王哲理
王哲理

iptables 安全

注解；来自某位大神的详解，做个笔记。

iptables防火墙简介

Netfilter/Iptables（以下简称Iptables）是unix/linux自带的一款优秀且开放源代码的安全自由的**基于包过滤的防火墙工具**，它的功能十分强大，使用非常灵活，可以对流入和流出服务器的数据包进行很精细的控制。特别是它可以在一台非常低的硬件配置下跑的非常好

Iptables是Linux2.4及2.6内核中集成的服务。其功能与安全性比其**ipfwadm，ipchains**强大的多，iptables主要工作在OSI七层的二、三、四层，如果重新编译内核，iptables也可以支持**7层控制**（squid代理+iptables）

iptables 名词和术语

容器：包含和被包含的关系

iptables是表的容器

iptables包含表 （4张表）表是链的容器，每个表都包含若干个链

链是规则的容器，真正过滤规则是属于链里面的

级别介绍

iptables国家

表省

链 市

规则 县

iptables工作流程

iptables是采用数据包过滤机制工作的，所以它会对请求的数据包的包头数据进行分析，并根据我们预先设定的规则来进行匹配是否可以进入到主机。

iptables 安全_第1张图片

iptables工作流程小结

1.防火墙是一层层过滤的。实际是按照配置规则的顺序从上到下，从前到后进行过滤的。

2.如果匹配上规则，即明确表是阻止还是通过，此时数据包就不在向下匹配新规则了。

3.如果所有规则中没有明确是阻止还是通过这个数据包，也就是么有匹配上新规则，向下进行匹配，直到匹配默认规则得到明确的组织还是通过

4.防火墙的默认规则是对应链的所有规则执行完才会执行的。

iptables表（tables）和链（chains）

iptables根据功能和表的定义划分包含三个表，filter，nat，mangle，其每个表又包含不同的操作链（Chains）

iptables 安全_第2张图片
iptables 安全_第3张图片

Filter表是真正的防火墙功能

INPUT进服务器 OUTPUT出服务器 FORWARD 流经服务器

Nat表 负责数据包改写 网关共享上网、IP和端口映射

OUTPUT

PREROUTING

POSTROUTING

Mangle表 路由标记 用的不多

####所有链全有

RAW 表 用处很少和Mangle一样

我们可以通过man iptables 来获取

表介绍

iptables 安全_第4张图片

对于filter表的控制是我们实现本机防火墙的重要手段，特别是对INPUT链的控制

iptables 安全_第5张图片
iptables 安全_第6张图片
iptables 安全_第7张图片
iptables 安全_第8张图片

iptables表和链工作流程图

iptables 安全_第9张图片
iptables 安全_第10张图片

提示： iptables主要由2个作用，第一是防火墙，第二是路由。

NAT功能：

企业案例：1）局域网上网共享（路由和网关）NAT POSTROUTING

2）外部IP和端口映射为内部IP和端口（DMZ功能），NAT PREROUTING

Filter功能，即防火墙FILTER INPUT FORWARD

企业案例：主要应用于服务器防火墙

配置iptables

iptables默认已经安装

[root@web02~]#iptables-V

iptables v1.4.7

[root@web02~]#rpm-qa iptables

iptables-1.4.7-16.el6.x86_64

[root@web02~]#/etc/init.d/iptables status

iptables:Firewallis not running.

查看iptables规则

[root@web02~]#iptables-nL

ChainINPUT(policy ACCEPT)

表示针对input链 ACCEPT是默认规则，默认是运行通过的

target prot opt source destination

input链下面具体的规则

ACCEPT all--0.0.0.0/00.0.0.0/0state RELATED,ESTABLISHED

ACCEPT icmp--0.0.0.0/00.0.0.0/0

ACCEPT all--0.0.0.0/00.0.0.0/0

ACCEPT tcp--0.0.0.0/00.0.0.0/0state NEW tcp dpt:22

REJECT all--0.0.0.0/00.0.0.0/0reject-withicmp-host-prohibited

ChainFORWARD(policy ACCEPT)

target prot opt source destination

REJECT all--0.0.0.0/00.0.0.0/0reject-withicmp-host-prohibited

ChainOUTPUT(policy ACCEPT)

target prot opt source destination

如果没有指定表，默认就是filfer表

iptables默认加载的内核模块

[root@web02~]#lsmod|egrep"nat|filter|ipt"

ipt_REJECT23512

iptable_filter27931

ip_tables178311iptable_filter

加载如下模块到linux内核

modprobe ip_tables

modprobe iptable_filter

modprobe iptable_nat

modprobe ip_conntrack连接跟踪

modprobe ip_conntrack_ftp连接跟踪

modprobe ip_nat_ftp

modprobe ipt_state

再次过滤，查看生效情况

[root@web02~]#lsmod|egrep"nat|filter|ipt"

nf_nat_ftp34430

nf_conntrack_ftp119531nf_nat_ftp

iptable_nat59230

nf_nat226762nf_nat_ftp,iptable_nat

ipt_REJECT23512

nf_conntrack_ipv491545iptable_nat,nf_nat

nf_conntrack792066nf_nat_ftp,nf_conntrack_ftp,iptable_nat,nf_nat,nf_conntrack_ipv4,xt_state

iptable_filter27931

ip_tables178312iptable_nat,iptable_filter

清空所有的规则，只留下默认规则

[root@web02~]#iptables-F

[root@web02~]#iptables-X

[root@web02~]#iptables-Z

iptables -F 清除所有规则

iptables -X 删除用户自定义规则

iptables -Z 链的计数器清零

禁止规则

查看端口

[root@web02~]#netstat-lntup|grep ssh

tcp000.0.0.0:220.0.0.0:*LISTEN1329/sshd

tcp00:::22:::*LISTEN1329/sshd

命令如下：

iptables-t filter-A INPUT-p tcp--dport22-j DROP

-A添加规则到指定链的结尾，最后一条

-I添加规则到指定链的开头，第一条

-t指定表，也可以不指定默认是filter

-p指定协议(all.tcp,udp.icmp)默认all

--dport指定端口

-j处理的行为

ACCPET接收、DROP丢弃、REJECT拒绝

最好使用ACCPET和DROP，因为拒绝会返回给用户信息。

iptables 安全_第11张图片

清除规则可以使用iptables -F

还可以使用iptables -D INPUT 1

-D指定删除的链

--line-number显示序列号

iptables -nl --line-number

iptables 安全_第12张图片

提示：需要写上链和序列号

温馨提示：恢复刚才断掉的SSH连接

1）去机房重启系统或登录服务器删除刚才的禁止规则

2）让机房人员重启服务器或者让机房人员拿用户密码登录进去

3）通过服务器的远程管理卡管理（推荐）

4）先写一个定时任务，每5分钟就停止防火墙

5）测试环境测试好，写成脚本，批量执行

企业案例

案例1： 加-A和-I的区别

[root@web02~]#iptables-A INPUT-p tcp--dport80-j DROP

[root@web02~]#iptables-I INPUT-p tcp--dport80-j ACCEPT

按照iptables匹配规则，首先会先匹配第一行，依次向下。这样设置拒绝就没有用

如果想在中间插入可以指定插入行号

[root@web02~]#iptables-nL

ChainINPUT(policy ACCEPT)

target prot opt source destination

ACCEPT tcp--0.0.0.0/00.0.0.0/0tcp dpt:80

DROP tcp--0.0.0.0/00.0.0.0/0tcp dpt:80

ChainFORWARD(policy ACCEPT)

target prot opt source destination

ChainOUTPUT(policy ACCEPT)

target prot opt source destination

还可以通过序列号插入iptables命令

[root@web02~]#iptables-I INPUT2-p tcp--dport80-j ACCEPT

[root@web02~]#iptables-nL--line-number

ChainINPUT(policy ACCEPT)

num target prot opt source destination

1ACCEPT tcp--0.0.0.0/00.0.0.0/0tcp dpt:80

2ACCEPT tcp--0.0.0.0/00.0.0.0/0tcp dpt:80

3DROP tcp--0.0.0.0/00.0.0.0/0tcp dpt:80

ChainFORWARD(policy ACCEPT)

num target prot opt source destination

ChainOUTPUT(policy ACCEPT)

num target prot opt source destination

小结：总结下删除规则的方法

1. iptables -D INPUT -p tcp --dport 8080 -j DROP

2. iptables -F 删所有规则

3. /etc/init.d/iptables restart （用iptables命令行配置的命令都是临时生效）

4. iptables -D INPUT 规则序号

案例：禁止10.0.0.0网段接入

基于客户端网段控制

[root@web02~]#iptables-A INPUT-s10.0.0.0/24-j DROP

-s指定源地址

还可以使用不是这个网段的进行操作

[root@web02~]#iptables-A INPUT!-s10.0.0.0/24-j DROP

案例：控制22端口 eth0网卡进来的数据

iptables-A INPUT-p tcp--dport22-i eth0!-s10.0.0.0/24-j DROP

iptables-A INPUT-p tcp--dport22-i eth0!-s192.168.1.1-j DROP

封掉3306端口

iptables-A INPUT-p tcp--dport3306-j DROP

匹配指定的协议

iptables-A INPUT-p tcp

iptables-A INPUT-p udp

匹配指定协议外的所有协议

iptables-A INPUT!-p tcp

``匹配单一端口**

iptables-A INPUT-p tcp--sport22源端口

iptables-A INPUT-p udp--dport22目的端口

匹配端口范围：

iptables-A INPUT-p tcp--sport22:80

iptables-A INPUT-p tcp--dport21,22,23-j DROP---->错误语法

iptables-I INPUT-p tcp-m multiport--dport22,23,24,25-j DROP

iptables-I INPUT-p tcp-m multiport!--dport22,23,24,25-j DROP

iptables-I INPUT-p tcp--dport3306:8809-j ACCEPT

iptables-I INPUT-p tcp--dport18:80-j DROP<----最佳方法

匹配ICMP类型

iptables-A INPUT-p icmp-type8

icmp中有很多类型，其中8代表ping

例：

iptables-A INPUT-p icmp--icmp-type8-j DROP

iptables-A INPUT-p icmp-m icmp--icmp-type any-j ACCEPT

因为icmp类型很多可以使用any，icmp的所有类型全禁

iptables-A INPUT-s192.168.1.0/24-p icmp-m icmp--icmp-type any-j ACCEPT

企业场景禁ping

iptables-A INPUT-p icmp--icmp-type8-s10.0.0.0/24-j ACCEPT

根据需求来设定

匹配网络状态

-m state--state

NEW：已经或启动新的连接

ESTABLISHED：已建立的连接

RELATED：正在启动的新连接

INVALID：非法或无法识别的

FTP服务是特殊的，需要配状态连接

允许关联的状态包通过（Web服务不要使用FTP服务）

允许关联的状态包

iptables-A INPUT-m state--state ESTABLISHED,RELATED-j ACCEPT

iptables-A OUTPUT-m state--state ESTABLISHED,RELATED-j ACCEPT

限制指定时间包的允许通过数量及并发数

-m limit--limit n/{second/minute/hour}

指定时间内的请求速率“n”为速率，后面为时间分别为：秒、分、时

--limit-burst[n]

在同一时间内允许通过的请求“n”为数字，不指定默认为5

iptables-I INPUT-s10.0.1.0/24-p icmp--icmp-type8-m limit--limit5/min--limit-burst2-j ACCEPT

手动执行iptables命令配置企业生产环境防火墙

生产环境配置主机防火墙的两种模式

1. 允许所有程序，对操作伤害的进行拒绝操纵 应用场景：企业配置上网网关路由

2. 拒绝所有操作，允许指定的操作 应用场景：服务器主机防火墙

配置企业主机防火墙

[root@web02~]#iptables-F

[root@web02~]#iptables-X

[root@web02~]#iptables-Z

1.设置允许SSH登录端口

[root@web02~]#iptables-A INPUT-p tcp--dport22-j ACCETP

[root@web02~]#iptables-A INPUT-p tcp-s10.0.0.1/24-j ACCEPT

2.设置允许本机lo通信规则

[root@web02~]#iptables-A INPUT-i lo-j ACCEPT

[root@web02~]#iptables-A OUTPUT-o lo-j ACCEPT

3.设置默认规则

[root@web02~]#iptables-P INPUT DROP

[root@web02~]#iptables-P OUTPUT ACCEPT

[root@web02~]#iptables-P FORWARD DROP

轻松应对IDC机房带宽突然暴涨问题

查看规则（现在的服务器是最安全的）

[root@web02~]#iptables-nL--line-number

ChainINPUT(policy DROP)

num target prot opt source destination

1ACCEPT tcp--0.0.0.0/00.0.0.0/0tcp dpt:22

2ACCEPT tcp--10.0.0.0/240.0.0.0/0

3ACCEPT all--0.0.0.0/00.0.0.0/0

ChainFORWARD(policy DROP)

num target prot opt source destination

ChainOUTPUT(policy ACCEPT)

num target prot opt source destination

1ACCEPT all--0.0.0.0/00.0.0.0/0

4.开启信任的IP网段

允许IDC LAN/WAN和办公网IP的访问，及对外合作机构访问

iptables-A INPUT-s124.23.62.96/27-p all-j ACCEPT#办公室固定IP段

iptables-A INPUT-s192.168.2.0/24-p all-j ACCEPT#IDC机房的内网网段

iptables-A INPUT-s10.0.0.0/24-p all-j ACCEPT#其他机房的内网网段

iptables-A INPUT-s203.82.24.0/24-p all-j ACCEPT#IDC机房的外网网段

iptables-A INPUT-s203.82.23.0/24-p all-j ACCEPT#其他IDC机房的外网网段

现在还只是我们可以访问，对外还无法访问

5.允许icmp类型协议通过

iptables-A INPUT-p icmp-m icmp-type any-j ACCEPT

提示：如果不想开，就不执行此命令

iptables-A INPUT-p icmp-s10.0.0.0/24-m icmp--icmp-type any-j ACCEPT

6.允许关联的状态包通过（Web服务不要使用FTP服务）

iptables-A INPUT-m state--state ESTABLISHED,RELATED-j ACCEPT

iptables-A OUTPUT-m state--state ESTABLISHED,RELATED-j ACCEPT

提示：以上配置就是合格服务器应该配置的

保存

默认使用iptables并没有永久保存，重启失效。

第一种方法：

/etc/init.d/iptables save保存到/etc/sysconfig/iptables下面

显示如下格式

[root@web02~]#cat/etc/sysconfig/iptables

# Generated by iptables-save v1.4.7 on Mon Aug 15 01:33:44 2016

*nat

:PREROUTING ACCEPT[1413:153792]

:POSTROUTING ACCEPT[132:8834]

:OUTPUT ACCEPT[132:8834]

COMMIT

# Completed on Mon Aug 15 01:33:44 2016

# Generated by iptables-save v1.4.7 on Mon Aug 15 01:33:44 2016

*filter

:INPUT DROP[1798:662465]

:FORWARD DROP[0:0]

:OUTPUT ACCEPT[288:21100]

-A INPUT-p tcp-m tcp--dport22-j ACCEPT

-A INPUT-s10.0.0.0/24-p tcp-j ACCEPT

-A INPUT-i lo-j ACCEPT

-A OUTPUT-o lo-j ACCEPT

COMMIT

# Completed on Mon Aug 15 01:33:44 2016

第二种方法：

[root@web02~]#iptables-save>/etc/sysconfig/iptables

推荐使用第一种方式

测试：我通过其他服务器扫描我们配置的防火墙

使用nmap工具进行分析，此工具需要安装

[root@web02~]#yum-y install nmap

使用如下：更多可以使用nmap --help

[root@web02~]#nmap10.0.0.8-p1-65535

StartingNmap5.51(http://nmap.org)at2016-08-1504:28CST

Nmapscan reportfor10.0.0.8

Hostisup(0.0000070slatency).

Notshown:65532closed ports

PORT STATE SERVICE

22/tcp open ssh

80/tcp open http

3306/tcp open mysql

Nmapdone:1IP address(1host up)scannedin14.21seconds

生产维护

（1）确定的规则；

编辑/etc/sysconfig/iptables

加入想要的规则：例如

-A INPUT-p tcp-m tcp--dport873-j ACCEPT

/etc/init.d/iptables reload

或者改配置的同时命令在执行，也是永久生效。

（2）命令试错，没问题了，然后放配置文件，这时不需要重启了

恶意IP封杀

封IP，在第一行封。10.0.0.1 这个机器攻击我们服务器或者在BBS里发垃圾帖子

手工封IP：

iptables-I INPUT-s10.0.0.1-j DROP#粗，范围大，外部攻击者

Iptables-I INPUT-s10.0.0.1-j DROP

iptables-I INPUT-p tcp-s10.0.0.1--dport80-j DROP#细，范围小。内部

自动封IP：分析Web或应用日志或者网络连接状态封掉垃圾IP

脚本：

#!/bin/bash

#this is a server firewall created by oldboy 17:03 2006-7-26

# e_mail:[email protected]

# qqinfo:49000448

# function: a server firewall

# version:1.1

################################################

# oldboy trainning info.

# QQ 1986787350 70271111

# site: http://www.etiantian.org

# blog: http://oldboy.blog.51cto.com

# oldboy trainning QQ group: 208160987 45039636

################################################

#define variable PATH

IPT=/sbin/iptables

#Remove any existing rules

$IPT-F

$IPT-X

$IPT-Z

#setting default firewall policy

$IPT--policy OUTPUT ACCEPT

$IPT--policy FORWARD DROP

$IPT-P INPUT DROP

#setting for loopback interface

$IPT-A INPUT-i lo-j ACCEPT

$IPT-A OUTPUT-o lo-j ACCEPT

#setting access rules

#one,ip access rules,allow all the ips of

$IPT-A INPUT-s10.0.10.0/24-p all-j ACCEPT

$IPT-A INPUT-s10.0.0.0/24-p all-j ACCEPT

##下面的是重复的，作为知识点保留，单个服务的配置

#second,port access rules

#nagios

$IPT-A INPUT-s10.0.10.0/24-p tcp--dport5666-j ACCEPT

$IPT-A INPUT-s10.0.0.0/24-p tcp--dport5666-j ACCEPT

#db

$IPT-A INPUT-s10.0.0.0/24-p tcp--dport3306-j ACCEPT

$IPT-A INPUT-s10.0.0.0/24-p tcp--dport3307-j ACCEPT

$IPT-A INPUT-s10.0.10.0/24-p tcp--dport3306-j ACCEPT

$IPT-A INPUT-s10.0.10.0/24-p tcp--dport3307-j ACCEPT

#ssh difference from other servers here.>>

$IPT-A INPUT-s10.0.0.0/24-p tcp--dport52113-j ACCEPT

$IPT-A INPUT-s10.0.10.0/24-p tcp--dport52113-j ACCEPT

$IPT-A INPUT-p tcp--dport22-j ACCEPT

#http

$IPT-A INPUT-p tcp--dport80-j ACCEPT

#snmp

$IPT-A INPUT-s10.0.0.0/24-p UDP--dport161-j ACCEPT

$IPT-A INPUT-s10.0.10.0/24-p UDP--dport161-j ACCEPT

#rsync

$IPT-A INPUT-s10.0.0.0/24-p tcp-m tcp--dport873-j ACCEPT

$IPT-A INPUT-s10.0.10.0/24-p tcp-m tcp--dport873-j ACCEPT

#icmp

#$IPT -A INPUT -p icmp -m icmp --icmp-type any -j ACCEPT

#others RELATED

$IPT-A INPUT-m state--state ESTABLISHED,RELATED-j ACCEPT

$IPT-A OUTPUT-m state--state ESTABLISHED,RELATED-j ACCEPT

企业案例：写一个脚本解决DOS攻击生产案例

提示：根据web日志或者或者网络连接数，监控当某个IP并发连接数或者短时内PV达到100，即调用防火墙命令封掉对应的IP，监控频率每隔3分钟。防火墙命令为：iptables -I INPUT -s 10.0.1.10 -j DROP

本脚本使用测试文件进行编写

相关博文：答案见博客shell板块

[root@db02 scripts]#cat test_6.sh

#!/bin/sh

#

[-f/etc/init.d/functions]&&./etc/init.d/functions

IP_file="/server/scripts/ddos.txt"

IP_filter_command="iptables -I INPUT -j DROP -s"

IP_recover_command="iptables -D INPUT -j DROP -s"

function IP_check(){

grep"EST"${IP_file}|awk-F"[ |:]+"'{print $6}'|sort|uniq-c|sort-rn-k1>/server/scripts/ip.txt

}

function IP_filter(){

exec

whileread line

do

IP_count=`echo $line|awk'{print $1}'`

IP=`echo $line|awk'{print $2}'`

IP_fil=`iptables-L-n|grep"\b${IP}\b"|wc-l`

if[${IP_count}-gt25-a ${IP_fil}-eq0];then

${IP_filter_command}${IP}

echo"${IP}">>/server/scripts/ip_filtered.txt

action"Filter ${IP}"/bin/true

fi

done

}

function IP_recover(){

exec

whileread line

do

IP_count=`echo $line|awk'{print $1}'`

IP=`echo $line|awk'{print $2}'`

IP_fil=`iptables-L-n|grep"\b${IP}\b"|wc-l`

if[${IP_count}-le25-a ${IP_fil}-eq1];then

${IP_recover_command}${IP}

echo"${IP}">>/server/scripts/ip_filtered.txt

action"Recover ${IP}"/bin/true

fi

done

}

function main(){

case"$1"in

filter)

IP_check

echo"$(date +%F-%H:%M:%S) filtered by $(whoami)">>/server/scripts/ip_filtered.txt

IP_filter

;;

recover)

IP_check

echo"$(date +%F-%H:%M:%S) recovered by $(whoami)">>/server/scripts/ip_filtered.txt

IP_recover

;;

*)

echo"USAGE:$0 {filter|recover}"

exit1

esac

}

main $*

生产环境iptables脚本讲解

技巧：具备外网IP的服务器不对外的服务最好要做源地址限制。对外提供的服务，不能做源地址限制，例如：80 端口

问题：企业硬件防火墙和IPTABLES防火墙是否要同时用。

解决：可以同时使用企业硬件防火墙一般放在网关位置，相当于大厦的保安，但是楼里的每个屋子还是需要有人锁门的iptables

问题： IDC机房部署了硬件防火墙，我们的服务器可以不开防火墙吗？

解答：绝对不可以，大厦有了保安，你的办公室门就不锁了吗？

NAT表设置

iptables 安全_第13张图片

共享上网设置

linux网关B：

局域网共享的两条命令方法：

方法1：适合于有固定外网地址的：

iptables-t nat-A POSTROUTING-s192.168.1.0/24-o eth0-j SNAT--to-source10.0.0.7

(1)-s192.168.1.0/24 办公室或IDC内网网段。

(2)-oeth0 为网关的外网卡接口。

(3)-jSNAT --to-source 10.0.0.7 是网关外网卡IP地址。

方法2：适合变化外网地址（ADSL）：

iptables-t nat-A POSTROUTING-s192.168.1.0/24-j MASQUERADEç伪装。

配置如下

第一步：外网服务器配置

[root@lb01~]#iptables-t nat-A POSTROUTING-s172.16.1.0/24-j SNAT--to-source10.0.0.5

[root@lb01~]#iptables-t nat-L-n

开启内核转发

net.ipv4.ip_forward=1

vim/etc/sysctl.conf

sysctl -p生效

需要上网服务器设置

添加路由

route add default gw172.16.1.5

#此处写提供外网的IP地址

vim/etc/resolv.conf

添加nameserver 223.5.5.5

iptables 安全_第14张图片

route -n检查

案例2：实现把访问10.0.0.5:80的请求转到172.16.1.8:80

[root@web02~]#iptables-t nat-A PREROUTING-d10.0.0.5-p tcp--dport80-j DNAT--to-destination172.16.1.8:80

[root@web02~]#iptables-P FORWARD DROP

iptables 安全_第15张图片

iptables常用企业案例：

1、Linux主机防火墙（表：FILTER控制链：INPUT）

2、局域网机器共享上网（表：NAT控制链：POSTROUTING）

iptables-t nat-A POSTROUTING-s192.168.1.0/24-o eth0-j SNAT--to-source10.0.0.7

3、外部地址和端口，映射为内部地址和端口（表：NAT控制的链：PREROUTING）

iptables-t nat-A PREROUTING-d10.0.0.7-p tcp--dport80-j DNAT--to-destination192.168.1.8:9000

企业案例：实现外部IP 124.42.34.112 一对一映射到内部server 10.0.0.8

网关Ip:eth0:124.42.60.109 eth1:10.0.0.254

首先在路由网关上绑定VIP124.42.34.112，可以是别名或辅助IP的方式。

-A POSTROUTING-s10.0.0.0/255.255.240.0-d124.42.34.112-j SNAT--to-source10.0.0.254

-A PREROUTING-d124.42.34.112-j DNAT--to-destination10.0.0.8

-A POSTROUTING-s10.0.0.8-o eth0-j SNAT--to-source124.42.34.112

相关文章

(1)生产环境大于254台机器网段划分及路由解决方案详解01

(2) linux route命令深入浅出与实战案例精讲[1]

(3) linux route命令深入浅出与实战案例精讲[2]

iptables 安全_第16张图片

iptables 生产应用场景

1）局域网共享上网（适合做企业内部局域网上网网关，以及IDC机房内网的上网网关[nat POSTROUTING]）

2）服务器防火墙功能（适合IDC机房具有外网IP的服务器）（主要是filter INPUT的控制）

3）把外部IP及端口映射到局域网内部（可以一对一IP映射，也可以针对某一个端口映射）也可能是IDC把网站的外网VIP及网站端口映射到负载均衡器上（硬件防火墙）。（nat PREROUTING）

4）办公路由器+网关功能（zebra路由+iptables过滤及NAT+squid正向透明代理）80+ntop/iftop/iptraf流量查看+tc/cbq流量控制限速

5）邮件的网关

iptables防火墙的应用

1）主机防火墙

2）网关的应用（IP映射，端口映射）

3）过滤信息，监控限制流量及员工上网行为（squid（正向代理缓存加过滤）+ntop（图形流量监控）+通常（流量限制）+iptraf/iftop（流量查看））

如果IPTABLES的服务器升级内核可以实现类似squid的过滤功能

4）网关装杀毒软件监听9999端口，（网关杀毒）

iptables-A PREROUTING-i eth0-d211.167.253.109-p tcp-m tcp--dport25-j DNAT--to-destination192.168.10.6:9025

5）结合zebra配置企业级路由器

映射多个外网IP上网

iptables-t nat-A POSTROUTING-s10.0.0.1/255.255.255.0-o eth0-j SNAT--to-source124.42.60.11-124.42.60.16

iptables-t nat-A POSTROUTING-s172.16.1.0/255.255.255.0-o eth0-j SNAT--to-source124.42.60.103-124.42.60.106

#iptables -t nat -A postrouting -S 192.168.1.0/22 -o eth0 -j SNAT --to-source 10.0.0.241-10.0.0.249

问题：

1、2000人被封

2、可用65535端口资源有限

企业案例： ip_conntrack: table full, dropping packet.的错误提示

以下是我的生产环境的某个服务器的配置：

net.ipv4.tcp_fin_timeout=2

net.ipv4.tcp_tw_reuse=1

net.ipv4.tcp_tw_recycle=1

net.ipv4.tcp_syncookies=1

net.ipv4.tcp_keepalive_time=600

net.ipv4.ip_local_port_range=400065000

net.ipv4.tcp_max_syn_backlog=16384

net.ipv4.tcp_max_tw_buckets=36000

net.ipv4.route.gc_timeout=100

net.ipv4.tcp_syn_retries=1

net.ipv4.tcp_synack_retries=1

#5、dmesg里面显示ip_conntrack: table full, dropping packet.的错误提示.如何解决。

#以下参数是对iptables防火墙的优化，防火墙不开会提示，可以忽略不理。

c58:

net.ipv4.ip_conntrack_max=25000000

net.ipv4.netfilter.ip_conntrack_max=25000000

net.ipv4.netfilter.ip_conntrack_tcp_timeout_established=180

net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait=120

net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait=60

net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait=120

################################################################

C64：

net.nf_conntrack_max=25000000

net.netfilter.nf_conntrack_max=25000000

net.netfilter.nf_conntrack_tcp_timeout_established=180

net.netfilter.nf_conntrack_tcp_timeout_time_wait=120

net.netfilter.nf_conntrack_tcp_timeout_close_wait=60

net.netfilter.nf_conntrack_tcp_timeout_fin_wait=120

调整内核参数/etc/sysctl.conf后，需执行/sbin/sysctl -p使得修改生效。

强调：如果并发比较大，或者日PV多的情况下，开启防火墙要注意，很可能导致网站访问缓慢

大并发（并发1万，PV日3000万）要么购买硬件防火墙，要么不开iptables防火墙

iptables 参数简介

-n数字

-L列表

-F清除所有规则，不会处理默认规则

-X删除用户自定义的链

-Z链的计数器清零

-A添加规则到指定链的结尾，最后一条

-I添加规则到指定链的开头，第一条

-t指定表，也可以不指定默认是filter

-p指定协议(all.tcp,udp.icmp)默认all

-P设置默认规则

-s指定源地址

-d目的地址

--dport指定端口

-j处理的行为ACCPET接收、DROP丢弃、REJECT拒绝

-iinput 匹配进入的网卡接口

-ooutput 匹配出去的网卡接口

-mstate --state 匹配网络状态

-mlimit --limitn/{second/minute/hour}限制限定时间包的允许通过数量及并发数

更多命令可以使用man iptables或iptables -h

你可能感兴趣的:(iptables 安全)

  • 微服务下功能权限与数据权限的设计与实现 nbsaas-boot 微服务java架构
    在微服务架构下，系统的功能权限和数据权限控制显得尤为重要。随着系统规模的扩大和微服务数量的增加，如何保证不同用户和服务之间的访问权限准确、细粒度地控制，成为设计安全策略的关键。本文将讨论如何在微服务体系中设计和实现功能权限与数据权限控制。1.功能权限与数据权限的定义功能权限：指用户或系统角色对特定功能的访问权限。通常是某个用户角色能否执行某个操作，比如查看订单、创建订单、修改用户资料等。数据权限：
  • c++ 的iostream 和 c++的stdio的区别和联系 黄卷青灯77 c++算法开发语言iostreamstdio
    在C++中，iostream和C语言的stdio.h都是用于处理输入输出的库，但它们在设计、用法和功能上有许多不同。以下是两者的区别和联系：区别1.编程风格iostream（C++风格）：C++标准库中的输入输出流类库，支持面向对象的输入输出操作。典型用法是cin（输入）和cout（输出），使用>操作符来处理数据。更加类型安全，支持用户自定义类型的输入输出。#includeintmain(){in
  • Long类型前后端数据不一致 igotyback 前端
    响应给前端的数据浏览器控制台中response中看到的Long类型的数据是正常的到前端数据不一致前后端数据类型不匹配是一个常见问题，尤其是当后端使用Java的Long类型（64位）与前端JavaScript的Number类型（最大安全整数为2^53-1，即16位）进行数据交互时，很容易出现精度丢失的问题。这是因为JavaScript中的Number类型无法安全地表示超过16位的整数。为了解决这个问
  • 特殊的拜年 飘雪的天堂
    文/雪儿大年初一，家家户户没有了轰响的鞭炮声，大街上没有了人流涌动的喧闹，几乎看不到人影，变得冷冷清清。天刚亮不大会儿，村里的大喇叭响了起来：由于当前正值疾病高发期，流感流行的高峰期。同时，新型冠状病毒感染的肺炎进入第二波流行的上升期。为了自己和他人的健康安全着想，请大家尽量不要串门拜年，不要在街里走动。可以通过手机微信，视频，电话，信息拜年……今年的春节真是特别。禁止燃放鞭炮，烟花爆竹，禁止出村
  • 【华为OD技术面试真题 - 技术面】-测试八股文真题题库（1） 算法大师 华为od面试python算法前端
    华为OD面试真题精选专栏：华为OD面试真题精选目录:2024华为OD面试手撕代码真题目录以及八股文真题目录文章目录华为OD面试真题精选1.黑盒测试和白盒测试的区别2.假设我们公司现在开发一个类似于微信的软件1.0版本，现在要你测试这个功能：打开聊天窗口，输入文本，限制字数在200字以内。问你怎么提取测试点。功能测试性能测试安全性测试可用性测试跨平台兼容性测试网络环境测试3.接口测试的工具你了解哪些
  • 直返的东西正品吗?直返APP安全吗?直返是正规平台吗? 氧惠购物达人
    亲们，你们是不是经常在直返APP上买东西呀？但是，你们有没有想过，里面的东西到底是不是正品呢？这个APP安全吗？它是不是一个正规的平台呀？别着急，今天我就来给大家揭秘一下！氧惠APP（带货领导者）——是与以往完全不同的抖客+淘客app！2023全新模式，我的直推也会放到你下面。主打：带货高补贴，深受各位带货团队长喜爱（每天出单带货几十万单）。注册即可享受高补贴+0撸+捡漏等带货新体验。送万元推广大
  • EIO国际确定性的交易（3/10）资管 ， 资金委托安全吗？ 古城鹏哥
    大家可能都知道资金托管，账户是自己开，钱在自己的账户上，密码是由自己掌控，别人提不走你账户的资金，每天可以看下到自己的账户，也可以看到交易流水。现金只能提到自己的银行卡中。账户由技术人员或操作人员，或者是机构团队帮你操作账户，产生盈利和收入，以获得的利润来分配盈利，技术强硬和做的时间久了过硬技术团队，会保证你的资金本金，不会让你的本金亏损的按照一定比例分配收入。所以在这个过程当中一定要看清楚技术的
  • TDengine 签约前晨汽车，解锁智能出行的无限潜力 涛思数据（TDengine） tdengine汽车大数据
    在全球汽车产业转型升级的背景下，智能网联和新能源技术正迅速成为商用车行业的重要发展方向。随着市场对环保和智能化需求的日益增强，企业必须在技术创新和数据管理上不断突破，以满足客户对高效、安全和智能出行的期待。在这一背景下，前晨汽车凭借其在新能源智能商用车领域的前瞻性布局和技术实力，成为行业中的佼佼者。前晨汽车采用整车数据采集和全车数据打通策略，能够实时将数据推送至APP端客户。然而，这导致整体写入和
  • “这才好”麻辣香锅 能够增加人身体的免疫能力 小补文知
    我就来介绍一种香锅，那就是“这才好”麻辣香锅，它产出于著名的蜀地文化，具有悠久的历史土家风味，麻辣鲜香，健康安全。采用传统秘制麻辣香锅油辣子，还有贴心加料“孜然包”满足人们的不同口味需求，香锅底料辣椒，微辣且香，含有丰富微量元素和维生素，具有辣而不躁，味道纯正，醇厚温和。花椒采用历史悠久，被列为宫廷供品的“贡椒”的汉源花椒。我们还挑选了“川菜之魂”郫县豆瓣的鼻祖品牌豆瓣，保留最原始的郫县豆瓣味道，
  • Java面试题精选：消息队列(二) 芒果不是芒 Java面试题精选javakafka
    一、Kafka的特性1.消息持久化：消息存储在磁盘，所以消息不会丢失2.高吞吐量：可以轻松实现单机百万级别的并发3.扩展性：扩展性强，还是动态扩展4.多客户端支持：支持多种语言（Java、C、C++、GO、）5.KafkaStreams（一个天生的流处理）:在双十一或者销售大屏就会用到这种流处理。使用KafkaStreams可以快速的把销售额统计出来6.安全机制：Kafka进行生产或者消费的时候会
  • Kafka是如何保证数据的安全性、可靠性和分区的 喜欢猪猪 kafka分布式
    Kafka作为一个高性能、可扩展的分布式流处理平台，通过多种机制来确保数据的安全性、可靠性和分区的有效管理。以下是关于Kafka如何保证数据安全性、可靠性和分区的详细解析：一、数据安全性SSL/TLS加密：Kafka支持SSL/TLS协议，通过配置SSL证书和密钥来加密数据传输，确保数据在传输过程中不会被窃取或篡改。这一机制有效防止了中间人攻击，保护了数据的安全性。SASL认证：Kafka支持多种
  • 2022-10-10 幸福芳芳
    10.10日觉察日记1.事件：开晨会员工来不齐，路远的请假，离得近的也请假，一律不批！2.感受：生气，气愤（情绪如何转化或使用）3.想法：1.今年已经很少开晨会了，非必要不会通知开会的，临近点了再打电话请假，又不是特别忙的季节，借口都会找～～2.不来的按公司标准执行负激励，待岗处理！我为你们负责，你们安全重要会议都不参加，自己都不为自己负责！以后有事也别找我！尤其是经销商老板，自己都不清楚自己用工
  • MongoDB知识概括 GeorgeLin98 持久层mongodb
    MongoDB知识概括MongoDB相关概念单机部署基本常用命令索引-IndexSpirngDataMongoDB集成副本集分片集群安全认证MongoDB相关概念业务应用场景：传统的关系型数据库（如MySQL），在数据操作的“三高”需求以及应对Web2.0的网站需求面前，显得力不从心。解释：“三高”需求：①Highperformance-对数据库高并发读写的需求。②HugeStorage-对海量数
  • 计算机木马详细编写思路 小熊同学哦 php开发语言木马木马思路
    导语：计算机木马（ComputerTrojan）是一种恶意软件，通过欺骗用户从而获取系统控制权限，给黑客打开系统后门的一种手段。虽然木马的存在给用户和系统带来严重的安全风险，但是了解它的工作原理与编写思路，对于我们提高防范意识、构建更健壮的网络安全体系具有重要意义。本篇博客将深入剖析计算机木马的详细编写思路，以及如何复杂化挑战，以期提高读者对计算机木马的认识和对抗能力。计算机木马的基本原理计算机木
  • 基于STM32的汽车仪表显示系统：集成CAN、UART与I2C总线设计流程 极客小张 stm32汽车嵌入式硬件物联网单片机c语言
    一、项目概述项目目标与用途本项目旨在设计和实现一个基于STM32微控制器的汽车仪表显示系统。该系统能够实时显示汽车的速度、转速、油量等关键信息，并通过CAN总线与其他汽车控制单元进行通信。这种仪表显示系统不仅提高了驾驶的安全性和便捷性，还能为汽车提供更智能的用户体验。技术栈关键词微控制器：STM32显示技术：TFTLCD/OLED传感器：速度传感器、温度传感器、油量传感器通信协议：CAN总线、UA
  • 3286、穿越网格图的安全路径 Lenyiin 题解c++算法leetcode
    3286、[中等]穿越网格图的安全路径1、题目描述给你一个mxn的二进制矩形grid和一个整数health表示你的健康值。你开始于矩形的左上角(0,0)，你的目标是矩形的右下角(m-1,n-1)。你可以在矩形中往上下左右相邻格子移动，但前提是你的健康值始终是正数。对于格子(i,j)，如果grid[i][j]=1，那么这个格子视为不安全的，会使你的健康值减少1。如果你可以到达最终的格子，请你返回tr
  • 不安全依恋 徐猛_Merlin
    11.2不安全依恋在关系中自由的心里是不受她人情绪所影响和去发展新的关系两种。而不安全的依恋是对自己的关系存在恐惧的因素，也就是对周边的环境很陌生，而当在这个环境中存在一个熟悉的声音就是一种安全的依恋。这种依恋可能是一个熟悉的表情或者熟悉的面庞等等。
  • 【Python搞定车载自动化测试】——Python实现车载以太网DoIP刷写（含Python源码） 疯狂的机器人 Python搞定车载自动化pythonDoIPUDSISO142291SO13400Bootloadertcp/ip
    系列文章目录【Python搞定车载自动化测试】系列文章目录汇总文章目录系列文章目录前言一、环境搭建1.软件环境2.硬件环境二、目录结构三、源码展示1.DoIP诊断基础函数方法2.DoIP诊断业务函数方法3.27服务安全解锁4.DoIP自动化刷写四、测试日志1.测试日志五、完整源码链接前言随着智能电动汽车行业的发展，汽车=智能终端+四个轮子，各家车企都推出了各自的OTA升级方案，本章节主要介绍如何使
  • 4 大低成本娱乐方式: 小说, 音乐, 视频, 电子游戏 穷人小水滴 娱乐音视频低成本小说游戏
    穷人如何获得快乐?小说,音乐,视频,游戏,本文简单盘点一下这4大低成本(安全)娱乐方式.这里是穷人小水滴,专注于穷人友好型低成本技术.(本文为58号作品.)目录1娱乐方式1.1小说(网络小说)1.2音乐1.3视频(b站)1.4游戏(电子游戏/计算机软件)2低成本:一只手机即可3总结与展望1娱乐方式这几种,也可以说是艺术的具体形式.更专业的说,(娱乐)是劳动力再生产的重要组成部分.使人放松,获得快乐
  • 今天是总结 薛帅
    今天来个最后一天的总结。为什么要学习写作技巧呢？就如同建房子，如果想要住的安全、舒服，我们要先打地基，建房子的框架，这样才能随意的装修。那么我们要怎么建好才能建好写作的地基呢？1走直路，少弯路01利他：能够给别人带来价值。02吸引：吸住读者的眼球。03打动：打动人心，引起共鸣。04说服：用数据说话。05刻意：通过有意识的训练。06修改：好的文章至上修改10遍。07模仿：10万+的文章必有成功的道理
  • 拼多多返现要输入身份证号码安全吗?拼单返现是什么? 优惠券高省
    当我们谈到拼多多返现金活动时，很多朋友会担心提供身份证信息的安全性以及返现金额的真实性。今天，我就来为大家揭开这些疑虑的面纱，为大家提供一个清晰的答案。【高省】APP（高佣金领导者）是一个自用省钱佣金高，分享推广赚钱多的平台，百度有几百万篇报道，运行三年，稳定可靠。高省APP，是2021年推出的平台，0投资，0风险、高省APP佣金更高，模式更好，终端用户不流失。高省是公认的返利最高的软件。古楼导师
  • 《驴友的朝圣》065 户外运动论坛，论户外运动之现在与未来 经典老表
    十几年来，我国户外运动蓬勃发展，已经形成全民参与热情。各类户外运动项目和形式层出不穷。各种户外运动装备产品花样百出。看着形势一派大好。但是，在这大好形势之下，仍存在着诸多的发展瓶颈及安全与管理问题，需要提请重视。为此，江城登山协会在本地召开了“户外运动论坛”，邀请市内户外运动俱乐部及体育系统领导一起研讨本地区户外运动发展的可持续性。2019年6月1日，论坛在世贸万锦大酒店的支持下，在其三层会议大厅
  • 华为云分布式缓存服务DCS 8月新特性发布 华为云PaaS服务小智 华为云分布式缓存
    分布式缓存服务（DistributedCacheService，简称DCS）是华为云提供的一款兼容Redis的高速内存数据处理引擎，为您提供即开即用、安全可靠、弹性扩容、便捷管理的在线分布式缓存能力，满足用户高并发及数据快速访问的业务诉求。此次为大家带来DCS8月的特性更新内容，一起来看看吧！
  • c++ 内存处理函数 heeheeai c++开发语言
    在C语言的头文件中，memcpy和memmove函数都用于复制内存块，但它们在处理内存重叠方面存在关键区别：内存重叠:memcpy函数不保证在源内存和目标内存区域重叠时能够正确复制数据。如果内存区域重叠，memcpy的行为是未定义的，可能会导致数据损坏或程序崩溃。memmove函数能够安全地处理源内存和目标内存区域重叠的情况。它会确保在复制过程中不会覆盖尚未复制的数据，从而保证数据的完整性。效率:
  • 每日OJ_牛客_马戏团（模拟最长上升子序列） GR鲸鱼 c++算法开发语言牛客数据结构
    目录牛客_马戏团（模拟最长上升子序列）解析代码牛客_马戏团（模拟最长上升子序列）马戏团__牛客网搜狐员工小王最近利用假期在外地旅游，在某个小镇碰到一个马戏团表演，精彩的表演结束后发现团长正和大伙在帐篷前激烈讨论，小王打听了下了解到，马戏团正打算出一个新节目“最高罗汉塔”，即马戏团员叠罗汉表演。考虑到安全因素，要求叠罗汉过程中，站在某个人肩上的人应该既比自己矮又比自己瘦，或相等。团长想要本次节目中的
  • 信息系统安全相关概念(上) YuanDaima2048 课程笔记基础概念安全信息安全笔记
    文章总览：YuanDaiMa2048博客文章总览下篇:信息系统安全相关概念(下)信息系统安全相关概念[上]信息系统概述信息系统信息系统架构信息系统发展趋势：信息系统日趋大型化、复杂化信息系统面临的安全威胁信息系统安全架构设计--以云计算为例信息系统安全需求及安全策略自主访问控制策略DAC强制访问控制策略MAC信息系统概述信息系统用于收集、存储和处理数据以及传递信息、知识和数字产品的一组集成组件。几
  • 【加密算法基础——RSA 加密】 XWWW668899 网络服务器笔记python
    RSA加密RSA（Rivest-Shamir-Adleman）加密是非对称加密，一种广泛使用的公钥加密算法，主要用于安全数据传输。公钥用于加密，私钥用于解密。RSA加密算法的名称来源于其三位发明者的姓氏：R:RonRivestS:AdiShamirA:LeonardAdleman这三位计算机科学家在1977年共同提出了这一算法，并发表了相关论文。他们的工作为公钥加密的基础奠定了重要基础，使得安全通
  • 信息系统安全相关概念(下) YuanDaima2048 基础概念课程笔记安全
    文章总览：YuanDaiMa2048博客文章总览上篇指路：信息系统安全相关概念(上)信息系统安全相关概念[下]信息系统风险评估安全风险评估信息系统等级保护网络安全法等级保护等级保护工作流程环境安全信息系统风险评估安全风险评估对信息系统整体安全态势的感知和对重大安全事件的预警，实现“事前能预防，事中能控制，事后能处理”。安全风险组成的四要素：信息系统资产（Asset）信息系统脆弱性（Vulnerab
  • APQP，ASPICE，敏捷，功能安全，预期安全，这些汽车行业的一堆标准 二大宝贝 安全架构
    前言APQP,ASPICE,敏捷，功能安全，预期安全，PMP，PRICE2汽车行业的有这样一堆标准。我是半路出家来到汽车行业做项目经理的，对几个标准的感觉是，看了文档和各种解析之后还是一头雾水，不知道到底说了个啥，别人问我还是一脸懵逼。APQP（TS16949的最重要工具），ASPICE（软件）这些是质量标准，是优化整个公司体系的，但这套体系对项目管理有要求；敏捷，PMP这些是项目管理的标准；项目
  • 探索ASPICE V3.1：汽车行业软件开发的中文指南 阮懿同
    探索ASPICEV3.1：汽车行业软件开发的中文指南ASPICE_V3.1中文版.pdf.zip项目地址:https://gitcode.com/open-source-toolkit/422a2在汽车软件工程领域，高质量的标准对于确保行车安全和提升用户体验至关重要。今天，我们为您介绍一个珍贵的开源宝藏——ASPICEV3.1中文版资源。这是一篇专为国内汽车行业开发者、质量管理者准备的深度解读，旨
  • 书其实只有三类 西蜀石兰 类
    一个人一辈子其实只读三种书，知识类、技能类、修心类。 知识类的书可以让我们活得更明白。类似十万个为什么这种书籍，我一直不太乐意去读，因为单纯的知识是没法做事的，就像知道地球转速是多少一样（我肯定不知道），这种所谓的知识，除非用到，普通人掌握了完全是一种负担，维基百科能找到的东西，为什么去记忆？ 知识类的书，每个方面都涉及些，让自己显得不那么没文化，仅此而已。社会认为的学识渊博，肯定不是站在
  • 《TCP/IP 详解，卷1：协议》学习笔记、吐槽及其他 bylijinnan tcp
    《TCP/IP 详解，卷1：协议》是经典，但不适合初学者。它更像是一本字典，适合学过网络的人温习和查阅一些记不清的概念。 这本书，我看的版本是机械工业出版社、范建华等译的。这本书在我看来，翻译得一般，甚至有明显的错误。如果英文熟练，看原版更好： http://pcvr.nl/tcpip/ 下面是我的一些笔记，包括我看书时有疑问的地方，也有对该书的吐槽，有不对的地方请指正： 1.
  • Linux—— 静态IP跟动态IP设置 eksliang linuxIP
    一.在终端输入 vi /etc/sysconfig/network-scripts/ifcfg-eth0 静态ip模板如下： DEVICE="eth0" #网卡名称 BOOTPROTO="static" #静态IP（必须） HWADDR="00:0C:29:B5:65:CA" #网卡mac地址 IPV6INIT=&q
  • Informatica update strategy transformation 18289753290
    更新策略组件： 标记你的数据进入target里面做什么操作，一般会和lookup配合使用，有时候用0,1,1代表 forward  rejected rows被选中，rejected row是输出在错误文件里，不想看到reject输出，将错误输出到文件，因为有时候数据库原因导致某些column不能update，reject就会output到错误文件里面供查看，在workflow的
  • 使用Scrapy时出现虽然队列里有很多Request但是却不下载，造成假死状态 酷的飞上天空 request
    现象就是： 程序运行一段时间，可能是几十分钟或者几个小时，然后后台日志里面就不出现下载页面的信息，一直显示上一分钟抓取了0个网页的信息。 刚开始已经猜到是某些下载线程没有正常执行回调方法引起程序一直以为线程还未下载完成，但是水平有限研究源码未果。 经过不停的google终于发现一个有价值的信息，是给twisted提出的一个bugfix 连接地址如下http://twistedmatrix.
  • 利用预测分析技术来进行辅助医疗 蓝儿唯美 医疗
    2014年，克利夫兰诊所（Cleveland Clinic）想要更有效地控制其手术中心做膝关节置换手术的费用。整个系统每年大约进行2600例此类手术，所以，即使降低很少一部分成本，都可以为诊 所和病人节约大量的资金。为了找到适合的解决方案，供应商将视野投向了预测分析技术和工具，但其分析团队还必须花时间向医生解释基于数据的治疗方案意味着 什么。  克利夫兰诊所负责企业信息管理和分析的医疗
  • java 线程(一)：基础篇 DavidIsOK java多线程线程
                                                            &nbs
  • Tomcat服务器框架之Servlet开发分析 aijuans servlet
    最近使用Tomcat做web服务器，使用Servlet技术做开发时，对Tomcat的框架的简易分析： 疑问： 为什么我们在继承HttpServlet类之后，覆盖doGet(HttpServletRequest req, HttpServetResponse rep)方法后，该方法会自动被Tomcat服务器调用，doGet方法的参数有谁传递过来？怎样传递？ 分析之我见： doGet方法的
  • 揭秘玖富的粉丝营销之谜 与小米粉丝社区类似 aoyouzi 揭秘玖富的粉丝营销之谜
    玖富旗下悟空理财凭借着一个微信公众号上线当天成交量即破百万，第七天成交量单日破了1000万;第23天时，累计成交量超1个亿……至今成立不到10个月，粉丝已经超过500万，月交易额突破10亿，而玖富平台目前的总用户数也已经超过了1800万，位居P2P平台第一位。很多互联网金融创业者慕名前来学习效仿，但是却鲜有成功者，玖富的粉丝营销对外至今仍然是个谜。   　　近日，一直坚持微信粉丝营销
  • Java web的会话跟踪技术 百合不是茶 url会话Cookie会话Seession会话Java Web隐藏域会话
    会话跟踪主要是用在用户页面点击不同的页面时,需要用到的技术点   会话:多次请求与响应的过程     1,url地址传递参数,实现页面跟踪技术          格式:传一个参数的 url?名=值     传两个参数的 url?名=值 &名=值   关键代码
  • web.xml之Servlet配置 bijian1013 javaweb.xmlServlet配置
    定义： <servlet> <servlet-name>myservlet</servlet-name> <servlet-class>com.myapp.controller.MyFirstServlet</servlet-class> <init-param> <param-name>
  • 利用svnsync实现SVN同步备份 sunjing SVN同步E000022svnsync镜像
    1. 在备份SVN服务器上建立版本库    svnadmin create test 2. 创建pre-revprop-change文件     cd test/hooks/     cp pre-revprop-change.tmpl pre-revprop-change 3. 修改pre-revprop-
  • 【分布式数据一致性三】MongoDB读写一致性 bit1129 mongodb
    本系列文章结合MongoDB，探讨分布式数据库的数据一致性，这个系列文章包括： 数据一致性概述与CAP 最终一致性(Eventually Consistency) 网络分裂(Network Partition)问题 多数据中心(Multi Data Center) 多个写者(Multi Writer)最终一致性 一致性图表(Consistency Chart) 数据
  • Anychart图表组件-Flash图转IMG普通图的方法 白糖_ Flash
    问题背景：项目使用的是Anychart图表组件，渲染出来的图是Flash的，往往一个页面有时候会有多个flash图，而需求是让我们做一个打印预览和打印功能，让多个Flash图在一个页面上打印出来。   那么我们打印预览的思路是获取页面的body元素，然后在打印预览界面通过$("body").append(html)的形式显示预览效果，结果让人大跌眼镜：Flash是
  • Window 80端口被占用 WHY? bozch 端口占用window
    平时在启动一些可能使用80端口软件的时候，会提示80端口已经被其他软件占用，那一般又会有那些软件占用这些端口呢？    下面坐下总结：         1、web服务器是最经常见的占用80端口的，例如：tomcat , apache  , IIS , Php等等；         2
  • 编程之美-数组的最大值和最小值-分治法（两种形式） bylijinnan 编程之美
    import java.util.Arrays; public class MinMaxInArray { /** * 编程之美 数组的最大值和最小值 分治法 * 两种形式 */ public static void main(String[] args) { int[] t={11,23,34,4,6,7,8,1,2,23}; int[]
  • Perl正则表达式 chenbowen00 正则表达式perl
    首先我们应该知道 Perl 程序中，正则表达式有三种存在形式，他们分别是： 匹配：m/<regexp>;/ （还可以简写为 /<regexp>;/ ，略去 m） 替换：s/<pattern>;/<replacement>;/ 转化：tr/<pattern>;/<replacemnt>;
  • [宇宙与天文]行星议会是否具有本行星大气层以外的权力呢? comsci
          举个例子: 地球,地球上由200多个国家选举出一个代表地球联合体的议会,那么现在地球联合体遇到一个问题,地球这颗星球上面的矿产资源快要采掘完了....那么地球议会全体投票,一致通过一项带有法律性质的议案,既批准地球上的国家用各种技术手段在地球以外开采矿产资源和其它资源........    &
  • Oracle Profile 使用详解 daizj oracleprofile资源限制
    Oracle Profile 使用详解 转 一、目的： Oracle系统中的profile可以用来对用户所能使用的数据库资源进行限制，使用Create Profile命令创建一个Profile，用它来实现对数据库资源的限制使用，如果把该profile分配给用户，则该用户所能使用的数据库资源都在该profile的限制之内。 二、条件： 创建profile必须要有CREATE PROFIL
  • How HipChat Stores And Indexes Billions Of Messages Using ElasticSearch & Redis dengkane elasticsearchLucene
    This article is from an interview with Zuhaib Siddique, a production engineer at HipChat, makers of group chat and IM for teams. HipChat started in an unusual space, one you might not
  • 循环小示例，菲波拉契序列，循环解一元二次方程以及switch示例程序 dcj3sjt126com c算法
    # include <stdio.h> int main(void) { int n; int i; int f1, f2, f3; f1 = 1; f2 = 1; printf("请输入您需要求的想的序列："); scanf("%d", &n); for (i=3; i<n; i
  • macbook的lamp环境 dcj3sjt126com lamp
      sudo vim /etc/apache2/httpd.conf   /Library/WebServer/Documents 是默认的网站根目录   重启Mac上的Apache服务   这个命令很早以前就查过了，但是每次使用的时候还是要在网上查： 停止服务：sudo /usr/sbin/apachectl stop 开启服务：s
  • java ArrayList源码 下 shuizhaosi888 ArrayList源码
    版本 jdk-7u71-windows-x64   JavaSE7 ArrayList源码上：http://flyouwith.iteye.com/blog/2166890     /** * 从这个列表中移除所有c中包含元素 */ public boolean removeAll(Collection<?> c) {
  • Spring Security（08）——intercept-url配置 234390216 Spring Securityintercept-url访问权限访问协议请求方法
    intercept-url配置 目录 1.1     指定拦截的url 1.2     指定访问权限 1.3     指定访问协议 1.4     指定请求方法   1.1   &n
  • Linux环境下的oracle安装 jayung oracle
    linux系统下的oracle安装 本文档是Linux(redhat6.x、centos6.x、redhat7.x) 64位操作系统安装Oracle 11g(Oracle Database 11g Enterprise Edition Release 11.2.0.4.0 - 64bit Production)，本文基于各种网络资料精心整理而成，共享给有需要的朋友。如有问题可联系：QQ：52-7
  • hotspot虚拟机 leichenlei javaHotSpotjvm虚拟机文档
    JVM参数  http://docs.oracle.com/javase/6/docs/technotes/guides/vm/index.html   JVM工具 http://docs.oracle.com/javase/6/docs/technotes/tools/index.html   JVM垃圾回收 http://www.oracle.com
  • 读《Node.js项目实践：构建可扩展的Web应用》 ——引编程慢慢变成系统化的“砌砖活” noaighost Webnode.js
    读《Node.js项目实践：构建可扩展的Web应用》 ——引编程慢慢变成系统化的“砌砖活” 眼里的Node.JS 初初接触node是一年前的事，那时候年少不更事。还在纠结什么语言可以编写出牛逼的程序，想必每个码农都会经历这个月经性的问题：微信用什么语言写的？facebook为什么推荐系统这么智能，用什么语言写的？dota2的外挂这么牛逼，用什么语言写的？……用什么语言写这句话，困扰人也是阻碍
  • 快速开发Android应用 rensanning android
    Android应用开发过程中，经常会遇到很多常见的类似问题，解决这些问题需要花时间，其实很多问题已经有了成熟的解决方案，比如很多第三方的开源lib，参考 Android Libraries 和 Android UI/UX Libraries。 编码越少，Bug越少，效率自然会高。 但可能由于 根本没听说过、听说过但没用过、特殊原因不能用、自己已经有了解决方案等等原因，这些成熟的解决
  • 理解Java中的弱引用 tomcat_oracle java工作面试
    　不久之前，我 面试了一些求职Java高级开发工程师的应聘者。我常常会面试他们说，“你能给我介绍一些Java中得弱引用吗？”，如果面试者这样说，“嗯，是不是垃圾回收有关的？”，我就会基本满意了，我并不期待回答是一篇诘究本末的论文描述。 　　然而事与愿违，我很吃惊的发现，在将近20多个有着平均5年开发经验和高学历背景的应聘者中，居然只有两个人知道弱引用的存在，但是在这两个人之中只有一个人真正了
  • 标签输出html标签" target="_blank">关于标签输出html标签 xshdch jsp
    http://back-888888.iteye.com/blog/1181202 关于<c:out value=""/>标签的使用，其中有一个属性是escapeXml默认是true(将html标签当做转移字符，直接显示不在浏览器上面进行解析)，当设置escapeXml属性值为false的时候就是不过滤xml，这样就能在浏览器上解析html标签， &nb
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他