有两个节点运行webserver集群,RS1平时响应客户请求,RS2做备用在RS1节点故障的时候来取代它来响应用户请求，但是RS2怎么知道RS1出现故障了呢？
方法:
1> 每隔几秒钟RS2去检测RS2的状态，如果检测不到RS2就取代它；
2>两台主机用心跳线连接起来，大家相互传递心跳信息(通过UDP)，如果在某一个时候感受不到RS1的心跳信息了，RS2就去取代它响应客户请求。
假如每３秒进行探测一下，那么当刚检测完，服务挂了，那么有３秒的空闲，所以在高可用的时候更多使用的是第二种方法，所有集群用心跳线连接，平时在心跳线传递心跳状态信息，当某台主机出现状况，其他节点随时可知道它的状况，在逻辑上这个称为信息层(Messaging Layer);

逻辑上它是信息层，但是我们需要用软件来实现这个功能，而且这个软件运行在每一个节点上，平时他们通过心跳线传递着健康状态信息，常见的软件有:
1>HeartBeat
2>Keepalived
3>ultramonkey
4>Corosync(OpenAIS的子项目)

HeartBeat是比较常用的软件，Keepalived配置相对来说比较简单，ultramonkey使用的比较少，而Corosync的功能要比Heartbeat要强大；

 但是知道信息层仅传递状态信息，对于服务或主机出现问题他不负责解决，但是他为其他程序提供了API，可供其他程序调用，来实现服务的转移，这个软件在逻辑层上称之为集群资源管理器(Cluster Resource Manager);
 在每一个节点上CRM都维护有一个CIB(集群信息库 XML文档)和LRM（本地资源管理器）组件。
 对于CIB，只有工作在DC（主节点）上的文档是可以修改的，其他CIB都是复制DC上的那个文档而来的。
 对于LRM,是执行CRM传递过来的在本地执行某个资源的执行和停止的具体执行人。当某个节点发生故障之后，是由DC通过PE（策略引擎）和TE（实施引擎）来决定是否抢夺资源。
PE（Policy Engine）：策略引擎，来定义资源转移的一整套转移方式，但只是做策略者，并不亲自来参加资源转移的过程，而是让TE来执行自己的策略。
TE（Transition Engine）： 就是来执行PE做出的策略的并且只有DC上才运行PE和TE。
 实现功能的软件有:
1>Cman(RedHat开发的，主要可能会在5系列上看到)
2>pacemaker(这个是非常常见的一个)

集群资源管理器来决定集群资源的启动与停止，又因为资源之间是有相互关系的，比如集群资源有:IP,Httpd,共享存储，首先应该有共享存储，然后启动Httpd服务，这样那个才是一个正常的启动状态，所以对资源定义了约束，常见的约束有:

资源约束: Constraint
    排列约束:location
        定义资源是否能够运行在同一个节点
        正值:可以在一起
        负值:不能在一起
    位置约束:coloation
        正值:倾向于此节点
        负值:倾向于逃离此节点
            可以用资源粘性来看待；
    顺序约束:order
        定义资源启动或关闭时的次序

资源粘性:资源对某点的依赖程序，通过score定义
    资源更倾向于运行于哪个节点(体现在两个调度器上，调度器A是主调度器，由于故障那么将要转到B调度器上，由于整体成本的考虑，B的性能要不如A,那么，当A一旦好了，就要重新转移到A调度器上)

我们知道CRM是来决定各个资源的启动与终止的，有这种情况，RS1和RS2平时用共享存储，平时RS1挂在着共享存储，来响应客户的请求，假如RS1出现了故障，RS1不能检测它的状态信息了，这个时候假如RS1仍可以继续工作只是联系不上RS2了，这个时候RS2上，那么会出现资源争夺，所以需要资源隔离:
资源隔离:
    节点级别:STONITHM
    资源级别:
        例如:FC SAN switch可以实现在存储资源级别拒绝某节点访问

比如出现了这种状况总共５个节点，由于某种原因分为了两个组，一个组３个节点，另一个组２个节点，那到底哪个组启动服务呢，这个时候引入quorum，即法定票数．在一个集群中会有一个角色叫DC(推举的事物协调员)，他负责统计整个集群的事物信息，然后形成CIB(集群信息库)，然后同步到各个节点上，当节点出现分裂后，每个组将会推选DC,由他来统计各个组的法定票数quorum,大于原来总票数的1/2的一组将提供服务，小于的将停止．另外每个节点可投的票数可能不一样，例如２个节点的某一个机器性能强悍，就可以多提供几票，使其结果大于３个节点的。

接着，集群资源管理器来决定是否集群继续或停止，如果满足策略，将会继续运行，这个时候怎样来启动呢，CRM将会调用RA(Resource Agent)资源代理来实现资源的启动或停止；例如常见的RA:
RA:
1>LSB(Linux Standard Base):这个就是/etc/init.d/*
2>OCF(Open cluster framework):OCF脚本是一种比LSB更加强大的脚本；
3>STONITH：直接终止主机的RA设备，比如电源交换机。

在做MySQL双主的时候，MySQL共享一台存储设备，这个时候肯定会好奇，不是会产生资源紊乱么，这个其实可以到文件系统那层来解决，由于常用的文件系统不支持多个服务共享一个存储设备，那么如果能对其加锁，当一个MySQL写的时候，另外一个不能进行写，那么就可以，这样的文件系统称之为cluster filesystem;
常见的cluster filesystem有：
1>GFS
2>OCFS2
但是，这样的集群文件系统只是用在DAS和SAN上，不能用于NAS设备上；

更多可直接参考这个:
http://freeloda.blog.51cto.com/2033581/1265304

##################建议一定要看#####################
Linux高可用集群之Heartbeat详解

http://www.linuxidc.com/Linux/2013-08/88521.htm

http://www.linuxidc.com/Linux/2013-08/88521p2.htm

可以先参考16_04Linux系统裁剪之六为系统添加ssh服务,本文更多讲/etc/ssh/sshd_config配置文件

telnet: TCP/23； 远程连接
    认证明文
    数据传输也是明文

OpenSSH:

客户端:
    Linux:ssh
    Windows:putty,SecureCRT,SSHSecureShellClient（支持图形化），Xmanager

服务器端:
    sshd

#rpm -qa | grep ssh

netstat -ntlp
    r:监听路由表
    n:表示以数字显示的服务
    t:表示tcp连接的服务
    l:表示正在监听的服务
    p:表示哪一个进程监听的
    u:表示udp连接的服务

/etc/ssh/
    ssh_config
    sshd_config

sshd_config:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95

# 1. 关于 SSH Server 的整体设定，包含使用的 port 啦，以及使用的密码演算方式 
Port 22　　　　　　　        # SSH 预设使用 22 这个 port，您也可以使用多的 port ！ 
　　　　　　　　　　　　　         # 亦即重复使用 port 这个设定项目即可！ 
Protocol 2,1　　　　　　　     # 选择的 SSH 协议版本，可以是 1 也可以是 2 ， 
　　　　　　　　　　　　　           # 如果要同时支持两者，就必须要使用 2,1 这个分隔了！ 
#ListenAddress 0.0.0.0　　# 监听的主机适配卡！举个例子来说，如果您有两个 IP， 
　　　　　　　　　　　　　         # 分别是 192.168.0.100 及 192.168.2.20 ，那么只想要 
      　　　　　　　　　　　　　 # 开放 192.168.0.100 时，就可以写如同下面的样式： 
            ListenAddress 192.168.0.100           
            # 只监听来自 192.168.0.100 这个 IP 的SSH联机。 
     　　　　　　　　　　　　　　　　　　 # 如果不使用设定的话，则预设所有接口均接受 SSH 
PidFile /var/run/sshd.pid　　　　　　# 可以放置 SSHD 这个 PID 的档案！左列为默认值 
LoginGraceTime 600　　　　  # 当使用者连上 SSH server 之后，会出现输入密码的画面， 
　　　　　　　　　　　　　         # 在该画面中，在多久时间内没有成功连上 SSH server ， 
　　　　　　　　　　　　　            # 就断线！时间为秒！ 
Compression yes　　　　　　    # 是否可以使用压缩指令？当然可以啰！ 
　 
# 2. 说明主机的 Private Key 放置的档案，预设使用下面的档案即可！ 
HostKey /etc/ssh/ssh_host_key　　　  　# SSH version 1 使用的私钥 
HostKey /etc/ssh/ssh_host_rsa_key　　# SSH version 2 使用的 RSA 私钥 
HostKey /etc/ssh/ssh_host_dsa_key　　# SSH version 2 使用的 DSA 私钥 
 
KeyRegenerationInterval 1h　 　　　    # 由前面联机的说明可以知道， version 1 会使用 
　　　　　　　　　　　　　　　　　　           # server 的 Public Key ，那么如果这个 Public 
　　　　　　　　　　　　　　　　　　           # Key 被偷的话，岂不完蛋？所以需要每隔一段时间 
　　　　　　　　　　　　　　　　　　            # 来重新建立一次！ 
ServerKeyBits 1024 　　　　　　　　　       # 没错！这个就是 Server key 的长度！(fedora21默认值) 
 
# 3. 关于登录文件的讯息数据放置与 daemon 的名称！ 
SyslogFacility AUTH　　　　　　　　　# 当有人使用 SSH 登入系统的时候，SSH会记录资 
　    　　　　　　　　　　　　　　　　　 # 讯，这个信息要记录在什么 daemon name 底下？ 
　    　　　　　　　　　　　　　　　　　 # 预设是以 AUTH 来设定的，即是 /var/log/secure 
　    　　　　　　　　　　　　　　　　　 # 里面！什么？忘记了！回到 Linux 基础去翻一下 
　　　　　　　　　　　　　　　　　　        # 其它可用的 daemon name 为：DAEMON,USER,AUTH, 
　　　　　　　　　　　　　　　　　　           # LOCAL0,LOCAL1,LOCAL2,LOCAL3,LOCAL4,LOCAL5, 
LogLevel INFO　　　　　　　　　　　　 # 登录记录的等级！嘿嘿！任何讯息！ 
　　　　　　　　　　　　　　　　　　      # 同样的，忘记了就回去参考！ 
# 4. 安全设定项目！极重要！ 
# 4.1 登入设定部分 
PermitRootLogin no　　 　　   # 是否允许 root 登入！预设是允许的，但是建议设定成 no！ 
UserLogin no　　　　　　　       # 在 SSH 底下本来就不接受 login 这个程序的登入！ 
StrictModes yes　　　　　　      # 当使用者的 host key 改变之后，Server 就不接受联机， 
　　　　　　　　　　　　　           # 可以抵挡部分的木马程序！ 
#RSAAuthentication yes　　  # 是否使用纯的 RSA 认证！？仅针对 version 1 ！ 
PubkeyAuthentication yes　 # 是否允许 Public Key ？当然允许啦！只有 version 2 
AuthorizedKeysFile      .ssh/authorized_keys 
        　　　　　　　　　　　　　 # 上面这个在设定若要使用不需要密码登入的账号时，那么那个 
　　　　　　　　　　　　        　 # 账号的存放档案所在档名！ 
# 4.2 认证部分 
RhostsAuthentication no　　 # 本机系统不止使用 .rhosts ，因为仅使用 .rhosts 太 
       　　　　　　　　　　　　　  # 不安全了，所以这里一定要设定为 no ！ 
IgnoreRhosts yes　　　　　       # 是否取消使用 ~/.ssh/.rhosts 来做为认证！当然是！ 
RhostsRSAAuthentication no     # 这个选项是专门给 version 1 用的，使用 rhosts 档案在 
          　　　　　　　　　　　　　 # /etc/hosts.equiv配合 RSA 演算方式来进行认证！不要使用 
HostbasedAuthentication no     # 这个项目与上面的项目类似，不过是给 version 2 使用的！ 
IgnoreUserKnownHosts no　    # 是否忽略家目录内的 ~/.ssh/known_hosts 这个档案所记录 
　　　　　　　　　　　　　             # 的主机内容？当然不要忽略，所以这里就是 no 啦！ 
PasswordAuthentication yes     # 密码验证当然是需要的！所以这里写 yes 啰！ 
PermitEmptyPasswords no　　    # 若上面那一项如果设定为 yes 的话，这一项就最好设定 
　　　　　　　　　　　            # 为 no ，这个项目在是否允许以空的密码登入！当然不许！ 
ChallengeResponseAuthentication yes      # 挑战任何的密码认证！所以，任何 login.conf 
             　　　　　　　　　　　　　　　　　　 # 规定的认证方式，均可适用！ 
#PAMAuthenticationViaKbdInt yes         # 是否启用其它的 PAM 模块！启用这个模块将会 
　　　　　　　　　　        　       　　　　　　　 # 导致 PasswordAuthentication 设定失效！ 
　 
# 4.3 与 Kerberos 有关的参数设定！因为我们没有 Kerberos 主机，所以底下不用设定！ 
#KerberosAuthentication no 
#KerberosOrLocalPasswd yes 
#KerberosTicketCleanup yes 
#KerberosTgtPassing no 
　 
# 4.4 底下是有关在 X-Window 底下使用的相关设定！ 
X11Forwarding yes 
#X11DisplayOffset 10 
#X11UseLocalhost yes 
# 4.5 登入后的项目： 
PrintMotd no              # 登入后是否显示出一些信息呢？例如上次登入的时间、地点等 
         　　　　　　　　　　　　　# 等，预设是 yes ，但是，如果为了安全，可以考虑改为 no ！ 
PrintLastLog yes　　　　　      # 显示上次登入的信息！可以啊！预设也是 yes ！ 
KeepAlive yes　　　　　    　 # 一般而言，如果设定这项目的话，那么 SSH Server 会传送 
　　　　　　　　　　　　　               #  KeepAlive 的讯息给 Client 端，以确保两者的联机正常！ 
        　　　　　　　　　　# 在这个情况下，任何一端死掉后， SSH 可以立刻知道！而不会 
　　　　　　　　　　　　　          # 有僵尸程序的发生！ 
UsePrivilegeSeparation yes # 使用者的权限设定项目！就设定为 yes 吧！ 
MaxStartups 10　　　　　　 # 同时允许几个尚未登入的联机画面？当我们连上 SSH ， 
    　　　　　　　　　　　　　# 但是尚未输入密码时，这个时候就是我们所谓的联机画面啦！ 
    　　　　　　　　　　　　　# 在这个联机画面中，为了保护主机，所以需要设定最大值， 
    　　　　　　　　　　　　　# 预设最多十个联机画面，而已经建立联机的不计算在这十个当中 
# 4.6 关于使用者抵挡的设定项目： 
DenyUsers *　　　　　　　 # 设定受抵挡的使用者名称，如果是全部的使用者，那就是全部 
　　　　　　　　　　　      　　# 挡吧！若是部分使用者，可以将该账号填入！例如下列！ 
DenyUsers test 
DenyGroups test　　　　# 与 DenyUsers 相同！仅抵挡几个群组而已！ 
# 5. 关于 SFTP 服务的设定项目！ 
Subsystem       sftp    /usr/lib/ssh/sftp-server 

转自:
http://linux.chinaunix.net/techdoc/system/2009/08/31/1133210.shtml

sftp：转自:http://www.cnblogs.com/chen1987lei/archive/2010/11/26/1888391.html

sftp 是一个交互式文件传输程式。它类似于 ftp, 但它进行加密传输，比FTP有更高的安全性。下边就简单介绍一下如何远程连接主机，进行文件的上传和下载，以及一些相关操作。
举例，如远程主机的 IP 是 202.206.64.33或者是域名www.hebust.edu.cn,用户名是  fyt ,在命令行模式下:sftp fyt@202.206.64.33或者  fyt@www.hebust.edu.cn。回车提示输入密码。进入提示符
sftp>
如果登陆远程机器不是为了上传下载文件，而是要修改远程主机上的某些文件。可以
ssh  fyt@202.206.64.33 （其实sftp就是ssh 的一个程式。）
sftp> get /var/www/fuyatao/index.php  /home/fuyatao/
这条语句将从远程主机的  /var/www/fuyatao/目录下将 index.php 下载到本地  /home/fuyatao/目录下。
sftp> put /home/fuyatao/downloads/Linuxgl.pdf /var/www/fuyatao/
这条语句将把本地 /home/fuyatao/downloads/目录下的 linuxgl.pdf文件上传至远程主机/var/www/fuyatao/ 目录下。
你如果不知道远程主机的目录是什么样， pwd命令可以帮您查询远程主机的当前路径。查询本机当前工作目录 lpwd.
改变路径可以用cd ，改变本机路径可以用 lcd;
ls rm rmdir mkdir 这些命令都可以使用。同理调用本机都是加 l , 即 lls lrm.
要离开sftp，用exit 或quit、 bye 均可。详细情况可以查阅 man  sftp.
如果觉得在命令行模式下不太方便，可以 sudo apt-get install gftp。在图形界面下操作就简便多了。

ftps:http://www.bing.com/knows/search?q=ftps&mkt=zh-cn

TCP/IP：安全
A–>B
机密性：明文传输(ftp/http/smtp/telent)
完整性:
身份验证:

机密性:
      plaintext–>转换规则–>ciphertext
      ciphertext–>转换规则–>plaintext
 
      转换算法:密钥
      对称加密:算法（加密和解密密钥是同一个）
优点：加密解密快
缺点：无法对密钥有效管理

完整性:
      单向加密算法:提取数据特征码
      输入一样:输出必然一样
      雪崩效应:输入的微小改变，将会引起结果的巨大改变
      定长输出:无论原始数据是多长，结果大小都是相同的
      不可逆:无法根据特征码还原原来的数据
      A:plaintext:footprint –>B
      因为以明文进行传输，中间人获取内容后修改数据然后重新进行生成特征码传给B，B并不能知道数据被篡改过。
      中间人攻击:plaintext2:footprint2–>B
      将特征码进行加密，就能完成数据的完整性。

  协商生成密码:互联网密钥交换 ( Internet Key Exchange)
    Diffie-Hellman协议:   
A:
 p,g(大素数，生成数)
A:x
B:y

A:g^x%p –>B
B:g^y%p –>A
        
g,p,g^x%p,g^y%p
        
A:(g^y%p)^x=g^yx%p
B:(g^x%p)^y=g^xy%p

   密钥交换算法
g=2
p=7
x=2
y=3
 
   公钥加密算法:非对称加密算法
密钥对:
  公钥:p
  私钥:s
发送方用自己的私钥加密数据，可以实现身份验证
发送方用对方的公钥加密数据，可以保证数据机密性

公钥加密算法很少用来加密数据:速度太慢(至少3个数量级)

身份验证:
   第三方机构(当然不止一个):
对公钥进行公正，发证机关先去计算特征码，并用自己的私钥加密特征码。
收费的，人家给你认证，需要收费的。。而且不便宜
很多只要单方面对身份验证即可；
例如，在淘宝上买东西，只要验证淘宝是淘宝即可，淘宝不需要验证你的身份，(当然也难或者没必要)，
  既然不能验证你的身份，就无法保证交易是可靠的，所以出现了支付宝，你把钱存我这，然后我发货给你。
自己的钱怎么转到支付宝上，那怎么保证是你把钱转到支付宝，银行保证，银行通过U盾等工具验证是你
        进行的交易。
         
a和b进行通信，先拿到对方的公钥，通过ike协议来实现，a发送b一段数据，生成校验码，然后通过对称加密对数据和校验码进行加密，然后a生成一个随机密码，然后a利用b的公钥来加密a的随机密码；
b收到时，利用b自身的私钥来解密a的随机密码，然后通过对称加密来解密数据；
但是这样能保证数据的保密性和完整性，但是无法保证身份验证；
所以引入证书，来确保你是你；
但是这里又有一个问题，证书的颁发机构就要确保证书是有效的；

如果证书丢了，意味着私钥丢了，私钥要机密存放。
密钥管理工具。

PKI（Public Key Infrastructure）
http://baike.baidu.com/link?url=1gQ7_WjM25DCN2V0o5D6zo7GySukl2QpGbJYjIXbRh9GSQXm1DvFr_Y3i3-oEnF9yysmVClCFxJZQQrIGrTlda
为解决这些Internet 的安全问题，世界各国对其进行了多年的研究，初步形成了一套完整的Internet 安全解决方案，即时下被广泛采用的PKI 技术(Public Key Infrastructure-公钥基础设施)，PKI（公钥基础设施）技术采用证书管理公钥，通过第三方的可信任机构–认证中心CA(Certificate Authority)，把用户的公钥和用户的其他标识信息(如名称、e-mail、身份 证号等）捆绑在一起，在Internet 网上验证用户的身份。眼下，通用的办法是采用基于PKI 结构结合数字证书，通过把要传输的数字信息进行加密，保证信息传输的保密性、完整性，签名保证身份的真实性和抗抵赖。

IKE(Internet Key Exchange):

Internet密钥交换协议(IKE)是用于交换和管理在VPN中使用的加密密钥的.到目前为止,它依然存在安全缺陷.基于该协议的重要的现实意义,简单地介绍了它的工作机制,并对它进行了安全性分析;对于抵御中间人攻击和DoS攻击,给出了相应的修正方法;还对主模式下预共享密钥验证方法提出了新的建议;最后给出了它的两个发展趋势:JFK和IKEv2.
http://baike.baidu.com/link?url=8aRGYrrnt0-rlxlCmJJumAMAouhOYE4ml369SRLANQwdzmcptVBN95VBPgsR9C8dEGCCE6ViaHMKf6yfzs4QHa
http://zh.wikipedia.org/wiki/%E7%B6%B2%E9%9A%9B%E7%B6%B2%E8%B7%AF%E9%87%91%E9%91%B0%E4%BA%A4%E6%8F%9B

LVS健康检查脚本:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63

vim health.sh 
#!/bin/bash 
# 
VIP=192.168.100.1 
FAIL_BACK=127.0.0.1  #定义全挂了上director; 
RS=("192.168.100.7" "192.168.100.8") 
CPORT=80 
RW=("2","1")   #定义权重 
RPORT=80 
declare -a RSSTATUS 
TYPE=g 
CHKLOOP=3 
LOG=/var/log/ipvsmonitor.log 
 
addrs() { 
    ipvsadm -a -t $VIP:$CPORT -r $1:$RPORT -$TYPE -w $2 
    [ $? -eq 0 ] && return 0 || return 1 
} 
delrs() { 
    ipvsadm -d -t $VIP:$CPORT -r $1:$RPORT 
    [ $? -eq 0 ]&& return 0 || return 1 
} 
checkrs() { 
    local I=1 
    while [ $I -le $CHKLOOP ];do 
        if curl --connect-timeout 1 http://$1 &>/dev/null;then 
             return 0 
         fi 
         let I++ 
    done 
    return 1 
} 
initstatus(){ 
    local I 
    local COUNT=0 
    for I in ${RS[*]};do 
        if  ipvsadm -L -n | grep "$I:$RPORT" && >/dev/null;then 
            RSSTATUS [$COUNT]=1 
        else 
            RSSTATUS[$COUNT]=0 
        fi 
    let COUNT++ 
    done 
} 
initstatus 
while :; do 
let COUNT=0 
for I in ${RS[*]};do 
    if   checkrs $I;then 
        if  [ ${RSSTATUS[$COUNT]} -eq 0 ];then 
            addrs $I $RW[$COUNT] 
            [ $? -eq 0 ] && RSSTATUS[$COUNT]=1 && echo "`date +%F %H:%M:%S`,$I is back." >> $LOG 
        fi 
    else 
        if  [ ${RSSTATUS[$COUNT]} -eq 1 ];then 
            delrs $I 
            [ $? -eq 0 ] && RSSTATUS[$COUNT]=0 && echo "`date +%F %H:%M:%S`,$I is gone." >> $LOG 
        fi 
    fi 
    let COUNT++ 
done 
sleep 5 
done 

LVS持久连接:
    无论使用什么算法，LVS持久都能实现在一定时间内，将来自同一个客户端请求派发至此前选定的RS;

    持久连接模板(内存缓冲区):
        每一个客户端及分配给它的RS的映射关系；以实现持久连接；

在基于SSL,需要用到持久连接

PPC(持久端口连接):将来自于同一个客户端对同一个集群服务的请求，始终定向至此前选定的RS:    
PCC(持久客户端连接):将来自于同一个客户端对所有端口的请求，始终定向至此前选定的RS;
    把所有端口统统定义为集群服务，一律向RS转发；
PNMPP:持久防火墙标记连接

1、例如把telnet做成LVS均衡

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49

PPC: 
100.7: 
    chkconfig telnet on 
    service xinetd start 
    useradd "hadoop" && passwd --stdin "hadoop" hadoop 
100.8: 
    chkconfig telnet on 
    service xinetd start 
    useradd "hadoop" && passwd --stdin "hadoop" hadoop 
 
100.3: 
    ipvsadm  -A -t 192.168.100.3:23 -s rr 
    ipvsadm -a -t 192.168.100.3:23 -r 192.168.100.7 -g 
    ipvsadm -a -t 192.168.100.3:23 -r 192.168.100.8 -g 
 
如果此时改为持久连接 
    ipvsadm -E -t 192.168.100.3:23 -s rr  -p 3600 
会发现一直连接一个主机。 
 
PCC:    :0 的意思指所有的端口都设为集群服务 
    ipvsadm -C 
    ipvsadm -A -t 192.168.100.3:0 -s rr  -p 600 
    ipvsadm -a -t 192.168.100.3:0 -r 192.168.100.7 -g -w 2 
    ipvsadm -a -t 192.168.100.3:0 -r 192.168.100.8 -g -w 1 
 
比如我想让80端口和22端口组合成一个集群服务，如上所示，PPC只能对一个服务做集群，而PCC是对所有端口做集群服务，那么，可以使用一种方法，将这两者归并成一个服务，那么这种方式就叫做防火墙标记； 
防火墙标记: 
    PREROUTING : 
        80:8 
        443:8 
将80和443端口标记成同一个防火墙标记，那么在写规则的时候，可以将两者绑定到一起，实现防火墙标记持久连接。 
 
ipvsadm -C 
iptables -t mangle -A PREROUTING -d 192.168.100.3  -i eth0 -p tcp --dport 80 -j MARK --set-mark 8 
iptables -t mangle -A PREROUTING -d 192.168.100.3 -i eth0 -p tcp --dport 443 -j  MARK --set-mark 8 
ipvsadm -A -f 8 -s rr -p 600 
ipvsadm -a -f 8 -r 192.168.100.7 -g -w 2 
ipvsadm -a -f 8 -r 192.168.100.8 -g -w 5 
 
inotify+rsync 
sersync(同步工具，可以使用这个) 
https://code.google.com/p/sersync/ 
 
 
如果有时间，建议看下这个组合。 
ldirectord＋LVS 
    ldirectord: 
    生成规则 
    实现健康状况检查 

m.blog.csdn.net/blog/wyzxg/17171223

概念

PKI: Public Key Infrastructure
证书撤销列表CRL 这个很重要，保证安全性
证书格式 ： x.509,pkcs12 ….
x.509:

公钥及其有效期限
证书的合法拥有者
证书该如何被使用
CA的信息（如颁发机构等）
CA签名的校验码

PKI：TLS/SSL/openGPG ：使用的是x.509

TLS/SSL:

SSL: SSL： Secure Socket Layer 版本SSLv1(#) SSLv2 TLSv3
网络上进行安全传输，使用https：443(和http协议不同)
在链路层和应用层”间“加上SSL功能，如传输给http的数据经过SSL进行加密变成了https；

    SSL由于不完全开放，所以出现了TLS

TLS： TLS的v1版本类似SSL的v3版本
Transport Layer Security

在http进行访问时，实现三次握手
而在https进行访问时，先互相协商建立SSL/TLS协议（以此为例）
然后服务器发送证书给客户端，然后客户端进行验证证书的完整性，进行协商加密机制然后发送给服务器，然后进行通信；

加密方式种类

1. 对称加密：

   DES(Data Encrption Standard):源于IBM公司DES算法把64位的明文输入块变为64位的密文输出块,它所使用的密钥也是64位。
   3DES:http://baike.baidu.com/view/350958.htm
   AES:高级加密标准，使用128位的秘钥，有256位，512，默认是128位，位数长意味运行速度慢;(目前用的多)，这个标准用来替代原先的DES，已经被多方分析且广为全世界所使用。
   Blowfish:BlowFish是一个容易使用的文件和文件夹加密软件，只要用鼠标把文件或文件夹拖到加密的文档地方。

2. 单项加密：

   MD4
   MD5 （128位）
   SHA1 （160位）
   SHA192 SHA256 SHA384
   CRC-32（循环冗余校验码）（这个提供校验功能，不实现加密，意味着不提供安全性）

3. 公钥加密 （核心功能: 加密/签名）

   身份验证（数字签名）
   数据加密
   密钥交换

4. 常用的加密算法:

   RSA:加密，签名http://baike.baidu.com/view/10613.htm?fromtitle=RSA&fromid=210678&type=syn
   DSA:签名
   ELGamal(商业的，只做了解)

5. 实现加密的工具:

   openssl
   gpg

OpenSSL

OpenSSL：SSL的开源实现,三部分组成：
1. libcrypto:加密库
2. libssl :TLS/SSL的实现 基于会话的，实现了身份认证、数据机密性和会话的TLS/SSL库；
3. openssl :多用途命令行工具，并可以实现CA的功能

openssl help显示所有子命令(命令help虽然错误，但可显示所有子命令)

如speed，可以实现对当前主机各类加密速度的小测试,如:

1
2
3
4
5
6
7
8
9
10
11
12
13
14

#openssl speed des	
#openssl version                  #####查看版本 
#openssl crl                      #####证书吊销列表 
openssl passwd （如果不知道passwd的意思，可以先whatis passwd， 然后man sslpasswd（括弧内的））

openssl passwd:
Passwd 命令计算在运行时输入密码的哈希值或
在列表中的每个密码的哈希值。密码列表是取自
命名的文件选项-在文件中，从 stdin 中的选项-stdin 或
从命令行中，或从其他终端。
http://www.51cto.com/art/200803/68014_3.htm
#openssl passwd -1 -salt easy（需要输入两次密码）
#echo "easyheart" | openssl passwd -1 -salt easy -stdin(一步完成)

对称加密举例:

1. 例子一:

1
2
3
4
5
6
7
8

openssl enc -des3 -salt -a -in inittab -out inittab.des3
	-e加密，不指明默认加密，然后输入密码
	-a：输出的为ASCII码

解密：
openssl  enc -des3 -d -salt -a -in inittab.des32 -out inittab
	输入密码进行解密

2. 例子二:

1
2
3
4
5
6
7
8

echo "Hello,Linux" | openssl enc -base64 -des
> U2FsdGVkX1+i4/SniSpAMfIq+G7DNY9kkbmhlQSJ188=

#echo "U2FsdGVkX1+i4/SniSpAMfIq+G7DNY9kkbmhlQSJ188=" | openssl enc -d -des -base64
# enter des-cbc decryption password:

> Hello Linux

关于对文件和目录进行加密可参考:
链接

单向加密举例:

如进行验证：

1
2

openssl dgst -md5 inittab

当然也可以用md5sum inittab

1
2
3

openssl dgst -sha1 inittab
sha1sum inittab

rsautl:实现rsa加密解密的工具
rand:伪随机数生成器

1
2

#openssl rand -base64 100(100位)

-base64：使用base64进行编码，默认输出的是二进制

关于sort的功能:

1
2
3
4
5
6
7
8
9
10

sort是用来搅混密码的，防止被破解，如果想看sort往加密结果中添加什么，如:
#openssl passwd -1
输入两次密码
$1$C3wr.Shw$MZNm/R6V1l5rAPRfn2CQL.
C3wr.Shw这个就是sort添加的东西，当然你也可以手动指定往sort中添加什么:
#openssl passwd -1 -sort C3wr.Shw
输入密码
$1$C3wr.Shw$MZNm/R6V1l5rAPRfn2CQL.
得到的密码串和上面一样。

##openssl实现私有CA

openssl实现私有CA

1. 先生成一对密钥

1
2
3
4

openssl genrsa -out /path/ number(位数)生成私钥
openssl genrsa  -out server1024.key 1024
openssl rsa -in /path/ -pubout 生成公钥
openssl rsa -in server1024.key -pubout

2. 生成自签署证书

1
2
3
4
5

openssl req -new -x509 -key server1024.key -out server.crt -days 365
国家 省份 地址 公司 组织 hostname（自己的server's name,这个至关重要）
查看信息：
openssl　x509 -text -in server.crt

3. 使其生效，需要编辑/etc/pki/tls/openssl.cnf

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28

[ca]
default_ca	=CA_default

[CA_default]

dir	      =/etc/pki/CA
certs	      =$dir/certs	证书路径
crl_dir       =$dir/crl		证书吊销列表路径
database      =$dir/index.txt 	发给别人的证书存放位置
new_certs_dir =$dir/newcerts
certificate   =$dir/cacert.pem
serial	      =$dir/serial	序列号
crlnumber     =$dir/crlnumber	证书吊销列表的工作号
crl	      =$dir/crl.pem	证书吊销文件
private_key   =$dir/private/cakey.pem CA自己的私钥
RANDFILE      =$dir/private/.rand	会自己创建

defaults_days =365	证书默认时间
defaults_crl_days =30	在证书吊销列表中存放世界
default_md    =sha1	单向加密使用算法
preserve      =no	

countryName_default	     =GB
state0rProvinceName_default  =Berkshire
localityName_default	     =Newbury
0.organizationName_default   =My Company Ltd
organizationlUnitName	     =Organizational Unit Name

生成自签证书的一个完整的步骤

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40

		cd /etc/pki/CA
		(umask 077 ; openssl genrsa -out private/cakey.pem 2048)
		/etc/pki/tls/openssl.cnf 如上 
		openssl req -new -x509 （-x509是生成自签证书）-key private/cakey.pem -out cacert.pem -days 3655
		由于这个是发给自己的自签证书，所以在填写Commonname时可以：如：ca.域名.com
		mkdir certs newcerts crl
		touch index.txt
		touch serial
		echo 01 >serial
	
		########为请求者的主机颁发证书#######
		yum　install mod_ssl
		mkdir /etc/httpd/ssl（CA颁发机构）
		cd ssl/
		(umask 077; openssl genrsa -out httpd.key 1024)生成私钥
		openssl req -new -key httpd.key -out httpd.csr 生成申请
		在Common name那填写你要发送主机的域名（请求者的域名）
		然后在你的（被请求者的）主机上许可这个CA请求
		（httpd.csr这个重要，要给请求的主机,如在本机给虚拟主机的话。可以scp httpd.csr ip:/tmp
		颁发机构主机上：
		openssl ca -in /path/httd.csr -out /path/httpd.crt  -days 365（时间）
		再把httpd.crt返回给请求者  scp ip:/tmp/httpd.crt ./
		#cat /etc/pki/CA/index.txt  
		可以看到增加了一个签署的证书

	Redhat提供了一个方式可以快速生成证书，不过仅用于测试使用:
		#cd /etc/pki/tls/certs
		#make httpd.pem
		因含有私钥，所以不能作为线上环境。
			他是根据makefile生成的。


		此时要确保你主机上安装了mod_ssl模块，
		然后在/etc/httpd/conf.d/ssl.conf编写VIrtualHost主机的域名，
		DocumentRoot，SSlEngine =on 表示启用ssl，证书的存放位置.crt<SSLCertificateFile>、私钥的存放位置.key<SSLCertificateKeyFile>等；）
		可以先备份一下/etc/httpd/conf.d/ssl_conf,防止出错恢复；
		最后把cacert.pem(这个是颁发机构的证书)拷贝到客户机上，并将其改为cacert.crt,安装此证书；即可实现https访问

```		

更多可参考这个:
http://www.cnblogs.com/AloneSword/p/3809002.html
http://www.2cto.com/os/201108/99753.html

但是为了为了两个初次通信的用户能彼此知道对方的公钥，采用了IKE（internet key exchange）机制，这样两个用户在internet上传输数据的时候就知道彼此的公钥，然后使用对方的公钥来解密发来的加密的数据，而如何在通信的过程中来确定对方的身份，这就需要借助PKI（公钥基础设施），也就是说通过第三方来出示证明，在这里也就是使用证书机制来验证用户的信息，通常一个证书中存放着通信人的公钥。所以接下来就从加密开始，然后到颁发证书，最终实现验证的实验过程。

openssl支持的加密算法:

3 Standard commands
4 asn1parse ca ciphers cms
5 crl crl2pkcs7 dgst dh
6 dhparam dsa dsaparam ec
7 ecparam enc engine errstr
8 gendh gendsa genpkey genrsa
9 nseq ocsp passwd pkcs12
10 pkcs7 pkcs8 pkey pkeyparam
11 pkeyutl prime rand req
12 rsa rsautl s_client s_server
13 s_time sess_id smime speed
14 spkac ts verify version
15 x509
17 Message Digest commands 消息摘要命令(see the dgst' command for more details) 18 md2 md4 md5 rmd160 19 sha sha1 21 Cipher commands密码命令 (see the enc’ command for more details)
22 aes-128-cbc aes-128-ecb aes-192-cbc aes-192-ecb
23 aes-256-cbc aes-256-ecb base64 bf
24 bf-cbc bf-cfb bf-ecb bf-ofb
25 camellia-128-cbc camellia-128-ecb camellia-192-cbc camellia-192-ecb
26 camellia-256-cbc camellia-256-ecb cast cast-cbc
27 cast5-cbc cast5-cfb cast5-ecb cast5-ofb
28 des des-cbc des-cfb des-ecb
29 des-ede des-ede-cbc des-ede-cfb des-ede-ofb
30 des-ede3 des-ede3-cbc des-ede3-cfb des-ede3-ofb
31 des-ofb des3 desx idea
32 idea-cbc idea-cfb idea-ecb idea-ofb
33 rc2 rc2-40-cbc rc2-64-cbc rc2-cbc
34 rc2-cfb rc2-ecb rc2-ofb rc4
35 rc4-40 seed seed-cbc seed-cfb
36 seed-ecb seed-ofb zlib

说明：《Linux网络安全技术与实现》
以下内容均来自此书第1章，因好奇，故摘取一部分，如果有需要，均可直接参阅此书，无需读以下内容。

TCP/IP的基本概念:

http://zh.wikipedia.org/wiki/TCP/IP%E5%8D%8F%E8%AE%AE%E6%97%8F(可直接参考这个)

1. 应用层(Application Layer)
2. 传输层(Transport Layer)

   传输层用于定义数据传输方法，传输层主要定义了两种通信协议，分别是TCP协议和UDP协议

3. 网络层(Network Layer)

   使用IP(Internet Protocol)地址来定位网络上的每一台计算机，并采用路由(Routing)方法决定数据传输路径，将数据传输到正确的目的端

4. 链路层(Link Layer)

   链路层又称数据链路层(Data Link)或网络接入层(Network Interface)，也就是网络的基础设施，它可能是以太网(Ethernet)/光纤(Fiber)/无线网络(Wireless)/帧中继(Frame Relay)或者点对点(PPP)等实体网络。

TCP/IP/Socket之间的关系

Socket是指一个上面有很多“洞”的东西，而Socket上面的这些洞，则称为端口。在OS的网络系统中会有两个Socket，分别是TCP Socket及UDP Socket，Socket上各有65536个洞，由0开始算起，
其范围是065535,称之为Port 0 ~ Port 65535.
公认的端口:01023
注册的端口:102449151
动态端口:4915265535

注册的端口

可以到IANA的网站上，选用一个没有其他应用程序在使用的端口，并将其注册下来。

动态端口

通常供临时使用，例如:几乎所有客户端应用程序都会使用动态端口，当客户端应用程序启动时，系统就会分配一个“动态端口”给该应用程序来使用，当应用程序结束时，即会把占用的端口归还给系统。

防火墙:

http://zh.wikipedia.org/wiki/%E9%98%B2%E7%81%AB%E5%A2%99（可直接参考这个）
规则(rule)：转发或者不转发，过滤或者不过滤
数据包过滤(Packet Level Filter)防火墙
应用层(Application Level Filter)防火墙

常见的防火墙结构:

单机防火墙:
ADSL–>NAT–>内部网络
   –>开放的环境(公网IP主机)
如如果企业选择ADSL上网，第一个公网IP通常会分配给网络地址转换器(Network Address Translation,NAT)来使用，而整个企业的内部网络就隐藏在NAT之后，另外的公网IP就直接给企业的服务主机使用。由于公网的主机没有架设防火墙，使其直接暴露在因特网上，任何来自互联网的攻击行为，均有其自己承担。所以这种方式相当不安全。

网关式防火墙1:
ADSL–>防火墙–>企业内部网络
由于所有主机(包括对外提供的主机和内部主机)均在防火墙后，也许会好奇因特网上的用户怎么访问内网的主机，这个叫做一对一NAT：即在防火墙主机上设置3（两台对外主机）个ISP所分配的IP，而内部之使用192.168.1.0/24这个私有IP段，并且设置Mail和web主机上设置192.168.1.1和192.168.1.2两个私有IP，然后在防火墙主机上设置如果访问mail就直接转到1.1主机上，>如果访问web，就转到1.2主机上。
由于均在内网，当用户访问web服务器即在内网，就会造成私有主机有很大的安全性，这种方式不会使用。

网关式防火墙2：
多加一块网卡，使网关式防火墙1的对外主机和私有内部主机不在同一IP段内。

网关式防火墙3:
ADSL–>防火墙1–>对外服务器
    –>防火墙2–>内部主机
这种方式由于采用两台防火墙，安全性也就相对提升，不过，务必选用两家不同的产品。

透明防火墙:
由于在网关式防火墙中，不管哪一种类型，防火墙本身就是一个路由器，因此在部署防火墙时，必须考虑路由问题。
透明防火墙就是一个网桥设备，并且在网桥设备上赋予了过滤器(Filter)功能，因为网桥是工作在OSI第二层的网络设备，因此不存在任何路由设备，并且网桥上可以不需要设置任何IP，如此就没有路由的问题，又因为防火墙主机本身无需设置IP，所以透明防火墙的部署能力相当强，隐蔽性相当高，即便黑客要攻击这个防火墙，也可能会因为没有目的段IP而无功而返。

参考文档：

https://wiki.archlinux.org/index.php/Sudo_%28%E7%AE%80%E4%BD%93%E4%B8%AD%E6%96%87%29（有比较详细的使用介绍）

1
2
3

/etc/sudoers
visudo

当调用sudo，会在接下来5分钟内可以不再输入密码，这样却带来一个问题，就是别人
在这个时间点内用你的帐号修改信息，所以可以加入-k选项。即：

1

$sudo -k

再调用sudo,不管调用多少次，都需要输入密码

sudo命令:

-l:列出当前用户可以使用的所有sudo类命令
-k:如上所示，调用sudo不保存密码，即让认证信息失败
-u:后跟username，以制定用户的身份执行命令(root除外)

一个sudo条目:

1
2
3

who    which_hosts(runas)    Tag:command

root    ALL=(ALL)    ALL    

表示root用户可以在任何主机上运行所有命令

如果只想允许以某个主机名登录用户执行命令：
用户名 主机名=(ALL) ALL

允许wheel用户组成员无密码使用sudo：
%wheel ALL=(ALL) NOPASSWD: ALL

who:User_Alias
which_hosts:Host_Alias
runas:Runas_Alias
Tag:NOPASSWD,用户不再需要输入密码 PASSWD：需要输入密码(针对单个命令定义)
commmand:Command_Alias

别名：类似定义组

1

#man sudoers

别名必须全部而且只能使用大写英文字母的组合

用户别名:
User_Alias USERADMIN=

系统用户的用户名
组名:使用%引导
还可以包含其他已经用户别名

Host_Alias:

主机名
IP
网络地址
其他主机别名

Runas_Alias:

用户名
%组名
其他的Runas别名

Cmnd_Alias:

命令绝对路径
目录(此目录所有命令)
其他事先定义过的命令别名

练习

hadoop,root,useradd,usermod
#visudo

1
2

hadoop ALL=(root) /usr/sbin/useradd /usr/sbin/usermod
$sudo useradd xiaosan

即可成功

定义一个用户别名（hadoop,hadoop组，useradmin组），命令别名：

1
2
3
4
5
6
7
8
9
10
11
12
13
14

User_Alias USERADMIN = hadoop,%hadoop,%useradmin
Cmnd_Alias USERADMINCMND  = /usr/sbin/useradd,/usr/sbin/userdel,/usr/bin/passwd [A-Za-z]*， !/usr/bin/passwd root 

USERADMIN    ALL=(root)    NOPASSWD:USERADMINCMND


Cmnd_Alias WHEELER = /usr/sbin/lsof, /bin/nice, /bin/ps, /usr/bin/top, /usr/local/bin/nano, /usr/sbin/ss, /usr/bin/locate, /usr/bin/find, /usr/bin/rsync
Cmnd_Alias PROCESSES = /bin/nice, /bin/kill, /usr/bin/nice, /usr/bin/ionice, /usr/bin/top, /usr/bin/kill, /usr/bin/killall, /usr/bin/ps, /usr/bin/pkill
Cmnd_Alias EDITS = /usr/bin/vim, /usr/bin/nano, /usr/bin/cat, /usr/bin/vi
Cmnd_Alias ARCHLINUX = /usr/sbin/gparted, /usr/bin/pacman

root ALL = (ALL) ALL
yourusename ALL = (ALL) ALL, NOPASSWD: WHEELER, NOPASSWD: PROCESSES, NOPASSWD: ARCHLINUX, NOPASSWD: EDITS

/var/log/secure 记录了详细信息

注意日志的安全性

常见的系统故障排除:

1. 确定问题的故障特征
2. 重现故障
3. 使用工具收集进一步信息
4. 排除不可能的原因
5. 定位故障

       从简单的问题入手
       一次尝试一种方式

6. 备份原文件
7. 尽可能借助工具

可能会出现的故障:

1. 管理员密码忘记
2. 系统无法正常启动

    grub损坏(MBR损坏，grub配置文件丢失，stage2损坏)
    系统初始化故障(某文件系统无法正常挂载，驱动不兼容)
    emergency(会略过sysinit脚本)
    服务故障
    用户无法正常登录系统（帐号密码不对/bash程序故障）

3. 命令无法运行（查看PATH是否正确）
4. 编译过程无法继续(开发环境缺少基本组件)

系统故障模拟:

这个地方，可参考14_02文档

MBR损坏

1
2
3
4
5

#dd if=/dev/sda of=/root/mbr.backup count=1 bs=512 
#dd if=/dev/zero of=/dev/sda count=1 bs=(<446) 
#sync 
#reboot 

解决方式:

1. 借助其他主机修复
2. 使用紧急救援模式
3.  挂载光盘

示例:

boot:linux rescue
/mnt/sysimage

1
2

#chroot /mnt/sysimage 
#grub 

grub>find (hd0,0)/ tab补全
grub>root (hd0,0)
grub>setup (hd0)
grub>reboot

GRUB配置文件丢失

1
2
3
4
5
6

grub>root （hd0,0） 
grub>kernel /vmlinuz ro root=/dev/mapper/** root=/dev/sdaX 
grub>initrd /initrd**** 
grub>boot 

然后重建grub配置文件

系统初始化故障

kernel panic:

把默认级别设定为0或6
进入单用户运行级别，然后修改回来

/etc/rc.d/rc3.d删除掉了
进入单用户模式，修复目录系统

服务故障

sendmail,配置文件时间戳检查无法通过
进入单用户模式，不让其启动
或者红帽启动时一直按I键，交互模式选择禁止此服务

/etc/rc.d/rc.local脚本语法错误

/bin/bash删除

挂载光盘安装:

1. 挂载光盘，linux rescue 进入紧急救援模式，重新安装/bin/bash
2. 如果从光盘进行安装/bin/bash,则光盘挂载后，哪一个设备执行光盘，正常来讲是/dev/sdc
3. mount /dev/sdc /media
4. rpm -ivh –replacepkgs –root /mnt/sysimage bash-VERSION.rpm

从网络中安装:

命令无法正常执行:
例如写成:export PATH=/data/bin,就会导致错误
退出当前登录，令起终端重新登录
如果配置文件修改，则千万不要退出，

/etc/profile

编译环境无法通过

看错误 and google
git，avn

这个地方只是给个基本的介绍，后续服务中出现错误，会详细介绍How to slove

mknod

概念

Anaconda:stage2.img   http://zh.wikipedia.org/zh-cn/Anaconda    
Anaconda是Red Hat Linux和Fedora的安装管理程序。它以Python及C语言写成，以图形的PyGTK和文字的python-newt接口写成。它可以用来自动安装配置，使用户能够以最小的监督运行。
Anaconda安装管理程序应用在RHEL，Fedora和其他一些项目，Anaconda提供纯文字模式和GUI模式，用户可以安装在各种各样的系统。
Anacondas是一种吃蜥蜴的蟒蛇，而正因Caldera的安装管理程序名为蜥蜴（lizard），因而得名。

kickstart :完成自动化安装

1
2
3
4
5

#yum install system-config-kickstart 
#ksvalidator(帮助查看配置文件是否配置有错) 
#ksvalidator /root/anaconda.cfg 
#system-config-kickstart 

会打开一个配置文件，这样会非常省事

/root/anaconda.cfg
（一旦安装完，会生成这个文件，所以可以参考这个为样本）

kickstart:三部份

• 命令段

• 必备命令

  keyboard/lang/timezone/rootpw/auth(or authconfig)/bootloader
      keyboard us
      lang  en_US (zh_CN)    local -a可查看所有支持的语言
      rootpw –iscrypted
      timezone [–utc]    timeconfig 可查看所有时区，如果乱码，export LANG=C
      bootloader –location=mbr(default) –append=”hdd=ide-scsi ide=nodma”

• 可选命令

  autopart/ignoredisk/clearpart
  autopart：自动分区
  ingnoredisk:
      ingoredisk –drives=drive1,drive2,…
      ingoredisk –only-use=sda(示例)
  clearpart:清除分区(如果这个指错，会有致命伤害)
      clearpart –drivers=hda,hdb –all
      clearpart –linux (清除所有Linux分区)
      clearpart –none(default) 不移除任何分区，使用空闲空间
      clearpart –initlabel(如果没有分区表，就初始化一个)
  driverdisk(必须使用这个命令告诉安装程序到哪寻找硬盘驱动)
      driverdisk –source=ftp://path/to/dd.img
      driverdisk –source=http://path/to/dd.img
      driverdisk –source=nfs:host:/path/to/img
  firewall
      firewall –enabled
      firewall –disabled
      firewall –trust
              –ssh
              –telnet
              –smtp
              –http
              –ftp
  firstboot:安装重启后还是要配置，如果不配置，直接–disabled
      –disabled
      –enabled
  halt:系统安装完后关机
  graphical(default):图形化安装
  text:纯文本方式安装
  install/upgrade（安装还是升级）
      url –url http:///

  
      url –url ftp://:@/
   interactive(交互模式安装，由于为了就是自动化安装，所以这个没啥用)
  part  磁盘分区
  network
      –bootproto= one of dhcp/bootp/static
      network –bootproto=dhcp
      network (–device(指定哪个网卡)) –bootproto=static –ip=10.0.2.15 –netmask=255.255.255.0 –gateway=10.0.2.254 –nameserver=10.0.2.1
  selinux –permissive
  skipx(跳过图形化配置)

• 软件包选择段，$packages

1. 脚本段

   %pre（预安装脚本）：这个由于系统正在安装中，可提供的东西有限，所以一般在安装
   $post(后安装脚本)    后写脚本，即$post段

2. 应该把kickstart文件放哪?

   ks=  告诉安装服务到哪去找
   ks=http://
   ks=cdrom:/

3. 安装过程中，boot提示符中可以使用的命令:

   askmethod
   dd=

   ip=
   netmask=
   gatway=    
   dns=dns1,dns2

   ks= nfs::/
   ks=http://:/
   ks=floppy:/
   ks=hd::/
   ks=file:/
   ks=cdrom:/

   ksdevice=
   nonet(不启用网络功能)    
   noprobe(不探测硬件信息)防止特殊的硬件在安装驱动过程中失败导致系统安装失败
   rescue:进入救援模式

1
2

mkisofs -R -b isolinux/isolinux.bin -no-emul-boot -boot-load-size 4 -boot-info-table -o boot.iso iso/ 

（说明，我在使用这个自动化安装Redhat6.5的时候失败，提示无法找到cdrom的驱动，所以写了PXE方式安装）

DNS服务器类型：
    主DNS服务器：数据修改
    辅助DNS服务器：请求数据同步
    $TTL    86400;缓存时间
        serial number        ；版本号
        refresh            ；定义辅助DNS多久刷新一次主DNS版本号
        retry            ；如果没响应，就重试，应该小于刷新时间    
        expire            ；过期时间
        nagative answer TTL ；(缓存时间，如果没有设定$TTL值，这个值就可当作$TTL)
    缓存DNS服务器
        不提供权威答案，只提供缓存，节约带宽
    转发器
        不缓存，只提供转发功能，使用转发器可绕过从根服务器开始按照正常流程检索的正常过程。

如果主DNS服务器挂了，辅助DNS服务器就会在一定时间内进行多次查证主DNS服务器是否在线，如果没有收到任何回应，辅助DNS服务器就会自杀，而不是替代主DNS服务器！

数据库中，每一个条目称作一个资源记录(resource record ，RR)
资源记录格式RRT(Resource Record Type)

资源记录类型：
SOA(Start of Authority):定义一个DNS区；

    ZONE NAME    TTL        IN        SOA        FQDN        ADMINSTRATOR_MAILBOX(
                    serial number        ；版本号
                    refresh            ；定义辅助DNS多久刷新一次主DNS版本号
                    retry            ；如果没响应，就重试，应该小于刷新时间    
                    expire            ；过期时间
                    na  ttl)
注意:
    时间单位M（分钟）、H（小时）、D（天）、W（周），默认是秒；
    邮件格式：admin@unravel.com—>应该写成admin.unravel.com

举例1:

    unravel.com.        600        IN        SOA        ns1.unravel.com.        admin.unravel.com.(
                    20141112    ;(<=10)
                    1H
                    5M
                    1W    ;重试1周后依然不在线，则就挂了
                    1D    );否定TTL值                     

NS(name server):Domain NAME —>FQDN（用来指定一个区的服务器，并将子域授权给其他机构）
    unravel.com.        600        IN        NS        ns.unravel.com.
    ns.unravel.com.        600        IN        A        1.1.1.2

MX(mail exchanger):ZONE NAME –>FQDN（用来记录邮件交换记录）
    ZONE NAME    TTL        IN        MX    pri        VALUE
                    优先级：0~99，数字越小级别越高

举例2:
    unravel.com.    600        IN        MX     10        mail.unravel.com.
    mail.unravel.com.    600    IN        A            1.1.1.3

A(address):FQDN –>IPv4 （提供域名到IPV4地址的映射）
AAAA:FQDN –>IPv6     (提供域名到IPV6地址的映射)
PTR(pointer):ip –>FQDN  (提供从IP地址到域名的反向映射)
CNAME(Canonical NAME正式名称)：FQDN—>FQDN    （记录为一个域名分配别名）
    www2.unravel.com.        IN        CNAME        www.unravel.com

对于DNS，应该知道的概念:    域(Domain)  区域(Zone)

建立两个区域文件：

正向区域文件：
    unravel.com.        IN         SOA    ns1.unravel.com.
    www.unravel.com.    IN        A       192.168.0.1
简写为：
    www            IN        A       192.168.0.1

反向区域文件：
0.168.192.in-addr.arpa.        IN         SOA

1.0.168.192.in-addr.arpa.    IN        PTR        www.unravel.com.    
简写为：    
1                IN        PTR        www.unravel.com.
    
    
第一条必须为SOA；
MX记录只能定义在正向记录文件当中；
NS记录正向反向都可以记录；
A只能记录在正向；
PTR只能记录在反向；

区域传送的类型：
    完全区域传送：axfr
    增量区域传送：ixfr

区域类型：
    主区域：master
    从区域：slave
    提示区域：hint(定义根的位置)
    转发区域：forward

网络地址
any     T_ANY
所有/任何与指定域相关的信息
mx      T_MX
该域的邮件网关
ns      T_NS
域名服务器
soa     T_SOA
区域的授权记录
hinfo   T_HINFO
主机信息
axfr    T_AXFR
区域传输记录(必须是询问一台授权的服务器)
txt     T_TXT
任意的字符串信息
(参看RFC 1035以获得完整的列表.)

query-class
是指在查询中请求的网络等级.如果省略,默认为 “in”(C_IN = Internet . ) 以下的等级是可识别的:
in      C_IN
Internet等级的域
any     C_ANY
所有/任何等级的信息