A FORWARD -s 192.168.10.0/24 -m layer7 --l7proto qq -j DROP 

根据时间的控制:
-m time
    –datestart  –datestop
    更多自行man iptables
    
IDS:
    nids: snort + iptables = NIPS
    hids:
    
    
113228115

这个没有自己操作，另外这两篇文章写的不错：（可直接参考，无需再看自己写的）
http://www.it165.net/os/html/201403/7600.html
http://waringid.blog.51cto.com/65148/290886/

附录:
需要说明，由于进度，会更多倾向于教程，很多东西只是简单的了解，
如果以后自己需要，请自己自行参学《Linux网络安全技术与实现》。

DMZ(非军事化区域)

内核编译:
    配置: .config (/proc/cpuinfo,lspci,lsusb,hal-device)
        make menuconfig
    编译:
        make
        只编译部分源码:
            make SUBDIR=arch/
            make drivers/net/pcnet32.ko
        转存编译结果
            make O=/path/to/somewhere
    安装内核模块
        make modules_install
    安装内核
        make install
       
    
layer7–l7
应用:xunlei,qq,netfilter<–patch

-m layer7 –l7proto xunlei -j DROP

1、给内核打补丁，并重新编译内核
2、给iptables源码打补丁，并重新编译iptables
3、安装l7proto

Kernel Patch

1
2
3
4
5
6
7
8
9

#tar xf linux-version.tar.gz -C /usr/src 
#tar xf netfilter.version.tar.gz -C /usr/src 
#cd /usr/src 
#ln -s linux-version linux 
#cd /usr/src/linux/ 
#patch -p1 <../netfilter-version/kernel-version-version-layer7-version.patch 
 
#cp /boot/config-version /usr/src/linux/.config 
#make menuconfig 

Networking support->Networking Options->Network packet filtering framework->Core Netfilter Configuration

Netfilter connection tracking support
“Layer7” match support
“string” match support
“time” match support
“iprange” match support
“connlimit” match support
“state” match support
“conntrack” connection match support
“mac” address match support
“multiport” Multiple port match support

Networking support -> Networking Options ->Network packet filtering framework ->IP:Netfilter Configuration
IPv4 connection tracking support (required for NAT)
Full NAT
     MASQUERADE target support
     NETMAP target support
     REDIRECT target support
    
#make
#make modules_install
#make install

Complies iptables:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22

#cp /etc/init.d/iptables ~/iptables 
#cp /etc/sysconfig/iptables-config ~/ && cp /etc/sysconfig/iptables ~/iptables-rules 
#service iptables off && chkconfig iptables off 
#rpm -e iptables-ipv6 iptables iptstate --nodeps 
#tar xf iptables-version.tar.bz2 -C /usr/src 
#cd /usr/src/iptables-version 
#cp ../netfilter-layer7-version/iptables-versionforward-for-kernel-versionforward/libxt_layer7.* ./extensions/ 
 
#./configure -prefix=/usr --with-ksource=/usr/src/linux 
#make 
#make install 
 
#tar xf l7-protocols-version.tar.gz 
#cd l7-protocol-version 
#make install 
 
#mv ~/iptables /etc/rc.d/init.d/ && 修改iptables的路径，默认编译在/usr/sbin/iptables 
#chkconfig --add iptables && cp ~/iptables-config /etc/sysconfig/ 
#service iptables start 
 
l7-filter uses the standard iptables extension syntax 
#iptables [specity table & chain] -m layer7 --l7proto [protocol name] -j [action] 

本文有参考《Linux网络安全技术与实现(第2版)》，更多内容，可直接参阅原书。

icmp:Internet Control Message Protocol

第一次
第一次握手：建立连接时，客户端发送syn包（syn=j）到服务器，并进入SYN_SENT状态，等待服务器确认；SYN：同步序列编号（Synchronize Sequence Numbers）。
第二次
第二次握手：服务器收到syn包，必须确认客户的SYN（ack=j+1），同时自己也发送一个SYN包（syn=k），即SYN+ACK包，此时服务器进入SYN_RECV状态；
第三次
第三次握手：客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK(ack=k+1），此包发送完毕，客户端和服务器进入ESTABLISHED（TCP连接成功）状态，完成三次握手。

（1）客户端A发送一个FIN，用来关闭客户A到服务器B的数据传送（报文段4）。
（2）服务器B收到这个FIN，它发回一个ACK，确认序号为收到的序号加1（报文段5）。和SYN一样，一个FIN将占用一个序号。
（3）服务器B关闭与客户端A的连接，发送一个FIN给客户端A（报文段6）。
（4）客户端A发回ACK报文确认，并将确认序号设置为收到序号加1（报文段7）

Framework:
    默认规则:
        开放:堵
        关闭:通

    规则:匹配标准
        IP:SIP,DTP
        TCP:SPORT,DPORT
        UDP:SPORT,DPORT
        ICMP:icmp-type

数据报文过滤:
    Linux2.0
        ipfw/firewall
    Linux2.2
        ipchain/firewall
    Linux2.4
        iptables/netfilter

iptables在用户空间写规则，对应的是内核空间的netfilter,所以生效的也是netfilter。

hook function:钩子函数
    prerouting
    input
    output
    forward
    postrouting

        —>filter机制的结构图<—-

数据包传入—>路由表—>FORWARD链—>数据包传出
          |–>INPUT链–>本机进程–>路由表–>OUTPUT链–>数据包传出

INPUT/OUTPUT:数据包进入主机时，该数据包即由“数据包传入”所标识的位置进入，接着被送入路由表，然后根据路由表的内容决定数据包传输的路径，假设传给本机的进程，因此，该数据包将会
被送入INPUT链，此时若INPUT链内的规则不允许该数据包进入，那么则会抛弃掉，同理，OUTPUT规定本机是否允许数据的传出，由此可以看到:INPUT/OUTPUT链机制是为了保护本机进程而设计的。
同时，这应该代表的是相同的一个接口。

FORWARD:在网关式防火墙中，防火墙部署在网关位置，当数据包要由另一个接口送出时，就会被送入FORWARD链，由此时FORWARD链内的规则决定是否允许数据包的命运~
规则链:
    PREROUTING
    INPUT
    OUTPUT
    FORWARD
    POSTROUTING

filter(过滤):filter是netfilter最重要的机制，其任务是执行数据包的过滤操作，也就是起到防火墙的作用。
    INPUT
    OUTPUT
    FORWARD

nat(地址转换):通俗讲，其功能就是IP分享器。
    PREROUTING
    POSTROUTING
    OUTPUT

mangle(拆开/修改/封装):是一个很特殊的机制，可以通过mangle机制来修改经过防火墙内数据包的内容。
    PREROUTING
    INPUT
    FORWARD
    OUTPUT
    POSTROUTING

raw():负责加快数据包穿过防火墙机制的速度，由此提高防火墙的性能。
    PREROUTING
    OUTPUT

iptables:四个表五个链

能否使用自定义链?
    可以使用自定义链，但只在被调用时才能发挥作用，而且如果没有自定义链中的任何规则匹配，还应该有返回机制。

    用可以删除自定义的空链
    默认链无法删除

每个规则都有两个内置的计数器:
    一个用来被匹配的报文个数    (9K)
    一个被匹配的报文的体积大小之和(9K)

规则:匹配标准，处理动作

    iptables -t TABLE  COMMAND CHAIN [NUM]- 操作方式 -j 处理办法
        -t:filter nat mangle raw,默认是filter表
        操作方式:    
            -L:将所在的表内容列出
            -A:在指定的链中添加新规则
            -F:将所选择的表内容清除掉
            -P:设置某个链的默认策略
           
 
匹配标准:
    通用匹配
        -s/–src     :源地址
        -d/–dst     :目标地址
        -p             :协议{tcp|udp|icmp}
        -i INTERFACE :指定数据报文流入的接口
            可用于定义标准的链:PREROUTING,INPUT,FORWARD
        -o INTERFACE :指定数据报文流出的接口
            可用于定义标准的链:OUTPUT,POSTROUTING,FORWARD
    扩展匹配
        隐含扩展:不用特别指明由哪个模块进行的扩展，因为此时使用-p{tcp|udp|icmp}
        显式扩展:必须指明由哪个模块进行的扩展，在iptables中使用-m选项可完成此功能

-j TARGET:
    ACCEPT
    DROP
    REJECT
       
iptables -t filter -A INPUT -s 172.16.0.0/16 -d 172.16.100.7 -j DROP