28_04iptables系列之nat及其过滤功能

2015-05-04

NAT:Network Address Translation 
 
DNAT:目标地址转换 
SNAT:源地址转换(POSTROUTING,OUTPUT)   
 
/proc/sys/net/ipv4/ip_forward 为1就可以实现路由器功能 
 
prerouting后面必须是-i(进站)，即指进来的数据包 
postrouting后面必须是-o(出站)，即指出去的数据包 
prerouting是目的地址转换(DNAT)，要把别人公网IP换成自己内部的IP，才能访问到你们内部受防火墙保护的服务器。 
postrouting是源地址转换(SNAT),要把自己内部网络上受防火墙保护的IP地址转换成自己本地的公网IP才能够上网。 
 
-j SNAT 
    --to-source 
-j MASQUERADE(只能用于ADSL拨号连接) 
 
如果公司内部有一个内网，是192.168.10.0/24的网段，有个主机192.168.10.7,服务器有两个网卡，一个指向内部网段，是192.168.10.6，另外一个是172.16.100.7,如果想访问172.16.100.0/16网段中的172.16.100.2主机，即: 
 
192.168.10.7-->192.168.10.6-->172.16.100.7-->172.16.100.2 
有两种实现方案，一种是把服务器打开路由功能，即指: 
#echo 1 > /proc/sys/net/ipv4/ip_forward 
192.168.10.7: 
#route add default gw 192.168.10.6 && ping 192.168.10.6 
这个时候192.168.10.7是可以ping通172.16.100.7这个地址，因为在Linux中是靠地址访问，而不是靠MAC地址。 
172.16.100.2: 
#route add default gw 172.16.100.7 && ping 172.16.100.7 
如果这时已有默认网关，route del default gw 172.16.100.1 eth0 
这个时候192.168.10.7就可以ping通172.16.100.2网络。 
这个是通过地址转换功能实现。 
 
但是这个时候就要考虑一种情况，172.16.100.2是公网IP，那么这种方式就不行: 
iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j SNAT --to-source 172.16.100.7 
 
如果服务器通过拨号上网，如：ADSL:123.2.3.2 
iptables -t nat -A POSTROUTING -s 192.168.0.024  -o ppp0 -j SNAT --to-source 123.2.3.2 
每次拨号连接，都会导致每次的IP都不一样，那么这就会导致防火墙规则就得不停的改变，这是相当复杂的， 
那么可以使用 -j MASQUERADE 会自动找到ADSL拨号可上网的IP。 
 
-j DNAT 
    --to-destination 
如果公司有台http服务器，放在内网中，地址是192.168.10.22,防火墙网卡1是192.168.10.6,另外一个172.16.100.7(假设公网IP)，来自172.16.100.11访问， 
iptables -t nat  -A PREROUTING -p tcp --dport 80 -d 172.6.100.7 -j DNAT --to-destination 192.168.10.22 
如果http监听在8080端口，则 
iptables -t nat  -A PREROUTING -p tcp --dport 80 -d 172.6.100.7 -j DNAT --to-destination 192.168.10.22：8080

展开全文 >>

28_01Iptables系列之基础原理

2015-04-28

本文有参考《Linux网络安全技术与实现(第2版)》，更多内容，可直接参阅原书。

icmp:Internet Control Message Protocol

第一次
第一次握手：建立连接时，客户端发送syn包（syn=j）到服务器，并进入SYN_SENT状态，等待服务器确认；SYN：同步序列编号（Synchronize Sequence Numbers）。
第二次
第二次握手：服务器收到syn包，必须确认客户的SYN（ack=j+1），同时自己也发送一个SYN包（syn=k），即SYN+ACK包，此时服务器进入SYN_RECV状态；
第三次
第三次握手：客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK(ack=k+1），此包发送完毕，客户端和服务器进入ESTABLISHED（TCP连接成功）状态，完成三次握手。

（1）客户端A发送一个FIN，用来关闭客户A到服务器B的数据传送（报文段4）。
（2）服务器B收到这个FIN，它发回一个ACK，确认序号为收到的序号加1（报文段5）。和SYN一样，一个FIN将占用一个序号。
（3）服务器B关闭与客户端A的连接，发送一个FIN给客户端A（报文段6）。
（4）客户端A发回ACK报文确认，并将确认序号设置为收到序号加1（报文段7）

Framework:
   默认规则:
        开放:堵
        关闭:通

   规则:匹配标准
        IP:SIP,DTP
        TCP:SPORT,DPORT
        UDP:SPORT,DPORT
        ICMP:icmp-type

数据报文过滤:
   Linux2.0
        ipfw/firewall
   Linux2.2
        ipchain/firewall
   Linux2.4
        iptables/netfilter

iptables在用户空间写规则，对应的是内核空间的netfilter,所以生效的也是netfilter。

hook function:钩子函数
   prerouting
   input
   output
   forward
   postrouting

—>filter机制的结构图<—-

数据包传入—>路由表—>FORWARD链—>数据包传出
|–>INPUT链–>本机进程–>路由表–>OUTPUT链–>数据包传出

INPUT/OUTPUT:数据包进入主机时，该数据包即由“数据包传入”所标识的位置进入，接着被送入路由表，然后根据路由表的内容决定数据包传输的路径，假设传给本机的进程，因此，该数据包将会
被送入INPUT链，此时若INPUT链内的规则不允许该数据包进入，那么则会抛弃掉，同理，OUTPUT规定本机是否允许数据的传出，由此可以看到:INPUT/OUTPUT链机制是为了保护本机进程而设计的。
同时，这应该代表的是相同的一个接口。

FORWARD:在网关式防火墙中，防火墙部署在网关位置，当数据包要由另一个接口送出时，就会被送入FORWARD链，由此时FORWARD链内的规则决定是否允许数据包的命运~
规则链:
   PREROUTING
   INPUT
   OUTPUT
   FORWARD
   POSTROUTING

filter(过滤):filter是netfilter最重要的机制，其任务是执行数据包的过滤操作，也就是起到防火墙的作用。
   INPUT
   OUTPUT
   FORWARD

nat(地址转换):通俗讲，其功能就是IP分享器。
   PREROUTING
   POSTROUTING
   OUTPUT

mangle(拆开/修改/封装):是一个很特殊的机制，可以通过mangle机制来修改经过防火墙内数据包的内容。
   PREROUTING
   INPUT
   FORWARD
   OUTPUT
   POSTROUTING

raw():负责加快数据包穿过防火墙机制的速度，由此提高防火墙的性能。
PREROUTING
OUTPUT

iptables:四个表五个链

能否使用自定义链?
可以使用自定义链，但只在被调用时才能发挥作用，而且如果没有自定义链中的任何规则匹配，还应该有返回机制。

用可以删除自定义的空链
默认链无法删除

每个规则都有两个内置的计数器:
一个用来被匹配的报文个数 (9K)
一个被匹配的报文的体积大小之和(9K)

规则:匹配标准，处理动作

   iptables -t TABLE COMMAND CHAIN [NUM]- 操作方式 -j 处理办法
        -t:filter nat mangle raw,默认是filter表
        操作方式:
            -L:将所在的表内容列出
            -A:在指定的链中添加新规则
            -F:将所选择的表内容清除掉
            -P:设置某个链的默认策略


匹配标准:
   通用匹配
        -s/–src   :源地址
        -d/–dst   :目标地址
        -p             :协议{tcp|udp|icmp}
        -i INTERFACE :指定数据报文流入的接口
            可用于定义标准的链:PREROUTING,INPUT,FORWARD
        -o INTERFACE :指定数据报文流出的接口
            可用于定义标准的链:OUTPUT,POSTROUTING,FORWARD
   扩展匹配
        隐含扩展:不用特别指明由哪个模块进行的扩展，因为此时使用-p{tcp|udp|icmp}
        显式扩展:必须指明由哪个模块进行的扩展，在iptables中使用-m选项可完成此功能

-j TARGET:
   ACCEPT
   DROP
   REJECT

iptables -t filter -A INPUT -s 172.16.0.0/16 -d 172.16.100.7 -j DROP

展开全文 >>

22_02基于OpenSSL的https服务配置

2015-04-23

192.168.100.8(CA)

#cd /etc/pki/CA 
#(umask 077;openssl genrsa -out private/cakey.pem 2048) 
#vim ../tls/openssl.conf 
#openssl req -new -x509 -key private/cakey.pem -out cacert.pem 3655 
    ca.unravel.com 
dir  =/etc/pki/CA 
#mkdir certs crl newcerts 
#touch index.txt 
#echo 01 >serial 
 
192.168.100.1 
#yum install mod_ssl 
#cd /etc/httpd && mkdir ssl &&cd ssl/ 
#(umask 077;openssl genrsa 1024 > httpd.key) 
#openssl  req -new -key httpd.key -out httpd.csr 
    www.test.com 
 
192.168.100.8 
openssl ca -in /tmp/httpd.csr -out /tmp/httpd.crt -days 3650 
 
192.168.100.1 
#cd /etc/httpd/conf.d/ && cp ssl.conf ssl.conf.bak 
#vim ssl.conf 
 
<VirtualHost (www.test.com)IP:443> 
ServerName www.test.com 
DocumentRoot "/var/www/test.com" 
SSLEngine ON 
SSLCertificateFile /etc/httpd/ssl/httpd.crt 
SSLCertificateKeyFile /etc/httpd/ssl/httpd.key 
即可。

浏览器会提示这个证书不可靠
把CA的证书安装到客户端的主机上即可，并且把名字改为cacert.crt….

#加密傳輸:
更多強烈建議閱讀官方文檔

高級別加密

展开全文 >>

24_04编译安装LAMP之配置httpd以FastCGI方式与PHP整合

2015-04-22

##以FastCGI来编译php

#./configure --prefix=/usr/local/php --with-config-file-path=/etc  --with-openssl --with-mysql=/usr/local/mysql   --with-mysqli=/usr/local/mysql/bin/mysql_config 
--enable-mbstring --with-freetype-dir --with-jpeg-dir --with-png-dir --with-zlib --with-libxml-dir=/usr/local/libxml --enable-xml --enable-sockets 
--with-apxs2=/usr/local/apache/bin/apxs （注意：这个地方去掉改为--enable-fpm）--with-mcrypt=/usr/local/mycrypt  --with-config-file-scan-dir=/etc/php.dir 
--with-bz2 --enable-maintainer-zts(既然不是以模块化来使用线程，所以这项去掉)； 
make && make install

1	cp php.ini-production /etc/php.ini

配置php-fpm, 为php-fpm提供sysv.init脚本，并将其添加到服务列表:

cp sapi/fpm/init.d.php-fpm /etc/rc.d/init.d/php-fpm 
chmod +x /etc/rc.d/init.d/php-fpm 
chkconfig --add php-fpm 
chkconfig php-fpm on

为php-fpm提供配置文件：

1	cp /usr/local/php/etc/php-fpm.conf.default /usr/local/php/etc/php-fpm.conf

编辑php-fpm的配置文件：

1	# vi /usr/local/php/etc/php-fpm.conf

配置fpm的相关选项为你所需要的值，并启用pid文件：

pm.max_children = 50
pm.start_servers = 5
pm.min_space_servers = 2
pm.max_space_servers = 8
pid = /usr/lcoal/php/var/run/php-fpm.pid

接下来就可以启动php-fpm了：

1	service php-fpm start

php-fpm 监听端口为9000；

3、启用httpd的相关模块

LoadModule proxy_module modules/mod_proxy.so
LoadModule proxy_fcgi_module modules/mod_proxy_fcgi.so

1	# vi /etc/httpd/httpd.conf

AddType application/x-httpd-php .php
Addtype application/x-httpd-php-source .phps
还有DirectoryIndex index.html改为index.php
(或者DirectoryIndex index.html index.php)
（二）、
   配置虚拟主机支持使用fcgi
        在相应的虚拟主机中添加类似如下两行：
        ProxyRequests Off
        ProxyPassMatch ^/(.*.php)$ fcgi://127.0.0.1:9000/PATH/TO/DOCUMENT.ROOT/$1
        如：
        ProxyPassMatch ^/(.*.php)$ fcgi://127.0.0.1:9000/www/meiyun.com/$1

        ProxyRequests Off:关闭正向代理；
        ProxyPassMatch：把以.php结尾的文件请求发送到php-fpm进程，php-fpm至少需要知道
        运行的目录和URL，所以这里直接在fcgi://127.0.0.1:9000后指明了
        这两个参数，其他的参数的传递已经被mod_proxy_fcgi.so进行了封装，不需要手动指定；

例如:

<VirtualHost *:80>
   DocumentRoot “www/unravel.com”
   ServerName www.unravel.com
   ProxyRequests Off
   ProxyPassMatch ^/(.*.php)$ fcgi:127.0.0.1:9000/www/unravel.com/$1

   <Directory “www/unravel.com”>
        Options none
        AllowOverride none
        Require all granted

如果以FastCGI方式安装xcache，在安装上后service php-fpm restart即可。

最后说明:

cp phpMyAdmin-version-all-language pma 
cd pma/ 
cp config.sample.inc.php config.inc.php 
vim config.inc.php

修改其中的随机数，可保证安全性。

展开全文 >>

24_03_2_实验:完成LAMP模块化搭建

2015-04-22

#!/bin/bash 
PATH=/Download 
apr=apr-1.5.1 
apr-util=apr-util-1.5.4 
mysql=mysql-version 
http=http-version 
mcrypt=libmycrypt-version 
yum groupinstall -y "Development Tools"  &>/dev/null 
tar xf $PATH/$apr && cd $PATH/$apr                         
./configure --prefix=/usr/local/apr 
make  && make install                                                                                                      
cd $PATH && tar xf ${apr-util} && cd ${apr-util} 
./configure --prefix=/usr/local/apr-util --with-apr=/usr/local/apr         
make && make install                                                                                          
yum install pcre-devel openssl-devel 
cd $PATH && tar xf $http && cd $http 
./configure --prefix=/usr/local/apache --sysconfdir=/etc/httpd --enable-so --enable-rewrite --enable-ssl --enable-cgi --enable-cgid 
  --enable-modules=most --enable-deflate --enable-mods-shared=most --enable-mpms-shared=all --with-mpm=event(默认) 
  --with-apr=/usr/local/apr --with-apr-util=/usr/local/apr-util 
     
make && make install 
echo "export PATH=$PATH:/usr/local/apache/bin/" > /etc/profile.d/httpd.sh 
 
echo "/usr/local/apache/bin/apachectl start &> /dev/null" >> /etc/rc.d/rc.local 


 
cd $PATH && tar xf $mysql -C /usr/local 
cd /usr/local 
ln -sv $mysql mysql && cd mysql 
groupadd -r -g 306 mysql 
useradd -r  -g 306 -u 306 mysql 
 
mkdir -p /mydata/data 
chown -R　mysql.mysql /mydata/data 
chmod 750 /mydata/data 
 
scripts/mysql_install_db --user=mysql --datadir=/mydata/data 
chown -R root.mysql /usr/local/mysql/* 
 
cp support-files/mysql.server /etc/init.d/mysqld 
chkconfig --add mysqld 
 
cp support-files/my-default.cnf /etc/my.cnf 
 
echo "datadir = /mydata/data" >> /etc/my.cnf             
 
echo "export PATH=$PATH:/usr/local/mysql/bin/" >/etc/profile.d/mysql.sh 
 
echo "MANPATH /usr/local/mysql/man" >> /etc/man.config 
 
echo "/usr/local/mysql/lib" > /etc/ld.so.conf.d/mysql.conf 
ldconfig -v &> /dev/null 
 
ln -s/usr/local/mysql/include /usr/include/mysql &>/dev/null 

cd $PATH && tar xf $mcrypt 
./configure --prefix=/usr/local/mcrypt 
make && make install 
 
yum install bzip2-devel libxml2-devel zlib-devel 
./configure --prefix=/usr/local/php --with-config-file-path=/etc  --with-openssl --with-mysql=/usr/local/mysql   --with-mysqli=/usr/local/mysql/bin/mysql_config 
--enable-mbstring --with-freetype-dir --with-jpeg-dir --with-png-dir --with-zlib --with-libxml-dir --enable-xml --enable-sockets 
--with-apxs2=/usr/local/apache/bin/apxs --with-mcrypt=/usr/local/mycrypt  --with-config-file-scan-dir=/etc/php.d --with-bz2 --enable-maintainer-zts 
 
cp php.ini-production /etc/php.ini 
echo "AddType application/x-httpd-php .php 
Addtype application/x-httpd-php-source .phps" >> /etc/httpd/httpd.conf 
 
echo " 
phpinfo(); 
?> 
" > /usr/local/apache/htdocs/phpinfo.php 
echo " 
<?php 
    $conn=mysql_connect('localhost','root','password'); 
    if ($conn)\n 
        echo "Success"; 
    else\n 
        echo "Failure"; 
?>" > /usr/local/apache/htdocs/php-mysql.php 
     
 
 
 # tar xvjf xcache 
 /usr/local/php/bin/phpize 
 ./configure --enable-xcache --with-php-config=/usr/local/php/bin/php-config 
make && make install 
    安装结束后，会出现类似如下行: 
    Installing shared extensions:    /usr/local/php/lib/php/extensions/no-debug-zts-20131226 
 
2/编辑php.ini，整合php和xcache 
 
    首先将xcache提供的样例配置导入php.ini 
    mkdir /etc/php.d 
     cp xcache.ini /etc/php.d 
 
说明:xcache.ini文件在xcache的源码目录中。 
 
接下来编辑/etc/php.d/xcache.ini，找到zend_extension开头的行，修改为如下行: 
zend_extension = /usr/local/php/lib/php/extensions/no-debug-zts-20131226/xcache.so

重启http,如果在phpinfo中显示有xcache,则显示成功安装。。

展开全文 >>

24_02_2_编译安装PHP

2015-04-22

pmfind.net是一个比较方便的下载软件的网站

编译安装php

php-mbstring 用来表示中文和多字节的；

#./configure --prefix=/usr/local/php --with-config-file-path=/etc  --with-openssl --with-mysql=/usr/local/mysql   --with-mysqli=/usr/local/mysql/bin/mysql_config 
--enable-mbstring --with-freetype-dir --with-jpeg-dir --with-png-dir --with-zlib --with-libxml-dir=/usr/local/libxml2 --enable-xml --enable-sockets 
--with-apxs2=/usr/local/apache/bin/apxs --with-mcrypt=/usr/local/mycrypt  --with-config-file-scan-dir=/etc/php.d --with-bz2 --enable-maintainer-zts（prefork不需要，其他MPM需要这项）（--with-gd  --with-soap） 
  
#cp php.ini-production /etc/php.ini   （配置文件在解压目录里，当时找了半天～～～） 
#vim /etc/httpd/httpd.conf 
AddType application/x-httpd-php .php 
Addtype application/x-httpd-php-source .phps 
还有DirectoryIndex 把index.html改为index.php 
        对于这个是指定你的主页是动态的； 
  
--with-mcrypt 需要安装libmcrypt.rpm libmcrypt-devel.rpm和mhash.rpm mhash-devel.rpm；(这个是教程上说的，不过我是源码编译，没有用到这个)； 
    # ./configure --prefix=/usr/local/mcrypt 
    # make && make install 
  
我在编译时按照上面的编译，freetype我是yum install freetype,jpeg 我是yum install openjpeg png我是yum install libpng-devel,zlib我是yum install zlib zlib-devel   
libxml 我是在官网下载的libxml2，然后编译安装： 
# ./configure --prefix=/usr/local/libxml2 
#make && make install 
如果使用RPM包时，需要安装libxml2-devel 
  
 bz2 我是yum install bzip2 bzip2-devel  mcrypt我是官网下载libmcrypt编译安装。 
  
##################################################################################################         
                相隔一年,第二次编译时: 
#./configure --prefix=/usr/local/php --with-config-file-path=/etc  --with-openssl --with-mysql=/usr/local/mysql   --with-mysqli=/usr/local/mysql/bin/mysql_config 
--enable-mbstring --with-freetype-dir --with-jpeg-dir --with-png-dir --with-zlib --with-libxml-dir=/usr/local/libxml2 --enable-xml --enable-sockets 
--with-apxs2=/usr/local/apache/bin/apxs --with-mcrypt=/usr/local/mcrypt  --with-config-file-scan-dir=/etc/php.d --with-bz2 --enable-maintainer-zts 
  
confiure:error:Please reinstall the BZip2 distribution 
    #yum install bzip2 bzip2-devel 
  
configure:error:Please reinstall libmcrypt 
    在默认的yum源中没有找到包，所以去官网下载libmcrypt.gz, 
        # ./configure --prefix=/usr/local/mcrypt 
        # make && make install 
    额，竟然提示要2.5.6以上版本的，，重来即可。。 
     
    如果提示感谢你使用PHP，则意味着配置成功!!     
        # make  
     
make: *** [ext/fileinfo/libmagic/apprentice.lo] Error 1 
解决方法: 
    http://wudi.in/archives/284.html 
    由于内存小于1G所导致. 
    添加:    --disable-fileinfo    
    #make && make install 
这次竟然没有提示jpeg/png的安装，，，，这个，自己看着办吧。 
  
编写这个php-test.php 
<?php 
phpinfo(); 
?> 
  
<?php 
    $conn=mysql_connect('localhost','root','password')； 
    if ($conn) 
        echo "Success"； 
    else 
        echo "Failure"； 
?> 
重启httpd,访问，如果显示，则编译成功。。

说明：
1、为了支持apache的worker或event这两个MPM，编译使用了–enable-maintainer-zts;
2、如果使用了PHP5.3以上的版本，为了链接Mysql数据库，可以指定mysqlid，这样在本机就不需要先安装Mysql或者Mysql开发包了，
mysqlnd从PHP5.3开始使用，可以编译时绑定到它（而不用和具体的Mysql客户端库形成依赖），但从PHP5.4开始它就是默认的了；

1	#./configure --with-mysql=mysqlnd --with-pdo-mysql=mysqlnd --with-mysqli=mysqlnd

展开全文 >>

24_02编译安装之MySQL_通用二进制格式_

2015-04-22

mysql通用二进制格式

根据官网要求，安装目录必须是：/usr/local/mysql

说明，在解压后有一个INSTALL-BINARY打开后有安装步骤；

#tar xf mysql**** -C /usr/local 
#ln -sv mysql*********  mysql 
#groupadd -r(系统用户，不能登录) -g(指定组ID) 306    mysql 
#useradd -r(系统用户，不能登录) -g 306 -u (用户ID) 306 mysql 
#mkdir /mydata/data             (mydata建议使用LVM) 
#chown -R　mysql.mysql /mydata/data 
#chmod 750 /mydata/data 
#scripts/mysql_install_db --user=mysql --datadir=/mydata/data(初始化) 
#chown -R root.mysql /usr/local/mysql/* （防止数据库被攻破后获得系统权限） 
#bin/mysqld_safe --user=mysql &   这步不用执行，这步只有默认时有意义 
cp support-files/mysql.server /etc/init.d/mysqld 
chkconfig --add mysqld 
  
cp support-files/my-default.cnf /etc/my.cnf 
可以通过修改（可自定义配置文件my_large,my_huge） 
里面的内容来定义； 
vi /etc/my.cnf

thread_concurrency=8 进程并发量(CPU*2)
添加:
datadir = /mydata/data(这个必须添加)##############
           我在这都弄好后，遇到一个问题，就是以localhost登陆时，发现/tmp/mysql.sock没有找到，
           我在my.cnf里填写位置为/tmp/mysql.sock/结果还是不对，不过我重启了下，输入mysql，然后设置
           localhost密码，就可以登陆了；

如果敲mysql （commond not found）

vim /etc/profile.d/mysql.sh 
export PATH=$PATH:/usr/local/mysql/bin/  保存退出，重新登录即可 
  
vi /etc/man.config帮助文档 
MANPATH /usr/local/mysql/man(添加) 
  
vi /etc/ld.so.conf.d/mysql.conf 库文件路径 
/usr/local/mysql/lib(添加) 
ldconfig -v让系统重新建立库文件缓存,缓存在/etc/ld.so.cache 
  
ln -sv /usr/local/mysql/include /usr/include/mysql  输出头文件

Mysql:配置文件格式，集中式配置文件，可以为多个程序提供配置；

   /etc/my.cnf

配置文件会找这些：
/etc/my.cnf –> /etc/mysql/my.cnf –> $BASEDIR/my.cnf –> ~/.my.cnf

SHOW DATABASES：多了一个数据库performance_schema；系统状态收集库；

Mysql服务器维护了两类变量：
   服务器变量：
       定义Mysql服务器运行属性；
           SHOW GLOBAL VARIABLES [LIKE ‘datadir’];
   状态变量：
       保存了Mysql服务器运行统计数据；
           SHOW GLOBAL STATUS [LIKE ‘STRING’];

展开全文 >>

24_01LAMP编译安装之httpd

2015-04-22

编译安装LAMP之httpd以及调优

安装顺序：

httpd —>MYSQL—–>php—–>Xcache

httpd:
   apr: Apache Portable Runtime
   apr是一个可移植运行库，通俗的说是一个虚拟机，只要安装上对应不同操作系统的apr，就能够使用httpd；
   在linux系统中，默认安装了apr，但是有可能会遇到apr版本过低，以至于不能够使用最新版本的httpd；
   所以可以下载手动编译安装apr，以支持最新的httpd；




httpd编译几大部分   最详细：：http://httpd.apache.org/docs/2.4/programs/configure.html

#optionalfeatures

Multi-Processing Modules

#
—->DSO
#   通俗的讲就是提供了模块化的方式以便使用什么模块；
#（at this point, you can specify which features you want included in Apache by enabling and disabling modules.
#Apache comes with a wide range of modules included by default.
#They will be compiled as shared objects (DSOs) which can be loaded or unloaded at runtime.

http://httpd.apache.org/docs/2.4/install.html
http://shineforever.blog.51cto.com/1429204/301247

if MPMs are built as DSO modules:
例：
–enable-mpms-shared=all 这个使用所有
–enable-mpms-shared=’prefork worker’
–with-mpm=event
这个会默认使用event模块；编译好后 httpd -l 查看；

static:
就是直接静态编译进系统，不能增减；
–enable-modules 一般这个是–enable-modules=most 表明启动很多常用模块，下如同；
–enable-mods-shared 这个是以DSO编译启用 ; –enable-mods-shared=most
–enable-mods-static这个是以static编译加入;

2. Third-party modules
–with-module=module-type:module-file[, module-type:module-file

Note
If you want to build a DSO module instead of a statically linked use (apxs).configure searches automatically for an installed zlib library ,if your source configuration requires one (e.g., when mod_deflate is enabled).
You can set the directory path to the compression library instead.

3. specific packages

–with-apr=DIR|FILE
–with-apr-util=DIR|FILE
–with-ssl=DIR
–with-z=DIR

为了确保开发环境已经装好

   yum grouplist ;           列出当前系统已经安装的软件包组、可安装的软件包组;   (说明：yum list是可安装的软件包)

1
2
3

#yum groupinstall "Development tools"    确保开发工具包安装；             
                                                                                              
#yum groupinstall "Development Libraries"    开发库的安装；这个我在试验时也可以不安装；

apr–>apr-util–>httpd
(在这说句，如果你是直接拷贝这些源码包，如果时间来自未来，所以用hwclock -s 更新到现在时间)

    ./configure --help | less 查看帮助信息 
  
    #tar xvjf apr-1.5.1.tar.bz2                                     
    #./configure --prefix=/usr/local/apr 
    #make && make install                                   
                                                                                                  
                                                                                                          
    #tar xvjf apr-util-1.5.4.tar.bz2     
    #./configure --prefix=/usr/local/apr-util --with-apr=/usr/local/apr         
    #make && make install                                                     
                                                                                                  
    #yum install pcre-devel 
    #tar xvjf httpd-2.4.10.tar.bz2     
    #./configure --prefix=/usr/local/apache --sysconfdir=/etc/httpd         
     --enable-so --enable-rewrite --enable-ssl --enable-cgi --enable-cgid 
    --enable-modules=most     --enable-deflate 
    --enable-mods-shared=most --enable-mpms-shared=all --with-mpm=event(默认) 
    --with-apr=/usr/local/apr --with-apr-util=/usr/local/apr-util 
      
configure: error: mod_ssl has been requested but can not be built due to prerequisite failures 
     #yum install openssl-devel 
  
configure:error:mod_deflate has been requested but can not be build due to prerequisite failures 
    #yum install zlib-devel 
  
   # make && make install 
cp /etc/httpd/httpd.conf /etc/httpd/httpd.conf.bak

vi /etc/httpd/httpd.conf

添加PidFile = “/var/run/httpd.pid”
（說明，我在实验时可以不添加这一行）
#########################################################################
添加虚拟主机可以在/etc/httpd/extra/下创建；
然后在/etc/httpd/httpd.conf中把VirtualHost给启用；

找到DocumentRoot禁止掉;
重新编写一个要么把Include /etc/httpd/extra/httpd-vhosts.conf启用(说明，默认情况下没有启动extra/目录)
<VirtualHost 172.17.14.58:80>
   ServerName www.test.com
   DocumentRoot “/www/test.com”
   ErrorLog “logs/test.com-error_log”
   CustomLog “logs/test.com-access_log” commom
   <Directory “/www/test.com”>
        Require all granted
   这是最基本的写法，一定要注意。着重声明:2.2版本和2.4版本在定义访问控制的时候不一样了: 原来:    Order allow,deny 现在:    Require all granted

vim /etc/profile.d/httpd.sh
export PATH=$PATH:/usr/local/apache/bin
重新登录即可。

如果想把event改为prefork.
注释掉:
#LoadModule mpm_event_module modules/mod_mpm_event.so
添加:
LoadModule mpm_prefork_module modules/mod_mpm_prefork.so
重启:
应该用下面命令来查看当前系统使用的模块。。
httpd -M

httpd 2.4新特性:

MPM可于运行时装载:
–enable-mpms-shared=all –with-mpm=event
支持event MPM
异步读写
在每个模块及每个目录上指定日志级别
每请求配置:;
增强表达式分析器
毫秒级的Keepalive Timeout
基于域名的虚拟主机不再需要NameVirtualHost指令；！！！！！！！
降低了内存占用
支持在配置文件中使用自定义变量

各选项介绍

–prefix=/usr/local/apache 安装路径
–sysconfdir=/etc/httpd24 配置文件路径
–enable-so 允许运行时加载DSO模块
–enable-ssl 如果不加载将无法使用使用https
–enable-cgi 允许使用cgi脚本
–enable-cgid允许线程执行cgi脚本
–enable-rewrite 支持URL重写机制
–with-zlib 支持网络通用压缩库
–with-pcre 支持pcre   用pcre来解决C语言中使用正则表达式的问题
–with-apr=/usr/local/apr 指定apr的安装路径
–with-apr-util=/usr/local/apr-util/ 指定apr-util的安装路径
–enable-modules=most 启用大多数常用的模块
–enable-mpms-shared=all 启用MPM所有支持的模式
–with-mpm=event 默认使用enevt模式
##优化

http://www.jincon.com/archives/243/

展开全文 >>

23_04建立LAMP平台

2015-04-22

图形化客户端管理工具

phpmyadmin
Workbench
MYSQL Front
navicat for mysql/mysql

yum install php-mysql
php和mysql
php连接mysql并获取数据测试：
编辑主页:



<?php 
    $conn=mysql_connect('localhost','root','password'); 
    if($conn) 
    echo "success"; 
    else 
    echo "failure"; 
?>

论坛

discuz
phpwind
phpbb

drupal
joomla

wordpress ：个人博客系统
phpmyadmin php-mcrypt
放在网页目录下:
#mv phpmyadmin-version-language pma
www.unravel.com/pma

discuz:
GBK
upload目录:

mv upload/* /www/b.net
vim /etc/httpd/httpd.conf
把这行注释掉，如果乱码:
#AddDefaultCharset UTF-8
把权限改一下:

展开全文 >>

23_03MySQL初步，数据类型及SQL语句

2015-04-22

概念

DBMS

数据管理的独立性
有效完成数据存取
数据完整性和安全性
数据集中管理
并发存储于故障恢复

SQL

   结构化查询语言SQL（STRUCTURED QUERY LANGUAGE）是最重要的关系数据库操作语言，
   并且它的影响已经超出数据库领域，得到其他领域的重视和采用，
   如人工智能领域的数据检索，第四代软件开发工具中嵌入SQL的语言等；
SQL接口

Oracle,PL/SQL
SQL SERVER
软件包格式

   软件包管理器特有的格式
   通用二进制格式
   源程序
端口:TCP/3306

mysql用户
mysql组

1 2	#yum install mysql-server #service mysqld start

5. mysql客户端：

交互式模式
批处理模式

交互式模式中的命令类别

客户端命令 mysql>help

显示出来的都是客户端命令

服务器端命令 mysqld

都必须使用语句结束符，默认为分号；
初始化：

     server mysqld start 第一次，看上面的就是初始化； 
     设定mysql的root密码 
     /usr/bin/mysqladmin -u root password 'new-password'  //input mysql passwd 
     /usr/bin/mysqladmin -u root -h server41.example.com password 'new-password' 
     netstat -ntlp | grep　mysql

rpm安装的mysql的文件在:/var/lib/mysql/mysql/

1 2	#rpm -ql mysql-server \| less #cd /var/lib/mysql/

可以看到mysql。。

mysql:

   -u USERNAME不指明的话默认是root
   -p passwd不指明的话默认是空密码
   -h MYSQL_SERVER不指明的话默认是本地地址

用户：USERNAME@HOST
   mysql -uroot -p -h 192.168.0.107这样登不上去，认为这是通过远程主机登陆
   mysql -uroot -p -h 127.0.0.1 这样可以登上去，这个实在本地主机登陆
   因为mysql的用户名应该是USERNAME@HOST

在linux上同一台主机上使用socket进行连接
/var/lib/mysql/mysql.sock 使用这种方式连接要快的多；

不在同一个主机上，就要使用tcp协议进行连接；
在windows上使用共享memory进行连接；

   mysql> SHOW　DATABASES;
显示当前的数据库：
   information_schema位于内存中；
   mysql
   test
如果在/var/lib/mysql/中创建一个文件，再用SHOW DATABASES看时，
就会多一个数据库；

设置客户端默认使用的一个数据库；
   USE db-name；
   例如：
   USE mytext；

## 关系数据库对象

行：row
列：field，column（也叫）
定义字段名称，数据类型，类型修饰符（约束)

字符

CHAR（n）
VARCHAR（n）
BINARY（n）
VARBINARY(n)
TEXT(n)
BLOB(n)

数值

精确数值
整形
TINYINT
SMALLINT
MEDIUMINT
INT
BIGINT

日期

DATE
TIME
DATETIME
STAMP

布尔
索引（加速表的查询）
视图
约束
存储过程
存储函数
触发器（做主动数据库的）
游标
用户
权限
事务
MYSQL常用命令：

2. DDL(数据模式定义语言)：

   CREATE
   ALTER
   DROP
3. DML（数据操作语言）：
   INSERT
   UPDATE
   DELETE
4. DCL（数据控制语言）：
   GRANT
   REVOKE

DDL

创建数据库

CREATE DATABASE db_name;
CREATE DATABASE IF NOT EXISTS db_name；
CREATE DATABASE mytest；
删除数据库

DROP TABLE，是从数据库中删除表。删除后，表结构不在存在，无法再对该表进行任何操作。
DROP DATABASE db-name；
—->DROP DATABASE mytest2；
3. 创建表
CREATE TABLE db_name(col1,col2,…);
USE mytest；设置客户端默认使用的数据库；
(如果不是这样操作，就要CREATE TABLE mytext.students() )               Gender性别
CREATE TABLE students(Name CHAR（20）NOT NULL,Age TINYINT UNSIGNED,Gender CHAR(1) NOT NULL)；
如果出现错误，第一检查语法是否有问题，第二：我在创建mytest这个数据库的时候，是用root，默认的用户和用户组不属于mysql，
所以应该把用户和用户组改为mysql；   chown mysql:mysql /mytest;
   + 查看库中的表：
       SHOW TABLES FROM DB_NAME;
       —-> SHOW students;
   + 查看表的结构：
       DESC TABLE tb_name;
       DESC students；
                       help ALTER TABLE 可获取关于table的帮助；
   + 修改表：
       ALTER TABLE tb_name;ALTER TABLE students;向右增加一列;
                           ALTER TABLE students ADD course VARCHAR（100）；增加一行course的；
           MODIFY;           修改内容；
           CHANGE;           ALTER TABLE students CHANGE course COURSE VARCHAR(100)AFTER Name 改变名称；
           ADD;
           DROP;

DML

语法

    INSERT INTO tb_name(col1,col2,...) VALUES|('STRING,NUM,....'); 
        INTERT INTO students (Name,Gender)VALUE('LingHuchong','M'),('XiaoLongnv','F'); 
    UPDATE tb_name SET column=value WHERE Name='XiaoXiangzi' 
        UPDATE students SET course='bixiejianfa' WHERE Name='XiaoXiangzi'; 
         
    SELECT * FROM students; 
                查看表中内容； 
        选择：指定以某字段作为搜索码，做逻辑比较，筛选符合条件的行； 
        投影：筛选符合条件的列； 
    如： 
        SELECT Name,course FROM students WHERE Gender='M'; 
         
            WHERE 指定选择条件； 
    DELETE DELETE  是有条件的删除表中的数据，如果不写条件，全表删除，而删除后，表仍然存在，仍可以对表进行操作。 
            具体语法为DELETE FROM TABLE WHERE 条件。 
            同样，还有一个TRUNCATE TABLE TABLENAME语句，是全表不提交删除，也是删除数据，表仍然存在。 
        DELETE FROM students WHERE course=‘bixiejianfa’;

2. 创建用户

1 2	CREATE USER 'USERNAME'@'HOST' IDENTIFIED BY 'PASSWORD'; --->CREATE USER 'alex'@'%' IDENTIFIED BY 'alex';

删除用户

        DROP USER 'USERNAME'@'HOST'; 
```   
        HOST: 
            IP; 
            HOSTNAME; 
            NETWORK; 
            通配符 
                _:匹配任意单个字符， 
                %：匹配任意字符；   
                 
## DCL
    GRANT pril,pri2,...ON DB_NAME,TB_NAME TO 'USERNAME'@'HOST'(IDENTIFIED BY 'PASSWORD'); 
    REVOKE pri1,pri2...ON DB_NAME,TB_NAME TO 'USERNAME'@'HOST'; 
     
    查看用户授权：SHOW GRANTS FOR 'alex'@'%';  USEAGE表示只能连接到这个服务器上； 
    授权: 
        GRANT ALL PRIVILEGES ON mytest.* TO 'alex'@'%'； 
    说明，我在试验时如果指定任意主机均可登录，但是无法从本地登录，远端可登录。 
        GRANT ALL PRIVILEGES ON *.* TO 'root‘@‘172.16.%.%’ IDENTIFIED BY 'passwd' 
        root在172.16这个网段对所有库和表具有所有操作权限，密码为passwd； 
  
## 练习
+  建立如下表

|ID   | Name          |  Age | Gender|    Course |
|:-----|:---------------:|:------:|:---------:|:----------|
|1    | Ling Huchong  | 24   | Male    |  Hamogong |
|2    | Huang Rong    |   19 |  Female |   Chilian Shenzhang |
|3    | Lu Wushuang   |    18|  Female |   Jiuyang Shengong |
|4    | Zhu ziliu     |  52  |  Male   |  Pixiejianfa |
|5    | Chen Jialuo   |    22|  Male   | Xianglong shibazhang |
  
```sql
mysql>CREATE TABLE tech(ID TINYINT NOT NULL,Name CHAR(20)NOT NULL,Age TINYINT NOT NULL,Gender CHAR(6)NOT NULL,Course CHAR(20)NOT NULL); 
mysql>INSERT INTO tech(ID,Name,Age,Gender,Course)VALUE(1,'Ling Huchong',24,'Male','Hamogong'),(2,'Huang Rong',19,'Female','Jiuyang Shengong'),(4,'Zhu ziliu',52,'Male','Pixiejianfa'),(5,'Chen Jialuo',22,'Male','Xianglong shibazhang');

完成如下操作

找出性别为女性的所有人；

SELECT * FROM tech WHERE Gender=’Female’;
找出年龄大于20的所有人；

SELECT * FROM tech WHERE Age>20;
修改Zhu Ziliu的Course为Kuihua Baodian;

UPDATE tech SET Course=’Kuihua Baodian’WHERE Name=’Zhu Ziliu’;
删除年龄小于等于19岁的所有人；

DELETE FROM tech WHERE Age <=19;
授权给testuser对testdb库有所有访问权限；

GRANT ALL PRIVILEGES ON testdb.* to testuser@’%’;

1
2
3

mysql>USE mysql; 
mysql>SELECT User,Host,Password FROM user;

root localhost *08E080RERFJA030030JFAFJ3IFADFA343424；

为用户设定密码：

1. mysql>SET PASSWORD FOR 'root'@'localhost'=PASSWORD('new-password'); 
     
2. #mysqladmin -u root -h HOST -p password 'new_password'; 
    输入old_password; 
3. mysql> UPDATE user SET Password=PASSWORD('password')WHERE USER='root' AND Host='127.0.0.1'; 
  
4. 在数据库中更改完后，要mysql> FLUSH PRIVILEGES;

展开全文 >>