linux网络管理

基本概念

  1. 请求DHCP服务:linux系统充当了DHCP客户端,在每个启用的端口上发送对DHCP服务器的请求,并且在请求中使用网络接口的MAC地址来识别自己。
  2. 从DHCP服务器获取响应:从DHCP服务器返回给DHCP客户端。内容至少包含:
    • ip地址:DHCP服务器通常拥有一个ip地址范围,可以向网络上任何请求地址的系统分发这些ip地址。在更安全的环境中(比如内网),或者在一个想要保持计算机获取特定ip的环境中,DHCP服务器还可以为来自特定MAC地址(mac地址是所有的网络接口卡具有一致性,他由每种网络接口卡的制造商进行分配)的请求提供特定的ip地址。
    • 子网掩码:告诉客户端ip地址中哪一部分确定了子网,哪一部分确定了主机。比如:ip 172.0.0.1 子网掩码为255.255.255.0 表示172.0.0为子网 1确定是哪个计算机。
    • 租赁时间:DHCP客户端被分配ip后,会有一个租赁时间,过期需要重新租赁,默认事件为24小时。
      在这里插入图片描述
    • 域名服务器(DNS):用于域名与ip地址的映射转换。通常DCHCP服务器会将一个或多个DNS主机地址分配给DHCP客户端。
    • 默认网关:为了让一个网络请求离开本地网络,必须知道网络上的哪个节点提供了到本地网络地址之外的路由。DHCP服务通常提供了默认网关ip,通过将子网和邻近网络上的网络接口设定到最终目的地。网关就可以将数据包路由到他们的目的地。

ip addr 内容介绍:

linux网络管理_第1张图片
lo:显示了环回接口,该接口被用来允许在本地系统运行网络命令,从而连接到本地系统
本机的ip为172.0.0.1/8(/8为CIDR符号,表示172.0为网络号,0.1为主机号,有点类似子网掩码)
enp0s3:这个网卡是开启连接的,并且显示了ip地址及mac地址

网络配置文件

配置说明:/usr/share/doc/initscripts-9.49.46/sysconfig.txt
不同系统版本号可能不同
  1. 网络接口文件:
    针对每个有线、无线、ISDN、拨号及其他类型的网络接口的配置文件都由/etc/sysconfig/network-scripts目录中以ifcfg-interface开都的文件表示(interface由网络接口名替换)。ifdown enp0s3 可以通过名字关闭接口,ip addr查看,ifup enp0s3 开启接口
[root@localhost network-scripts]# cat ifcfg-enp0s3
#Ethernet类型的接口,以太网
TYPE="Ethernet"
PROXY_METHOD="none"
BROWSER_ONLY="no"
#表示从DHCP服务器请求地址信息:dhcp自动获取ip,none/static 固定的ip地址
BOOTPROTO="dhcp"
DEFROUTE="yes"
IPV4_FAILURE_FATAL="no"
IPV6INIT="yes"
IPV6_AUTOCONF="yes"
IPV6_DEFROUTE="yes"
IPV6_FAILURE_FATAL="no"
IPV6_ADDR_GEN_MODE="stable-privacy"
#名字
NAME="enp0s3"
#mac地址
UUID="56ad9933-39f7-4476-a213-8f0a79734e7d"
#设备名
DEVICE="enp0s3"
#表示在系统启动时接口自动调用
ONBOOT="yes"
#防止普通用户启动和停止接口
USERCTL="no"
#是否受network程序管理
#NM_CONTROLLED="yes"
#配置静态ip地址,需要将BOOTPROTO设置为none
#IPADDR=192.168.56.100
#子网掩码
#NETMASK=255.255.255.0
#网关:确定了指向internet的路由器的地址
#GATEWAY=192.168.0.100
#防止DHCP覆盖/etc/resolv.conf文件,可以放心设置dns服务器,不用担心被覆盖
#PEERDNS="no"
#作为系统上所使用的dns服务器的ip地址写入/etc/resolv.conf文件
#DNS1=114.114.114.114
#DNS2=223.5.5.5
#DNS3=180.76.76.76
  1. /etc/hostname
  2. /etc/hosts 在DNS被创建之前,将主机名转换为ip地址的工作主要通过传递单个hosts文件来完成,随着internet不断增长,单个hosts文件难以扩展,于是出现了dns
  3. /etc/resolv.conf 放置dns服务器和搜索域;网络接口文件中的dns会重写该文件
  4. /etc/nsswitch.conf 设置了域名解析过程;优先是hosts文件,再resolv.conf文件

设置网络接口别名:一个网卡监听多个ip地址
增加文件:/etc/sysconfig/network-scripts/ifcfg-enp0s3:0 内容如下;启动服务ifup enp0s3:0
注:两个ip需要是固定的,不能自动获取

[root@localhost network-scripts]# cat ifcfg-test
#设备名
DEVICE="enp0s3:0"
ONPARENT="yes"
#配置静态ip地址,需要将BOOTPROTO设置为none
IPADDR=192.168.56.101
#子网掩码
NETMASK=255.255.255.0
![在这里插入图片描述](https://img-blog.csdnimg.cn/20200403080359513.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTM1MjMwODk=,size_16,color_FFFFFF,t_70)

Ethernet通道捆绑

一台计算机拥有多个网络接口卡
原因:1、高可用:再同一ip地址上有多个NIC可确保再某一子网停止或者某一NIC中断的情况下地址仍然可以到达与另一个子网相连的NIC
2、性能:如果某一NIC需要处理大量的网络流量,那么可以将这些流量分散到多个NIC
实现:我使用的虚拟测试,所以在以上截图中环境中又增加了两个网卡

TODO 待测试

设置自定义路由

简单的网络配置,法网本地网络的通信被定向到LAN上的合适接口,而与LAN之外的主机所进行的通信则被定向到一个默认网关,从而发送到远程主机。通过自定义路由,从而为特定的网络提供可选路径。
/etc/sysconfig/network-scripts新增文件:route-enp0s3
内容:

TODO需要测试

ADDRESS0=192.168.99.0
NETMASK0=255.255.255.0
GATEWAY0=192.168.0.5
//名称后的数字表示编号
//含义:发往192.168.99的数据包,会通过本地网卡enp0s3发送,并被定向到192.168.0.5
//网络节点上。该节点将提供到另一个网路的路由,而该网络包含了193.168.99地址范围的主机

可以使用rote命令查看路由信息,我的centos系统命令是rotel
tranceroute www.baidu.com进行路由跟踪

企业网络中可以还可能将linux作为路由器,DHCP服务器,DNS服务器,代理服务器

防火墙:

根据功能的不同,防火墙可以被分为不同的类别。

  1. 要么基于网络,要么基于主机。基于网络保护整个网络或子网,基于主机是保护单机或服务器。
  2. 要么基于硬件,要么基于软件。路由器固件配置了防火墙的过滤器;isp(服务提供商)也可能提供了DSL或电缆调制解调器来获取对internet的访问,其中调制解调器包含防火墙固件,硬件。
  3. 要么基于网络过滤层,要么基于应用过滤层。主要针对网络模型来说,网路过滤仅允许某些数据包进入,应用过滤允许某些应用对系统进行访问

linux的防火墙主要是基于主机的网络层防火墙,主要由iptables实用工具进行管理
可以使用firewalld可视化工具进行配置防火墙的规则(一般linux的发行版本,都在iptables中增加了firewalld服务,更加灵活的管理防火墙规则);可能需要安装这个工具通过yum

iptables:

  1. 表(netfilter/iptable表)
    filter表:提供了防火墙的数据包过滤功能,定义了数据包进出一级通过linux系统的访问控制策略
    nat表:主要用于NAT(网络地址转换),可以针对NAT设置防火墙
    mangle表:里面的规则会对数据包进行重构,重构的数据主要用于NAT
    raw表:从”连接跟踪“中免除某些网络数据包
    security:SELinux系统的附加表,通过mac规则过滤数据包


  2. 防火墙对数据包分成不同的类别,称为链
    INPUT:进入linux的网络数据包
    FORWARD:进入linux并且被路由到别处的数据包
    OUTPUT:从linux输出的数据包
    PREROUTING:被NAT所使用,以便当网络数据包进入linux时,对网络数据包进行修改
    POSTROUTING:被NAT所使用,以便当数据包从linux输出之前进行修改
    通过将数据包分类后,就可以对其使用对应的策略/规则。
    每个表所对应的可用链
    | 表 | 链 |
    |–|--|
    | filter | INPUT,FORWARD,OUTPUT |
    | nat | PREROUTING,OUTPUT,POSTROUTING |
    | mangle | INPUT,FORWARD,OUTPUT,PREROUTING,POSTROUTING |
    | raw | OUTPUT,PREROUTING |
    | security | INPUT,FORWARD,OUTPUT |

  3. 策略,规则,目标
    防火墙可以使用多种方法识别数据包

    • 源ip地址
    • 目标ip地址
    • 网络协议
    • 入站端口
    • 出站端口
    • 网络状态

目标:
ACCEPT:网络数据包被服务器所接受(默认)
REJECT:网络数据包被丢弃且不允许进入服务器,同时发送一条拒绝消息
DROP:网络数据包被丢弃且不允许进入服务器,但不发送拒绝消息

工具:
我的是centos7,不同发行版本的linux可能存在差异
/ # systemctl status firewalld.service 查看防火墙策略
/ # systemctl start firewalld.service 打开防火墙
/ # systemctl stop firewalld.service 关闭防火墙
linux网络管理_第2张图片
通过iptables命名可以执行指定防火墙的策略(只是略作了了解)
存储:/etc/sysconfig/iptables-config 修改策略之后,需要从定向到此文件中

你可能感兴趣的:(LINUX)