weixin_34138056
weixin_34138056

CentOS7 Firewall防火墙详解

2019独角兽企业重金招聘Python工程师标准>>> hot3.png

FirewallD 提供了支持网络/防火墙区域(zone)定义网络链接以及接口安全等级的动态防火墙管理工具。它支持 IPv4, IPv6 防火墙设置以及以太网桥接，并且拥有运行时配置和永久配置选项。它也支持允许服务或者应用程序直接添加防火墙规则的接口。 以前的 system-config-firewall/lokkit 防火墙模型是静态的，每次修改都要求防火墙完全重启。这个过程包括内核 netfilter 防火墙模块的卸载和新配置所需模块的装载等。而模块的卸载将会破坏状态防火墙和确立的连接。

相反，firewall daemon 动态管理防火墙，不需要重启整个防火墙便可应用更改。因而也就没有必要重载所有内核防火墙模块了。不过，要使用 firewall daemon 就要求防火墙的所有变更都要通过该守护进程来实现，以确保守护进程中的状态和内核里的防火墙是一致的。另外，firewall daemon 无法解析由 ip*tables 和 ebtables 命令行工具添加的防火墙规则。

守护进程通过 D-BUS 提供当前激活的防火墙设置信息，也通过 D-BUS 接受使用 PolicyKit 认证方式做的更改。

“守护进程”
应用程序、守护进程和用户可以通过 D-BUS 请求启用一个防火墙特性。特性可以是预定义的防火墙功能，如：服务、端口和协议的组合、端口/数据报转发、伪装、ICMP 拦截或自定义规则等。该功能可以启用确定的一段时间也可以再次停用。

通过所谓的直接接口，其他的服务(例如 libvirt )能够通过 iptables 变元(arguments)和参数(parameters)增加自己的规则。

amanda 、ftp 、samba 和 tftp 服务的 netfilter 防火墙助手也被“守护进程”解决了,只要它们还作为预定义服务的一部分。附加助手的装载不作为当前接口的一部分。由于一些助手只有在由模块控制的所有连接 都关闭后才可装载。因而，跟踪连接信息很重要，需要列入考虑范围。

静态防火墙(system-config-firewall/lokkit)
使用 system-config-firewall 和 lokkit 的静态防火墙模型实际上仍然可用并将继续提供，但却不能与“守护进程”同时使用。用户或者管理员可以决定使用哪一种方案。

在软件安装，初次启动或者是首次联网时，将会出现一个选择器。通过它你可以选择要使用的防火墙方案。其他的解决方案将保持完整，可以通过更换模式启用。

firewall daemon 独立于 system-config-firewall，但二者不能同时使用。

使用iptables和ip6tables的静态防火墙规则
如果你想使用自己的 iptables 和 ip6tables 静态防火墙规则, 那么请安装 iptables-services 并且禁用 firewalld ，启用 iptables 和ip6tables: 

yum install iptables-services
systemctl mask firewalld.service
systemctl enable iptables.service
systemctl enable ip6tables.service

静态防火墙规则配置文件是 /etc/sysconfig/iptables 以及 /etc/sysconfig/ip6tables .

注： iptables 与 iptables-services 软件包不提供与服务配套使用的防火墙规则. 这些服务是用来保障兼容性以及供想使用自己防火墙规则的人使用的. 你可以安装并使用 system-config-firewall 来创建上述服务需要的规则. 为了能使用 system-config-firewall, 你必须停止 firewalld.

为服务创建规则并停用 firewalld 后，就可以启用 iptables 与 ip6tables 服务了: 

systemctl stop firewalld.service
systemctl start iptables.service
systemctl start ip6tables.service

什么是区域？
网络区域定义了网络连接的可信等级。这是一个一对多的关系，这意味着一次连接可以仅仅是一个区域的一部分，而一个区域可以用于很多连接。

预定义的服务
服务是端口和/或协议入口的组合。备选内容包括 netfilter 助手模块以及 IPv4、IPv6地址。

端口和协议
定义了 tcp 或 udp 端口，端口可以是一个端口或者端口范围。

ICMP阻塞
可以选择 Internet 控制报文协议的报文。这些报文可以是信息请求亦可是对信息请求或错误条件创建的响应。

伪装
私有网络地址可以被映射到公开的IP地址。这是一次正规的地址转换。

端口转发
端口可以映射到另一个端口以及/或者其他主机。

哪个区域可用?
由firewalld 提供的区域按照从不信任到信任的顺序排序。

丢弃
任何流入网络的包都被丢弃，不作出任何响应。只允许流出的网络连接。

阻塞
任何进入的网络连接都被拒绝，并返回 IPv4 的 icmp-host-prohibited 报文或者 IPv6 的 icmp6-adm-prohibited 报文。只允许由该系统初始化的网络连接。

公开
用以可以公开的部分。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。（You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.）

外部
用在路由器等启用伪装的外部网络。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。

隔离区（dmz）
用以允许隔离区（dmz）中的电脑有限地被外界网络访问。只接受被选中的连接。

工作
用在工作网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。

家庭
用在家庭网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。

内部
用在内部网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。

受信任的
允许所有网络连接。

我应该选用哪个区域?
例如，公共的 WIFI 连接应该主要为不受信任的，家庭的有线网络应该是相当可信任的。根据与你使用的网络最符合的区域进行选择。

如何配置或者增加区域?
你可以使用任何一种 firewalld 配置工具来配置或者增加区域，以及修改配置。工具有例如 firewall-config 这样的图形界面工具， firewall-cmd 这样的命令行工具，以及D-BUS接口。或者你也可以在配置文件目录中创建或者拷贝区域文件。 @PREFIX@/lib/firewalld/zones 被用于默认和备用配置，/etc/firewalld/zones 被用于用户创建和自定义配置文件。

如何为网络连接设置或者修改区域
区域设置以 ZONE= 选项 存储在网络连接的ifcfg文件中。如果这个选项缺失或者为空，firewalld 将使用配置的默认区域。

如果这个连接受到 NetworkManager 控制，你也可以使用 nm-connection-editor 来修改区域。

由NetworkManager控制的网络连接
防火墙不能够通过 NetworkManager 显示的名称来配置网络连接，只能配置网络接口。因此在网络连接之前 NetworkManager 将配置文件所述连接对应的网络接口告诉 firewalld 。如果在配置文件中没有配置区域，接口将配置到 firewalld 的默认区域。如果网络连接使用了不止一个接口，所有的接口都会应用到 fiwewalld。接口名称的改变也将由 NetworkManager 控制并应用到firewalld。

为了简化，自此，网络连接将被用作与区域的关系。

如果一个接口断开了，NetworkManager也将告诉firewalld从区域中删除该接口。

当firewalld由systemd或者init脚本启动或者重启后，firewalld将通知NetworkManager把网络连接增加到区域。

由脚本控制的网络
对于由网络脚本控制的连接有一条限制：没有守护进程通知 firewalld 将连接增加到区域。这项工作仅在 ifcfg-post 脚本进行。因此，此后对网络连接的重命名将不能被应用到firewalld。同样，在连接活动时重启 firewalld 将导致与其失去关联。现在有意修复此情况。最简单的是将全部未配置连接加入默认区域。

区域定义了本区域中防火墙的特性：

使用firewalld
你可以通过图形界面工具 firewall-config 或者命令行客户端 firewall-cmd 启用或者关闭防火墙特性。

使用firewall-cmd
命令行工具 firewall-cmd 支持全部防火墙特性。对于状态和查询模式，命令只返回状态，没有其他输出。

一般应用
获取 firewalld 状态 

firewall-cmd --state

此举返回 firewalld 的状态，没有任何输出。可以使用以下方式获得状态输出： 

firewall-cmd --state && echo "Running" || echo "Not running"

在 Fedora 19 中, 状态输出比此前直观: 

# rpm -qf $( which firewall-cmd ) firewalld-0.3.3-2.fc19.noarch # firewall-cmd --state not running

在不改变状态的条件下重新加载防火墙： 

firewall-cmd --reload

如果你使用–complete-reload，状态信息将会丢失。这个选项应当仅用于处理防火墙问题时，例如，状态信息和防火墙规则都正常，但是不能建立任何连接的情况。

获取支持的区域列表 

 firewall-cmd --get-zones

这条命令输出用空格分隔的列表。

获取所有支持的服务 

firewall-cmd --get-services

这条命令输出用空格分隔的列表。

获取所有支持的ICMP类型 

 firewall-cmd --get-icmptypes

这条命令输出用空格分隔的列表。

列出全部启用的区域的特性 

firewall-cmd --list-all-zones

输出格式是： 

 interfaces:  .. services:  .. ports:  .. forward-ports:  .. icmp-blocks:  .. ..

输出区域 全部启用的特性。如果生略区域，将显示默认区域的信息。 

firewall-cmd [--zone=] --list-all

获取默认区域的网络设置 

 firewall-cmd --get-default-zone

设置默认区域 

firewall-cmd --set-default-zone=

流入默认区域中配置的接口的新访问请求将被置入新的默认区域。当前活动的连接将不受影响。

获取活动的区域 

firewall-cmd --get-active-zones

这条命令将用以下格式输出每个区域所含接口： 

:   .. :  ..

根据接口获取区域 

firewall-cmd --get-zone-of-interface=

这条命令将输出接口所属的区域名称。

将接口增加到区域 

firewall-cmd [--zone=] --add-interface=

如果接口不属于区域，接口将被增加到区域。如果区域被省略了，将使用默认区域。接口在重新加载后将重新应用。

修改接口所属区域 

firewall-cmd [--zone=] --change-interface=

这个选项与 –add-interface 选项相似，但是当接口已经存在于另一个区域的时候，该接口将被添加到新的区域。

从区域中删除一个接口 

firewall-cmd [--zone=] --remove-interface=

查询区域中是否包含某接口 

firewall-cmd [--zone=] --query-interface=

返回接口是否存在于该区域。没有输出。

列举区域中启用的服务 

firewall-cmd [ --zone= ] --list-services

启用应急模式阻断所有网络连接，以防出现紧急状况 

firewall-cmd --panic-on

禁用应急模式 

firewall-cmd --panic-off

应急模式在 0.3.0 版本中发生了变化
在 0.3.0 之前的 FirewallD版本中, panic 选项是 –enable-panic 与 –disable-panic.

查询应急模式 

firewall-cmd --query-panic

此命令返回应急模式的状态，没有输出。可以使用以下方式获得状态输出： 

firewall-cmd --query-panic && echo "On" || echo "Off"

处理运行时区域
运行时模式下对区域进行的修改不是永久有效的。重新加载或者重启后修改将失效。

启用区域中的一种服务 

firewall-cmd [--zone=] --add-service= [--timeout=]

此举启用区域中的一种服务。如果未指定区域，将使用默认区域。如果设定了超时时间，服务将只启用特定秒数。如果服务已经活跃，将不会有任何警告信息。

例: 使区域中的ipp-client服务生效60秒: 

firewall-cmd --zone=home --add-service=ipp-client --timeout=60

例: 启用默认区域中的http服务: 

firewall-cmd --add-service=http

禁用区域中的某种服务 

firewall-cmd [--zone=] --remove-service=

此举禁用区域中的某种服务。如果未指定区域，将使用默认区域。

例: 禁止home区域中的http服务: 

firewall-cmd --zone=home --remove-service=http

区域种的服务将被禁用。如果服务没有启用，将不会有任何警告信息。

查询区域中是否启用了特定服务 

firewall-cmd [--zone=] --query-service=

如果服务启用，将返回1,否则返回0。没有输出信息。

启用区域端口和协议组合 

firewall-cmd [--zone=] --add-port=[-]/ [--timeout=]

此举将启用端口和协议的组合。端口可以是一个单独的端口 或者是一个端口范围 - 。协议可以是 tcp 或 udp。

禁用端口和协议组合 

firewall-cmd [--zone=] --remove-port=[-]/

查询区域中是否启用了端口和协议组合 

firewall-cmd [--zone=] --query-port=[-]/

如果启用，此命令将有返回值。没有输出信息。

启用区域中的IP伪装功能 

firewall-cmd [--zone=] --add-masquerade

此举启用区域的伪装功能。私有网络的地址将被隐藏并映射到一个公有IP。这是地址转换的一种形式，常用于路由。由于内核的限制，伪装功能仅可用于IPv4。

禁用区域中的IP伪装 

firewall-cmd [--zone=] --remove-masquerade

查询区域的伪装状态 

firewall-cmd [--zone=] --query-masquerade

如果启用，此命令将有返回值。没有输出信息。

启用区域的ICMP阻塞功能 

firewall-cmd [--zone=] --add-icmp-block=

此举将启用选中的Internet控制报文协议（ICMP）报文进行阻塞。ICMP报文可以是请求信息或者创建的应答报文，以及错误应答。

禁止区域的ICMP阻塞功能 

firewall-cmd [--zone=] --remove-icmp-block=

查询区域的ICMP阻塞功能 

firewall-cmd [--zone=] --query-icmp-block=

如果启用，此命令将有返回值。没有输出信息。

例: 阻塞区域的响应应答报文: 

firewall-cmd --zone=public --add-icmp-block=echo-reply

在区域中启用端口转发或映射 

firewall-cmd [--zone=] --add-forward-port=port=[-]:proto= { :toport=[-] | :toaddr=
 | :toport=[-]:toaddr=
 }

端口可以映射到另一台主机的同一端口，也可以是同一主机或另一主机的不同端口。端口号可以是一个单独的端口 或者是端口范围 - 。协议可以为 tcp 或udp 。目标端口可以是端口号 或者是端口范围 - 。目标地址可以是 IPv4 地址。受内核限制，端口转发功能仅可用于IPv4。

禁止区域的端口转发或者端口映射 

firewall-cmd [--zone=] --remove-forward-port=port=[-]:proto= { :toport=[-] | :toaddr=
 | :toport=[-]:toaddr=
 }

查询区域的端口转发或者端口映射 

firewall-cmd [--zone=] --query-forward-port=port=[-]:proto= { :toport=[-] | :toaddr=
 | :toport=[-]:toaddr=
 }

如果启用，此命令将有返回值。没有输出信息。

例: 将区域home的ssh转发到127.0.0.2 

firewall-cmd --zone=home --add-forward-port=port=22:proto=tcp:toaddr=127.0.0.2

处理永久区域
永久选项不直接影响运行时的状态。这些选项仅在重载或者重启服务时可用。为了使用运行时和永久设置，需要分别设置两者。 选项 –permanent 需要是永久设置的第一个参数。

获取永久选项所支持的服务 

firewall-cmd --permanent --get-services

获取永久选项所支持的ICMP类型列表 

firewall-cmd --permanent --get-icmptypes

获取支持的永久区域 

firewall-cmd --permanent --get-zones

启用区域中的服务 

firewall-cmd --permanent [--zone=] --add-service=

此举将永久启用区域中的服务。如果未指定区域，将使用默认区域。

禁用区域中的一种服务 

firewall-cmd --permanent [--zone=] --remove-service=

查询区域中的服务是否启用 

firewall-cmd --permanent [--zone=] --query-service=

如果服务启用，此命令将有返回值。此命令没有输出信息。

例: 永久启用 home 区域中的 ipp-client 服务 

firewall-cmd --permanent --zone=home --add-service=ipp-client

永久启用区域中的一个端口-协议组合 

firewall-cmd --permanent [--zone=] --add-port=[-]/

永久禁用区域中的一个端口-协议组合 

firewall-cmd --permanent [--zone=] --remove-port=[-]/

查询区域中的端口-协议组合是否永久启用 

firewall-cmd --permanent [--zone=] --query-port=[-]/

如果服务启用，此命令将有返回值。此命令没有输出信息。

例: 永久启用 home 区域中的 https (tcp 443) 端口 

firewall-cmd --permanent --zone=home --add-port=443/tcp

永久启用区域中的伪装 

firewall-cmd --permanent [--zone=] --add-masquerade

此举启用区域的伪装功能。私有网络的地址将被隐藏并映射到一个公有IP。这是地址转换的一种形式，常用于路由。由于内核的限制，伪装功能仅可用于IPv4。

永久禁用区域中的伪装 

firewall-cmd --permanent [--zone=] --remove-masquerade

查询区域中的伪装的永久状态 

firewall-cmd --permanent [--zone=] --query-masquerade

如果服务启用，此命令将有返回值。此命令没有输出信息。

永久启用区域中的ICMP阻塞 

firewall-cmd --permanent [--zone=] --add-icmp-block=

此举将启用选中的 Internet 控制报文协议 （ICMP） 报文进行阻塞。 ICMP 报文可以是请求信息或者创建的应答报文或错误应答报文。

永久禁用区域中的ICMP阻塞 

firewall-cmd --permanent [--zone=] --remove-icmp-block=

查询区域中的ICMP永久状态 

firewall-cmd --permanent [--zone=] --query-icmp-block=

如果服务启用，此命令将有返回值。此命令没有输出信息。

例: 阻塞公共区域中的响应应答报文: 

firewall-cmd --permanent --zone=public --add-icmp-block=echo-reply

在区域中永久启用端口转发或映射 

firewall-cmd --permanent [--zone=] --add-forward-port=port=[-]:proto= { :toport=[-] | :toaddr=
 | :toport=[-]:toaddr=
 }

端口可以映射到另一台主机的同一端口，也可以是同一主机或另一主机的不同端口。端口号可以是一个单独的端口 或者是端口范围 - 。协议可以为 tcp 或udp 。目标端口可以是端口号 或者是端口范围 - 。目标地址可以是 IPv4 地址。受内核限制，端口转发功能仅可用于IPv4。

永久禁止区域的端口转发或者端口映射 

firewall-cmd --permanent [--zone=] --remove-forward-port=port=[-]:proto= { :toport=[-] | :toaddr=
 | :toport=[-]:toaddr=
 }

查询区域的端口转发或者端口映射状态 

firewall-cmd --permanent [--zone=] --query-forward-port=port=[-]:proto= { :toport=[-] | :toaddr=
 | :toport=[-]:toaddr=
 }

如果服务启用，此命令将有返回值。此命令没有输出信息。

例: 将 home 区域的 ssh 服务转发到 127.0.0.2 

firewall-cmd --permanent --zone=home --add-forward-port=port=22:proto=tcp:toaddr=127.0.0.2

直接选项
直接选项主要用于使服务和应用程序能够增加规则。 规则不会被保存，在重新加载或者重启之后必须再次提交。传递的参数 与 iptables, ip6tables 以及 ebtables 一致。

选项–direct需要是直接选项的第一个参数。

将命令传递给防火墙。参数 可以是 iptables, ip6tables 以及 ebtables 命令行参数。 

firewall-cmd --direct --passthrough { ipv4 | ipv6 | eb }

为表

增加一个新链 。 

firewall-cmd --direct --add-chain { ipv4 | ipv6 | eb }

从表

中删除链 。 

firewall-cmd --direct --remove-chain { ipv4 | ipv6 | eb }

查询 链是否存在与表

. 如果是，返回0,否则返回1. 

firewall-cmd --direct --query-chain { ipv4 | ipv6 | eb }

如果启用，此命令将有返回值。此命令没有输出信息。

获取用空格分隔的表

中链的列表。 

firewall-cmd --direct --get-chains { ipv4 | ipv6 | eb }

为表

增加一条参数为 的链 ，优先级设定为 。 

firewall-cmd --direct --add-rule { ipv4 | ipv6 | eb }

从表

中删除带参数 的链 。 

firewall-cmd --direct --remove-rule { ipv4 | ipv6 | eb }

查询带参数 的链 是否存在表

中. 如果是，返回0,否则返回1. 

firewall-cmd --direct --query-rule { ipv4 | ipv6 | eb }

如果启用，此命令将有返回值。此命令没有输出信息。

获取表

中所有增加到链 的规则，并用换行分隔。 

firewall-cmd --direct --get-rules { ipv4 | ipv6 | eb }

当前的firewalld特性
D-BUS接口
D-BUS 接口提供防火墙状态的信息，使防火墙的启用、停用或查询设置成为可能。

区域
网络或者防火墙区域定义了连接的可信程度。firewalld 提供了几种预定义的区域。区域配置选项和通用配置信息可以在firewall.zone(5)的手册里查到。

服务
服务可以是一系列本读端口、目的以及附加信息，也可以是服务启动时自动增加的防火墙助手模块。预定义服务的使用使启用和禁用对服务的访问变得更加简单。服务配置选项和通用文件信息在 firewalld.service(5) 手册里有描述。

ICMP类型
Internet控制报文协议 (ICMP) 被用以交换报文和互联网协议 (IP) 的错误报文。在 firewalld 中可以使用 ICMP 类型来限制报文交换。 ICMP 类型配置选项和通用文件信息可以参阅 firewalld.icmptype(5) 手册。

直接接口
直接接口主要用于服务或者应用程序增加特定的防火墙规则。这些规则并非永久有效，并且在收到 firewalld 通过 D-Bus 传递的启动、重启、重载信号后需要重新应用。

运行时配置
运行时配置并非永久有效，在重新加载时可以被恢复，而系统或者服务重启、停止时，这些选项将会丢失。

永久配置
永久配置存储在配置文件种，每次机器重启或者服务重启、重新加载时将自动恢复。

托盘小程序
托盘小程序 firewall-applet 为用户显示防火墙状态和存在的问题。它也可以用来配置用户允许修改的设置。

图形化配置工具
firewall daemon 主要的配置工具是 firewall-config 。它支持防火墙的所有特性（除了由服务/应用程序增加规则使用的直接接口）。 管理员也可以用它来改变系统或用户策略。

命令行客户端
firewall-cmd是命令行下提供大部分图形工具配置特性的工具。

对于ebtables的支持
要满足libvirt daemon的全部需求，在内核 netfilter 级上防止 ip*tables 和 ebtables 间访问问题，ebtables 支持是需要的。由于这些命令是访问相同结构的，因而不能同时使用。

/usr/lib/firewalld中的默认/备用配置
该目录包含了由 firewalld 提供的默认以及备用的 ICMP 类型、服务、区域配置。由 firewalld 软件包提供的这些文件不能被修改，即使修改也会随着 firewalld 软件包的更新被重置。 其他的 ICMP 类型、服务、区域配置可以通过软件包或者创建文件的方式提供。

/etc/firewalld中的系统配置设置
存储在此的系统或者用户配置文件可以是系统管理员通过配置接口定制的，也可以是手动定制的。这些文件将重载默认配置文件。

为了手动修改预定义的 icmp 类型，区域或者服务，从默认配置目录将配置拷贝到相应的系统配置目录，然后根据需求进行修改。

如果你加载了有默认和备用配置的区域，在 /etc/firewalld下的对应文件将被重命名为 .old 然后启用备用配置。

正在开发的特性
富语言
富语言特性提供了一种不需要了解iptables语法的通过高级语言配置复杂 IPv4 和 IPv6 防火墙规则的机制。

Fedora 19 提供了带有 D-Bus 和命令行支持的富语言特性第2个里程碑版本。第3个里程碑版本也将提供对于图形界面 firewall-config 的支持。

对于此特性的更多信息，请参阅： firewalld Rich Language

锁定
锁定特性为 firewalld 增加了锁定本地应用或者服务配置的简单配置方式。它是一种轻量级的应用程序策略。

Fedora 19 提供了锁定特性的第二个里程碑版本，带有 D-Bus 和命令行支持。第3个里程碑版本也将提供图形界面 firewall-config 下的支持。

更多信息请参阅： firewalld Lockdown

永久直接规则
这项特性处于早期状态。它将能够提供保存直接规则和直接链的功能。通过规则不属于该特性。更多关于直接规则的信息请参阅Direct options。

从ip*tables和ebtables服务迁移
这项特性处于早期状态。它将尽可能提供由iptables,ip6tables 和 ebtables 服务配置转换为永久直接规则的脚本。此特性在由firewalld提供的直接链集成方面可能存在局限性。

此特性将需要大量复杂防火墙配置的迁移测试。

计划和提议功能
防火墙抽象模型
在 ip*tables 和 ebtables 防火墙规则之上添加抽象层使添加规则更简单和直观。要抽象层功能强大，但同时又不能复杂，并不是一项简单的任务。为此，不得不开发一种防火墙语言。使防火 墙规则拥有固定的位置，可以查询端口的访问状态、访问策略等普通信息和一些其他可能的防火墙特性。

对于conntrack的支持
要终止禁用特性已确立的连接需要 conntrack 。不过，一些情况下终止连接可能是不好的，如：为建立有限时间内的连续性外部连接而启用的防火墙服务。

用户交互模型
这是防火墙中用户或者管理员可以启用的一种特殊模式。应用程序所有要更改防火墙的请求将定向给用户知晓，以便确认和否认。为一个连接的授权设置一个时间限 制并限制其所连主机、网络或连接是可行的。配置可以保存以便将来不需通知便可应用相同行为。 该模式的另一个特性是管理和应用程序发起的请求具有相同功能的预选服务和端口的外部链接尝试。服务和端口的限制也会限制发送给用户的请求数量。

用户策略支持
管理员可以规定哪些用户可以使用用户交互模式和限制防火墙可用特性。

端口元数据信息(由 Lennart Poettering 提议)
拥有一个端口独立的元数据信息是很好的。当前对 /etc/services 的端口和协议静态分配模型不是个好的解决方案，也没有反映当前使用情况。应用程序或服务的端口是动态的，因而端口本身并不能描述使用情况。

元数据信息可以用来为防火墙制定简单的规则。下面是一些例子：

  • 允许外部访问文件共享应用程序或服务
  • 允许外部访问音乐共享应用程序或服务
  • 允许外部访问全部共享应用程序或服务
  • 允许外部访问 torrent 文件共享应用程序或服务
  • 允许外部访问 http 网络服务

这里的元数据信息不只有特定应用程序，还可以是一组使用情况。例如：组“全部共享”或者组“文件共享”可以对应于全部共享或文件共享程序(如：torrent 文件共享)。这些只是例子，因而，可能并没有实际用处。

这里是在防火墙中获取元数据信息的两种可能途径：
第一种是添加到 netfilter (内核空间)。好处是每个人都可以使用它，但也有一定使用限制。还要考虑用户或系统空间的具体信息，所有这些都需要在内核层面实现。
第二种是添加到 firewall daemon 中。这些抽象的规则可以和具体信息(如：网络连接可信级、作为具体个人/主机要分享的用户描述、管理员禁止完全共享的应归则等)一起使用。
第二种解决方案的好处是不需要为有新的元数据组和纳入改变(可信级、用户偏好或管理员规则等等)重新编译内核。这些抽象规则的添加使得 firewall daemon 更加自由。即使是新的安全级也不需要更新内核即可轻松添加。

sysctld
现在仍有 sysctl 设置没有正确应用。一个例子是，在 rc.sysinit 正运行时，而提供设置的模块在启动时没有装载或者重新装载该模块时会发生问题。

另一个例子是 net.ipv4.ip_forward ，防火墙设置、libvirt 和用户/管理员更改都需要它。如果有两个应用程序或守护进程只在需要时开启 ip_forwarding ，之后可能其中一个在不知道的情况下关掉服务，而另一个正需要它，此时就不得不重启它。

sysctl daemon 可以通过对设置使用内部计数来解决上面的问题。此时，当之前请求者不再需要时，它就会再次回到之前的设置状态或者是直接关闭它。

防火墙规则
netfilter 防火墙总是容易受到规则顺序的影响，因为一条规则在链中没有固定的位置。在一条规则之前添加或者删除规则都会改变此规则的位置。 在静态防火墙模型中，改变防火墙就是重建一个干净和完善的防火墙设置，且受限于 system-config-firewall / lokkit 直接支持的功能。也没有整合其他应用程序创建防火墙规则，且如果自定义规则文件功能没在使用 s-c-fw / lokkit 就不知道它们。默认链通常也没有安全的方式添加或删除规则而不影响其他规则。

动态防火墙有附加的防火墙功能链。这些特殊的链按照已定义的顺序进行调用，因而向链中添加规则将不会干扰先前调用的拒绝和丢弃规则。从而利于创建更为合理完善的防火墙配置。

下面是一些由守护进程创建的规则，过滤列表中启用了在公共区域对 ssh , mdns 和 ipp-client 的支持： 

*filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [0:0] :FORWARD_ZONES - [0:0] :FORWARD_direct - [0:0] :INPUT_ZONES - [0:0] :INPUT_direct - [0:0] :IN_ZONE_public - [0:0] :IN_ZONE_public_allow - [0:0] :IN_ZONE_public_deny - [0:0] :OUTPUT_direct - [0:0] -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT -A INPUT -i lo -j ACCEPT -A INPUT -j INPUT_direct -A INPUT -j INPUT_ZONES -A INPUT -p icmp -j ACCEPT -A INPUT -j REJECT --reject-with icmp-host-prohibited -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT -A FORWARD -i lo -j ACCEPT -A FORWARD -j FORWARD_direct -A FORWARD -j FORWARD_ZONES -A FORWARD -p icmp -j ACCEPT -A FORWARD -j REJECT --reject-with icmp-host-prohibited -A OUTPUT -j OUTPUT_direct -A IN_ZONE_public -j IN_ZONE_public_deny -A IN_ZONE_public -j IN_ZONE_public_allow -A IN_ZONE_public_allow -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT -A IN_ZONE_public_allow -d 224.0.0.251/32 -p udp -m udp --dport 5353 -m conntrack --ctstate NEW -j ACCEPT -A IN_ZONE_public_allow -p udp -m udp --dport 631 -m conntrack --ctstate NEW -j ACCEPT

使用 deny/allow 模型来构建一个清晰行为(最好没有冲突规则)。例如： ICMP块将进入 IN_ZONE_public_deny 链(如果为公共区域设置了的话)，并将在 IN_ZONE_public_allow 链之前处理。

该模型使得在不干扰其他块的情况下向一个具体块添加或删除规则而变得更加容易。

原文：https://blog.linuxeye.com/406.html

转载于:https://my.oschina.net/lj2007331/blog/365131

你可能感兴趣的:(网络,运维,python)

  • 2024 年综合网络安全审计清单 网络研究观 网络研究观网络安全审计清单分析
    在网络威胁不断演变的时代，确保组织数据和系统的安全至关重要。全面的网络安全审核清单可以在实现这一目标方面发挥关键作用。但是，什么才是有效的网络安全审核清单呢？以及如何对其进行定制以满足您组织的独特需求？了解网络安全审核清单的重要性、前20个基本条目以及如何对其进行自定义以满足您组织的特定要求。关键点了解网络安全审核清单的重要性并探索其中最重要的20个条目。采用主动风险管理、资产和数据管理策略、安全
  • [网络]NAT、代理服务、内网穿透、内网打洞 张呱呱_ Linux网络网络服务器运维
    目录一、NAT1.1NAT技术背景1.2NATIP转换过程1.3NAPT（NetworkAddressPortTranslation）1.地址转换表2.NAPT（网络地址端口转换NetworkAddressPortTranslation）3.NAT技术的缺陷二、代理服务器2.1正向代理2.2反向代理2.3正向代理与反向代理2.4NAT和代理服务器三、内网穿透一、NATNAT（NetworkAddr
  • 大白话解释静态资源 阿里云OSS是什么 有什么用 怎么用 心心祥蓉 阿里云云计算
    阿里云OSS是什么？阿里云OSS（对象存储服务）就像一个“云上的巨型仓库”，专门帮你存各种文件，比如图片、视频、文档、日志等。它不像电脑硬盘那样需要自己买设备，而是直接通过网络存取，按实际用量付费。你可以把它想象成一个“无限容量的网盘”，但更安全、更稳定，还能和企业级应用无缝对接。OSS有什么用？1.存海量文件场景：电商网站存商品图片和视频（比如淘宝的百万级商品图）；短视频平台存用户上传的视频；企
  • Python中的__slots__ 李星星BruceL 问题集python
    在Python中，__slots__的用途是什么？以及在哪些情况下应避免使用它？简而言之（TL;DR）：特殊属性__slots__允许你明确声明对象实例应该具有的实例属性，并带来以下预期效果：更快的属性访问。节省内存空间。内存节省来自于：将值引用存储在__slots__中，而不是在__dict__中。如果父类禁止创建__dict__和__weakref__，并且你声明了__slots__，则会阻止
  • 【datetime】Python datetime模块常用用法 晨风_Chenfeng python
    1.datetime模块中的主要类date:处理日期（年、月、日）。time:处理时间（时、分、秒、微秒）。datetime:处理日期和时间。timedelta:处理时间间隔（两个日期或时间之间的差）。tzinfo:处理时区信息。2.date类date类用于表示日期（年、月、日）。2.1创建date对象fromdatetimeimportdate#使用年、月、日创建date对象d=date(202
  • 编程入门难？Python 十大核心知识点，手把手教你！ 编程咕咕gu- Python基础python开发语言Python教程网络爬虫
    如果你对编程感兴趣，但又不知道从哪里开始，那么Python会是你的好选择。它简单易学，是初学者学习编程的好帮手。这篇文章会用轻松的方式，带你了解Python的十个重要概念，一步步帮助你从零开始！1.Python文件与扩展名学习Python的第一步是创建一个Python文件。Python文件的名字后面都会加上.py作为扩展名。例如，你可以创建一个名为main.py的文件，这就是一个Python脚本。
  • Ubuntu 下通过 Docker 部署 Nginx 服务器 reddingtons 服务器ubuntudocker
    Docker和Nginx简介Docker是一种开源平台，旨在简化应用程序的开发、交付和运行。通过容器化技术，Docker能够将应用及其依赖项封装在一个独立的环境中，确保在任何地方都能一致地运行。Nginx是一款高性能的HTTP和反向代理服务器，广泛应用于负载均衡和静态内容服务。结合Docker和Nginx，你可以轻松地创建和管理灵活、可扩展的网络服务。实验环境本次实验使用的是三丰云的免费服务器，配
  • 网络安全清单 网络安全Max web安全智能路由器安全
    点击文末小卡片，免费获取网络安全全套资料，资料在手，涨薪更快移除(Deprovisioning)移除（Deprovisioning）是一个除去现存用户帐户的过程，其包括用户帐户登记和设备失效。分布式编码规则(DER:DistinguishedEncodingRules)分布式编码规则(DER)是一个基本编码规则的子集，其提供一个严密的方法来描述任何ASN.1值来作为一个8位字节的字符串。指定网桥(
  • 使用 nodejs 和 ElasticSearch 快速搭建全文检索 dbLenis 数据库java编程语言大数据linux
    点击蓝色“有关SQL”关注我哟加个“星标”，天天与10000人一起快乐成长上次群友问我，Python怎么学，我说四个小时足够了，你们不信。这次，我用2个小时，仅仅用Google，快速搭建了一个nodejs+Elasticsearch的小Demo.足可见，在有搜索的年代，快速上手一门技术，已经不是什么难事。1安装1.1下载地址https://nodejs.org/en/download提供windo
  • TCP/IP协议栈之网络接口层: 以太网与wifi -- 一个地上, 一个天上 内核程序员kevin 网络专栏Linux程序员tcp/ip网络网络协议以太网wifi
    TCP/IP协议栈之网络接口层:以太网与wifi–一个地上,一个天上1.引言在计算机网络的世界里，TCP/IP协议栈是通信的基石，而网络接口层是这一体系的最底层，负责将数据真正传输到物理介质上。在这一层，最常见的两种技术就是以太网（Ethernet）和WiFi（无线局域网，WLAN）。如果把以太网和WiFi拟人化，它们简直就是两个完全不同的物种：以太网，就像一条公路，数据沿着固定的线缆奔跑，稳定、
  • HTTP cookie与session 风掣长空 计算机网络http网络协议网络
    telnet命令telnet是一个网络协议，用于通过TCP/IP网络进行远程登录到服务器。它允许用户在本地计算机上通过网络连接到远程服务器，并在服务器上执行命令telnet[主机名或IP地址][端口号]//连接服务器在telnet会话中，Ctrl+]会将你从当前会话切换到telnet的命令模式，你可以在这里输入命令。Ctrl+T可以显示当前的连接状态。HTTP是无连接，无状态的，就是每次访问一个服
  • Linux下网络运维命令总结 C嘎嘎嵌入式开发 Linux运维linux网络
    一、网络连通性测试ping作用：检测目标主机是否可达，并测量网络延迟。示例：pingwww.example.com持续发送ICMP报文，按Ctrl+C停止。ping-c4www.example.com发送4个ICMP报文后停止。traceroute作用：显示数据包到达目标主机所经过的路由路径。示例：traceroutewww.example.com使用默认端口进行追踪。traceroute-Iww
  • MATLAB基础应用精讲-【数模应用】主成分(pca)分析（附python代码实现） 林聪木 matlab人工智能大数据
    目录前言知识储备降维概述算法原理什么是PCAPCA降维过程PCA算法数学步骤选择主成分个数（即k的值）sklearn中参数的解释数学模型协方差协方差矩阵编辑编辑原理推导编辑编辑编辑编辑实际操作主成分分析的计算方法方法1.协方差+特征值分解方法2：奇异值分解对比不同方法计算效率物理意义算法步骤SPSSAU主成分(pca)分析说明1、信息浓缩2、权重计算3、综合得分【综合竞争力】疑难解惑成分得分后用于
  • Linux15 数据链路层 辣椒味番茄 Linuxlinux
    数据链路层什么是以太网以太网帧格式MAC地址MTU-以太网最大传输单元网络层IP数据包分包（分片）MTU对UDP协议的影响MTU对于TCP协议的影响ARP协议ARP协议的作用ARP协议的工作流程ARP数据报格式什么是以太网“以太网”不是一种具体的网络,而是一种技术标准;既包含了数据链路层的内容,也包含了一些物理层的内容.例如:规定了网络拓扑结构,访问控制方式,传输速率等例如以太网中的网线必须使用双
  • 基于Python的网络漏洞扫描系统的设计与实现 毕设工作室_wlzytw python论文项目python网络开发语言djangotornadodashpygame
    摘要随着互联网不断发展、贴近生活，电子化的生活安全依赖着网络安全。在漏洞泛滥的今天，网络安全状态不容乐观，许多机构都因没有及时处理漏洞导致被恶意入侵，若网络安全保护不当，将会影响现实安全。中小型网络运维人员常因为外部因素影响难以开展网络安全行动。为了应对这一问题，本文研究尝试用Python语言尝试做一个集成漏洞扫描系统的设计与实现。运用以Python为基础的DjangoWeb框架实现快速的业务开发
  • 网络编程中的数据传输函数 C嘎嘎嵌入式开发 网络服务器linuxc++
    虽然send、recv、sendmsg和recvmsg都是用于在网络编程中进行数据传输的函数。但是它们各自的功能和应用场景有所不同send和recvsend功能：send用于将数据发送到连接的套接字。原型ssize_tsend(intsockfd,constvoid*buf,size_tlen,intflags);参数sockfd：套接字文件描述符。buf：指向要发送的数据的缓冲区。len：要发送
  • 基于 Python 的漏洞扫描工具的设计与实现 计算机毕业设计指导 python开发语言信息安全
    引言随着信息技术的快速发展，网络安全问题成为了各类组织和个人面临的重要挑战之一。漏洞是网络安全中的一个重要问题，黑客和恶意攻击者往往通过利用这些漏洞来侵入系统，窃取敏感信息或进行其他恶意行为。因此，及时发现和修复漏洞是确保网络安全的重要手段。本项目旨在设计和实现一个基于Python的漏洞扫描工具，帮助用户快速发现系统中的潜在漏洞，并提供修复建议。该工具将包括对Web应用程序、操作系统、服务等的漏洞
  • 华为数通Datacom认证体系详解：从HCIA到HCIE的进阶路径 武汉誉天 誉天资讯华为
    华为数通Datacom（DataCommunication）课程是华为认证体系中的核心方向之一，聚焦企业网络通信与数据通信技术，适合从事网络规划、部署和运维的人员。一、数通Datacom课程体系华为数通Datacom认证分为三个级别，逐级递进，覆盖从网络基础到架构设计的全技能栈：HCIA-Datacom:华为认证数通工程师（初级）掌握基础网络搭建与运维能力HCIP-Datacom:华为认证数通高级
  • 优艾智合完成B系列超3亿元人民币融资 加速移动机器人规模化落地 weixin_51795422 科技财经人工智能
    12月28日，工业移动机器人头部企业优艾智合宣布近期完成B系列融资，金额累计超3亿元人民币。两轮分别由方广资本、熙诚金睿领投，IDG、松禾、SIG、蓝驰、软银、HAX等新老股东跟投，均由泰合资本担任独家财务顾问。早期投资机构包括真格、常见、英诺、招商局伯乐、西交1896。作为国内领先的移动机器人及解决方案提供商，优艾智合基于工业物流及智能巡检运维两大业务，深耕于精密电子制造与能源行业中的生产运营场
  • python代码实现支持神经网络对鸢尾花分类 邀_灼灼其华 机器学习及概率统计python神经网络分类sklearn
    1、导入支持向量机模型，划分数据集fromsklearnimportdatasetsfromsklearnimportsvmiris=datasets.load_iris()iris_x=iris.datairis_y=iris.targetindices=np.random.permutation(len(iris_x))iris_x_train=iris_x[indices[:-10]]iri
  • Sophos Firewall (SFOS) v21 MR1 - 下一代防火墙 防火墙
    SophosFirewall(SFOS)v21MR1-下一代防火墙SophosFirewall|Next-genfirewall请访问原文链接：https://sysin.org/blog/sfos-21/查看最新版。原创作品，转载请保留出处。作者主页：sysin.orgSophosFirewall远不止是防火墙通过我们的集成和可扩展平台巩固您的网络保护，来保护您的混合网络世界。您能得到的：自动响
  • 2025前端最新面试题-网络篇 大麦大麦 前端网络面试网络安全网络协议
    1.现代浏览器为何要禁用第三方cookie为了用户的安全(安全和隐私是浏览器永恒的话题)第三方cookie会记录用户的行为和数据,方便做广告有些浏览器默认禁止,Chrome增加了SameSite(谷歌有广告)cookie可以实现不同域共享吗同一主域名下的子域名，cookie可以共享2.实现心跳检验-用于断线重连functionHeartbeaet(){lettimer=0functionfn(){
  • RabbitMQ复习 SJLoveIT rabbitmq分布式
    消息中间件的作用：（1）异步处理（2）应用解耦（3）流量削峰消息中间件的缺点：引入了新的东西，也就增加了新的故障点。比如消息中间件挂了，影响系统的可用性。两种框架：JMS和AMQP最大的区别是JMS是是javaapi,对跨平台的支持较差，但在纯java技术栈内首选。AMQP是跨平台的，序列化方式选json，不管你是java，php，C/C++,python,都能处理RabbitMQ实现的事AMQP
  • 分析http请求数据常见异常 good_good_xiu 项目备忘录BufferReaderhttp请求异常
    1.ConnectException连接超时访问该地址超时，无法连接该服务器。这种情况直接抓取该异常提醒即可。2.SocketTimeoutException读取数据超时注：可以用过URL类.getxxx方法获取url的主机名端口号等等（newURL(url)）能连接服务器，但是与服务器交互时间超过请求最大连接时长。这种情况需要对目标主机进行ping操作确定网络速度。（kB/s）pingip-l1
  • 完整的 Python 数据分析案例：在线游戏玩家付费预测 萧十一郎@ python机器学习人工智能
    目录1.案例背景代码实现2.主要的代码难点解析2.1数据清洗-缺失值处理2.2特征工程-新特征计算与独热编码2.3特征选择2.4模型训练与评估2.5数据可视化3.可能改进的代码3.1数据清洗与特征工程改进3.2模型改进3.3可视化改进1.案例背景在在线游戏行业中，准确预测玩家是否会付费以及付费金额，对于游戏运营商制定营销策略、优化游戏设计和提高盈利能力至关重要。本案例将基于玩家的游戏行为数据（如游
  • 太翌氏计算机工程蓝图 太翌修仙笔录 deepseek太翌氏格物致知方法论人工智能重构量子计算
    ###**太翌氏计算机（TaiyiComputingSystem,TCS）工程蓝图**---####**一、核心架构总览**![太翌氏计算机架构图](https://via.placeholder.com/800x600.png?text=TCS+Architecture+Diagram)*图示说明：三维分形拓扑结构，中心为「太上核心」，辐射出「灵宝量子通道」与「源始流形网络」*---####**
  • 利用Python实现企业微信发送文件消息 林_胖 python企业微信自动化文件OA
    最近领导希望做一个小的招标信息爬取系统，每日以邮件以及企业微信的方式进行推送。所以记录一下如何使用Python实现企业微信发送文件。第一步：登录企业微信后台，需要用有管理员权限的微信进行扫码登录。第二步：获取AgentId和Secret，获取路径：应用管理-创建应用，创建应用后即可看到。第三步：确认需要接收信息的userid，获取路径：通讯录-选择需要发送的人员-账号。第四步：获取公司ID，获取路
  • 技术学习周刊第 3 期：Linux& 容器网络扫盲 艾希逐月 技术学习周刊学习linux网络
    #IntroductiontoLinuxinterfacesforvirtualnetworking介绍了Linux中常用的网络概念，比如bridge网桥、veth对、VLAN&VXLAN、MACVLAN等，可以帮助自己对这些概念做一个快速的了解。#AnintroductiontoLinuxvirtualinterfaces:Tunnels算是上一篇文章的姊妹篇，主要介绍了Linux网络隧道相关的
  • 如何配置虚拟机的IP上网 嘟嘟嘟嘟嘟嘟嘟. 虚拟机
    要配置虚拟机的IP地址以便上网，你可以按照以下步骤操作：打开虚拟机软件，确保虚拟机的网络设置为“桥接模式”或“NAT模式”，这样虚拟机可以与物理网络连接。在虚拟机操作系统中，打开网络设置界面，一般在控制面板或系统设置中可以找到网络设置选项。在网络设置中，选择手动配置IP地址（静态IP）或自动获取IP地址（动态IP）的方式，具体取决于你的网络环境和需求。如果选择手动配置IP地址，输入需要的IP地址、
  • PyCharm极速安装指南：3分钟掌握Python开发环境 三流搬砖艺术家 pythonpythonpycharmide
    目录为什么选择PyCharm？️准备工具步骤一：下载安装包⚙️步骤二：安装配置步骤三：首次启动配置步骤四：创建第一个项目效率优化技巧❗常见问题排雷社区版vs专业版为什么选择PyCharm？✅智能代码补全：媲美IDE的语法高亮与提示✅跨平台支持：Windows/macOS/Linux全兼容✅插件生态丰富：支持Web开发、数据分析等场景✅社区版免费：无功能限制，个人开发者首选️准备工具操作系统：Win
  • 多线程编程之存钱与取钱 周凡杨 javathread多线程存钱取钱
      生活费问题是这样的：学生每月都需要生活费，家长一次预存一段时间的生活费，家长和学生使用统一的一个帐号，在学生每次取帐号中一部分钱，直到帐号中没钱时 通知家长存钱，而家长看到帐户还有钱则不存钱，直到帐户没钱时才存钱。   问题分析：首先问题中有三个实体，学生、家长、银行账户，所以设计程序时就要设计三个类。其中银行账户只有一个，学生和家长操作的是同一个银行账户，学生的行为是
  • java中数组与List相互转换的方法 征客丶 JavaScriptjavajsonp
    1.List转换成为数组。（这里的List是实体是ArrayList) 　　调用ArrayList的toArray方法。 　　toArray 　　public T[] toArray(T[] a)返回一个按照正确的顺序包含此列表中所有元素的数组；返回数组的运行时类型就是指定数组的运行时类型。如果列表能放入指定的数组，则返回放入此列表元素的数组。否则，将根据指定数组的运行时类型和此列表的大小分
  • Shell 流程控制 daizj 流程控制if elsewhilecaseshell
    Shell 流程控制 和Java、PHP等语言不一样，sh的流程控制不可为空，如(以下为PHP流程控制写法)： <?php if(isset($_GET["q"])){ search(q);}else{// 不做任何事情} 在sh/bash里可不能这么写，如果else分支没有语句执行，就不要写这个else，就像这样 if else if if 语句语
  • Linux服务器新手操作之二 周凡杨 Linux 简单 操作
    1.利用关键字搜寻Man Pages    man -k keyword  其中-k 是选项，keyword是要搜寻的关键字 如果现在想使用whoami命令，但是只记住了前3个字符who，就可以使用 man -k who来搜寻关键字who的man命令       [haself@HA5-DZ26 ~]$ man -k
  • socket聊天室之服务器搭建 朱辉辉33 socket
    因为我们做的是聊天室，所以会有多个客户端，每个客户端我们用一个线程去实现，通过搭建一个服务器来实现从每个客户端来读取信息和发送信息。    我们先写客户端的线程。 public class ChatSocket extends Thread{ Socket socket; public ChatSocket(Socket socket){ this.sock
  • 利用finereport建设保险公司决策分析系统的思路和方法 老A不折腾 finereport金融保险分析系统报表系统项目开发
    决策分析系统呈现的是数据页面，也就是俗称的报表，报表与报表间、数据与数据间都按照一定的逻辑设定，是业务人员查看、分析数据的平台，更是辅助领导们运营决策的平台。底层数据决定上层分析，所以建设决策分析系统一般包括数据层处理（数据仓库建设）。   项目背景介绍 通常，保险公司信息化程度很高，基本上都有业务处理系统（像集团业务处理系统、老业务处理系统、个人代理人系统等）、数据服务系统（通过
  • 始终要页面在ifream的最顶层 林鹤霄
    index.jsp中有ifream，但是session消失后要让login.jsp始终显示到ifream的最顶层。。。始终没搞定，后来反复琢磨之后，得到了解决办法，在这儿给大家分享下。。 index.jsp--->主要是加了颜色的那一句 <html> <iframe name="top" ></iframe> <ifram
  • MySQL binlog恢复数据 aigo mysql
    1，先确保my.ini已经配置了binlog：   # binlog log_bin = D:/mysql-5.6.21-winx64/log/binlog/mysql-bin.log log_bin_index = D:/mysql-5.6.21-winx64/log/binlog/mysql-bin.index log_error = D:/mysql-5.6.21-win
  • OCX打成CBA包并实现自动安装与自动升级 alxw4616 ocxcab
    近来手上有个项目,需要使用ocx控件 (ocx是什么? http://baike.baidu.com/view/393671.htm) 在生产过程中我遇到了如下问题. 1. 如何让 ocx 自动安装?     a) 如何签名?     b) 如何打包?     c) 如何安装到指定目录? 2.
  • Hashmap队列和PriorityQueue队列的应用 百合不是茶 Hashmap队列PriorityQueue队列
      HashMap队列已经是学过了的,但是最近在用的时候不是很熟悉,刚刚重新看以一次,   HashMap是K,v键 ,值     put()添加元素      //下面试HashMap去掉重复的 package com.hashMapandPriorityQueue; import java.util.H
  • JDK1.5 returnvalue实例 bijian1013 javathreadjava多线程returnvalue
    Callable接口： 返回结果并且可能抛出异常的任务。实现者定义了一个不带任何参数的叫做 call 的方法。 Callable 接口类似于 Runnable，两者都是为那些其实例可能被另一个线程执行的类设计的。但是 Runnable 不会返回结果，并且无法抛出经过检查的异常。        ExecutorService接口方
  • angularjs指令中动态编译的方法(适用于有异步请求的情况) 内嵌指令无效 bijian1013 JavaScriptAngularJS
            在directive的link中有一个$http请求，当请求完成后根据返回的值动态做element.append('......');这个操作，能显示没问题，可问题是我动态组的HTML里面有ng-click，发现显示出来的内容根本不执行ng-click绑定的方法！     
  • 【Java范型二】Java范型详解之extend限定范型参数的类型 bit1129 extend
    在第一篇中，定义范型类时，使用如下的方式：   public class Generics<M, S, N> { //M,S,N是范型参数 }  这种方式定义的范型类有两个基本的问题：   1. 范型参数定义的实例字段，如private M m = null;由于M的类型在运行时才能确定，那么我们在类的方法中，无法使用m，这跟定义pri
  • 【HBase十三】HBase知识点总结 bit1129 hbase
    1. 数据从MemStore flush到磁盘的触发条件有哪些？    a.显式调用flush，比如flush 'mytable'    b.MemStore中的数据容量超过flush的指定容量，hbase.hregion.memstore.flush.size,默认值是64M 2. Region的构成是怎么样？ 1个Region由若干个Store组成
  • 服务器被DDOS攻击防御的SHELL脚本 ronin47
    mkdir /root/bin vi /root/bin/dropip.sh #!/bin/bash/bin/netstat -na|grep ESTABLISHED|awk ‘{print $5}’|awk -F:‘{print $1}’|sort|uniq -c|sort -rn|head -10|grep -v -E ’192.168|127.0′|awk ‘{if($2!=null&a
  • java程序员生存手册-craps 游戏-一个简单的游戏 bylijinnan java
    import java.util.Random; public class CrapsGame { /** * *一个简单的赌*博游戏，游戏规则如下： *玩家掷两个骰子，点数为1到6，如果第一次点数和为7或11，则玩家胜， *如果点数和为2、3或12，则玩家输， *如果和为其它点数，则记录第一次的点数和，然后继续掷骰，直至点数和等于第一次掷出的点
  • TOMCAT启动提示NB: JAVA_HOME should point to a JDK not a JRE解决 开窍的石头 JAVA_HOME
    当tomcat是解压的时候，用eclipse启动正常，点击startup.bat的时候启动报错; 报错如下：   The JAVA_HOME environment variable is not defined correctly This environment variable is needed to run this program NB: JAVA_HOME shou
  • [操作系统内核]操作系统与互联网 comsci 操作系统
         我首先申明：我这里所说的问题并不是针对哪个厂商的，仅仅是描述我对操作系统技术的一些看法       操作系统是一种与硬件层关系非常密切的系统软件，按理说，这种系统软件应该是由设计CPU和硬件板卡的厂商开发的，和软件公司没有直接的关系，也就是说，操作系统应该由做硬件的厂商来设计和开发
  • 富文本框ckeditor_4.4.7 文本框的简单使用 支持IE11 cuityang 富文本框
    <html xmlns="http://www.w3.org/1999/xhtml"> <head> <meta http-equiv="Content-Type" content="text/html; charset=UTF-8" /> <title>知识库内容编辑</tit
  • Property null not found darrenzhu datagridFlexAdvancedpropery null
    When you got error message like "Property null not found ***", try to fix it by the following way: 1)if you are using AdvancedDatagrid, make sure you only update the data in the data prov
  • MySQl数据库字符串替换函数使用 dcj3sjt126com mysql函数替换
    需求：需要将数据表中一个字段的值里面的所有的  .   替换成  _   原来的数据是  site.title  site.keywords  .... 替换后要为     site_title  site_keywords   使用的SQL语句如下：   updat
  • mac上终端起动MySQL的方法 dcj3sjt126com mysqlmac
    首先去官网下载: http://www.mysql.com/downloads/ 我下载了5.6.11的dmg然后安装,安装完成之后..如果要用终端去玩SQL.那么一开始要输入很长的:/usr/local/mysql/bin/mysql 这不方便啊,好想像windows下的cmd里面一样输入mysql -uroot -p1这样...上网查了下..可以实现滴. 打开终端,输入: 1
  • Gson使用一（Gson） eksliang jsongson
    转载请出自出处：http://eksliang.iteye.com/blog/2175401 一.概述 从结构上看Json，所有的数据（data）最终都可以分解成三种类型： 第一种类型是标量（scalar），也就是一个单独的字符串（string）或数字（numbers），比如"ickes"这个字符串。 第二种类型是序列（sequence），又叫做数组（array）
  • android点滴4 gundumw100 android
    Android 47个小知识 http://www.open-open.com/lib/view/open1422676091314.html Android实用代码七段（一） http://www.cnblogs.com/over140/archive/2012/09/26/2611999.html http://www.cnblogs.com/over140/arch
  • JavaWeb之JSP基本语法 ihuning javaweb
      目录   JSP模版元素  JSP表达式  JSP脚本片断  EL表达式  JSP注释  特殊字符序列的转义处理  如何查找JSP页面中的错误   JSP模版元素    JSP页面中的静态HTML内容称之为JSP模版元素，在静态的HTML内容之中可以嵌套JSP
  • App Extension编程指南（iOS8/OS X v10.10）中文版 啸笑天 ext
             当iOS 8.0和OS X v10.10发布后，一个全新的概念出现在我们眼前，那就是应用扩展。顾名思义，应用扩展允许开发者扩展应用的自定义功能和内容，能够让用户在使用其他app时使用该项功能。你可以开发一个应用扩展来执行某些特定的任务，用户使用该扩展后就可以在多个上下文环境中执行该任务。比如说，你提供了一个能让用户把内容分
  • SQLServer实现无限级树结构 macroli oraclesqlSQL Server
    表结构如下： 数据库id path titlesort 排序 1 0 首页 0 2 0,1 新闻 1 3 0,2 JAVA 2 4 0,3 JSP 3 5 0,2,3 业界动态 2 6 0,2,3 国内新闻 1 创建一个存储过程来实现，如果要在页面上使用可以设置一个返回变量将至传过去   create procedure test as begin decla
  • Css居中div，Css居中img，Css居中文本，Css垂直居中div qiaolevip 众观千象学习永无止境每天进步一点点css
    /**********Css居中Div**********/ div.center { width: 100px; margin: 0 auto; } /**********Css居中img**********/ img.center { display: block; margin-left: auto; margin-right: auto; }
  • Oracle 常用操作(实用) 吃猫的鱼 oracle
    SQL>select text from all_source where owner=user and name=upper('&plsql_name');  SQL>select * from user_ind_columns where index_name=upper('&index_name');  将表记录恢复到指定时间段以前
  • iOS中使用RSA对数据进行加密解密 witcheryne iosrsaiPhoneobjective c
      RSA算法是一种非对称加密算法,常被用于加密数据传输.如果配合上数字摘要算法, 也可以用于文件签名. 本文将讨论如何在iOS中使用RSA传输加密数据. 本文环境 mac os  openssl-1.0.1j, openssl需要使用1.x版本, 推荐使用[homebrew](http://brew.sh/)安装. Java 8 RSA基本原理 RS