银河麒麟系统管理员手册说明书

银河麒麟服务器操作系统管理员手册 目录 第1章 系统简介 ....................................................................................................................................... 1 第2章 启动和关闭系统 ........................................................................................................................... 2 2.1 GRUB ............................................................................................................................................ 2 2.1.1 GRUB的特点 ............................................................................................................................ 2 2.1.2 GRUB的术语 ............................................................................................................................ 3 2.1.3 设备名称............................................................................................................................... 4 2.1.3.1 2.1.4 文件名称 .......................................................................................................................................... 4 GRUB的接口 ............................................................................................................................ 5 2.1.4.1 2.1.4.2 2.1.4.3 2.1.4.4 菜单接口 .......................................................................................................................................... 5 菜单项目编辑器接口 ...................................................................................................................... 5 命令行接口 ...................................................................................................................................... 5 接口使用的顺序 .............................................................................................................................. 6 2.1.5 GRUB的命令 ............................................................................................................................ 6 GRUB的菜单配置文件 ................................................................................................................ 7 2.1.6........................................................................................................................................................ 7 2.2 启动脚本 ....................................................................................................................................... 8 2.3 登录系统 ....................................................................................................................................... 8 2.4 关闭系统 ....................................................................................................................................... 9 第3章 登录和注销 ..................................................................................................................................11 3.1 3.2 3.3 通过终端登录 ..............................................................................................................................11 TELNET 远程登录.........................................................................................................................11 注销系统 ......................................................................................................................................11 第4章 文件系统管理 ............................................................................................................................. 12 4.1 目录树概述 ................................................................................................................................. 12 4.1.1 根（root）文件系统........................................................................................................... 12 4.1.2 /etc 文件系统 ......................................................................................................................... 13 4.1.3 /dev 文件系统 ........................................................................................................................ 14 4.1.4 /usr 文件系统 ......................................................................................................................... 14 4.1.5 /var 文件系统 ......................................................................................................................... 15 4.1.6 /proc 文件系统 ....................................................................................................................... 15 4.2 文件系统类型 ............................................................................................................................. 16 4.3 创建、装入和卸载文件系统...................................................................................................... 17 4.3.1 创建文件系统 ..................................................................................................................... 17 4.3.2 装载文件系统 ..................................................................................................................... 17 4.3.3 卸载文件系统 ..................................................................................................................... 18 4.4 设置FSTAB 文件.......................................................................................................................... 18 4.5 检查文件系统 ............................................................................................................................. 18 4.6 监视文件系统 ............................................................................................................................. 19 4.6.1 df 命令.................................................................................................................................... 19 4.6.2 du 命令 ................................................................................................................................... 19 第5章 软件包管理 ................................................................................................................................. 21 5.1 使用 RPM 来管理软件包.......................................................................................................... 21 5.1.1 RPM 的设计目标................................................................................................................... 21 5.1.2 使用 RPM .......................................................................................................................... 22 i 银河麒麟服务器操作系统管理员手册 5.1.3 卸载..................................................................................................................................... 23 5.1.4 升级..................................................................................................................................... 23 5.1.5 刷新..................................................................................................................................... 24 5.1.6 查询..................................................................................................................................... 24 5.1.7 校验..................................................................................................................................... 25 5.2 安装TAR 格式的软件包.............................................................................................................. 26 第6章 网络配置 ..................................................................................................................................... 27 6.1 6.2 6.3 6.4 6.5 6.6 总览 ............................................................................................................................................. 28 建立以太网连接 ......................................................................................................................... 28 管理 DNS 设置 .......................................................................................................................... 30 管理主机 ..................................................................................................................................... 31 激活设备 ..................................................................................................................................... 32 保存和恢复网络配置 ................................................................................................................. 33 第7章 配置VSFTPD 服务器................................................................................................................ 34 7.1 7.2 7.3 7.4 7.5 7.6 7.7 7.8 VSFTPD简介 ................................................................................................................................. 34 VSFTPD的默认配置 ..................................................................................................................... 34 进一步配置VSFTPD ..................................................................................................................... 35 配置本地组访问的FTP服务器................................................................................................... 39 使用VSFTPD配置高安全级别的匿名服务器.............................................................................. 40 配置基于IP的虚拟FTP服务器 ................................................................................................... 42 配置独立运行的VSFTPD.............................................................................................................. 44 配置虚拟用户的FTP服务器....................................................................................................... 47 第8章 网络文件系统（NFS）.............................................................................................................. 51 8.1 为什么使用 NFS？ .................................................................................................................... 51 8.2 挂载 NFS 文件系统................................................................................................................... 51 8.2.1 使用 /etc/fstab 来挂载 NFS 文件系统 ........................................................................... 52 8.2.2 使用 autofs 来挂载 NFS 文件系统 .................................................错误！未定义书签。 8.2.3 使用 TCP............................................................................................................................ 52 8.3 命令行配置 ................................................................................................................................. 52 8.3.1 主机名格式 ......................................................................................................................... 53 8.3.2 启动和停止服务器 ............................................................................................................. 53 第9章 SAMBA................................................................................................................................... 55 9.1 为什么使用 SAMBA？ ................................................................................................................ 55 9.2 配置 SAMBA 服务器................................................................................................................... 55 9.2.1 图形化配置 ......................................................................................................................... 55 9.2.1.1 9.2.1.2 9.2.1.3 配置服务器设置 ............................................................................................................................ 56 管理Samba 用户 ........................................................................................................................... 58 添加共享 ........................................................................................................................................ 59 9.2.2 命令行配置 ......................................................................................................................... 59 9.2.3 加密口令............................................................................................................................. 60 9.2.4 启动和停止服务器 ............................................................................................................. 61 9.3 连接 SAMBA 共享....................................................................................................................... 61 9.3.1 命令行................................................................................................................................. 61 9.3.2 挂载共享..............................................................................................错误！未定义书签。 第 10 章 动态主机配置协议（DHCP）.............................................................................................. 63 ii 银河麒麟服务器操作系统管理员手册 10.1 为什么使用 DHCP ..................................................................................................................... 63 10.2 配置 DHCP 服务器.................................................................................................................... 63 10.2.1 配置文件............................................................................................................................. 63 10.2.2 租期数据库 ......................................................................................................................... 66 10.2.3 启动和停止服务器 ............................................................................................................. 66 10.2.4 DHCP 转发代理 ................................................................................................................ 67 10.3 配置 DHCP 客户........................................................................................................................ 67 第 11 章 APACHE HTTP 服务器 配置 ............................................................................................. 69 11.1 基本设置 ..................................................................................................................................... 69 11.2 默认设置 ..................................................................................................................................... 70 11.2.1 站点配置............................................................................................................................. 70 11.2.2 记录日志............................................................................................................................. 72 11.2.3 环境变量............................................................................................................................. 73 11.2.4 目录..................................................................................................................................... 74 11.3 虚拟主机设置 ............................................................................................................................. 76 11.3.1 添加和编辑虚拟主机 ......................................................................................................... 77 11.3.1.1 11.3.1.2 11.3.1.3 11.4 11.5 11.6 常规选项 ........................................................................................................................................ 77 SSL ................................................................................................................................................. 78 其它虚拟主机选项 ........................................................................................................................ 79 服务器设置 ................................................................................................................................. 79 调整性能 ..................................................................................................................................... 80 保存设置 ..................................................................................................................................... 81 第 12 章 APACHE HTTP 安全服务器配置 ....................................................................................... 82 12.1 12.2 12.3 12.4 12.5 12.6 12.7 12.8 12.9 12.10 介绍 ............................................................................................................................................. 82 与安全相关的软件包概述 ......................................................................................................... 82 证书和安全概述 ......................................................................................................................... 84 使用已存钥匙和证书 ................................................................................................................. 84 证书类型 ..................................................................................................................................... 85 生成钥匙 ..................................................................................................................................... 86 生成发送给 CA 的证书请求 ..................................................................................................... 87 创建自签的证书 ......................................................................................................................... 88 测试证书 ..................................................................................................................................... 89 访问服务器 ............................................................................................................................. 89 第 13 章 基本防火墙配置 ..................................................................................................................... 91 13.1 13.2 第 14 章 安全级别配置工具 ..................................................................................................................... 91 激活 IPTABLES 服务.....................................................................................错误！未定义书签。 控制对服务的访问 ................................................................................................................. 93 14.1 运行级别 ..................................................................................................................................... 93 14.2 TCP 会绕程序............................................................................................................................. 94 14.2.1 Xinetd .................................................................................................................................. 94 14.3 服务配置工具 ............................................................................................................................. 95 14.4 NTSYSV ......................................................................................................................................... 96 14.5 CHKCONFIG ................................................................................................................................... 97 第 15 章 15.1 15.2 OPENSSH .............................................................................................................................. 98 为什么使用 SSH？ .................................................................................................................... 98 配置 OPENSSH 服务器 .............................................................................................................. 98 iii 银河麒麟服务器操作系统管理员手册 15.3 配置 OPENSSH 客户 .................................................................................................................. 99 15.3.1 使用 ssh 命令.................................................................................................................... 99 15.3.2 使用 scp 命令.................................................................................................................... 99 15.3.3 使用 sftp 命令 ................................................................................................................. 100 15.3.4 生成钥匙对 ....................................................................................................................... 100 第 16 章 16.1 16.2 16.3 第 17 章 验证配置 ............................................................................................................................... 104 用户信息 ................................................................................................................................... 104 验证 ........................................................................................................................................... 105 命令行版本 ..................................................................................................错误！未定义书签。 PAM ...................................................................................................................................... 107 17.1 PAM简介 ................................................................................................................................... 107 17.2 PAM配置文件 ........................................................................................................................... 108 17.2.1 基于目录的配置形式 ........................................................................................................110 17.2.2 通用参数............................................................................................................................110 17.2.3 配置文件入口示例 ............................................................................................................111 17.3 常见的PAM认证模块简介 ........................................................................................................112 17.3.1 pam_access认证模块 .........................................................................................................112 17.3.2 pam_chroot认证模块 .........................................................................................................113 17.3.3 pam_cracklib认证模块 ......................................................................................................113 17.3.4 pam_deny认证模块 ...........................................................................................................114 17.3.5 pam_env认证模块 .............................................................................................................115 17.3.6 pam_filter认证模块 ...........................................................................................................115 17.3.7 pam_ftp认证模块...............................................................................................................116 第 18 章 18.1 18.2 日期和时间配置 ....................................................................................................................117 时间和日期属性 ........................................................................................................................117 时区配置 ....................................................................................................................................118 第 19 章 键盘配置 ............................................................................................................................... 120 第 20 章 鼠标配置 ............................................................................................................................... 121 第 21 章 X 窗口系统配置 .................................................................................................................. 123 21.1 概述 ........................................................................................................................................... 123 21.2 理解 X....................................................................................................................................... 123 21.2.1 为什么要使用 X? ............................................................................................................ 123 21.2.2 X客户机/服务器模型 ....................................................................................................... 123 21.2.3 窗口管理器 ....................................................................................................................... 124 21.2.4 窗口部件........................................................................................................................... 125 21.3 XFREE86™ 的配置................................................................................................................... 125 21.3.1 开始之前........................................................................................................................... 125 21.3.2 配置 XFree86 4.X ............................................................................................................ 125 21.4 图形X 配置工具....................................................................................................................... 127 21.4.1 显示设置........................................................................................................................... 127 21.4.2 高级设置........................................................................................................................... 128 第 22 章 22.1 22.2 用户帐户管理 ....................................................................................................................... 130 概述 ........................................................................................................................................... 130 用户管理器 ............................................................................................................................... 131 iv 银河麒麟服务器操作系统管理员手册 22.2.1 添加新用户 ....................................................................................................................... 132 22.3 命令行下用户管理 ................................................................................................................... 134 22.4 命令行下用户组管理 ............................................................................................................... 135 22.5 对进程的解释 ..............................................................................................错误！未定义书签。 第 23 章 23.1 23.2 第 24 章 24.1 24.2 24.3 24.4 第 25 章 25.1 25.2 25.3 25.4 第 26 章 自动化的任务 ....................................................................................................................... 136 CRON .......................................................................................................................................... AT 和 BATCH .............................................................................................................................. 136 138 日志文件 ............................................................................................................................... 141 定位日志文件 ........................................................................................................................... 141 查看日志文件 ........................................................................................................................... 141 添加日志文件 ........................................................................................................................... 143 检查日志文件 ........................................................................................................................... 144 收集系统信息 ....................................................................................................................... 146 系统进程 ................................................................................................................................... 146 内存用量 ................................................................................................................................... 148 文件系统 ................................................................................................................................... 149 硬件 ........................................................................................................................................... 150 系统备份 ............................................................................................................................... 152 26.1 备份前的准备 ........................................................................................................................... 152 26.1.1 tar命令............................................................................................................................... 153 26.1.2 bzip2 和bunzip2 ................................................................................................................ 154 26.1.3 gzip和gunzip ..................................................................................................................... 154 26.1.4 zip和unzip ......................................................................................................................... 155 附 录.............................................................................................................................错误！未定义书签。 附录A：常见问题 ................................................................................................................................. 156 附录B：KYLIN和DOS常用命令对照表 ............................................................................................... 157 附录C：文件类型和文件名 ................................................................................................................. 159 附录D：术语表 ..................................................................................................................................... 161 v 银河麒麟服务器操作系统管理员手册 第1章 系统简介 银河麒麟操作系统 2.0 版（KYLIN2.0）是国防科大计算机学院推出的具有自主 知识产权的服务器操作系统。KYLIN2.0 操作系统在全面继承先前 KYLIN 2.0-alpha 版和 KYLIN2.0-Beta 版的整体特征的基础上，进一步优化和升级了操作系统核心， 并全面改进了 LSB 兼容性、安全性、网络性能、系统配置和用户使用环境等方面。 KYLIN2.0 将更适合于网络服务器系统、电子政务平台、安全信息服务器等用途。 1 银河麒麟服务器操作系统管理员手册 第2章 启动和关闭系统 2.1 GRUB 当使用安装程序完成了系统安装和基本配置任务之后，系统需要重新启动。在系统从硬盘 上重新启动之后，出现 grub 菜单。如下图： 图 1.1 grub 界面 grub 是一个多重启动管理器。grub 是 GRand Unified Bootloader 的缩写，它可以在多个操作 系统共存时选择引导哪个系统。它可以引导的操作系统包括 Linux,FreeBSD,Solaris, NetBSD,BeOSi,OS/2,Windows95/98,Windows NT,Windows2000，Kylin。它可以载入操作系统的 内核和初始化操作系统（如 Linux,Kylin），或者把引导权交给操作系统（如 Windows 98）来 完成引导。 2.1.1 GRUB的特点 grub，特别适用于 Kylin 与其它操作系统共存情况，它有以下特点： z 支持大硬盘 只要系统 BIOS 能支持 LBA 模式（大多数都支持），那么 LBA 就允许 GRUB 超越 1024 柱面的 限制，引导操作系统。 z 支持开机画面 grub 支持在引导开机的同时显示一个开机画面。 2 银河麒麟服务器操作系统管理员手册 z 两种执行模式 grub 不但可以通过配置文件进行例行的引导，还可以在选择引导前动态改变引导时的参数， 此外，还可以动态加载各种设备。Grub 的命令行有非常强大的功能，而且支持如 bash 或 doskey 一样的历史功能，您可以用上下键来寻找以前的命令。 z 分区位置改变后不必重新配置 grub 是通过文件系统直接把核心读取到内存，因此只要操作系统核心的路径没有改变，grub 就可以引导系统。 除此之外，Grub 还有许多非常强大的功能。例如支持多种外部设备，动态装载操作系统内 核，甚至可以通过网络装载操作系统核心。Grub 支持多种文件系统，支持多种可执行文件格式， 支持自动解压，可以引导不支持多重引导的操作系统等。 装载GRUB和操作系统的过程，包括以下几个操作步骤： 1. 加载基本的引导程序，这通常是第一步。基本引导程序必须是位于主引导扇区中一个非常 小的空间，少于 512 字节。因此，基本引导程序所做的唯一的事情就是装载第二引导程序。这 主要是因为主引导扇区中的空间太有限。 2. 装载第二引导程序，这通常称为第二步。此程序实际上是引出更高级的功能，以允许 用户装载入一个特定的操作系统。在GRUB中，这步是给用户显示一个菜单或是输入命令。 3. 加载在一个特定分区上的操作系统，如Kylin内核。一旦GRUB从它的命令行或是配置 文件中接到启动某操作系统的指令，它就寻找必要的引导文件，然后把机器的控制权移交给操 作系统。 这种引导方法被称为直接加载。因为这种方法使用的是直接加载操作系统的指令，没有用 到任何在引导程序和操作系统主文件（如内核）之间的中间代码。然而，不同操作系统所采用 的引导过程可能会与上面提到的有一些细微的不同。例如，微软的 DOS 和 Windows 操作系统在 安装时，倾趋于完全重写 MBR，而不是合并当前的 MBR 的配置。显然，这将破坏其他操作系统 保存在 MBR 中的所有信息，如 Kylin。微软操作系统，还有一些其他的专有操作系统，都是使 用一种称为链式加载的引导方法来启动。在这种方法中，MBR 仅仅是简单地指向操作系统所在 分区的第一个扇区。 GRUB 支持直接和链式加载的引导方法。GRUB 能用于几乎所有操作系统，绝大多数流行的文 件系统，以及几乎所有的系统 BIOS 所能识别的硬盘。 2.1.2 GRUB 的术语 在使用 GRUB 之前，首先要理解这个程序如何引用设备，如系统硬盘驱动器、分区等。对于 配置 GRUB 实现多操作系统的引导，这方面的信息是很重要的。 3 银河麒麟服务器操作系统管理员手册 2.1.3 设备名称 系统的第一个硬盘驱动器被 GRUB 称为(hd0)。在它上面的第一个分区被称为(hd0,0)，第二 个硬盘驱动器上的第 5 个分区被称为(hd1,4)。通常使用 GRUB 时，文件系统习惯上采用下面的 方式命名： (,) 在设备命名中，圆括号和逗号是很重要的。指出是一个硬盘(hd)还是一个软盘(fd)被指定。 磁盘序号是依照系统 BIOS 而确定的设备号，从 0 开始。基本 IDE 硬盘被标为 0，第二 IDE 硬盘被标为 1。与 Kylin 内核中设备的命名对应关系是：hd0 对应于 ad1 ,hd1 对应于 ad2 依次 类推。 注意：GRUB 用于设备的命名系统是从 0 开始，而不是 1。这常常是 GRUB 新手们常犯的最普 遍的错误。 分区的编号也是从 0 开始。虽然大多数的分区可以用数字指定，但是如果系统使用的是 BSD 分区，那么它们还是用字母来指定，如 a 或 c。 GRUB 在命名设备和分区时，使用下面的规则： ¾ 系统使用 IDE 硬盘或 SCSI 硬盘，都没有关系。所有的硬盘都是用 hd 开始，软盘 用 fd 开头。 ¾ 当指定整个硬盘且不考虑它的分区时，简单地将逗号和分区编号取消即可。当告 诉 GRUB 配置一个特定硬盘的主引导扇区时，这一点很重要。比如，(hd0)指定第一个设备， (hd3)指定第四个设备。 ¾ 如果一个系统有多个驱动设备，知道由 BIOS 确定的驱动器顺序就很重要了。如果 系统只有 IDE 或 SCSI 驱动器，那是相当简单的。但是如果有多个驱动器混合时，情况就会 复杂一些。 2.1.3.1文件名称 当在 GRUB 中输入包括文件的命令时，比如在多操作系统中使用一个菜单列表，文件名必须 直接在设备和分区后指定。一个绝对文件名的格式如下： (,)/path/to/file 多数情况下，用户可以通过在分区的目录路径后加上文件名来指定文件。这种方法是直接 了当的。 另外，我们也可以将不在文件系统中出现的文件指定给 GRUB，比如在一个分区最初几块扇 区中的链式引导程序。为了指定这些文件，需要提供一个块列表(blocklist)，由它来一块一块 地告诉 GRUB 文件在分区中的位置。当一个文件是由几个不同的块组合在一起时，需要有一个特 殊的方式来写块列表。每个文件片断的位置由一个块的偏移量以及从偏移点起始的块数来描述， 这些片断以一个逗号分界(comma-delimited)的顺序组织在一起。考虑下面的块列表： 0+50,100+25,200+1 4 银河麒麟服务器操作系统管理员手册 上面这个块列表告诉 GRUB 使用一个文件，这个文件起始于分区的第一块，使用了第 0 块到 第 49 块，第 99 块到 124 块，以及第 199 块。 当使用 GRUB 装载诸如微软 Windows 这样采用链式装载方式的操作系统时，知道如何写块列 表是相当有用的。如果从第 0 块开始，那么可以省略块的偏移量。作为一个例子，当链式装载 文件在第一硬盘的第一个分区时，可以使用下面的命名： (hd0,0)+1 下面给出一个带类似块列表名称的 chainloader 命令。它是在设置正确的设备和分区作为 根后，在 GRUB 命令行中给出的。 chainloader +1 GRUB 的根文件系统 一些用户常困惑于 GRUB 中根文件系统(root filesystem)这一术语的用法。GRUB 的根文件 系统与 Kylin 的根文件系统是没有关系的，这一点需要记住。 在 Kylin 中，一旦 GRUB 载入包含 Kylin 内核的根分区，就可以使用 kernel 命令来选择内 核文件的位置以加载 Kylin 内核。一旦 Kylin 内核引导，它就设定自己的根文件系统，此时的 根文件系统就是大多数人用来与 Kylin 联系的了。最初的 GRUB 根文件系统以及它的挂入都被去 掉，它们仅存在于用来引导内核文件。 关于根和内核命令的更多信息，可以参考后面的命令部分。 2.1.4 GRUB 的接口 GRUB 主要有三个强大的接口，它们提供了不同级别的功能。每个接口都允许用户引导操作 系统，甚至可以在处于 GRUB 环境下的接口之间移动。 2.1.4.1 菜单接口 如果 GRUB 是由 Kylin 的安装程序自动配置的，那么它默认的显示接口是菜单接口。在系统 第一次启动后，将出现按名称排列一个操作系统或内核列表（事先已经用它们各自的引导命令 配置好）。使用箭头键选择所要启动的操作系统，然后按回车键来引导它。如果不选，一段时 间后 GRUB 将启动默认选项。 在菜单接口上，按[e]键，对高亮菜单项中的命令进行编辑。按[c]键载入一个命令行接口 2.1.4.2 菜单项目编辑器接口 在引导装载菜单中按[e]键，就进入了菜单项目编辑器。用于项目的 GRUB 命令就显示在这 里。在引导操作系统前，用户可以更改这些命令，添加(加在当前行后面，用[o]键；加在当前 行前，用[0])，编辑(用[e]键)，删除(用[d]键)。 在所有的改变都完成后，用[b]键来执行这些命令，并引导操作系统。[Esc]键来放弃这些 修改，将重新入标准的菜单接口。[c]键用来载入命令行接口。 2.1.4.3 命令行接口 命令行是 GRUB 最基本的接口，但它也是被授予了最大控制能力的接口。在命令行接口中， 输入任何相关的 GRUB 命令，再回车就可以执行了。这个接口的功能有点类似于 shell 的功能， 5 银河麒麟服务器操作系统管理员手册 比如[Tab]键完成，前后文提示，输入命令时的[Ctrl]键组合，如[Ctrl]-[a]移到行的开头， [Ctrl]-[e]移到行的结尾。另外，箭头键，[Home],[End],[Delete]键与 bash shell 中一样用 法。 2.1.4.4 接口使用的顺序 当 GRUB 环境开始载入第二步引导装载程序时，它寻找自己的配置文件。当找到配置文件后， 它使用这个配置文件建立一个要载入的操作系统的菜单列表， 然后显示引导菜单接口 如果配置文件没有被找到，或者如果配置文件不能读取，那么 GRUB 将载入命令行接口，以 允许用户手工输入必要的命令来启动操作系统。 如果配置文件不是正确的，那么 GRUB 将显示错误，并请求输入。用户将能看到问题发生在 文件中的什么地方并修复它。按下任意键，重新载入菜单接口，根据 GRUB 报告的错误，编辑菜 单选项并纠正问题。如果这个修正失败了，那么错误将被报告，且 GRUB 将再次开始。 2.1.5 GRUB 的命令 GRUB 包含了许多不同的命令，它们可以在命令行接口中以交互的方式执行。其中的一些命 令能接在命令名后面的选项，这些选项用空格隔开。 下面的列表给出了最有用的一些命令： ·boot - 引导先前已经被指定并载入的操作系统或链式装载程序。 ·chainloader - 将指定的文件作为一个链式装载程序载入。为了获取在一个指定分区第 一扇区内的文件，使用+1 作为文件名。 ·displaymem - 显示当前内存的使用情况，这个信息是基于 BIOS 的。这个命令有助于确 定系统在引导前有多少内存。 ·initrd - 使用户能够指定一个在引导时可用的初始 RAM 盘。当内核为了完全引导而需要 某些模块时，这是必需的。 ·install p - 安装 GRUB 到系统的主引导记录。这个命令允许系统重启时出现 GRUB 接口。 ·kernel - 当使用直接载入方式引导操作系统时，kernel 命令指定内核从 GRUB 的根文件 系统中载入。 在 Kylin 中，一个 kernel 命令的例子看起来象下面的形式： kernel /vmlinuz root=/dev/hda5 上面这行表明了 vmlinuz 文件是从 GRUB 的根文件系统载入的，如(hd0,0)。同时，还指明 当 Kylin 内核载入时，内核的根文件系统应该是位于 hda5，即第一个 IDE 硬盘的第六个分区。 如果有必要的话，多个选项可以被放在这个选项后面。 ·root - 将 GRUB 的根分区设置成特定的设备和分区，比如说(hd0,0)。并挂入这个分区， 这样文件可以被读取。 ·rootnoverify - 做 root 命令同样的事情，只是不挂入分区。 除上面所述外，还有更多的命令可用。输入 info grub，得到一个所有命令的完全列表。 6 银河麒麟服务器操作系统管理员手册 2.1.6 GRUB 的菜单配置文件 配置文件的专用命令 下面这些命令只用于 GRUB 的菜单配置： ·color - 设定在菜单中使用的颜色，一种是作为前景色，一种作为背景色。可以简单地 使用颜色名称，如 red/black。比如： color red/black green/blue ·default - 默认项目的名称。如果菜单接口超时，那它将被载入。 ·fallback - 当这个命令被使用时，如果第一次尝试失败，那么该项目将被试用。 ·hiddenmenu - 这个命令被使用时，它不显示 GRUB 菜单接口，在超时时间过期后载入默 认项。用户通过按[Esc]键，可以看到标准的 GRUB 菜单。 ·password - 使用这个命令为菜单编辑添加口令。 作为附加选项，可以在后面指定一个后备的菜单配置文件。因此，如果口令被知道，GRUB 将重新启动第二步的引导程序，并使用这个后备的配置文件来建立菜单。如果这个后备文件不 在命令中指出，那么知道口令的用户能够编辑当前的配置文件。 ·timeout - 这个命令设定了在 GRUB 载入由 default 命令指定的项目前的时间间隔，以秒 为单位。 ·splashimage - 它指定在 GRUB 引导时所使用的屏幕图像文件的位置。 ·title - 设定用来装载一个操作系统的一组特定命令的标题。 字符#用来在菜单配置文件放置注释。配置文件的结构 设置 GRUB 菜单接口全局参数的命令被放在文件的顶部，接下来的是用于各个操作系统引导 的不同项目。 一个典型的用于引导 Kylin 或 Microsoft Windows 2000 的 GRUB 菜单配置文件可能如下所 示： default=Kylin timeout=10 color=green/black light-gray/blue # section to load Kylin title Kylin root (hd0,0,a) kernel (hd0,0,a)/boot/loader mute boot # section to load Linux title linux root (hd0,1) kernel /vmlinuz root=/dev/hda5 boot # section to load Windows 2000 title windows 7 银河麒麟服务器操作系统管理员手册 rootnoverify (hd0,0) chainloader +1 这个文件告诉 GRUB 建立一个以 Kylin 为默认操作系统的菜单，设定 10 秒后自动引导。这 里给出了 3 个部分，每个部分对应于一个操作系统项目，每个部分都包含了指向操作系统硬盘 分区表的命令。 2.2 启动脚本 在内核检测完系统硬件之后，会把控制权传递给 init 进程。init 进程将负责启动系统和各 种守护进程。init 所做的第一件事情就是检查清除标记是否已经设置。如果上次是正常关闭系 统，会在每个磁盘上运行 sync 程序确保所有数据都已经写回，卸载文件系统，并在文件系统上 设置清除标记（clean）。如果非正常关机，则不会设置清除标记。如果 init 检查出已经设立清 除标记，则载入文件系统，开始读取系统配置脚本。如果 init 检查出清除标记没有设置，则先 运行 fsck 程序修复文件系统。fsck 不能修复的区域可以进入单用户模式手动修复，如果 fsck 自 动修复成功，则 init 载入/etc/fstab 文件中列出的各个文件系统，然后再开始读取系统配置脚本。 系统配置脚本位于/etc、/etc/default 和/etc/rc.d/。除此之外，init 还要检查/usr/local/etc/rc.d 目录，获得启动时需要运行的其他脚本。/etc/rc 启动脚本将完成很多非常重要的工作，包括设 置磁盘交换、检查磁盘错误、设置网络界面，启动网络服务程序等非常重要的工作。每个启动 一个特定功能的设置都被放入一个脚本中，然后将所有的脚本都放入启动目录中。系统启动时 逐项检查这个目录下的执行脚本并自动执行这些脚本。/etc/rc 文件也将执行另外的 rc 文件，如 执行 rc.sysinit 用于大部分系统参数的设置，network 用于网络设置，rc.local 用于管理员对本机 特定的启动设置等。其中 rc.sysinit 文件中包含了用户能够更改的很多参数，这些参数在其他 rc 文件中使用，用于系统配置，因此对系统管理来讲最为重要。 KYLIN 2.0 有 6 种不同的启动级别，每个启动级别都有/etc/rc.d 目录下的启动目录 rc*.d 与其对应。 2.3 登录系统 系统执行完所有启动脚本之后，KYLIN 1.0 将按照配置首先启动图形登录界面，如图 2.2 所 示。 图 2.2 登录窗口 根据提示使用 root 用户和安装时设置的 root 口令登录系统。当用户名和口令通过验证后， 进入 KYLIN 的图形桌面，如图 2.3 所示。 8 银河麒麟服务器操作系统管理员手册 图 2.3 Kylin 桌面 KYLIN 2.0 还提供多个虚拟控制台，在控制台上启动登录进程 login，以接受用户登录。 可以使用 Alt+Fn (n ~ 1, 2, …, 7)功能键在不同的控制台之间切换。其中，Alt+F7 是用来 进入图形界面的。 在虚拟控制台上的 login 提示符后，输入用户名和用户口令。用户通过口令认证之后，屏 幕上将显示/etc/issue 中的内容，/etc/issue 文件中通常放置一些通告内容。然后 login 程 序启动用户的登录 shell，由登录 shell 为用户设置好使用环境。 使用 root 身份登录，您将没有任何的限制。您可以存取任何文件，控制任何进程，但操 作时必须小心，任何错误都可能导致一场灾难，有时甚至会系统崩溃。因此，除非十分必要， 例如重新编译内核、安装新软件或安装新文件系统等。一般情况下，不要用 root 帐号执行日 常的工作。 2.4 关闭系统 当不再使用操作系统时，要使用正确的方法关闭系统。如果使用直接关闭电源的方法来关 闭计算机，可能会对系统造成严重的破坏。 关闭系统的命令是 shutdown 命令，该命令的使用格式如下： # shutdown[选项] 参数 最经常使用的关闭系统的命令是： ＃shutdown –h now 其中，-h 选项表示关机后不重新启动。 9 银河麒麟服务器操作系统管理员手册 shutdown 命令的其他常用选项含义如下： -r 如果更新了系统内核，要重新启动系统，则应使用此选项，表示关机后立即重新启动。 -t 加上时间选项，表示多长时间后系统将关闭，这个选项和参数是传送给内核程序的。 更详细的选项及参数可以参看 man 手册。 另外，立即启动和停机的命令还有 reboot 和 halt，相当于使用-r 或-h 选项的 shutdown 命令。但是这种方法没有警告功能。一般在单人使用的系统中使用。 如果处于图形桌面环境，您也可以直接点击菜单中的“注销”选项，弹出如图 2.4 所示的 对话框，有三个选择“注销”、“关机”或“重新启动”。 图 2.4 关闭系统 选择其中的“关机”就可以安全关闭系统了。 10 银河麒麟服务器操作系统管理员手册 第3章 登录和注销 3.1 通过终端登录 首先，init 确认有一个 getty 程序提供给终端连接或控制台。getty 监听终端等候用户登录。 当它接收到一个新的登录请求，getty 输出一个欢迎信息(存在/etc/issue 中)，并提示用户名，最 后运行 login 程序。login 作为一个参数得到用户名，并提示用户输入口令。如果正确，login 启 动给此用户设置的 shell，否则退出并终止进程。init 发现进程终止后，会给这个终端启动一个 新的 getty 。 3.2 telnet 远程登录 KYLIN2.0 系统允许用户使用 telnet 协议在远程计算机之间进行通信，用户可以通过网络 在远程计算机上登录，就像登录到本地计算机上执行命令一样。 为了通过 telnet 登录到远程计算机上，远程用户必须知道远程机上的合法用户名和口令。 虽然有些系统确实为远程用户提供登录功能，但出于对安全的考虑会限制来宾的操作权限，因 此，这种情况下能使用的功能是很少的。当允许远程用户登录时，系统通常把这些用户放在一 个受限制的 shell 中，以防止系统被怀有恶意的或不小心的用户破坏。用户还可以使用 telnet 从 远程站点登录到自己的计算机上，检查电子邮件、编辑文件和运行程序，就像在本地登录一样。 但是，用户只能使用基于终端的环境而不能使用 X Windows 环境，telnet 只为普通终端提供终 端仿真，而不支持 X Window 等图形环境。 发出 telnet 请求且成功运行后，telnet 将从远程机上得到 login 提示符，显示登录信息并提 示用户输人用户名和口令。如果用户名和口令输入正确，就能成功登录并在远程系统上工作。 3.3 注销系统 当工作完成之后，可以点击菜单中的注销系统，退出当前会话，如图 3-1 所示。也可以在 文本界面下用 logout 命令、exit 命令或者 Ctrl-D（^D）组合键来结束当前会话，退出登录过程。 在桌面环境下，点击菜单中的“注销”选项，弹出如图 3.1 所示的对话框，您可以选择“注 销”、“关机”或“重新启动”。 从系统的安全角度考虑，在不使用操作系统的时候注销系统是非常重要的。 图3.1 注销系统 11 银河麒麟服务器操作系统管理员手册 第4章 文件系统管理 4.1 目录树概述 Kylin 的文件系统从整体看是一个树型结构，一般称这样的结构为目录树。整个目录树可 以分割成更小的部分，每一部分可放在它自己的磁盘上或分区内，以适应操作系统对磁盘大小 的限制，同时也有利于备份或者进行一些其他的系统管理。主要的目录部分有根/root、/usr 、 /var 和 /home 等，见图 4.1。每个部分各有不同的用途。目录树可以通过只读设备(如 CDROM) 或 NFS 网络共享文件系统的一些部分。 对于目录树的不同部分虽然都称为文件系统，但它们不一定是真的分离的文件系统。为了 简单化，也可以把它们放在一个文件系统中。 下面将对它们做较为详细的描述。 图 4.1 Kylin 目录树中的部分（虚线只是出分区的限制） 4.1.1 根（root）文件系统 root 文件系统是每台机器特有的（它一般保存在本地磁盘上，但也可保存在 RAM 磁盘或 网络驱动器上），其中包含启动系统和引导装入文件系统所需的文件。因此，对单用户模式来 说，root 文件系统的内容已经足够。另外，该文件系统内还包含一些工具，用于修复损坏的系 统和从备份中恢复丢失的文件。 根目录一般不含任何文件，除了可能的标准的系统引导映象，通常叫/vmlinuz 。所有其他 文件在根文件系统的子目录中。 12 银河麒麟服务器操作系统管理员手册 4.1.2 /etc 文件系统 /etc 目录包含很多文件。可以通过阅读相应程序的 man 手册来获得有关资料。这里简单的 介绍其中的一部份。 /etc 目录中包含许多文件。下文将讨论其中的一部分。另外的文件，则可由您决定它们属 于哪个程序，并参考那个程序的手册页。许多连网配置文件也被包含在/etc 内，详情参见本书 第一部分。 /etc/rc 或/etc/rc.d 或/etc / rc?.d 启动时或运行级别发生变化时运行的脚本或脚本目录。 /etc/passwd 用户数据库，其中有一些字段指定用户名、用户真名、根目录、加密密码以及该用户的其 他信息。其格式已编入 man passwd 手册页。 /etc/fdprm 软盘参数表。描述各种软盘的不同格式。供 setfdprm 使用。更多详情参考 setfdprm 手册页。 /etc/fstab 列出启动时由 mount -a 命令（在/etc/rc 或等同的启动文件内）自动挂载的文件系统。Kylin 系统中，这个文件还包含一些信息，这些信息和 swapon -a 自动采用的交换区有关。更多详情 参考 mount 手册页。 /etc/group 类似于/etc/passwd，但它描述的不是用户，而是组。更多详情，请参考 group 手册页。 /etc/inittab init 配置文件。 /etc/issue 登录提示出现之前的 getty 输出。通常包含对系统的简短说明或欢迎消息。其内容由系统 管理员决定。 /etc/magic 文件的配置文件。其中包含不同文件格式的说明，以便根据格式猜测出文件的类型。更多 详情，请参考 magic 和 file 手册页。 /etc/motd 日期消息，是在成功登录之后自动输出的。其内容由系统管理员决定。通常用来提示每个 用户，比如既定的系统关闭警告等。 /etc/mtab 列出当前已装入的文件系统。最初是由启动脚本设置，由 mount 命令自动更新。用于需要 给出已装入文件系统列表时（比如说在运行 df 命令时）。 /etc/shadow 在已安装影子密码软件的系统上的影子密码文件。影子密码把已加密的密码从/etc/passwd 移入/etc/shadow；后者只有 root 才能读取。这样可进一步保证密码的安全性。 /etc/login.defs login 命令的配置文件。 13 银河麒麟服务器操作系统管理员手册 /etc/printcap 类似于/etc/termcap，但对象是打印机。而且采用的语法也不同。 /etc/profile、/etc/csh.login 和/etc/cshrc 登录或启动时，由 Bourne 或 C 外壳执行的文件。这些文件允许系统管理员为所有的用户 设置为全局默认设置。各外壳的详情，请参考手册页。 /etc/securetty 标识安全终端，也就是允许 root 通过哪些终端登录。一般说来，只列出了虚拟控制台，如 此一来，恶意用户不可能通过 modem 或网络攻击系统，从而获得超级用户特权（至少很难）。 /etc/shells 列出受信（信得过的）外壳。chsh 命令允许用户把他们自己的登录外壳改成这个文件内列 出的受信外壳。为计算机提供 FTP 服务的.ftpd 服务器进程，将复查用户的外壳是否在/ etc/shells 内，如果在，将允许用户登录，如果不在，就不会让用户登录。 /etc/termcap 终端性能数据库。描述按照什么样的“转义序列”来控制不同的终端。编写程序时，不是 直接输出转义序列（只运行于特定品牌的终端），而是查找正确的序列，以执行自己打算在 /etc/termcap 内执行的操作。这样做的结果是，多数程序都可利用各种各样的终端。更多详情， 请参考 termcap、curs_termcap 和 terminfo 手册页。 4.1.3 /dev 文件系统 /dev 目录下包含所有设备的特定设备文件。设备文件的命名有特殊的约定；对这些约定的 描述包括在 Device 列表中。设备文件是在安装期间或后期，利用/dev /MAKEDEV 脚本创建的。 /dev/ MAKEDEV.local 是由系统管理员编写的一个脚本，它创建只用于本地的设备文件或链接 （也就是那些不属于标准 MAKEDEV 的设备文件，比如用于某些非标准设备驱动程序的设备 文件）。 4.1.4 /usr 文件系统 /usr 文件系统经常很大，因为所有应用程序会安装在这里。/usr 里的所有文件一般来自 Kylin 2.0 distribution，本地安装的应用程序和其它东西在/usr/local 下。这样可能在升级新版本 系统或新 distribution 时无须重新安装全部程序。/usr 的一些子目录在下面列出。 /usr/X11R6 X Window 系统的所有文件。为简化 X 的开发和安装，X 的文件没有集成到系统中。 /usr/X11R6 相当于 X 自己的/usr 。 /usr/bin 几乎所有用户命令。有些命令在/bin 或/usr/local/bin 中。 /usr/sbin 根文件系统不必要的系统管理命令，例如多数服务程序。 /usr/man, /usr/doc 手册页、其他文档文件。 14 银河麒麟服务器操作系统管理员手册 /usr/include C 编程语言的头文件。为了一致性这实际上应该在/usr/lib 下，但传统上支持这个名字。 /usr/lib 程序或子系统的不变的数据文件，名字 lib 来源于库(library)。 /usr/local 本地安装的软件和其它文件放在这里。 4.1.5 /var 文件系统 /var 包括系统一般运行时要改变的数据。每个系统是特定的，即不通过网络与其他计算机共享。 /var/cache 当要求格式化时 man 页的 cache。 /var/lib 系统正常运行时要改变的文件。 /var/local /usr/local 中安装的程序的可变数据，即系统管理员安装的程序。注意，如果有必要，即使 本地安装的程序也会使用其他/var 目录，例如/var/lock 。 /var/lock 锁定文件。其它程序注意到这个锁定文件，将不会在尝试使用这个设备或文件。许多程序 都遵循使用/var/lock 中锁定文件的约定 /var/log 各种程序的 Log 文件，特别是 login (/var/log/wtmp log 所有到系统的登录和注销) 和 syslog (/var/log/messages 里存储所有核心和系统程序信息)。 /var/log 里的文件经常不确定地增长，应 该定期清除。 /var/run 保存下次引导前有效的关于系统的信息文件。例如， /var/run/utmp 包含当前登录的用户的 信息。 /var/spool mail，打印队列和其他队列工作的目录。每个不同的 spool 在/var/spool 下有自己的子目录， 例如，用户的邮箱在/var/spool/mail 中。 /var/tmp 存放比/tmp 中更大或需要存在较长时间的临时文件。 (虽然系统管理员可能不允许/var/tmp 有很旧的文件) 4.1.6 /proc 文件系统 /proc 文件系统是一个假的文件系统。它不存在在磁盘某个磁盘上，而是由内核在内存中产生， 用于提供关于系统的信息(originally about processes, hence the name)。下面说明一些最重要的文 件和目录。 /proc 文件系统在 proc 的 man 页中有更详细的说明。 15 银河麒麟服务器操作系统管理员手册 /proc/1 关于进程 1 的信息目录。每个进程在/proc 下有一个名为其进程号的目录。 /proc/cpuinfo 处理器信息，如类型、制造商、型号和性能。 /proc/loadavg 系统“平均负载”。 /proc/meminfo 存储器使用信息，包括物理内存和 swap。 /proc/net 网络协议状态信息。 /proc/self 链接到查看/proc 的程序的进程目录的符号连接。当 2 个进程查看/proc 时，他们属于不同 的连接。这主要是为了便于程序得到它自己的进程目录。 /proc/stat 系统的不同状态。 /proc/uptime 系统启动的时间长度。 /proc/version 内核版本信息。注意所有上述文件给出易读的文本文件，有时可能是不易读的格式。用命 令做相应的格式化可以方便阅读。例如，free 程序读/proc/meminfo 并将给出的字节数转换为千 字节，且增加了一些信息。 4.2 文件系统类型 Kylin 2.0 将文件保存在磁盘等存储设备上，由操作系统来具体处理访问硬件设备的问题， 操作系统在存储设备上创建文件系统之后，该设备才能用于存储文件，设备可以是软盘，可以 是一个硬盘分区，或者其他允许随机存取的块设备存储介质。 Kylin 2.0 的一个重要特征就是支持多种文件系统，这样它更为灵活并可以和许多其他种类 的操作系统交换数据，其中最常用的有以下几种： 1、UFS——是 Kylin 1.0 上的根文件系统，它实现了所有的标准文件属性，如文件属主和 组、存取权限等属性。 2、cd9660——支持 ISO 9660 格式的 CD-Rom。 3、NFS——网络文件系统，通过它 Unix 能在网络上共享文件系统。 4、msdos——DOS 和 Windows 使用的 FAT 文件系统，基本上是使用 7.3 的文件名， Windows95 之后扩展了文件名的长度，但仍然不区分大小写。Kylin 2.0 支持 Windows95 的长 文件名扩展和 FAT 32 格式的分区。 5、ext2——Linux 使用的文件系统。 6、NTFS－—Windows NT 使用的文件系统。 7、Proc——由核心在内存中产生的文件系统，用于提供关于系统的信息。实际上是一个假 的文件系统。 16 银河麒麟服务器操作系统管理员手册 Kylin 2.0 使用的 UFS 文件系统在基本分区中进行了划分，文件系统建立在 BSD 风格的子 分区中。这样每个 UFS 分区中能有多个文件系统，每个文件系统或交换空间各有一个标签 （DiskLabel），来标识其本身的起始和结束。当真正要使用文件系统时，就需要获得硬盘上文 件系统（UFS 分区和分区内部各个文件系统的 DiskLabel）的具体信息。这些硬盘上文件系统 的信息应该由管理员维护，同时也记录在硬盘上，可以使用 Kylin 2.0 中的系统工具 fdisk 来获 得保存在硬盘本身中的信息。 在 fdisk 的基础上，可以使用 disklabel 命令来检查硬盘上 BSD 子分区信息，如下所示： # disklabel ad0s3 disklabel 除了显示各个子分区 a-f 之外，还显示硬盘的参数。 4.3 创建、装入和卸载文件系统 4.3.1 创建文件系统 创建文件系统需要三个步骤。 第一步：使用 fdisk 命令进行硬盘的分区工作，fdisk 能查看系统分区表上的分区信息，并 更改其分区设置； 第二步：使用 disklabel 命令划分不同子分区空间并标记各个空间的 DiskLabel ； 第三步：使用 newfs 建立新文件系统，或者使用 swapon 命令增加交换设备。 4.3.2 装载文件系统 装载文件系统使用 mount 命令进行，其最基本的使用格式为： # mount device mountpoint mount 命令的主要选项如下： -a 安装/etc/fstab （见设置 fstab 文件）中列出的所有文件系统（除了那些被标记为 “noauto”或已经被安装的文件系统）。可以加上-t 选项来把它们排除在外。 -d 这个选项一般与-v 选项连在一起使用，可以决定 mount 将要在做什么事情。 -f 强制安装文件系统。 -r 安装只读文件系统，这与使用 rdonly 命令加上-o 选项完成的功能是一样的。 -t fstype 指定需安装文件系统类型。如果加上-a 选项，就只能安装给定类型的文件系 统。“ufs”是默认的文件类型。 -u 更新文件系统上的配置选项 -v 给出详细信息。 -w 挂上可以读写的文件系统 -o 提供了一个用逗号分割的选项列表，包括下面这些： nodev 不要解释文件系统上的特殊设备有用的安全选项； noexec 不允许在这个文件系统上执行二进制程序，是有用的安全选项； nosuid 不要在文件系统上解释 setuid 或 setgid 标记，也是有用的安全选项 17 银河麒麟服务器操作系统管理员手册 例如下面这个命令是把/dev/hda3 的内容装载到/mnt/dos： # mount –t vfat /dev/hda3 /mnt/dos 命令执行以后，可以在/mnt/dos 目录下面看到/dev/hda3 里面个所有内容。 4.3.3 卸载文件系统 卸载文件系统使用 umount 命令，其最基本使用格式为： # umount device/mountpoint… umount 命令后面加上的选项可能是一个加载点、一个设备名或是-a、 -A 选项；所有加-f 选 项的形式将会被强迫卸载；-v 选项是显示更多的信息；-a -A 选项用来卸载所有已挂上的文件 系统，但不建议卸载根文件系统。 例如想把前面例子中装载的/dev/hda3 卸载掉，则可以使用下面的命令： # umount /mnt/dos 卸载文件系统时，要先离开装载点目录，如果其中的程序在执行状态也应该退出执行，否 则会提示您不能卸载该文件系统。 4.4 设置 fstab 文件 在系统启动时，系统将自动装载必需的文件系统。而管理员所要做的是告诉 KYLIN2.0 应 该装载哪个文件系统、装载到哪个目录上和有关装载的参数和选项。所有的这些信息都必须写 入文件/etc/fstab 中。在装载 KYLIN 2.0 时，这个文件已经包含必要的文件系统，此后所要做的 只是在这个文件中再增加其他的文件系统。 # Device /dev/ad0s2b /dev/ad0s1a /dev/ad0s3d proc /dev/acd0 Mountpoint none / /home /proc /cdrom FStype swap ufs ufs procfs cd9660 Options Dump sw 0 rw 1 rw 2 rw 0 ro,noauto 0 Pass# 0 1 2 0 0 /etc/fstab 文件中的每一行为一种文件系统或交换设备定义对应的设备文件及装载选项。其 中根文件系统具备一定的特殊之处，因为/etc/fstab 以及 KYLIN 2.0 的内核文件本身处于根文件 系统中，因此系统必须首先装载根文件系统，才能正常访问其它文件系统。事实上根文件系统 在 KYLIN 1.0 内核中已经有了设置，启动时首先以只读方式装载根文件系统，并读取根文件系 统中相关文件的内容，然后再根据文件内容装载各个文件系统。 在使用了 fstab 文件之后，mount 命令的写法就可以简化了。mount 命令将查看 fstab 文件 中的内容以进行匹配，来选定正确的参数。 在装载了文件系统之后，可以使用不加参数的 mount 命令或 df 命令查看当前已装载的文 件系统信息。 4.5 检查文件系统 fsck 程序主要是在系统启动时，从/etc/fstab 文件中取出文件系统并装入之前运行，以便保 证所有文件系统都是“干净的”且适合装入。但在出现任何不一致时，需用该程序来修复，因 为没有正常关机操作而导致文件系统未被标识为“clean”时，也需要用该程序来整理它。 18 银河麒麟服务器操作系统管理员手册 fsck 结束运行后，可能会给出一个#提示符，这是后可以键入“boot”继续启动系统，也可 以键入“reboot”重新开时一个完整的启动过程。 对 fsck 而言，系统启动时并不是其唯一可以运行的地方。它任何时候都可以在意装入的文 件系统上通过命令来运行，尽管在系统已经满载并处于运行状态时这样做并不好。有一点非常 重要，如果对有故障的文件系统执行一致性检查时，最好不要修改文件系统上的东西。如果要 在系统的主要设备上运行此命令，应该把系统切换到单用户模式。 为了避免与当前磁盘的存取操作冲突，在进行检查之前先将文件系统卸载。为了不影响系 统中正运行的进程，进行磁盘维护，最好首先进入单用户状态。这个状态下将关闭所有不必要 的进程，系统也只装载了根文件系统，其他文件都没有装载，而且即使是根文件系统，也是以 只读方式装载的，这样能保证不会发生存取冲突，导致文件系统出现错误。 一旦磁盘被检查出错误，fsck 将提示管理员是否进行修改，可以使用 “-y” 参数，使得 fsck 自动进行修复工作，而不进行任何提示。系统每次启动的时候，都会使用这个参数自动检查和 修复文件系统。 如果想装入第二个磁盘，并且向磁盘中加入一个的文件系统，即使是在多用户模式下用 fsck 命令仍然是安全的。因为在系统启动时运行 fsck 命令，只是检查罗列在/etc/fstab 下的文件系统， 而不是向 fstab 文件中加入新设备并重新启动系统。但是如果这种方法失败了，就需要用 fsck 命 令，用前面所述的方法进行检查和修复，然后再重新装入磁盘。 4.6 监视文件系统 df 命令和 du 命令是用来查看系统状态的两个命令。主要用于系统管理员维护 系统。 4.6.1 df 命令 df 命令（disk free，磁盘释放）是了解系统磁盘使用状态最直接的方法。df 读操作是日常 检查工作的一部分。它还可以提供不同文件系统及其对应设备名称的相关信息。在命令行执行 df 命令后，屏幕上出现下列所示的信息： Filesystem /dev/ad0s1a devfs /dev/ad0s3d proc 1K-blocks 3965150 1 11772606 4 Used 1692352 1 142154 4 Available 1955586 0 10688644 0 Use% 47% 100% 2% 100% Mounted on / /dev /home /proc 4.6.2 du 命令 除了 df 命令，还有一个更具体的方法来监视磁盘的使用情况，尤其是您正在运行一台网络 服务器，而且拥有很多用户，任何用户都可能把庞大的数据放到自己的 home 目录下面。 这时候可用的工具是 du（disk usage,磁盘使用）。du 命令会用递归方式来判断当前所在的 目录下的每个目录的大小。当然也可以用带有一个数字值的－d 命令开关，即要求 du 命令递 归到第几级。还可以指定-s 选项，该选项强制执行“总结”模式。 19 银河麒麟服务器操作系统管理员手册 例如： # du –s 该命令只显示当前目录的文件所占用的磁盘空间。 20 银河麒麟服务器操作系统管理员手册 第5章 软件包管理 5.1 使用 RPM 来管理软件包 RPM 软件包管理器（RPM）是一种开放打包系统，任何人都可以使用。它在红帽企业 Linux， 以及其它 Linux 和 UNIX 系统上运行。Red Hat, Inc. 鼓励其它销售商在他们自己的产品上使 用 RPM 技术。RPM 按照 GPL 条款被发行。 对于终端用户来说，RPM 简化了系统更新。安装、卸装、升级 RPM 软件包可以使用简短的 命令就可完成。RPM 维护一个已安装软件包及其相应的文件数据库，因此，您可以在系统上使 用功能强大的查询和校验。 在升级中，RPM 处理配置文件时非常谨慎，因此决不会丢失您定制的配置 — 这是普通 的 .tar.gz 文件所无法达到的。 对于开发者来说，RPM 允许您把软件编码包装成源码包和程序包，然后提供给终端用户。 减轻了发行软件新版本所带来的维护负担。 5.1.1 RPM 的设计目标 为了理解 RPM 的使用方法，我们首先来了解 RPM 的设计目标： z 可升级性 使用 RPM，您不必全盘重装就可以在系统上升级个别组件。当您得到一个基于 RPM 的操作 系统的新发行版本（如红帽企业 Linux）后，您不必重新安装系统（基于其它打包系统的操作 系统需要重装）。RPM 让您能够智能化、自动化地升级您的系统。软件包中的配置文件在升级 中被保留，因此您不会丢失定制的设置。您不需要特殊的升级文件来升级某软件包，因为在系 统上安装和升级软件包所使用的是同一个 RPM 文件。 z 强大的查询功能 RPM 的设计提供了强大的查询功能。您可以在整个数据库中搜索软件包或某些特定文件。 您还可以轻易地了解到哪个文件属于哪个软件包，软件包来自哪里。RPM 软件包的文件包括在 被压缩的归档中，其中有定制的二进制档头，该档头内包含关于软件包及其内容的信息，允许 您快速简捷地查询个体软件包。 z 系统校验 RPM 另一项强大的功能是软件包校验。如果您担心可能删除了某软件包上的一个重要文件， 只需校验该软件包即可。任何异常情况都会通知给您。到时，若有必要，可以重装该软件包。 修改过的配置文件在重装中会被保留。 z 纯净源码 RPM 的一个重要设计目标是允许使用与软件的原创者所发行源码一致的“纯净”软件源 码。如果程序的新版本被推出，您不必从头开始编译。您可以看一看补丁来判定您可能需要做 什么。保持源码纯净对开发者来说相对重要，但是它能为终端用户带来高质量的软件。 21 银河麒麟服务器操作系统管理员手册 5.1.2 使用 RPM RPM 有五种基本操作模式（不包括软件包建构）：安装、卸装、升级、查询和校验。本节 概括介绍了每一模式。想了解完整的选项和细节，请使用 rpm --help 命令。 安装 典型的 RPM 软件包名称类似于 foo-1.0-1.i386.rpm。该文件名包括软件包名称（foo）、 版本（1.0）、发行版本（1）、以及体系（i386）。安装软件包非常简单，登录为根用户，然 后在 shell 提示下键入如下命令： rpm -ivh foo-1.0-1.i386.rpm 如果安装成功，您会看到如下所示的输出： Preparing... 1:foo ########################################### [100%] ########################################### [100%] 如上面所示，RPM 显示软件包的名称，软件包被安装时通过在屏幕上打印“#”来显示安装 进度。 从 RPM 版本 4.1 开始，在安装或升级软件包时会自动检查软件包的签名。如果签名校验 失败，您就会看到如下所示的错误消息： error: V3 DSA signature: BAD, key ID 0352860f 如果它是只针对文件头的新签名，您会看到如下所示的错误消息： error: Header V3 DSA signature: BAD, key ID 0352860f 如果您没有安装合适的钥匙来校验签名，消息中就会包含 NOKEY，如： warning: V3 DSA signature: NOKEY, key ID 0352860f 软件包已安装 如果某软件包的同一版本已经安装，您就会看到： Preparing... ########################################### [100%] package foo-1.0-1 is already installed 如果您在软件包已安装的情况下仍打算安装同一版本的软件包，您可以使用 --replacepkgs 选项，它告诉 RPM 忽略这个错误： rpm -ivh --replacepkgs foo-1.0-1.i386.rpm 如果某个从 RPM 安装的文件被删除了，或者您想安装 RPM 中的最初配置文件，该选项就 会很有用。 文件冲突 如果试图安装的软件包中包含已被另一个软件包或同一软件包的早期版本安装了的文件， 您会看到： Preparing... ########################################### [100%] file /usr/bin/foo from install of foo-1.0-1 conflicts with file from package bar-2.0.20 22 银河麒麟服务器操作系统管理员手册 要使 RPM 忽略这个错误，使用 --replacefiles 选项： rpm -ivh --replacefiles foo-1.0-1.i386.rpm 未解决的依赖关系 RPM 软件包可能“依赖”于其它软件包，这意味着它们需要安装其它软件包才能正确运行。 如果您试图安装具有未解决依赖关系的软件包，您会看到： Preparing... ########################################### [100%] error: Failed dependencies: bar.so.2 is needed by foo-1.0-1 Suggested resolutions: bar-2.0.20-3.i386.rpm 使用以下命令来添加： rpm -ivh foo-1.0-1.i386.rpm bar-2.0.20-3.i386.rpm 如果这两个软件包都安装成功，您会看到： Preparing... 1:foo 2:bar ########################################### [100%] ########################################### [ 50%] ########################################### [100%] 如果您想强制安装（不是好办法，因为软件包可能不能够正确运行），使用 --nodeps 选 项。 5.1.3 卸载 删除软件包和安装软件包一样简单。在 shell 提示下键入下面的命令： rpm -e foo 在卸载某软件包时也会遇到依赖关系错误。当另一个已安装的软件包依赖于您试图删除的 软件包时，依赖关系错误就会发生。例如： Preparing... ########################################### [100%] error: removing these packages would break dependencies: foo is needed by bar-2.0.20-3.i386.rpm 要使 RPM 忽略这个错误，并强制删除该软件包（不是个好办法，因为依赖于它的软件包可 能无法正常运行），使用 --nodeps 选项。 5.1.4 升级 升级软件包和安装类似。在 shell 提示下键入以下命令： rpm -Uvh foo-2.0-1.i386.rpm 您在上面的例子里看不到的是，RPM 自动删除所有 foo 软件包的早期版本。事实上，您可 能想一直使用 -U 来安装软件包，因为即便您以前没有安装软件包的任何版本，这个选项也可 以安装该软件包。 23 银河麒麟服务器操作系统管理员手册 因为 RPM 对软件包和配置文件执行智能升级，您可能会看到和下面相似的消息： saving /etc/foo.conf as /etc/foo.conf.rpmsave 这条消息意味着您对配置文件所作的改变可能不会和软件包中的新配置文件“前向兼 容”，因此，RPM 保存了您的原始文件，并安装了一个新文件。您应该调查一下这两个配置文 件的区别，然后尽快地解决这些区别来确保系统继续正确运行。 升级实际上是删除和安装的组合，因此，在 RPM 升级中，除了删除和安装中会遇到的错误 外，您还会看到另一个错误。如果 RPM 认为您正试图升级到软件包的早期版本，您会看到： package foo-2.0-1 (which is newer than foo-1.0-1) is already installed 要使 RPM 强制“升级”，使用 --oldpackage 选项： rpm -Uvh --oldpackage foo-1.0-1.i386.rpm 5.1.5 刷新 刷新软件包和升级软件包相似。在 shell 提示下键入以下命令： rpm -Fvh foo-1.2-1.i386.rpm RPM 的刷新选项会比较在命令行上指定的软件包的版本和您的系统上已安装的版本。当 RPM 的刷新选项处理的版本比您已安装的版本更新，它就会升级到更新的版本。然而，如果某 软件包先前没有安装，RPM 的刷新选项将不会安装该软件包。这和 RPM 的升级选项不同，因为 不管该软件包的早期版本是否已被安装，升级选项都会安装该软件包。 RPM 的刷新选项可以用于单个软件包或一组软件包。如果您刚刚下载了大量不同的软件包， 您只想升级那些已安装在您的系统上的软件包，刷新即可达到目的。如果使用刷新，您不必在 使用 RPM 前把不必要的软件包从下载的软件包组中删除。 在这种情况下，使用以下命令： rpm -Fvh *.rpm RPM 将只会自动升级那些已经在系统上安装的软件包。 5.1.6 查询 使用 rpm -q 命令来查询已安装软件包的数据库。rpm -q foo 命令会显示已安装软件包 foo 的名称、版本、和发行号码： foo-2.0-1 与其指定软件包名称，不如和 -q 一起使用下列选项来指定您要查询的软件包。它们叫做 “软件包指定选项”。 • -a 查询所有已安装的软件包。 • -f 会查询拥有 的软件包。当指定文件时，您必须指定文件的完整路 径（如 /usr/bin/ls）。 24 银河麒麟服务器操作系统管理员手册 • -p 查询软件包。 指定被查询的软件包要显示哪些信息的方法多种多样。以下选项可以指定您要搜索的信息 类型。它们叫做“信息选择选项”。 • -i 显示软件包信息，包括名称、描述、发行版本、大小、制造日期、生产商，以及其 它杂项。 • -l 显示软件包所含的文件列表。 • -s 显示软件包中所有文件的状态。 • -d 显示被标记为文档（说明书页、信息页、README 等等）的文件列表。 • -c 显示被标记为配置文件的文件列表。可以在安装后改变这些文件来使软件包适用于 您的系统（譬如，sendmail.cf、passwd、inittab 等等）。 5.1.7 校验 校验软件包比较从某软件包安装的文件和原始软件包中的同一文件的信息。它校验每个文 件的大小、MD5 值、权限、类型、所有者、以及组群。 rpm -V 命令校验软件包。您可以查询任何软件包选择选项列举的条目来指定要校验的软件 包。校验的最简单用法是 rpm -V foo，它校验所有在 foo 软件包内的文件是否和最初安装时 一样。例如： • 要校验包含某一特定文件的软件包： rpm -Vf /bin/vi • 要校验所有安装了的软件包： rpm –Va • 要根据 RPM 软件包文件来校验安装了的软件包： rpm -Vp foo-1.0-1.i386.rpm • 如果您怀疑 RPM 数据库已被损坏，该命令就会很有用。 • 如果一切都被校验正确，屏幕上就不会显示输出。如果出现矛盾，它们就会被显 示。输出的格式为包括八个字符的字符串，其后的“c” 代表配置文件，然后是文件名 称。这八个字符的每个字符都代表一种文件属性的比较结果，所比较的是文件的属性和 RPM 数据库中记录的属性。单用一个 “.”意味着测试通过。下列字符代表某类测试失 败： • 5 — MD5 校验和 • S — 文件大小 • L — 符号链接 • T — 文件修改时间 • D — 设备 • U — 用户 • G — 组群 25 银河麒麟服务器操作系统管理员手册 • M — 模式（包括权限和文件类型） • ? — 不可读文件 • 根据输出，可以判断是应该删除还是重新安装该软件包，或用另一种方法来解决 这个问题。 5.2 安装 tar 格式的软件包 • *.tar.gz 形式的二进制软件包使用 tar 工具打包，在用 gzip 程序压缩而成的。 安装这种格式的软件包时需要先解开压缩包，然后再开始安装，安装的过程如下： • 1、通过下载、光盘等方式获得应用软件； • 2、解压缩软件包，一般使用“tar –xvzf *.tar.gz”命令就可以完成解压和解 包工作； • 3、阅读附带的 INSTALL 和 README 文件； • 4、执行“./configure”命令为编译做好准备； • 5、通过后，生成 Makefile 文件，运行“make”命令开始进行编译； • 6、执行“make install”命令完成安装； • 7、执行“make clean”命令删除安装时产生的临时文件。 经过上面几个步骤，一个*.tar.gz 形式的软件包就安装完毕了。一般地，安装的可执行文件存 放在/usr/local/bin 目录下，可以查看附带的 INSTALL 和 README 文件来确定可执行文件的位 置。 26 银河麒麟服务器操作系统管理员手册 第6章 网络配置 计算机需要网络连接才能和其它计算机通讯。这是通过让操作系统识别接口卡（如：以太 网卡、ISDN 调制解调器、权标环），并配置相应的接口连接网络而实现的。 网络管理工具可以用来配置以下类型的网络接口： z 以太网 z ISDN z 调制解调器 z xDSL z 权标环 z CIPE z 无线设备 它还可以被用来配置 IPsec 连接；管理 DNS 设置；管理用来贮存额外主机名和 IP 地址 组合的 /etc/hosts 文件。 要使用网络管理工具，您必须具备根特权。要启动这个程序，点击面板上的「开始」 => 「控 制面板」 => 「网络」。 27 银河麒麟服务器操作系统管理员手册 图 6.1 网络管理工具 6.1 总览 要使用网络管理工具来配置网络连接，执行以下步骤： 1. 添加和该物理硬件设备相关的网络设备。 2. 如果物理硬件设备不存在，把它添加到硬件列表中。 3. 配置主机名和 DNS 设置。 4. 配置您无法通过 DNS 查寻的主机。 本章将会针对每类网络连接来讨论以上步骤的具体操作。 6.2 建立以太网连接 要建立以太网连接，您需要一块网卡（NIC），一条网络电缆（通常是 CAT5 电缆），以及 要连接的网络。不同的网络配置使用不同的速度，请确定您的 NIC 与您想连接的网络兼容。 要添加以太网连接，执行以下步骤： 点击「设备」标签。 点击工具栏上的「新建」按钮。 从「设备类型」列表中选择「以太网连接」，然后点击「前进」。 28 银河麒麟服务器操作系统管理员手册 如果您已经把网卡添加到了硬件列表中，则从「以太网卡」列表中选择它。否则，选择「其 它以太网卡」来添加硬件设备。 如果您选择了「其它以太网卡」，「选择以太网适配器」窗口就会出现。选择该以太网卡 的制造商和型号。选择该设备的名称。如果它是系统的第一个以太网卡，把 eth0 选作设备名； 如果它是第二个以太网卡，把 eth1 选作设备名；依此类推。网络管理工具还允许您为 NIC 配 置资源。点击「前进」来继续。 在「配置网络设置」窗口上（如图 6.2 所示），您可以选择 DHCP 或静态 IP 地址。如果 该设备在每次网络启动时都指定不同的 IP 地址，就不要为其指定主机名。点击「前进」来继 续。 点击「创建以太网设备」上的「应用」按钮。 图 6.2 以太网设置 配置了以太网设备后，它就会出现在图 6.3 所示的设备列表中。 29 银河麒麟服务器操作系统管理员手册 图 6.3 以太网设备 请确定选择「文件」 => 「保存」来保存改变。 添加了以太网设备后，您可以从设备列表中选择它，然后点击「编辑」来编辑它的配置。 譬如，当某设备被添加，它被默认配置成引导时启动。要改变这个设置，选择编辑该设备，修 改「当计算机启动时激活设备」，然后保存改变。 当设备被添加后，它不会被立即激活，您会看到「不活跃」状态。要激活某设备，从设备 列表中选择它，然后点击「激活」按钮。如果系统配置表明要在计算机启动时激活设备（默认）， 您就不必重新执行这一步骤。 6.3 管理 DNS 设置 DNS 标签允许您配置系统的主机名、域、域名服务器和搜索域。域名服务器用来查寻网络 上的其它主机。 如果 DNS 服务器的名称要从 DHCP 或 PPPoE 中检索到（或从 ISP 中检索），则不要添加 主要、次要或第三 DNS 服务器。 如果主机名被动态地从 DHCP 或 PPPoE 中检索（或从 ISP 中检索），则不要改变这个主 机名。 30 银河麒麟服务器操作系统管理员手册 图 6.4 DNS 配置 6.4 管理主机 「主机」标签允许您在 /etc/hosts 文件中添加、编辑、或删除主机。该文件包含 IP 地 址和它们相对应的主机名。 当您的系统试图把主机名解析为 IP 地址或判定 IP 地址的主机名时，它在使用域名服务 器前首先参照 /etc/hosts 文件。如果 IP 地址被列在 /etc/hosts 文件中，域名服务器就不 会被使用。如果您的网络包括没有列在 DNS 内的 IP 地址，推荐您把它们添加到 /etc/hosts 文件中。 要在 /etc/hosts 文件中添加项目，点击「主机」标签下的「新建」按钮，提供要求的信 息，然后点击「确定」。选择「文件」 => 「保存」或按 [Ctrl]-[S] 来把改变保存到 /etc/hosts 文件中。您不必重新启动网络或网络服务，因为该文件在每个地址被解析时都会被参照。 31 银河麒麟服务器操作系统管理员手册 图 6.5 主机配置 6.5 激活设备 网络设备可以被配置为是否在引导时激活。例如，调制解调器连接的网络设备通常不在引 导时被启动；而以太网连接通常在引导时被启动。如果您的网络设备被配置成不在引导时启动， 您可以使用网络设备控制程序来在引导后激活它。要启动它，点击面板上的「开始」=> 「应用 程序」 => 「系统工具」 => 「网络设备控制」。 32 银河麒麟服务器操作系统管理员手册 图 6.6 激活设备 要激活某设备，从列表中选择它，点击「激活」按钮。要停止该设备，从列表中选择它， 点击「解除」。 如果配置了不止一个网络配置档案，它们在界面中被列出，并可以被激活 6.6 保存和恢复网络配置 网络管理工具的命令行版本可以被用来把系统的网络配置保存到文件中。然后，该文件就 可以被用来在 Kylin 系统上恢复网络设置。 该功能可以被用作自动备份脚本的一部分，在升级或重新安全前保存或把配置复制到不同 的 Kylin 系统上。 要把系统的网络配置保存或导出（export）到 /tmp/network-config 文件中，以根用户身 份执行以下命令： config-network-cmd -e > /tmp/network-config 要从前一个命令中创建的文件中恢复或导入（import）网络配置，以根用户身份执行以下 命令： config-network-cmd –I -c -f /tmp/network-config 33 银河麒麟服务器操作系统管理员手册 第7章 配置 vsftpd 服务器 7.1 vsftpd 简介 什么是 vsftpd ? vsftpd 是一个基于 GPL 发布的类 UNIX 系统上使用的 FTP 服务器软件。其中的 vs 是"Ve r y Secure"的缩写,从此名称缩写可以看出,编制者的初衷就是代码的安全性。 Vsftpd 的特性 安全性是编写 vsftpd 代码的初衷,除了与生俱来的安全性能之外,高速,稳定的性能是 vsftpd 的两个特性。在速度方面:使用 ASCII 模式下载数据时,vsftpd 的速度是 WU-FTPd 的两倍, 在千兆以太网上的下载速度可达 86Mbyte/sec。在稳定性方面:vsftpd 可以在单机(非集群)上支 持 4000 个以上的并发用户同时连接。 除了安全,高速,稳定之外,vsftpd 还具有如下的特性： z 支持基于 IP 的虚拟 FTP 服务器 z 支持虚拟用户 z 支持 PAM 或 xinetd / tcp_wrappers 的认证方式 z 支持两种运行方式:独立和 Xinetd z 支持每个虚拟用具有独立的配置 z 支持带宽限制等 从 RPM 安装 vsftpd 1. 安装 vsftpd 查看是否安装了 vsftpd 和 anonftp # rpm -qa|grep vsftpd # rpm -qa|grep anonftp 安装所需的 RPM 包 # rpm -ivh vsftpd* # rpm -ivh anonftp* 启动 vsftpd # service vsftpd start 或者 # cd /etc/init.d # ./vsftpd start 7.2 vsftpd 的默认配置 配置文件 在 Kylin 中 vsftpd 的配置文件有三个,分别是：/etc/vsftpd.conf ， /etc/vsftpd.ftpusers ，/etc/vsftpd.user_list 。其中,/etc/vsftpd.conf 是主配置文件， 34 银河麒麟服务器操作系统管理员手册 /etc/vsftpd.ftpusers 中指定了哪些用户不能访问 FTP 服务器，/etc/vsftpd.user_list 中指 定的用户默认情况(即在/etc/vsftpd.conf 中设置了 userlist_deny=YES)下也不能访问 FTP 服 务器,当在/etc/vsftpd.conf 中设置了 userlist_deny=NO 时,仅仅允许/etc/vsftpd.user_list 中指定的用户访问 FTP 服务器。 默认配置 允许匿名登录 anonymous_enable=YES 允许本地用户登录 local_enable=YES 开放本地用户的写权限 write_enable=YES 设置本地用户的文件生成掩码为 022,默认值为 077 local_umask=022 当切换到目录时,显示该目录下的.message 隐含文件的内容,这是由于默认情况下有 message_file=.message 的设置 dirmessage_enable=YES 激活上传和下载日志 xferlog_enable=YES 启用 FTP 数据端口的连接请求 connect_from_port_20=YES 使用标准的 ftpd xferlog 日志格式 xferlog_std_format=YES 设置 PAM 认证服务的配置文件名称,该文件存放在”/etc/pam.d/”目录下 pam_service_name=vsftpd 7.3 进一步配置 vsftpd 1. 允许匿名用户上传 为了使匿名用户能够上传，需要在/etc/vsftpd 中激活两个配置选项，分别是： anon_upload_enable anon_mkdir_write_enable 同时还要添加 anon_world_readable_only=NO 放开匿名用户对整个服务器的浏览权限。具 体的操作步骤如下： 配置 vsftpd 允许匿名用户上传 //修改 vsftpd 的主配置文件/etc/vsftpd.conf # vi /etc/vsftpd.conf //将如下两行前的#删除 //(1) #anon_upload_enable=YES 允许匿名用户上传 //(2) #anon_mkdir_write_enable=YES 开启匿名用户的写和创建目录的权限 //若要以上两项设置生效,同时还要求: 35 银河麒麟服务器操作系统管理员手册 //(1) write_enable=YES //(2) 匿名用户对文件系统的上传目录具有写权限 //添加如下的配置语句 // anon_world_readable_only=NO //上面的配置语句用于放开匿名用户的浏览权限 //修改后存盘退出 vi // //创建匿名上传目录 # mkdir /var/ftp/incoming # 修改上传目录的权限 # chmod o+w /var/ftp/incoming/ # //重新启动 xinetd # service xinetd restart # 2. 启用 ASCII 传输方式 默认情况下,vsftpd 为了提高传输效率,禁止了 ASCII 传输方式。虽然在 ftp 客户软件中可 以使用 asc 命令,但是传输文件时仍然使用二进制传输方式。可以分别启用上传和下载的 ASCII 传输方式,方法是编辑/etc/vsftpd 配置文件,将如下两行前的#去掉即可启用。 #ascii_upload_enable=YES #ascii_download_enable=YES 3. 设置连接服务器后的欢迎信息 为了使用户连接服务器后显示信息,vsftpd 提供了两个选项,分别是: ftpd_banner banner_file 例如:可以设置如下的 ftpd_banner 选项的值: ftpd_banner=Welcome to Smartraining FTP service. 即:用户连接服务器后显示信息"Welcome to Smartraining FTP service.". 也可以设置如下的 banner_file 选项的值: banner_file=/var/vsftpd_banner_file 即:用户连接服务器后显示文件/var/vsftpd_banner_file 中的信息。 注意： (1) 如果设置了 ftpd_banner 的值,将覆盖 vsftpd 默认的服务器连接后的信息。 (2) 如果 ftpd_banner 和 banner_file 同时设置,那么 banner_file 将覆盖 ftpd_banner 的 设置。 4. 配置基本的性能和安全选项 1） 设置空闲的用户会话的中断时间 36 银河麒麟服务器操作系统管理员手册 例如下面的配置: idle_session_timeout=600 将在用户会话空闲 10 分钟后被中断。 2） 设置空闲的数据连接的的中断时间 例如下面的配置: data_connection_timeout=120 将在数据连接空闲 2 分钟后被中断 3） 设置客户端空闲时的自动中断和激活连接的时间 例如下面的配置: accept_timeout=60 connect_timeout=60 将使客户端空闲 1 分钟后自动中断连接,并在中断 1 分钟后自动激活连接. 4）设置最大传输速率限制 例如下面的配置: local_max_rate=50000 anon_max_rate=30000 将使本地用户的最大传输速率为 50kkbytes / sec,匿名用户的传输速率为 30 kbytes / sec 5） 设置客户端连接时的端口范围 例如下面的配置: pasv_min_port=50000 pasv_max_port=60000 将使客户端连接时的端口范围在 50000 和 60000 之间.这提高了系统的安全性。 6） 设置 chroot 在默认配置中,本地用户可以切换到自家目录以外的目录进行浏览,并在权限许可的范围内 进行下载和上传.这样的设置对于一个 FTP 服务器来说是不安全的。如果希望用户登录后不能切 换到自家目录以外的目录,则需要设置 chroot 选项,涉及如下选项: chroot_local_user chroot_list_enable chroot_list_file 有两种设置 chroot 的方法: 设置所有的本地用户执行 chroot 只要将 chroot_local_user 的值设为 YES 即可, 即: chroot_local_user=YES 设置指定的用户执行 chroot 需要如下的设置: chroot_local_user=NO chroot_list_enable=YES chroot_list_file= /etc/vsftpd.chroot_list 37 银河麒麟服务器操作系统管理员手册 这样,只有/etc/vsftpd.chroot_list 文件中指定的用户才执行 chroot。 配置基于本地用户的访问控制 要配置基于本地用户的访问控制,可以通过修改 vsftpd 的主配置文件/etc/vsftpd.conf 来 进行,有如下两种限制方法: 限制指定的本地用户不能访问,而其他本地用户可访问 例如下面的设置: userlist_enable= YES userlist_deny=YES userlist_file= /etc/vsftpd.user_list 使文件/etc/vsftpd.user_list 中指定的本地用户不能访问 FTP 服务器,而其他本地用户可 访问 FTP 服务器. 2） 限制指定的本地用户可以访问,而其他本地用户不可访问 例如下面的设置: userlist_enable= YES userlist_deny= NO userlist_file= /etc/vsftpd.user_list 使文件/etc/vsftpd.user_list 中指定的本地用户可以访问 FTP 服务器,而其他本地用户不 可以访问 FTP 服务器。 配置基于主机的访问控制 由于 vsftpd 有两种运行方式,即:由 xinetd 启动和独立启动.这两种运行方式的主机访问控 制配置是不同的,下面介绍的是由 xinetd 启动的 vsftpd 的主机访问控制的配置.显然,要配置这 种主机访问控制,需要修改配置文件/etc/xinetd.d/vsftpd. 1） 只允许指定的主机访问 在配置文件/etc/xinetd.d/vsftpd 的{}中添加如下的配置语句: only_from 例如:only_from 192.168.1.0 表示只允许 192.168.1.0 网段内的主机访问. 2） 指定不能访问的主机 在配置文件/etc/xinetd.d/vsftpd 的{}中添加如下的配置语句: no_access 例如:no_access 192.168.1.0 表示只有 192.168.1.0 网段内的主机不能访问. 关于主机表的书写形式,见表 7.1 表 7.1 xinetd 配置访问控制表时主机表的书写语法 选项值 含义 Hostname 可解析的主机名 IP Address 点分十进制表示的 IP 地址 Net_name 在/etc/networks 中定义的网络名 38 银河麒麟服务器操作系统管理员手册 x.x.x.0 x.x.0.0 x.0.0.0 0.0.0.0 0 作为通配符看待.如:191.72.61.0 匹配从 191.72.61.0 到 191.72.61.255 的所有 IP 地址。0.0.0.0 表示匹配所有的 IP 地址 x.x.x.{a,b,…} 指定主机表.如:191.72.61.{1,3,123}表示包含地址 x.x.{a,b,…} 191.72.61.1, 191.72.61.2 和 191.72.61.123 x.{a,b,…} IPAddress/netmask 定义要匹配的网络或子网.如:172.19.16/20 匹配从 172.19.16.0 到 172.19.31.255 3） 配置每个客户机的最大连接数 在配置文件/etc/xinetd.d/vsftpd 的{}中添加如下的配置语句: per_source = 数值 例如:per_source = 5 表示每个客户机的最大连接数为 5. 4） 配置服务器总的并发连接数 在配置文件/etc/xinetd.d/vsftpd 的{}中添加如下的配置语句: instances = 数值 例如:instances = 200 表示 FTP 服务器总共支持的最高连接数为 200. 5） 配置访问时间限制 在配置文件/etc/xinetd.d/vsftpd 的{}中添加如下的配置语句: access_time = hour:min-hour:min 例如:access_time = 18:00-23:59 表示只有在下午 6 点到午夜 0 点之前才能访问此 FTP 服务器; 又如:access_time = 8:30-11:30 13:00-18:00 表示只有在上午 8 点半到 11 点半和下午 1 点到下午 6 点才能访问此 FTP 服务器. 6） 指定连接失败时显示的信息 在配置文件/etc/xinetd.d/vsftpd 的{}中添加如下的配置语句: banner_fail = 文件名 例如:banner_fail = /etc/vsftpd.busy_banner 表示当连接失败时显示文件/etc/vsftpd.busy_banner 中的内容。 7.4 配置本地组访问的 FTP 服务器 本节将解决类似这样的问题: 本地组 softgrp 有三个用户 soft,soft1 和 soft2,其中 soft 对 FTP 有读写(包括列文件目 录,上传,下载)权限,而 soft1 和 soft2 对 FTP 只有读(包括列文件目录,下载)的权限. 为了实现 这种功能,我们要借助于本地文件系统的权限设置来实现,具体操作步骤如下: 配置本地组访问的 FTP 服务器 39 银河麒麟服务器操作系统管理员手册 //创建本地组的 FTP 服务器目录 # mkdir -p /var/local-ftp/softgrp //创建本地用户和组 # groupadd softgrp # useradd -G softgrp -d /var/local-ftp/softgrp -M soft # useradd -G softgrp -d /var/local-ftp/softgrp -M soft1 # useradd -G softgrp -d /var/local-ftp/softgrp -M soft2 //设置用户口令 # passwd soft # passwd soft1 # passwd soft2 //修改/var/local-ftp/softgrp 的属主和权限 # chown soft.softgrp /var/local-ftp/softgrp # chmod 750 /var/local-ftp/softgrp # ll -d /var/local-ftp/softgrp drwxr-x--- 2 soft softgrp 4096 3 月 12 00:46 /var/local-ftp/softgrp # //设置了上面对目录/var/local-ftp/softgrp 的文件系统权限之后 //(1)soft 用户是该目录的属主,因此具有读写权限和进入目录的权限 //(2)soft1 和 soft2 用户属于 softgrp 组,因此只具有读权限和进入目录的权限 7.5 使用 vsftpd 配置高安全级别的匿名服务器 高安全级别匿名 FTP 服务器的配置要求 仅仅允许匿名用户访问 不允许本地用户访问 关闭所有写权限 不允许匿名用户上传 设置客户端连接时的端口范围 设置 匿名用户的最大传输速率限制 设置空闲的数据连接的的中断时间 设置客户端空闲时的自动中断和激活连接的时间 配置每个主机的最大连接数 配置总的并发连接数 配置禁止访问的主机 配置安全日志 配置高安全级别的匿名 FTP 服务器 配置这种安全匿名服务器,可以从 vsftpd 的源代码树中获得,具体操作步骤如下： 40 银河麒麟服务器操作系统管理员手册 配置高安全级别的匿名服务器 //进入 vsftp 源代码树的 EXAMPLE/INTERNET_SITE 目录 # cd /usr/local/src/vsftpd-1.1.3/EXAMPLE/INTERNET_SITE //复制配置文件 # cp vsftpd.conf /etc # cp vsftpd.xinetd /etc/xinetd.d/vsftpd //修改主配置文件/etc/vsftpd.conf,添加一个连接后的信息 # cat >>/etc/vsftpd.conf< ftpd_banner=This FTP server is anonymous only. > ! # //显示主配置文件的内容如下 # cat /etc/vsftpd.conf # Access rights anonymous_enable=YES local_enable=NO write_enable=NO anon_upload_enable=NO anon_mkdir_write_enable=NO anon_other_write_enable=NO # Security anon_world_readable_only=YES connect_from_port_20=YES hide_ids=YES pasv_min_port=50000 pasv_max_port=60000 # Features xferlog_enable=YES ls_recurse_enable=NO ascii_download_enable=NO async_abor_enable=YES # Performance one_process_model=YES idle_session_timeout=120 data_connection_timeout=300 accept_timeout=60 connect_timeout=60 anon_max_rate=50000 ftpd_banner=This FTP server is anonymous only. # 41 银河麒麟服务器操作系统管理员手册 //接下来查看/etc/xinetd.d/vsftpd # cat /etc/xinetd.d/vsftpd service ftp { disable = no socket_type = stream wait = no user = root server = /usr/local/sbin/vsftpd per_source = 5 instances = 200 no_access = 192.168.1.3 banner_fail = /etc/vsftpd.busy_banner log_on_success += PID HOST DURATION log_on_failure += HOST } # //重新启动 xinetd # service xinetd restart # //配置结束 7.6 配置基于 IP 的虚拟 FTP 服务器 vsftpd 支持基于 IP 的虚拟 FTP 服务器配置.其主要配置步骤为: 配置虚拟 IP 地址 建立虚拟 FTP 的服务器目录并设置适当的权限 建立虚拟 FTP 的服务器的 xinetd 配置文件 建立虚拟 FTP 的服务器的主配置文件 具体操作过程如下: 配置基于 IP 的虚拟 FTP 服务器 //查看本机现有的 IP 地址 # ifconfig |grep -1 eth0 eth0 Link encap:Ethernet HWaddr 00:50:56:C7:22:DF inet addr:192.168.1.222 Bcast:192.168.1.255 Mask:255.255.255.0 //可以看出本机的第一个网络接口 eth0 的 IP 为 192.168.1.222 //下面配置一个虚拟网络接口 eth0:1 # ifconfig eth0:1 192.168.1.234 up # # ifconfig |grep -1 eth0:1 42 银河麒麟服务器操作系统管理员手册 eth0:1 Link encap:Ethernet HWaddr 00:50:56:C7:22:DF inet addr:192.168.1.234 Bcast:192.168.1.255 Mask:255.255.255.0 # //可以看出本机的虚拟网络接口 eth0:1 的 IP 为 192.168.1.234 // //下面建立虚拟 FTP 的服务器目录 # mkdir -p /var/ftp2/pub //确保目录具有如下的权限 # ll -d /var/ftp2 drwxr-xr-x 3 root root 4096 3 月 12 03:00 /var/ftp2 # ll -d /var/ftp2/pub drwxr-xr-x 2 root root 4096 3 月 12 03:00 /var/ftp2/pub # //在下载目录中生成测试文件 # echo "hello">/var/ftp2/pub/test_file # //下面创建此虚拟服务器的匿名用户所映射的本地用户 ftp2 # useradd -d /var/ftp2 -M ftp2 # //更改现有的配置文件/etc/xinetd.d/vsftpd # vi /etc/xinetd.d/vsftpd // 在此文件的{}中添加如下的配置语句: // bind = 192.168.1.222 // 将原 FTP 服务绑定到 eth0 接口,之后保存退出 vi # //生成新的虚拟 FTP 服务器的配置文件/etc/xinetd.d/vsftpd2 # cp /etc/xinetd.d/vsftpd /etc/xinetd.d/vsftpd2 //更改新的配置文件/etc/xinetd.d/vsftpd2 # vi /etc/xinetd.d/vsftpd2 //在此文件的{}中添加如下的配置语句: // bind = 192.168.1.234 //将虚拟 FTP 服务绑定到 eth0:1 接口 //另外添加如下的配置语句: // server_args = /etc/vsftpd_site2.conf //使 vsftpd 读取虚拟 FTP 服务器的主配置文件,之后保存退出 vi # //生成虚拟 FTP 服务器的主配置文件/etc/vsftpd_site2.conf # cp /etc/vsftpd.conf /etc/vsftpd_site2.conf //修改新的主配置文件 43 银河麒麟服务器操作系统管理员手册 # vi /etc/vsftpd_site2.conf //将如下的配置语句行: // ftpd_banner=This FTP server is anonymous only. //修改为: // ftpd_banner=This is the alternative FTP site. //添加如下的配置语句: // ftp_username=ftp2 //使此虚拟服务器的匿名用户映射到本地用户 ftp2 //这样匿名用户登录后才能进入本地用户 ftp2 的/var/ftp2 目录 //修改后,保存退出 vi # //重新启动 xinetd # service xinetd restart # //配置结束 7.7 配置独立运行的 vsftpd 配置独立运行的 vsftpd 显然,这种启动方式将不再需要/etc/xinetd.d 下面的配置文件.要配置独立运行的 vsftpd 很简单,只需要在前面的主配置文件的基础上添加如下的配置即可. 设置 listen=YES 指明 vsftpd 以独立运行方式启动. 为了实现访问控制,需要添加如下的配置项: 设置 max_clients=200 指明服务器总的并发连接数 设置 max_per_ip=4 指明每个客户机的最大连接数. 具体操作步骤如下: 配置独立运行的 vsftpd //复制一个新的主配置文件 # cp /etc/vsftpd.conf /etc/vsftpd.standalone.conf //编辑新的配置文件/etc/vsftpd.standalone.conf # vi /etc/vsftpd.standalone.conf //在文件开始处插入下面的行 //listen=YES //max_clients=200 //max_per_ip=4 44 银河麒麟服务器操作系统管理员手册 //并将下面的配置语句 //ftpd_banner=This FTP server is anonymous only. //改为: //ftpd_banner=This FTP server is anonymous only, // and vsftpd in "standalone" mode. //(注意:要写在一行里) //用:wq 退出 vi # //将由 xinetd 启动的配置停用 # vi /etc/xinetd.d/vsftpd //将 disable = no //设为 disable = yes //保存后退出 vi # vi /etc/xinetd.d/vsftpd2 //将 disable = no //设为 disable = yes //保存后退出 vi // 重新启动 xinetd # service xinetd restart // 启动独立运行的 vsftpd 守护进程 # /usr/local/sbin/vsftpd /etc/vsftpd.standalone.conf & //配置结束 配置独立运行的 vsftpd 在非标准端口下提供服务 为了配置独立运行的 vsftpd 在非标准端口下提供服务需要添加 listen_port 配置语句.具 体操作步骤如下: 配置独立运行的 vsftpd 在非标准端口下提供服务 //修改独立运行的主配置文件,添加 listen_port 配置语句 # echo "listen_port=10021">> /etc/vsftpd.standalone.conf //重新启动 vsftpd 守护进程 # killall vsftpd # /usr/local/sbin/vsftpd /etc/vsftpd.standalone.conf & 比较独立启动和 xinetd 启动的 vsftpd 服务器配置和启动 下面比较两种启动方式的 vsftp 配置,见表 表 7.2 独立启动和 xinetd 启动的 vsftpd 服务器配置和启动的比较 独立启动 xinetd 启动 所需的配置文件 主配置文件 主配置文件 配置 listen listen_address listen_port 45 xinetd 配置文件 bind 银河麒麟服务器操作系统管理员手册 max_per_ip per_source max_clients instances only_from 和 no_access access_time server_args 启动 将配置文件作为 启动 xinetd 参数运行 用 vsftpd 配置独立运行的虚拟 FTP 服务器 为了配置独立运行的虚拟 FTP 服务器需要使用 listen_address 配置语句。具体步骤如下: 用 vsftpd 配置独立运行的虚拟 FTP 服务器 //修改原独立运行的服务器配置文件, # vi /etc/vsftpd.standalone.conf //添加 listen_address=192.168.1.222 的配置行 //将原 FTP 服务绑定到 eth0 接口.之后用:wq 退出 vi # //由 xinetd 运行的虚拟服务器的配置文件创建一个新的配置文件 # cp /etc/vsftpd_site2.conf /etc/vsftpd.standalone2.conf //修改新的配置文件 # vi /etc/vsftpd.standalone2.conf //在文件开始处插入下面的行 //listen=YES //listen_address=192.168.1.234 将虚拟服务器绑定到 eth0:1 接口 //max_clients=200 //max_per_ip=4 //并将下面的配置语句 //ftpd_banner=This is the alternative FTP site. //改为: //ftpd_banner=This is the alternative FTP site, // and vsftpd in "standalone" mode. //(注意:要写在一行里) //用:wq 退出 vi # //让原 FTP 服务器重新读取配置文件 # ps auxw|grep vsftpd root 7164 0.0 0.2 1424 376 pts/0 S 22:06 0:00 /usr/local/sbin/vsftpd /etc/vsftpd.standalone.conf # kill -HUP 7164 //上面的 7164 是由 ps 命令查得的 PID 46 银河麒麟服务器操作系统管理员手册 //启动新的虚拟 FTP 服务器 # /usr/local/sbin/vsftpd /etc/vsftpd.standalone2.conf & # 7.8 配置虚拟用户的 FTP 服务器 本节讲述虚拟用户(virtual users)的 FTP 服务器的配置.虚拟用户只能访问为其提供的 FTP 服务,虚拟用户不能像本地的实用户那样登录系统而访问系统的其他资源.若用户对 FTP 服务器 站内具有写权限并且不允许访问系统的其他资源,则该用户应该使用虚拟用户才能提高系统的 安全性. 传统的 FTP 服务器采用如下的方法实现虚拟用户: 在本地建立普通用户账号并设置密码 将其登录 shell 设为不可登录 由 passwd/shadow 口令系统进行认证 vsftpd 的虚拟用户采用了不与系统账户口令文件合二为一的方法,也就是说,为了认证这些 虚拟用户 vsftpd 使用单独的口令库文件(pam_userdb),由可插拔认证模块(PAM)进行认证.使用 这种方式更加安全,并且配置更灵活. 比较 vsftpd 中的三类用户 vsftp 中有三类用户,即:本地用户,虚拟用户和匿名用户.下面将这三类用户进行比较,见 表. 表 比较 vsftpd 中的三类用户 用户名 本地用户 虚拟用户 匿名用户 本地用户名 虚拟用户口令库中指 Anonymous 或 ftp 定的用户名 登录用户名 本地用户名 虚拟用户口令库中所 Anonymous 或 ftp 有用户名 用户口令 本地用户的口令 虚拟用户口令库中指 Email 地址 定的口令 口令的认证方式 由基于 DB 口令库由 PAM 进行 passwd/shadow 的口令系 由 vsftpd 认证 认证 统认证 登录映射的本地用户 本地用户名 guest_username 所 名 登录后进入的目录 对登录后的目录是否 定的本地用户,默认为 空 ftp guest_username 所 定的本地用户的自家目 录 录,默认为/var/ftp e_only=NO 时可以 write_enable=YES 47 ftp_username 所指 指定的本地用户的自家目 anon_world_readabl 可浏览 对登录后的目录是否 指定的本地用户,默认为 本地用户的自家目录 可以 ftp_username 所指 write_enable=YES, anon_world_readabl e_only=NO 时可以 write_enable=YES, 银河麒麟服务器操作系统管理员手册 可上传 时可以 对登录后的目录是否 可创建目录 同时 同时 anon_upload_enable=YES anon_upload_enable=YES 时可以 时可以 write_enable=YES 时可以 write_enable=YES, 同时 write_enable=YES, 同时 anon_mkdir_write_e nable=YES 时可以 对登录后的目录是否 可改名和删除 write_enable=YES 时可以 anon_mkdir_write_e nable=YES 时可以 write_enable=YES, write_enable=YES, 同时 同时 anon_other_write_enabl anon_other_write_enabl e=YES 时可以 e=YES 时可以 是否有用户自家目录 有 无 无 是否能切换到登录目 chroot_local_user= 不能,即设置 不能 录以外的目录 NO 时能,其值为 YES 时不 chroot_local_user=YES 能 激活此类用户的命令 local_enable=YES guest_enable=YES anonymous_enable=Y ES 配置简单的虚拟用户 FTP 服务器 为了配置虚拟用户的 FTP 服务器,其主要配置步骤为: 生成虚拟用户口令库文件 配置生成 vsftpd 的认证文件 建立虚拟用户所要访问的目录并设置相应权限 建立配置文件 下面以独立运行的 vsftpd 为例进行配置,具体的操作过程如下: 配置简单的虚拟用户 FTP 服务器 //生成虚拟用户口令库文件,为了建立此口令库文件,先要生成一个文本文件 # cat > tom > foo > fred > bar > valid > lwd > dede > jy > ! # //此文本文件的格式是: 48 银河麒麟服务器操作系统管理员手册 //单数行为用户名,偶数行为口令, //即:用户 tom 的口令为 foo;用户 fred 的口令为 bar // //下面使用 db_load 命令生成口令库文件 # db_load -T -t hash -f ~/logins.txt /etc/vsftpd_login.db //修改口令库文件的权限 # chmod 600 /etc/vsftpd_login.db //下面编辑生成虚拟用户所需的 PAM 配置文件 # vi /etc/pam.d/ftp.vu //插入如下两行 //auth required /lib/security/pam_userdb.so db=/etc/vsftpd_login //account required /lib/security/pam_userdb.so db=/etc/vsftpd_login //保存后退出 vi //用户也可以用下面的命令从源代码分发包中复制此文件 // cd /usr/local/src/vsftpd-1.1.3/EXAMPLE/ // cp VIRTUAL_USERS/vsftpd.pam /etc/pam.d/ftp.vu # //下面建立虚拟用户所要访问的目录并设置仅 virtual 用户访问的权限 # useradd -d /home/ftpsite virtual # chmod 700 /home/ftpsite/ # //在目录中生成测试文件 # su - virtual -c "echo hello>/home/ftpsite/test_file" # //下面生成主配置文件 # vi /etc/vsftpd.standalone.vu.conf //在此文件中插入下面的配置语句 //listen=YES //anonymous_enable=NO //local_enable=YES //write_enable=NO //anon_upload_enable=NO //anon_mkdir_write_enable=NO //anon_other_write_enable=NO //chroot_local_user=YES //guest_enable=YES 启用虚拟用户 //guest_username=virtual 将虚拟用户映射为本地 virtual 用户 // 这样虚拟用户登录后才能进入本地用户 virtual 的目录/home/ftpsite/ //pasv_min_port=30000 49 银河麒麟服务器操作系统管理员手册 //pasv_max_port=30999 //ftpd_banner=This FTP server is virtual user only. //pam_service_name=ftp.vu 指定 PAM 配置文件为 ftp.vu //插入完毕,保存退出. # //下面先关闭原来的服务,而后启动新的服务 # killall vsftpd # /usr/local/sbin/vsftpd /etc/vsftpd.standalone.vu.conf & //配置结束 对不同的虚拟用户进行不同权限的配置 在上节中讲述了配置本地组访问的 FTP 服务器,即使组长(soft)具有读写(包括列文件目录, 上传,下载)权限,组员(soft1 和 soft2)具有只读(包括列文件目录,下载)权限.这是借助在本地 文件系统上分配权限来实现的,但是若要让两个用户同时都具有读写权限,则用这种方法就不能 实现了。 vsftpd 支持对不同的虚拟用户进行不同配置的方式.例如,vsftpd 可以实现如下的配置: 虚拟用户 valid 具有浏览目录,上传和下载的权限 虚拟用户 dede 具有浏览目录,上传,下载,文件改名和删除的权限 虚拟用户 tom 和 fred 具有浏览目录和下载的权限 下面以简单的虚拟用户 FTP 服务器的配置为基础进行,具体配置步骤为: 对 vsftpd 的不同虚拟用户分配不同权限的配置 //首先编辑配置文件/etc/vsftpd.standalone.vu.conf //激活对不同的虚拟用户进行不同权限配置的配置语句 # vi /etc/vsftpd.standalone.vu.conf //在文件中添加如下的配置行 // user_config_dir=/etc/vsftpd_user_conf //指定不同虚拟用户配置文件的存放路径 //添加后保存退出 vi //接下来创建此目录 # mkdir /etc/vsftpd_user_conf # //下面分别创建虚拟用户 tom 和 fred 的配置文件 //开放 tom 和 fred 的读权限 #echo "anon_world_readable_only=NO">/etc/vsftpd_user_conf/tom #echo "anon_world_readable_only=NO">/etc/vsftpd_user_conf/fred //下面分别创建虚拟用户 valid 和 dede 的配置文件 //开放 valid 和 dede 的读写权限 # cat > anon_world_readable_only=NO > write_enable=YES 50 银河麒麟服务器操作系统管理员手册 > anon_upload_enable=YES > ! # cp /etc/vsftpd_user_conf/valid /etc/vsftpd_user_conf/dede # echo "anon_other_write_enable=YES">>/etc/vsftpd_user_conf/dede //经过以上的设置虚拟用户 valid 能浏览,下载和上传 //而虚拟用户 dede 除此之外还具有文件改名和删除文件的权限 # //下面让守护进程 vsftpd 重新读取配置文件 // /etc/vsftpd.standalone.vu.conf # ps auxw|grep vsftpd root 7218 0.0 0.2 1424 376 pts/0 S 01:37 0:00 /usr/local/sbin/vsftpd /etc/vsftpd.standalone.vu.conf # kill -HUP 7218 # //配置结束 第8章 网络文件系统（NFS） 网络文件系统（NFS）是一种在网络上的机器间共享文件的方法，文件就如同位于客户的本 地硬盘驱动器上一样。Kylin 既可以是 NFS 服务器也可以是 NFS 客户，这意味着它可以把文 件系统导出给其它系统，也可以挂载从其它机器上导入的文件系统。 8.1 为什么使用 NFS？ NFS 对于在同一网络上的多个用户间共享目录很有用途。譬如，一组致力于同一工程项目 的用户可以通过使用 NFS 文件系统（通常被称作 NFS 共享）中的一个挂载为 /myproject 的 共享目录来存取该工程项目的文件。要存取共享的文件，用户进入各自机器上的 /myproject 目 录。这种方法既不用输入口令又不用记忆特殊命令，就仿佛该目录位于用户的本地机器上一样。 8.2 挂载 NFS 文件系统 使用 mount 命令来挂载另一个机器上的 NFS 文件系统： mount shadowman.example.com:/misc/export /misc/local 在这项命令中，shadowman.example.com 是 NFS 文件服务器的主机名；/misc/export 是 shadowman 要导出的文件系统；/misc/local 是该文件系统在本地机器上的挂载位置。mount 命 令运行之后（而且如果客户具有来自 shadowman.example.com NFS 服务器的正确权限的话）， 客户用户就可以执行 ls /misc/local 命令来显示 shadowman.example.com 上的 /misc/export 目录中的文件列表。 51 银河麒麟服务器操作系统管理员手册 8.2.1 使用 /etc/fstab 来挂载 NFS 文件系统 要挂载其它机器上的 NFS 共享的另一种方法是在 /etc/fstab 文件中添加一行。这一行中 必须声明 NFS 服务器的主机名，要导出的目录，以及要挂载 NFS 共享的本地机器目录。您必 须是根用户才能修改 /etc/fstab 文件。 /etc/fstab 中每行的一般语法如下所示： server:/usr/local/pub /pub nfs ro .rsize=8192,wsize=8192,timeo=14,intr 1 1 挂载点 /pub 在客户机器上必须存在。在客户系统的 /etc/fstab 文件中把这一行添加完 毕后，在 shell 提示下键入命令 mount /pub，以及将会从服务器中挂载的挂载点 /pub。 8.2.2 使用 TCP /NFS 的默认传输协议是 UDP；然而，Kylin 内核提供了对通过 TCP 的 NFS 的支持。要通 过 TCP 来使用 NFS，在客户系统上挂载 NFS 导出的文件系统时，包括一个 -o tcp 选项。例 如： mount -o tcp shadowman.example.com:/misc/export /misc/local 如果 NFS 挂载在 etc/fstab 中被指定： server:/usr/local/pub /pub nfs rsize=8192,wsize=8192,timeo=14,intr,tcp 如果它在 autofs 配置文件中被指定： myproject -rw,soft,intr,rsize=8192,wsize=8192,tcp penguin.example.net:/proj52 由于默认协议是 UDP，如果没有指定 -o tcp 选项，NFS 导出的文件系统就会通过 UDP 来 进入。 使用 TCP 的优越性包括： 提高了连接持久性，因此获得的 NFS stale file handles 消息会较少。 载量较大的网络性能会有所提高。因为 TCP 确认每个分组，不像 UDP 只在完成时才确认。 TCP 的拥塞控制技术比 UDP 要好（UDP 根本没有）。在一个拥塞情况严重的网络上，UDP 分 组是被首先撤消的类型。这意味着，如果 NFS 正在写入数据（单元为 8K 的块），所有这 8K 数 据都需要被重新传输。由于 TCP 的可靠性，8K 中只有一部分需要重新传输。 错误检测。当 tcp 连接中断（由于服务器停运），客户就会停止发送数据而开始进行重新 连接。UDP 是无连接的，使用它的客户就会继续给网络发生数据直到服务器重新上线为止。 主要的不利因素是，TCP 协议的开销较大，在性能方面的提高并不显著。 8.3 命令行配置 如果您更喜欢使用文本编辑器来编辑配置文件或者您没有安装 X 窗口系统，您可以直接修 改配置文件。 /etc/exports 文件控制 NFS 服务器要导出哪些目录。它的格式如下： 52 银河麒麟服务器操作系统管理员手册 directory hostname(options) 唯一需要指定的选项是 sync 和 async 之一（建议使用 sync is recommended）。如果指 定了 sync，服务器在请求所做的改变被写入磁盘之前就不会回复这些请求。 例如： /misc/export speedy.example.com(sync) 会允许来自 speedy.example.com 的用户使用默认的只读权限来挂载 /misc/export，但 是： /misc/export speedy.example.com(rw,sync) 将会允许来自 speedy.example.com 的用户使用读写权限来挂载 /misc/export。 在您每次改变 /etc/exports 的时候，您必须把改变通知给 NFS 守护进程，或使用以下命 令来重新载入配置文件： /sbin/service nfs reload 8.3.1 主机名格式 主机可以使用以下格式： 单个机器 — 一个全限定域名（能够被服务器解析的），主机名（能够被服务器解析的）， 或 IP 地址。 使用通配符来指定的机器系列 — 使用 * 或 ? 字符来指定一个字符串匹配。IP 地址中不 使用通配符；不过如果反向 DNS 查询失败，它们可能会碰巧有用。在完整域名中指定通配符时， 点（.）不包括在通配符中。例如：*.example.com 包括 one.example.com，但不包括 one.two.example.com.。 IP 网络 — 使用 a.b.c.d/z，这里的 a.b.c.d 是网络，z 是子网掩码中的位数（如 192.168.0.0/24）。另一种可以接受的格式是 a.b.c.d/netmask，这里的 a.b.c.d 是网络， netmask 是子网掩码（如 192.168.100.8/255.255.255.0）。 Netgroups — 格式为 @group-name，这里的 group-name 是 NIS netgroup 的名称。 8.3.2 启动和停止服务器 在导出 NFS 文件系统的服务器上，nfs 服务必须在运行。 使用以下命令来查看 NFS 守护进程的状态： /sbin/service nfs status 使用以下命令来启动 NFS 守护进程： /sbin/service nfs start 使用以下命令来停止 NFS 守护进程： /sbin/service nfs stop 要在引导时启动 nfs 服务，使用以下命令： 53 银河麒麟服务器操作系统管理员手册 /sbin/chkconfig --level 345 nfs on 您还可以使用 chkconfig、ntsysv 或服务配置工具来配置要在引导时启动哪些服务。 54 银河麒麟服务器操作系统管理员手册 第9章 Samba Samba 使用 SMB 协议来通过网络连接共享文件和打印机。支持该协议的操作系统包括 Kylin、 Microsoft Windows、OS/2、和 Linux。 9.1 为什么使用 Samba？ 如果您的网络中既有 Windows 机器又有 Kylin 机器，Samba 就能发挥作用。Samba 会允许 文件和打印机被网络中的所有系统共享。要只在 Kylin 机器间共享文件，请使用第 8 章 中讨 论的 NFS。 9.2 配置 Samba 服务器 用户可以使用默认的配置文件（/etc/samba/smb.conf）来设置的 Samba 共享目录。还可 以吧系统配置的打印机作为 Samba 共享打印机来共享。换句话说，您可以在您的系统上连接打 印机，然后用网络上的 Windows 机器来打印。 9.2.1 图形化配置 要使用图形化界面来配置 Samba，参阅 Samba 服务器配置工具。要使用命令行来配置，请 跳到第 9.2.2 节。 Samba 服务器配置工具是用来管理 Samba 共享、用户、以及基本服务器设置的图形化界面。 它修改 /etc/samba/ 目录中的配置文件。没有使用该程序进行的改变都会被保留。 要使用该程序，您必须在运行 X 窗口系统，具备根特权，并且安装了 config-samba RPM 软 件包。要从桌面启动 Samba 服务器配置工具，点击面板上的「开始」 => 「控制面板」 => 「服 务器设置」 => 「Samba」，或在 shell 提示（如 XTerm 或 GNOME 终端）下键入 config-samba 命令。 55 银河麒麟服务器操作系统管理员手册 图 9.1 Samba 服务器配置工具 9.2.1.1 配置服务器设置 配置 Samba 服务器的第一步是配置服务器的基本设置和几个安全选项。启动了应用程序 后，选择「首选项」 => 「服务器设置」。「基本」活页标签如图 9.2 所示。 图 9.2 配置基本服务器设置 在「基本」标签上，指定计算机应在的工作组以及对计算机的简短描述。它们与 smb.conf 中的 workgroup 和 server string 选项相对应。 56 银河麒麟服务器操作系统管理员手册 图 9.3 配置安全服务器设置 「安全」标签包含以下选项： 「验证模式」 — 它和 security 选项相对应。选择以下验证模式中的一种。 「ADS」 — Samba 服务器充当活跃目录域（ADS）领域中的一个成员，Kerberos 在服务器 上必须被安装和配置，并且 Samba 必须使用 net 工具成为 ADS 领域的一员。net 是 samba-client 软件包的一部分。详情请参阅 samba-client 的说明书页。该选项不会把 Samba 配置成一个 ADS 控制器。 「域」 — Samba 服务器依赖于 Windows NT 主要或备份域控制器来校验用户。服务器把 用户名和口令传递给控制器，然后等待它们被返回。在「验证服务器」字段中指定主要或备份 域控制器的 NetBIOS 名称。 如果「加密口令」选项被选，它必须被设置为「是」。 「服务器」 — Samba 服务器试图通过把用户名和口令组合传递给另一个 Samba 服务器来 校验它们。如果它无法校验，服务器会试图使用用户验证模式来校验它们。在「验证服务器」 字段中指定另一个 Samba 服务器的 NetBIOS 名称。 「共享」 — Samba 用户不必为每个 Samba 服务器都输入用户名和口令组合。它们在试图 连接 Samba 服务器上的指定共享时才会被提示输入用户名和口令。 「用户」 — （默认）Samba 用户必须为每个 Samba 服务器提供一个有效的用户名和口令。 如果您想让「Windows 用户名」选项生效，选择这个选项。详情请参阅第 9.2.1.2 节。 「加密口令」 — 如果用户从 Windows 98、带有服务包 3 的 Windows NT 4.0、或其它最 近版本的 Microsoft Windows 中连接，该选项必须被启用。口令在服务器和客户间使用加密格 式而非可被截取的纯文本格式传输。它和 encrypted passwords 选项相对应。关于加密 Samba 口令的详情，请参阅第 9.2.3 节。 「来宾账号」 — 当用户或来宾用户要登录入 Samba 服务器时，他们必须被映射到服务器 上的有效用户。选择系统上的现存用户名之一作为来宾 Samba 账号。当用户使用来宾账号登录 入 Samba 服务器，他们拥有和这个用户相同的特权。该选项和 guest account 选项相对应。 点击了「确定」后，所做改变会被写入配置文件，守护进程会被重新启动；因此改变会立 即生效。 57 银河麒麟服务器操作系统管理员手册 9.2.1.2 管理 Samba 用户 Samba 服务器配置工具要求在添加 Samba 用户之前，在充当 Samba 服务器的系统上必须 存在一个活跃的用户账号。Samba 用户和这个现存的用户账号相关联。 图 9.4 管理 Samba 用户 要添加 Samba 用户，选择「首选项」 => 「Samba 用户」，然后点击「添加用户」按钮。 在「创建新 Samba 用户」窗口中的本地系统上的现存用户列表中选择「Unix 用户名」。 如果用户在 Windows 机器上有一个不同的用户名，并将从 Windows 机器上登录入 Samba 服务器，请在「Windows 用户名」字段中指定 Windows 用户名。「服务器设置」首选项的「安 全」活页上的「验证模式」 必须被设置为「用户」才能是这个选项生效。 您还需要为 Samba 用户配置一个「Samba 口令」，并再键入一次来确认这个口令。即便您 选择了为 Samba 使用加密口令，仍建议您为所有用户设置一个不同于他们的系统口令的 Samba 口令。 要编辑某个现存用户，从列表中选择它，然后点击「编辑用户」。要删除某个现存的 Samba 用户，选择这个用户，然后点击「删除用户」按钮。删除 Samba 用户不会删除相关的用户账号。 点击了「确定」按钮后，用户就会被立即修改。 58 银河麒麟服务器操作系统管理员手册 9.2.1.3 添加共享 图 9.5 添加共享 要添加共享，点击「添加」按钮。「基本」活页标签配置以下选项： • 「目录」 — 通过 Samba 共享的目录。这个目录必须存在。 • 「权限」 — 用户应该只能够读取共享目录中的文件还是应该能够读写共享目录 中的文件。 • 「描述」 — 对共享的简短描述。 在「访问」活页标签上，选择是否要只允许指定的用户来访问共享还是允许所有 Samba 用 户来访问共享。如果您选择了要允许指定用户访问，从可用的 Samba 用户列表中选择这些用户。 点击了「确定」按钮后，共享就会立即被添加。 9.2.2 命令行配置 Samba 使用 /etc/samba/smb.conf 作为它的配置文件。如果您改变了这个配置文件，这个 改变直到您使用 service smb restart 命令重启 Samba 守护进程后才会生效。 要指定 Windows 工作组和对它的简短描述，编辑 smb.conf 文件中的以下几行： workgroup = WORKGROUPNAME server string = BRIEF COMMENT ABOUT SERVER 把 WORKGROUPNAME 换成您的机器所属的 Windows 工作组名。BRIEF COMMENT ABOUT SERVER 是可选的，它被用作关于 Samba 系统的 Windows 注释。 要在 Kylin 上创建 Samba 共享目录，在 smb.conf 文件中添加以下几行（根据您和您的系 统需要修改了该文件之后）： [sharename] comment = Insert a comment here path = /home/share/ valid users = tfox carole 59 银河麒麟服务器操作系统管理员手册 public = no writable = yes printable = no create mask = 0765 上面的例子允许用户 tfox 和 carole 从 Samba 客户中读写 Samba 服务器上的目录 /home/share。 9.2.3 加密口令 加密口令被默认启用，因为它更安全。如果加密口令没有被使用，纯文本口令就会被使用， 它能够被别人使用网络分组嗅探器来截取。建议您使用加密口令。 Microsoft SMB 协议最初使用纯文本口令。然而，带有 service pack 3 或更高的 Windows NT 4.0、Windows 98、Windows 2000、Windows ME、以及 Windows XP 要求加密的 Samba 口令。 要在 Kylin 系统和运行以上 Windows 操作系统的系统间使用 Samba，您可以编辑 Windows 注 册器来使用纯文本口令或配置您的 Kylin 系统的 Samba 来使用加密口令。如果您要修改注册 器，您必须为所有 Windows 机器这么做 — 这很冒险，有可能导致进一步的冲突。为了更高的 安全性，推荐您使用加密口令。 要配置 Samba 使用加密口令，遵循以下步骤： 1) 为 Samba 创建一个单独的口令文件。要根据您的现存 /etc/passwd 文件来 创建，在 shell 提示下键入以下命令： cat /etc/passwd | mksmbpasswd.sh > /etc/samba/smbpasswd 2) 如果系统使用 NIS，键入以下命令： ypcat passwd | mksmbpasswd.sh > /etc/samba/smbpasswd 3) mksmbpasswd.sh 脚本和 samba 软件包一起被安装在您的 /usr/bin 目录 上。 4) 改变 Samba 口令文件的权限许可，只有 root 用户才有读写权限： chmod 600 /etc/samba/smbpasswd 5) 这个脚本不会把用户口令复制到新文件，Samba 用户账号在没有设置口令之 前不会被激活。为了更高的安全性，建议您把用户的 Samba 口令设置为不同于用户口 令的口令。要设置每个 Samba 用户的口令，使用以下命令（把 username 替换为每个 用户的用户名）： smbpasswd username 6) 加密口令必须被启用。由于它们被默认启用，它们不必在配置文件中被特别 启用。不过，它们也不能在配置文件中被禁用。在 smb.conf 文件中，请确定以下行 不存在： encrypt passwords = no 60 银河麒麟服务器操作系统管理员手册 7) 如果它确实存在，请在行首加一个”;”把它变成注释，这样该行就会被忽略， 加密口令就会被启用。如果该行存在但没有被注释掉，请删除它或把它变成注释。 8) 要在配置文件中特别启用加密口令，给 /etc/samba/smb.conf 文件添加以下 几行： encrypt passwords = yes smb passwd file = /etc/samba/smbpasswd 9) 在 shell 提示下键入 service smb restart 来确定 smb 服务被启动。 如果您想让 smb 服务被自动启动，使用 ntsysv、chkconfig、或服务配置工具来在运行时 间启用它。 当使用了 passwd 命令后，pam_smbpass PAM 模块能够被用来同步用户的 Samba 口令和他 们的系统口令。如果用户引发了 passwd 命令，他用来登录到 Kylin 系统的口令以及他要连接 Samba 共享所必须提供的口令就会被改变。 要启用这个功能，把以下行添加到 /etc/pam.d/system-auth 的 pam_cracklib.so 之下： password required /lib/security/pam_smbpass.so nullok use_authtok try_first_pass 9.2.4 启动和停止服务器 在通过 Samba 共享目录的服务器上必须运行 smb 服务。 使用以下命令来查看 Samba 守护进程的状态： /sbin/service smb status 使用以下命令来启动守护进程： /sbin/service smb start 使用以下命令来停止守护进程： /sbin/service smb stop 要在引导时启动 smb 服务，使用以下命令： /sbin/chkconfig --level 345 smb on 还可以使用 chkconfig、ntsysv 或服务配置工具来配置要在引导时启动哪些服务。 9.3 连接 Samba 共享 9.3.1 命令行 要查询网络上的 Samba 服务器，使用 findsmb 命令。每个找到的服务器都会显示其 IP 地 址、NetBIOS 名称、工作组名称、操作系统、以及 SMB 服务器版本。 要连接 Samba 共享，从 shell 提示下，键入以下命令： smbclient ///-U 61 银河麒麟服务器操作系统管理员手册 把 替换为您想连接的 Samba 服务器的主机名或 IP 地址，把 替换为您想浏览的共享目录的名称，把 替换成系统的 Samba 用户名。输入正确的 口令或按 [Enter] 键（若不要求该用户的口令）。 如果您看到了 smb:\> 提示，这说明您已成功登录。登录后，键入 help 来获得一个命令 列表。如果您想浏览您的主目录的内容，把 sharename 替换成您的用户名。如果没有使用 -U 选 项，当前用户的用户名就会被传递给 Samba。 要退出 smbclient，在 smb:\> 提示下键入 exit。 62 银河麒麟服务器操作系统管理员手册 第10章 动态主机配置协议（DHCP） 动态主机配置协议（DHCP）是用来自动给客户机器分配 TCP/IP 信息的网络协议。每个 DHCP 客户都连接到位于中心的 DHCP 服务器，该服务器会返回包括 IP 地址、网关和 DNS 服务器信 息的客户网络配置。 10.1 为什么使用 DHCP DHCP 在快速发送客户网络配置方面很有用场。当配置客户系统时，若管理员选择了 DHCP， 他就不必输入 IP 地址、子网掩码、网关、或 DNS 服务器。客户从 DHCP 服务器中检索这些信 息。DHCP 在管理员想改变大量系统的 IP 地址时也大有用途。与其重新配置所有系统，管理员 只需编辑服务器上的一个用于新 IP 地址集合的 DHCP 配置文件即可。如果某机构的 DNS 服务 器改变了，这种改变只需在 DHCP 服务器上而不必在 DHCP 客户上进行。一旦客户的网络被重 新启动（或客户重新引导系统），改变就会生效。 除此之外，如果便携电脑或任何类型的可移计算机被配置使用 DHCP，只要每个办公室都有 一个允许它联网的 DHCP 服务器，它就可以不必重新配置而在办公室间自由移动。 10.2 配置 DHCP 服务器 要配置 DHCP 服务器，请修改配置文件 /etc/dhcpd.conf。 DHCP 还使用 /var/lib/dhcp/dhcpd.leases 文件来贮存客户租期数据库。详情请参阅第 10.2.2 节。 10.2.1 配置文件 配置 DHCP 服务器的第一步是创建贮存客户网络信息的配置文件。全局选项可以为所有客 户声明，可选选项可以为每个客户系统声明。 该配置文件可以使用任何附加的制表符或空行来进行简单格式化。关键字是区分大小写的， 起首为井号（#）的行是注释。 目前实现了两种 DNS 更新方案 — 特殊 DNS 更新模式和过渡性 DHCP-DNS 互动草图更新 模式。如果这两种模式被接受为 IETF 标准进程的一部分，就会出现第三个模式 — 标准 DNS 更新方法。DHCP 服务器必须配置使用这两种当前方案中的一种。版本 3.0b2pl11 以及更早的 版本使用特殊模式；不过，这种模式已经过时。如果您想保留相同的行为方式，在配置文件的 开头添加以下一行： Ddns-update-style ad-hoc; 要使用推荐的模式，在配置文件的开头添加以下一行： Ddns-update-style interim; 请阅读 dhcpd.conf 的说明书（man）页来获得有关不同模式的细节。 配置文件中有两类陈述： 参数 — 表明如何执行任务，是否要执行任务，或将哪些网络配置选项发送给客户。 声明 — 描述网络的布局；描述客户；提供客户的地址；或把一组参数应用到一组声明中。 63 银河麒麟服务器操作系统管理员手册 某些参数必须以 option 关键字开头，它们也被称为选项。选项配置 DHCP 的可选选项； 而参数配置的是必选的或控制 DHCP 服务器行为的值。 在使用大括号（{ }）的部分之前声明的参数（包括选项）通常被当做全局参数。全局参数 应用位于其下的所有部分。 在图 10.1 中，routers、subnet-mask、 domain-name、domain-name-servers 和 time-offset 选项被用于所有在它们下面声明的 host 声明中。 如图 10.1 所示，您可以声明 subnet。您必须为您的网络中的每一个子网包括一个 subnet 声明，否则，DHCP 服务器可能无法启动。 在这个例子中，子网中的每个 DHCP 客户都带有全局选项，并且声明了 range。客户被分 配给 range 之内的 IP 地址。 subnet 192.168.1.0 netmask 255.255.255.0 { option routers 192.168.1.254; option subnet-mask 255.255.255.0; option domain-name "example.com"; option domain-name-servers 192.168.1.1; option time-offset -18000; # Eastern Standard Time range 192.168.1.10 192.168.1.100; } 图 10.1 子网声明 所有共享同一物理网络的子网应该在 shared-network 声明之内声明，如图 10.2 所示。在 shared-network 之内，但在被包围起来的 subnet 声明之外的参数被当做全局参数。 shared-network 的名称应该是对网络有描述性的标题，例如，使用 test-lab 来描述所有处于 实验室（test lab）环境中的子网。 shared-network name { option domain-name "test.Kylin.com"; option domain-name-servers ns1.Kylin.com, ns2.Kylin.com; option routers 192.168.1.254; more parameters for EXAMPLE shared-network subnet 192.168.1.0 netmask 255.255.255.0 { parameters for subnet range 192.168.1.1 192.168.1.31; } subnet 192.168.1.32 netmask 255.255.255.0 { parameters for subnet range 192.168.1.33 192.168.1.63; 64 银河麒麟服务器操作系统管理员手册 } } 图 10.2 共享网络声明 如图 10.3 中所演示，group 声明可以用来把全局参数应用到一组声明中。例如，您可以组 合共享的网络、子网、主机或其它组群。 group { option routers 192.168.1.254; option subnet-mask 255.255.255.0; option domain-name "example.com"; option domain-name-servers 192.168.1.1; option time-offset -18000; # Eastern Standard Time host apex { option host-name "apex.example.com"; hardware ethernet 00:A0:78:8E:9E:AA; fixed-address 192.168.1.4; } host raleigh { option host-name "raleigh.example.com"; hardware ethernet 00:A1:DD:74:C3:F2; fixed-address 192.168.1.6; } } 图 10.3 组群声明 要配置将动态 IP 地址租给子网内系统的 DHCP 服务器，用您的数值来修改图 10.4。它为 客户声明一个默认租期、最长租期、以及网络配置值。范例中把 range 192.168.1.10 和 192.168.1.100 之间的 IP 地址分配给客户。 default-lease-time 600; max-lease-time 7200; option subnet-mask 255.255.255.0; option broadcast-address 192.168.1.255; option routers 192.168.1.254; option domain-name-servers 192.168.1.1, 192.168.1.2; option domain-name "example.com"; 65 银河麒麟服务器操作系统管理员手册 subnet 192.168.1.0 netmask 255.255.255.0 { range 192.168.1.10 192.168.1.100; } 图 10.4 范围参数 要根据网卡的 MAC 地址给客户分配 IP 地址，使用 host 声明内的 hardware ethernet 参数。 如图 10.5 中所演示，host apex 声明表明：网卡的 MAC 地址为 00:A0:78:8E:9E:AA 的 系统所分配的 IP 地址将一直是 192.168.1.4。 注意，您还可以使用可选的参数 host-name 来为客户分配主机名。 host apex { option host-name "apex.example.com"; hardware ethernet 00:A0:78:8E:9E:AA; fixed-address 192.168.1.4; } 图 10.5 使用 DHCP 的静态 IP 地址 要获取选项声明及其作用的完整列表，请参阅 dhcp-options 的说明书（man）页。 10.2.2 租期数据库 在 DHCP 服务器上，/var/lib/dhcp/dhcpd.leases 文件中存放着 DHCP 的客户租期数据 库。该文件不应该被手工修改。每个新近分配的 IP 地址的 DHCP 租期信息都会自动储存在租 期数据库中。该信息 包括租期的长度；IP 地址被分配的对象；租期的开始和终止日期； 以及 用来检索租期的网卡的 MAC 地址。 租期数据库中所用的时间是格林威治标准时间（GMT），不是本地时间。 租期数据库不时被重建，因此它不算太大。首先，所有已知的租期会被储存到一个临时的 租期数据库中，dhcpd.leases 文件被重命名为 dhcpd.leases~，然后，临时租期数据库被写入 dhcpd.leases 文件。 在租期数据库被重命名为备份文件，新文件被写入之前，DHCP 守护进程有可能被杀死，系 统也有可能会崩溃。如果发生了这种情况，dhcpd.leases 文件不存在，但它却是启动服务所必 需的。这时，请不要创建新租期文件。因为这样做会丢失所有原有的旧租期文件，从而导致更 多问题。正确的办法是把 dhcpd.leases~ 备份文件重命名为 dhcpd.leases，然后再启动守护 进程。 10.2.3 启动和停止服务器 要启动 DHCP 服务，使用 /sbin/service dhcpd start 命令。要停止 DHCP 服务，使用 /sbin/service dhcpd stop 命令。如果您想让守护进程在引导时自动启动， 如果您的系统连接了不止一个网络接口，但是您只想让 DHCP 服务器启动其中之一，您可 以配置 DHCP 服务器只在那个设备上启动。在 /etc/sysconfig/dhcpd 中，把接口的名称添加 到 DHCPDARGS 的列表中： 66 银河麒麟服务器操作系统管理员手册 # Command line options here DHCPDARGS=eth0 如果您有一个带有两个网卡的防火墙机器，这种方法就会大派用场。一个网卡可以被配置 成 DHCP 客户来从互联网上检索 IP 地址；另一个网卡可以被用作防火墙之后的内部网络的 DHCP 服务器。仅指定连接到内部网络的网卡使系统更加安全，因为用户无法通过互联网来连接 它的守护进程。 其它可在 /etc/sysconfig/dhcpd 中指定的命令行选项包括： -p — 指定 dhcpd 应该监听的 udp 端口号码。默认值为 67。DHCP 服务器在 比指定的 udp 端口大一位的端口号码上把回应传输给 DHCP 客户。譬如，如果您使用了默认的 端口 67，服务器就会在端口 67 上监听请求，然后在端口 68 上回应客户。如果您在此处指定 了一个端口号码，并且使用了 DHCP 转发代理，您所指定的 DHCP 转发代理所监听的端口就必 须是同一端口。详情请参阅第 10.2.4 节。 -f — 把守护进程作为前台进程运行。这在调试时最常用。 -d — 把 DCHP 服务器守护进程记录到标准错误描述器中。这在调试时最常用。如果它没 有指定，日志将被写入 /var/log/messages。 -cf — 指定配置文件的位置。默认位置是 /etc/dhcpd.conf。 -lf — 指定租期数据库文件的位置。如果租期数据库文件已存在，在 DHCP 服 务器每次启动时使用同一个文件至关重要。强烈建议您只在无关紧要的机器上为调试目的才使 用该选项。默认的位置是 /var/lib/dhcp/dhcpd.leases。 -q — 在启动该守护进程时，不要显示整篇版权信息。 10.2.4 DHCP 转发代理 DHCP 的转发代理（dhcrelay）允许您把无 DHCP 服务器的子网内的 DHCP 和 BOOTP 请求 转发给其它子网内的一个或多个 DHCP 服务器。 当某个 DHCP 客户请求信息时，DHCP 转发代理把该请求转发给 DHCP 转发代理启动时所指 定的一列 DHCP 服务器。当某个 DHCP 服务器返回一个回应 时，该回应被广播或单播给发送最 初请求的网络。 除非使用 INTERFACES 指令在 /etc/sysconfig/dhcrelay 文件中指定了接口，DHCP 转发 代理监听所有接口上的 DHCP 请求。 要启动 DHCP 转发代理，使用 service dhcrelay start 命令。 10.3 配置 DHCP 客户 配置 DHCP 客户的第一步是确定内核能够识别网卡。多数网卡会在安装过程中被识别，系 统会为该卡配置使用恰当的内核模块。如果您在安装后添加了一张网卡，Kudzu 应该会识别它， 并提示您为它配置相应的内核模块。如果网卡不是由安装程序或 Kudzu 配置的，而且您知道要 为它载入哪个内核模块，那么载入内核模块。 67 银河麒麟服务器操作系统管理员手册 要手工配置 DHCP 客户，您需要修改 /etc/sysconfig/network 文件来启用联网；并修改 /etc/sysconfig/network-scripts 目录中每个网络设备的配置文件。在该目录中，每个设备都 应该有一个叫做 ifcfg-eth0 的配置文件，这里的 eth0 是网络设备的名称。 /etc/sysconfig/network 文件应该包含以下行： NETWORKING=yes 如果您想在引导时启动联网，NETWORKING 变量必须被设为 yes。 /etc/sysconfig/network-scripts/ifcfg-eth0 文件应该包含以下几行： DEVICE=eth0 BOOTPROTO=dhcp ONBOOT=yes 每个您想配置使用 DHCP 的设备都需要一个配置文件。 其它网络脚本的选项包括： DHCP_HOSTNAME — 只有当 DHCP 服务器在接收 IP 地址前需要客户指定主机名的时候才 使用该选项。（Kylin 中的 DHCP 服务器守护进程不支持该功能。） PEERDNS=，这里的 是以下之一： yes — 使用来自服务器的信息来修改 /etc/resolv.conf。若使用 DHCP，那么 yes 是默 认值。 no — 不要修改 /etc/resolv.conf。 SRCADDR=