落叶翩翩
落叶翩翩

CentOS7下Firewall防火墙配置用法详解

centos 7中防火墙是一个非常的强大的功能了，但对于centos 7中在防火墙中进行了升级了，下面我们一起来详细的看看关于centos 7中防火墙使用方法。
FirewallD 提供了支持网络/防火墙区域(zone)定义网络链接以及接口安全等级的动态防火墙管理工具。它支持 IPv4, IPv6 防火墙设置以及以太网桥接，并且拥有运行时配置和永久配置选项。它也支持允许服务或者应用程序直接添加防火墙规则的接口。 以前的 system-config-firewall/lokkit 防火墙模型是静态的，每次修改都要求防火墙完全重启。这个过程包括内核 netfilter 防火墙模块的卸载和新配置所需模块的装载等。而模块的卸载将会破坏状态防火墙和确立的连接。
相反，firewall daemon 动态管理防火墙，不需要重启整个防火墙便可应用更改。因而也就没有必要重载所有内核防火墙模块了。不过，要使用 firewall daemon 就要求防火墙的所有变更都要通过该守护进程来实现，以确保守护进程中的状态和内核里的防火墙是一致的。另外，firewall daemon 无法解析由 ip*tables 和 ebtables 命令行工具添加的防火墙规则。
守护进程通过 D-BUS 提供当前激活的防火墙设置信息，也通过 D-BUS 接受使用 PolicyKit 认证方式做的更改。

“守护进程”

应用程序、守护进程和用户可以通过 D-BUS 请求启用一个防火墙特性。特性可以是预定义的防火墙功能，如：服务、端口和协议的组合、端口/数据报转发、伪装、ICMP 拦截或自定义规则等。该功能可以启用确定的一段时间也可以再次停用。

通过所谓的直接接口，其他的服务(例如 libvirt )能够通过 iptables 变元(arguments)和参数(parameters)增加自己的规则。
amanda 、ftp 、samba 和 tftp 服务的 netfilter 防火墙助手也被“守护进程”解决了,只要它们还作为预定义服务的一部分。附加助手的装载不作为当前接口的一部分。由于一些助手只有在由模块控制的所有连接都关闭后才可装载。因而，跟踪连接信息很重要，需要列入考虑范围。

静态防火墙(system-config-firewall/lokkit)

使用 system-config-firewall 和 lokkit 的静态防火墙模型实际上仍然可用并将继续提供，但却不能与“守护进程”同时使用。用户或者管理员可以决定使用哪一种方案。

在软件安装，初次启动或者是首次联网时，将会出现一个选择器。通过它你可以选择要使用的防火墙方案。其他的解决方案将保持完整，可以通过更换模式启用。
firewall daemon 独立于 system-config-firewall，但二者不能同时使用。

使用iptables和ip6tables的静态防火墙规则

如果你想使用自己的 iptables 和 ip6tables 静态防火墙规则, 那么请安装 iptables-services 并且禁用 firewalld ，启用 iptables 和ip6tables:

yum install iptables-services
systemctl mask firewalld.service
systemctl enable iptables.service
systemctl enable ip6tables.service
静态防火墙规则配置文件是 /etc/sysconfig/iptables 以及 /etc/sysconfig/ip6tables .
注： iptables 与 iptables-services 软件包不提供与服务配套使用的防火墙规则. 这些服务是用来保障兼容性以及供想使用自己防火墙规则的人使用的. 你可以安装并使用 system-config-firewall 来创建上述服务需要的规则. 为了能使用 system-config-firewall, 你必须停止 firewalld.
为服务创建规则并停用 firewalld 后，就可以启用 iptables 与 ip6tables 服务了: 
systemctl stop firewalld.service
systemctl start iptables.service
systemctl start ip6tables.service

什么是区域？

网络区域定义了网络连接的可信等级。这是一个一对多的关系，这意味着一次连接可以仅仅是一个区域的一部分，而一个区域可以用于很多连接。

预定义的服务

服务是端口和/或协议入口的组合。备选内容包括 netfilter 助手模块以及 IPv4、IPv6地址。

端口和协议

定义了 tcp 或 udp 端口，端口可以是一个端口或者端口范围。

ICMP阻塞

可以选择 Internet 控制报文协议的报文。这些报文可以是信息请求亦可是对信息请求或错误条件创建的响应。

伪装
私有网络地址可以被映射到公开的IP地址。这是一次正规的地址转换。

端口转发

端口可以映射到另一个端口以及/或者其他主机。

哪个区域可用?

由firewalld 提供的区域按照从不信任到信任的顺序排序。

丢弃

任何流入网络的包都被丢弃，不作出任何响应。只允许流出的网络连接。

阻塞

任何进入的网络连接都被拒绝，并返回 IPv4 的 icmp-host-prohibited 报文或者 IPv6 的 icmp6-adm-prohibited 报文。只允许由该系统初始化的网络连接。

公开

用以可以公开的部分。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。（You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.）

外部

用在路由器等启用伪装的外部网络。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。

隔离区（dmz）

用以允许隔离区（dmz）中的电脑有限地被外界网络访问。只接受被选中的连接。

工作

用在工作网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。

家庭

用在家庭网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。

内部

用在内部网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。

受信任的

允许所有网络连接。

我应该选用哪个区域?

例如，公共的 WIFI 连接应该主要为不受信任的，家庭的有线网络应该是相当可信任的。根据与你使用的网络最符合的区域进行选择。

如何配置或者增加区域?

你可以使用任何一种 firewalld 配置工具来配置或者增加区域，以及修改配置。工具有例如 firewall-config 这样的图形界面工具， firewall-cmd 这样的命令行工具，以及D-BUS接口。或者你也可以在配置文件目录中创建或者拷贝区域文件。 @PREFIX@/lib/firewalld/zones 被用于默认和备用配置，/etc/firewalld/zones 被用于用户创建和自定义配置文件。

如何为网络连接设置或者修改区域

区域设置以 ZONE= 选项 存储在网络连接的ifcfg文件中。如果这个选项缺失或者为空，firewalld 将使用配置的默认区域。

如果这个连接受到 NetworkManager 控制，你也可以使用 nm-connection-editor 来修改区域。

由NetworkManager控制的网络连接

防火墙不能够通过 NetworkManager 显示的名称来配置网络连接，只能配置网络接口。因此在网络连接之前 NetworkManager 将配置文件所述连接对应的网络接口告诉 firewalld 。如果在配置文件中没有配置区域，接口将配置到 firewalld 的默认区域。如果网络连接使用了不止一个接口，所有的接口都会应用到 fiwewalld。接口名称的改变也将由 NetworkManager 控制并应用到firewalld。

为了简化，自此，网络连接将被用作与区域的关系。
如果一个接口断开了，NetworkManager也将告诉firewalld从区域中删除该接口。
当firewalld由systemd或者init脚本启动或者重启后，firewalld将通知NetworkManager把网络连接增加到区域。

由脚本控制的网络

对于由网络脚本控制的连接有一条限制：没有守护进程通知 firewalld 将连接增加到区域。这项工作仅在 ifcfg-post 脚本进行。因此，此后对网络连接的重命名将不能被应用到firewalld。同样，在连接活动时重启 firewalld 将导致与其失去关联。现在有意修复此情况。最简单的是将全部未配置连接加入默认区域。

区域定义了本区域中防火墙的特性：

使用firewalld

你可以通过图形界面工具 firewall-config 或者命令行客户端 firewall-cmd 启用或者关闭防火墙特性。

使用firewall-cmd

命令行工具 firewall-cmd 支持全部防火墙特性。对于状态和查询模式，命令只返回状态，没有其他输出。

一般应用

获取 firewalld 状态

firewall-cmd --state
此举返回 firewalld 的状态，没有任何输出。可以使用以下方式获得状态输出： 
firewall-cmd --state && echo "Running" || echo "Not running"
在 Fedora 19 中, 状态输出比此前直观: 
# rpm -qf $( which firewall-cmd )
firewalld-0.3.3-2.fc19.noarch# firewall-cmd --state
not running
在不改变状态的条件下重新加载防火墙： 
firewall-cmd --reload
如果你使用–complete-reload，状态信息将会丢失。这个选项应当仅用于处理防火墙问题时，例如，状态信息和防火墙规则都正常，但是不能建立任何连接的情况。
获取支持的区域列表 
firewall-cmd --get-zones
这条命令输出用空格分隔的列表。
获取所有支持的服务 
firewall-cmd --get-services
这条命令输出用空格分隔的列表。
获取所有支持的ICMP类型 
firewall-cmd --get-icmptypes
这条命令输出用空格分隔的列表。
列出全部启用的区域的特性 
firewall-cmd --list-all-zones
输出格式是： 

  interfaces:  ..
  services:  ..
  ports:  ..
  forward-ports:  ..
  icmp-blocks:  ....
输出区域 全部启用的特性。如果生略区域，将显示默认区域的信息。 
firewall-cmd [--zone=] --list-all
获取默认区域的网络设置 
firewall-cmd --get-default-zone
设置默认区域 
firewall-cmd --set-default-zone=
流入默认区域中配置的接口的新访问请求将被置入新的默认区域。当前活动的连接将不受影响。
获取活动的区域 
firewall-cmd --get-active-zones
这条命令将用以下格式输出每个区域所含接口： 
:   ..:  ..
根据接口获取区域 
firewall-cmd --get-zone-of-interface=
这条命令将输出接口所属的区域名称。
将接口增加到区域 
firewall-cmd [--zone=] --add-interface=
如果接口不属于区域，接口将被增加到区域。如果区域被省略了，将使用默认区域。接口在重新加载后将重新应用。
修改接口所属区域 
firewall-cmd [--zone=] --change-interface=
这个选项与 –add-interface 选项相似，但是当接口已经存在于另一个区域的时候，该接口将被添加到新的区域。
从区域中删除一个接口 
firewall-cmd [--zone=] --remove-interface=
查询区域中是否包含某接口 
firewall-cmd [--zone=] --query-interface=
返回接口是否存在于该区域。没有输出。
列举区域中启用的服务 
firewall-cmd [ --zone= ] --list-services
启用应急模式阻断所有网络连接，以防出现紧急状况 
firewall-cmd --panic-on
禁用应急模式 
firewall-cmd --panic-off
 代码如下 复制代码
应急模式在 0.3.0 版本中发生了变化
在 0.3.0 之前的 FirewallD版本中, panic 选项是 –enable-panic 与 –disable-panic.
查询应急模式 
firewall-cmd --query-panic
此命令返回应急模式的状态，没有输出。可以使用以下方式获得状态输出： 
firewall-cmd --query-panic && echo "On" || echo "Off"

处理运行时区域

运行时模式下对区域进行的修改不是永久有效的。重新加载或者重启后修改将失效。

启用区域中的一种服务 
firewall-cmd [--zone=] --add-service= [--timeout=]
此举启用区域中的一种服务。如果未指定区域，将使用默认区域。如果设定了超时时间，服务将只启用特定秒数。如果服务已经活跃，将不会有任何警告信息。
例: 使区域中的ipp-client服务生效60秒: 
firewall-cmd --zone=home --add-service=ipp-client --timeout=60
例: 启用默认区域中的http服务: 
firewall-cmd --add-service=http
禁用区域中的某种服务 
firewall-cmd [--zone=] --remove-service=
此举禁用区域中的某种服务。如果未指定区域，将使用默认区域。
例: 禁止home区域中的http服务: 
firewall-cmd --zone=home --remove-service=http
区域种的服务将被禁用。如果服务没有启用，将不会有任何警告信息。
查询区域中是否启用了特定服务 
firewall-cmd [--zone=] --query-service=
如果服务启用，将返回1,否则返回0。没有输出信息。
启用区域端口和协议组合 
firewall-cmd [--zone=] --add-port=[-]/ [--timeout=]
此举将启用端口和协议的组合。端口可以是一个单独的端口 或者是一个端口范围 - 。协议可以是 tcp 或 udp。
禁用端口和协议组合 
firewall-cmd [--zone=] --remove-port=[-]/
查询区域中是否启用了端口和协议组合 
firewall-cmd [--zone=] --query-port=[-]/
如果启用，此命令将有返回值。没有输出信息。
启用区域中的IP伪装功能 
firewall-cmd [--zone=] --add-masquerade
此举启用区域的伪装功能。私有网络的地址将被隐藏并映射到一个公有IP。这是地址转换的一种形式，常用于路由。由于内核的限制，伪装功能仅可用于IPv4。
禁用区域中的IP伪装 
firewall-cmd [--zone=] --remove-masquerade
查询区域的伪装状态 
firewall-cmd [--zone=] --query-masquerade
如果启用，此命令将有返回值。没有输出信息。
启用区域的ICMP阻塞功能 
firewall-cmd [--zone=] --add-icmp-block=
此举将启用选中的Internet控制报文协议（ICMP）报文进行阻塞。ICMP报文可以是请求信息或者创建的应答报文，以及错误应答。
禁止区域的ICMP阻塞功能 
firewall-cmd [--zone=] --remove-icmp-block=
查询区域的ICMP阻塞功能 
firewall-cmd [--zone=] --query-icmp-block=
如果启用，此命令将有返回值。没有输出信息。
例: 阻塞区域的响应应答报文: 
firewall-cmd --zone=public --add-icmp-block=echo-reply
在区域中启用端口转发或映射 
firewall-cmd [--zone=] --add-forward-port=port=[-]:proto= { :toport=[-] | :toaddr=
 | :toport=[-]:toaddr=
 }
端口可以映射到另一台主机的同一端口，也可以是同一主机或另一主机的不同端口。端口号可以是一个单独的端口 或者是端口范围 - 。协议可以为 tcp 或udp 。目标端口可以是端口号 或者是端口范围 - 。目标地址可以是 IPv4 地址。受内核限制，端口转发功能仅可用于IPv4。
禁止区域的端口转发或者端口映射 
firewall-cmd [--zone=] --remove-forward-port=port=[-]:proto= { :toport=[-] | :toaddr=
 | :toport=[-]:toaddr=
 }
查询区域的端口转发或者端口映射 
firewall-cmd [--zone=] --query-forward-port=port=[-]:proto= { :toport=[-] | :toaddr=
 | :toport=[-]:toaddr=
 }
如果启用，此命令将有返回值。没有输出信息。
例: 将区域home的ssh转发到127.0.0.2 
firewall-cmd --zone=home --add-forward-port=port=22:proto=tcp:toaddr=127.0.0.2

处理永久区域

永久选项不直接影响运行时的状态。这些选项仅在重载或者重启服务时可用。为了使用运行时和永久设置，需要分别设置两者。 选项 –permanent 需要是永久设置的第一个参数。

获取永久选项所支持的服务 
firewall-cmd --permanent --get-services
获取永久选项所支持的ICMP类型列表 
firewall-cmd --permanent --get-icmptypes
获取支持的永久区域 
firewall-cmd --permanent --get-zones
启用区域中的服务 
firewall-cmd --permanent [--zone=] --add-service=
此举将永久启用区域中的服务。如果未指定区域，将使用默认区域。
禁用区域中的一种服务 
firewall-cmd --permanent [--zone=] --remove-service=
查询区域中的服务是否启用 
firewall-cmd --permanent [--zone=] --query-service=
如果服务启用，此命令将有返回值。此命令没有输出信息。
例: 永久启用 home 区域中的 ipp-client 服务 
firewall-cmd --permanent --zone=home --add-service=ipp-client
永久启用区域中的一个端口-协议组合 
firewall-cmd --permanent [--zone=] --add-port=[-]/
永久禁用区域中的一个端口-协议组合 
firewall-cmd --permanent [--zone=] --remove-port=[-]/
查询区域中的端口-协议组合是否永久启用 
firewall-cmd --permanent [--zone=] --query-port=[-]/
如果服务启用，此命令将有返回值。此命令没有输出信息。
例: 永久启用 home 区域中的 https (tcp 443) 端口 
firewall-cmd --permanent --zone=home --add-port=443/tcp
永久启用区域中的伪装 
firewall-cmd --permanent [--zone=] --add-masquerade
此举启用区域的伪装功能。私有网络的地址将被隐藏并映射到一个公有IP。这是地址转换的一种形式，常用于路由。由于内核的限制，伪装功能仅可用于IPv4。
永久禁用区域中的伪装 
firewall-cmd --permanent [--zone=] --remove-masquerade
查询区域中的伪装的永久状态 
firewall-cmd --permanent [--zone=] --query-masquerade
如果服务启用，此命令将有返回值。此命令没有输出信息。
永久启用区域中的ICMP阻塞 
firewall-cmd --permanent [--zone=] --add-icmp-block=
此举将启用选中的 Internet 控制报文协议 （ICMP） 报文进行阻塞。 ICMP 报文可以是请求信息或者创建的应答报文或错误应答报文。
永久禁用区域中的ICMP阻塞 
firewall-cmd --permanent [--zone=] --remove-icmp-block=
查询区域中的ICMP永久状态 
firewall-cmd --permanent [--zone=] --query-icmp-block=
如果服务启用，此命令将有返回值。此命令没有输出信息。
例: 阻塞公共区域中的响应应答报文: 
firewall-cmd --permanent --zone=public --add-icmp-block=echo-reply
在区域中永久启用端口转发或映射 
firewall-cmd --permanent [--zone=] --add-forward-port=port=[-]:proto= { :toport=[-] | :toaddr=
 | :toport=[-]:toaddr=
 }
端口可以映射到另一台主机的同一端口，也可以是同一主机或另一主机的不同端口。端口号可以是一个单独的端口 或者是端口范围 - 。协议可以为 tcp 或udp 。目标端口可以是端口号 或者是端口范围 - 。目标地址可以是 IPv4 地址。受内核限制，端口转发功能仅可用于IPv4。
永久禁止区域的端口转发或者端口映射 
firewall-cmd --permanent [--zone=] --remove-forward-port=port=[-]:proto= { :toport=[-] | :toaddr=
 | :toport=[-]:toaddr=
 }
查询区域的端口转发或者端口映射状态 
firewall-cmd --permanent [--zone=] --query-forward-port=port=[-]:proto= { :toport=[-] | :toaddr=
 | :toport=[-]:toaddr=
 }
如果服务启用，此命令将有返回值。此命令没有输出信息。
例: 将 home 区域的 ssh 服务转发到 127.0.0.2 
firewall-cmd --permanent --zone=home --add-forward-port=port=22:proto=tcp:toaddr=127.0.0.2

直接选项

直接选项主要用于使服务和应用程序能够增加规则。 规则不会被保存，在重新加载或者重启之后必须再次提交。传递的参数 与 iptables, ip6tables 以及 ebtables 一致。

选项–direct需要是直接选项的第一个参数。
将命令传递给防火墙。参数 可以是 iptables, ip6tables 以及 ebtables 命令行参数。 
firewall-cmd --direct --passthrough { ipv4 | ipv6 | eb }
为表 增加一个新链 。 
firewall-cmd --direct --add-chain { ipv4 | ipv6 | eb }
从表
中删除链 。 
firewall-cmd --direct --remove-chain { ipv4 | ipv6 | eb }
查询 链是否存在与表
. 如果是，返回0,否则返回1. 
firewall-cmd --direct --query-chain { ipv4 | ipv6 | eb }
如果启用，此命令将有返回值。此命令没有输出信息。
获取用空格分隔的表
中链的列表。 
firewall-cmd --direct --get-chains { ipv4 | ipv6 | eb }
为表
增加一条参数为 的链 ，优先级设定为 。 
firewall-cmd --direct --add-rule { ipv4 | ipv6 | eb }
从表
中删除带参数 的链 。 
firewall-cmd --direct --remove-rule { ipv4 | ipv6 | eb }
查询带参数 的链 是否存在表
中. 如果是，返回0,否则返回1. 
firewall-cmd --direct --query-rule { ipv4 | ipv6 | eb }
如果启用，此命令将有返回值。此命令没有输出信息。
获取表
中所有增加到链 的规则，并用换行分隔。 
firewall-cmd --direct --get-rules { ipv4 | ipv6 | eb }

当前的firewalld特性 

D-BUS接口

D-BUS 接口提供防火墙状态的信息，使防火墙的启用、停用或查询设置成为可能。

区域

网络或者防火墙区域定义了连接的可信程度。firewalld 提供了几种预定义的区域。区域配置选项和通用配置信息可以在firewall.zone(5)的手册里查到。

服务

服务可以是一系列本读端口、目的以及附加信息，也可以是服务启动时自动增加的防火墙助手模块。预定义服务的使用使启用和禁用对服务的访问变得更加简单。服务配置选项和通用文件信息在 firewalld.service(5) 手册里有描述。

ICMP类型

Internet控制报文协议 (ICMP) 被用以交换报文和互联网协议 (IP) 的错误报文。在 firewalld 中可以使用 ICMP 类型来限制报文交换。 ICMP 类型配置选项和通用文件信息可以参阅 firewalld.icmptype(5) 手册。

直接接口

直接接口主要用于服务或者应用程序增加特定的防火墙规则。这些规则并非永久有效，并且在收到 firewalld 通过 D-Bus 传递的启动、重启、重载信号后需要重新应用。

运行时配置

运行时配置并非永久有效，在重新加载时可以被恢复，而系统或者服务重启、停止时，这些选项将会丢失。

永久配置

永久配置存储在配置文件种，每次机器重启或者服务重启、重新加载时将自动恢复。

托盘小程序

托盘小程序 firewall-applet 为用户显示防火墙状态和存在的问题。它也可以用来配置用户允许修改的设置。

图形化配置工具

firewall daemon 主要的配置工具是 firewall-config 。它支持防火墙的所有特性（除了由服务/应用程序增加规则使用的直接接口）。 管理员也可以用它来改变系统或用户策略。

命令行客户端

firewall-cmd是命令行下提供大部分图形工具配置特性的工具。

对于ebtables的支持

要满足libvirt daemon的全部需求，在内核 netfilter 级上防止 ip*tables 和 ebtables 间访问问题，ebtables 支持是需要的。由于这些命令是访问相同结构的，因而不能同时使用。

/usr/lib/firewalld中的默认/备用配置

该目录包含了由 firewalld 提供的默认以及备用的 ICMP 类型、服务、区域配置。由 firewalld 软件包提供的这些文件不能被修改，即使修改也会随着 firewalld 软件包的更新被重置。 其他的 ICMP 类型、服务、区域配置可以通过软件包或者创建文件的方式提供。

/etc/firewalld中的系统配置设置
存储在此的系统或者用户配置文件可以是系统管理员通过配置接口定制的，也可以是手动定制的。这些文件将重载默认配置文件。
为了手动修改预定义的 icmp 类型，区域或者服务，从默认配置目录将配置拷贝到相应的系统配置目录，然后根据需求进行修改。
如果你加载了有默认和备用配置的区域，在 /etc/firewalld下的对应文件将被重命名为 .old 然后启用备用配置。

正在开发的特性 

富语言

富语言特性提供了一种不需要了解iptables语法的通过高级语言配置复杂 IPv4 和 IPv6 防火墙规则的机制。

Fedora 19 提供了带有 D-Bus 和命令行支持的富语言特性第2个里程碑版本。第3个里程碑版本也将提供对于图形界面 firewall-config 的支持。
对于此特性的更多信息，请参阅： firewalld Rich Language

锁定

锁定特性为 firewalld 增加了锁定本地应用或者服务配置的简单配置方式。它是一种轻量级的应用程序策略。

Fedora 19 提供了锁定特性的第二个里程碑版本，带有 D-Bus 和命令行支持。第3个里程碑版本也将提供图形界面 firewall-config 下的支持。
更多信息请参阅： firewalld Lockdown

永久直接规则

这项特性处于早期状态。它将能够提供保存直接规则和直接链的功能。通过规则不属于该特性。更多关于直接规则的信息请参阅Direct options。

从ip*tables和ebtables服务迁移
这项特性处于早期状态。它将尽可能提供由iptables,ip6tables 和 ebtables 服务配置转换为永久直接规则的脚本。此特性在由firewalld提供的直接链集成方面可能存在局限性。
此特性将需要大量复杂防火墙配置的迁移测试。

计划和提议功能
防火墙抽象模型

在 ip*tables 和 ebtables 防火墙规则之上添加抽象层使添加规则更简单和直观。要抽象层功能强大，但同时又不能复杂，并不是一项简单的任务。为此，不得不开发一种防火墙语言。使防火墙规则拥有固定的位置，可以查询端口的访问状态、访问策略等普通信息和一些其他可能的防火墙特性。

对于conntrack的支持

要终止禁用特性已确立的连接需要 conntrack 。不过，一些情况下终止连接可能是不好的，如：为建立有限时间内的连续性外部连接而启用的防火墙服务。

用户交互模型

这是防火墙中用户或者管理员可以启用的一种特殊模式。应用程序所有要更改防火墙的请求将定向给用户知晓，以便确认和否认。为一个连接的授权设置一个时间限制并限制其所连主机、网络或连接是可行的。配置可以保存以便将来不需通知便可应用相同行为。 该模式的另一个特性是管理和应用程序发起的请求具有相同功能的预选服务和端口的外部链接尝试。服务和端口的限制也会限制发送给用户的请求数量。

用户策略支持

管理员可以规定哪些用户可以使用用户交互模式和限制防火墙可用特性。

端口元数据信息(由 Lennart Poettering 提议)

拥有一个端口独立的元数据信息是很好的。当前对 /etc/services 的端口和协议静态分配模型不是个好的解决方案，也没有反映当前使用情况。应用程序或服务的端口是动态的，因而端口本身并不能描述使用情况。

元数据信息可以用来为防火墙制定简单的规则。下面是一些例子：
  • 允许外部访问文件共享应用程序或服务
  • 允许外部访问音乐共享应用程序或服务
  • 允许外部访问全部共享应用程序或服务
  • 允许外部访问 torrent 文件共享应用程序或服务
  • 允许外部访问 http 网络服务
这里的元数据信息不只有特定应用程序，还可以是一组使用情况。例如：组“全部共享”或者组“文件共享”可以对应于全部共享或文件共享程序(如：torrent 文件共享)。这些只是例子，因而，可能并没有实际用处。
这里是在防火墙中获取元数据信息的两种可能途径：
第一种是添加到 netfilter (内核空间)。好处是每个人都可以使用它，但也有一定使用限制。还要考虑用户或系统空间的具体信息，所有这些都需要在内核层面实现。
第二种是添加到 firewall daemon 中。这些抽象的规则可以和具体信息(如：网络连接可信级、作为具体个人/主机要分享的用户描述、管理员禁止完全共享的应归则等)一起使用。
第二种解决方案的好处是不需要为有新的元数据组和纳入改变(可信级、用户偏好或管理员规则等等)重新编译内核。这些抽象规则的添加使得 firewall daemon 更加自由。即使是新的安全级也不需要更新内核即可轻松添加。
sysctld
现在仍有 sysctl 设置没有正确应用。一个例子是，在 rc.sysinit 正运行时，而提供设置的模块在启动时没有装载或者重新装载该模块时会发生问题。
另一个例子是 net.ipv4.ip_forward ，防火墙设置、libvirt 和用户/管理员更改都需要它。如果有两个应用程序或守护进程只在需要时开启 ip_forwarding ，之后可能其中一个在不知道的情况下关掉服务，而另一个正需要它，此时就不得不重启它。
sysctl daemon 可以通过对设置使用内部计数来解决上面的问题。此时，当之前请求者不再需要时，它就会再次回到之前的设置状态或者是直接关闭它。

防火墙规则

netfilter 防火墙总是容易受到规则顺序的影响，因为一条规则在链中没有固定的位置。在一条规则之前添加或者删除规则都会改变此规则的位置。 在静态防火墙模型中，改变防火墙就是重建一个干净和完善的防火墙设置，且受限于 system-config-firewall / lokkit 直接支持的功能。也没有整合其他应用程序创建防火墙规则，且如果自定义规则文件功能没在使用 s-c-fw / lokkit 就不知道它们。默认链通常也没有安全的方式添加或删除规则而不影响其他规则。

动态防火墙有附加的防火墙功能链。这些特殊的链按照已定义的顺序进行调用，因而向链中添加规则将不会干扰先前调用的拒绝和丢弃规则。从而利于创建更为合理完善的防火墙配置。
下面是一些由守护进程创建的规则，过滤列表中启用了在公共区域对 ssh , mdns 和 ipp-client 的支持： 
*filter
:INPUT ACCEPT [0:0]:FORWARD ACCEPT [0:0]:OUTPUT ACCEPT [0:0]:FORWARD_ZONES - [0:0]:FORWARD_direct - [0:0]:INPUT_ZONES - [0:0]:INPUT_direct - [0:0]:IN_ZONE_public - [0:0]:IN_ZONE_public_allow - [0:0]:IN_ZONE_public_deny - [0:0]:OUTPUT_direct - [0:0]-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -j INPUT_direct
-A INPUT -j INPUT_ZONES
-A INPUT -p icmp -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i lo -j ACCEPT
-A FORWARD -j FORWARD_direct
-A FORWARD -j FORWARD_ZONES
-A FORWARD -p icmp -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
-A OUTPUT -j OUTPUT_direct
-A IN_ZONE_public -j IN_ZONE_public_deny
-A IN_ZONE_public -j IN_ZONE_public_allow
-A IN_ZONE_public_allow -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT
-A IN_ZONE_public_allow -d 224.0.0.251/32 -p udp -m udp --dport 5353 -m conntrack --ctstate NEW -j ACCEPT
-A IN_ZONE_public_allow -p udp -m udp --dport 631 -m conntrack --ctstate NEW -j ACCEPT
使用 deny/allow 模型来构建一个清晰行为(最好没有冲突规则)。例如： ICMP块将进入 IN_ZONE_public_deny 链(如果为公共区域设置了的话)，并将在 IN_ZONE_public_allow 链之前处理。
该模型使得在不干扰其他块的情况下向一个具体块添加或删除规则而变得更加容易。

你可能感兴趣的:(linux,centos,firewall)

  • mysql安装glibc包_mysql-8.0.22-linux-glibc2.12-x86_64.tar.xz安装 区块链小王子 mysql安装glibc包
    一、检查系统是否安装mysql或者mariadb，有的话先卸载查看系统是否安装了mysql:rpm-qa|grep-imysql1.1删除mysqlyum-yremovemysql*1.2删除mysql配置rm-rf/etc/my.cnf1.3删除文件rm-rf/var/lib/mysql查看系统是否安装了mariadbrpm-qa|grep-imariadb2.1.删除mariadbyum-yr
  • linux mysql glibc 安装_Linux下安装mysql-8.0.21-linux-glibc2.12-x86_64.tar安装步骤 十三周 linuxmysqlglibc安装
    1、解压mysqlmysql-8.0.21-linux-glibc2.12-x86_64.tar解压tar-xvfmysql-8.0.21-linux-glibc2.12-x86_64.tartar-xvJfmysql-8.0.21-linux-glibc2.12-x86_64.tarr.xz2、cp-rmysql-8.0.21-linux-glibc2.12-x86_64mysql8.21/3、
  • Prometheus+Grafana监控 畅云客 Prometheus监控服务器运维linux运维开发grafanaprometheus云计算
    目录资源列表一、基础环境关闭防火墙关闭selinux修改主机名节点添加主机名与IP对应关系二、部署Prometheus下载安装包解压创建用于运行Prometheus的组和用户创建Prometheus数据存储目录给Prometheus主目录赋用户Prometheus权限修改配置文件启动三、部署Grafana下载安装包创建grafana用户及数据存放目录修改配置文件启动四、node节点部署node_e
  • 内网安装docker、docker-compose和harbor仓库 保姆级教程 passion_flower_ 云计算
    下图是用到的安装包安装docker1.关闭防火墙firewalld和selinxsystemctlstopfirewalldsed-i'/^SELINUX=/cSELINUX=disabled/'/etc/selinux/config配置systemctl启动dockervim/etc/systemd/system/docker.service[Unit]Description=DockerApp
  • U-Boot 之六 详解 U-Boot 及 SPL 的链接脚本、启动流程 ZC·Shou U-Bootu-bootSPL启动
    基本环境  我这里的基本开发环境与运行环境在之前的博文U-Boot之二零基础编译、详解Image镜像及DTB文件已经详细介绍过了，这里就不在赘述。如果在构建时遇到错误，可以参考上面的博文来解决。示例代码  嵌入式Linux运行环境搭建系列博文涉及的所有源代码均放到了我个人的Gitee上：https://gitee.com/itexp/BOARD-STM32F769I-EVAL。这个仓库中包含了的所
  • linux Ubuntu 通过mysql-5.7.26-linux-glibc2.12-x86_64.tar.gz安装mysql的步骤 冷冷清清中的风风火火 笔记linuxlinux下安装软件linuxubuntumysql
    以下是在Ubuntu系统中通过mysql-5.7.26-linux-glibc2.12-x86_64.tar.gz手动安装MySQL5.7.26的详细步骤：一、准备工作1.安装依赖库sudoaptupdatesudoaptinstalllibaio1libnuma1libtinfo52.创建MySQL用户和组sudogroupaddmysqlsudouseradd-r-gmysql-s/bin/f
  • 【MySQL】MySQL数据库安装以及报错处理技巧 web13688565871 面试学习路线阿里巴巴数据库mysqladb
    前言：本节内容讲述在Ubuntu环境下怎么进行MySQL的安装。以及一些安装过程中遇到的报错如何处理的问题。ps:注意，本篇文章不是图形化界面的MySQL安装教程哦。想要安装图形化界面的MySQL的友友们可以另寻资源了。目录更新软件包列表安装MySQL服务器检查MySQL服务是否启动配置密码重新restartMySQL?编辑删除MySQL报错信息更新软件包列表这里的软件包就类似于centos里面的
  • 关于解决shell脚本中无法用cd命令，在指定文件下运行指定文件的解决方法分享 Ramphastos1101 phplinux服务器bash
    本人以编写shell脚本，一键安装配置php7.3为例前提：本脚本在Linux/opt/目录下运行首先解压php压缩包######配置nginx，带lua支持#################################################tar-zxvf/opt/php-7.3.30.tar.gzif[$?-eq0];thenecho`date"+%y-%m-%d%H:%M:%S
  • 解析Linux中的系统安全及应用（二） 石头城云计算笔记 Linuxsu命令切换用户sudo机制提升权限PAM安全认证网络端口扫描弱口令检测
    各位小伙伴大家好，本次和大家分享的是Linux系统中的系统安全及应用的相关理论知识及操作。我将通过以下几点和相关的实验进行分析说明：（接上篇）五.使用su命令切换用户：1、用途及方法用途：SubstituteUser，切换用户格式：su-目标用户（bash环境）2、密码验证root→任意用户，不验证密码普通用户→其他用户，验证目标用户的密码[jerry@localhost~]$su-root（带-
  • Linux基础知识：操作系统概述、常用命令、文件系统及Shell脚本入门与进阶 一碗黄焖鸡三碗米饭 Linux探索与实践linux运维服务器
    Linux基础知识：操作系统概述、常用命令、文件系统及Shell脚本入门与进阶Linux操作系统因其开源、稳定和高效的特点，广泛应用于各类服务器、嵌入式系统及开发环境中。对于开发者或系统管理员来说，掌握Linux的基础知识是必不可少的。本文将深入探讨Linux操作系统概述、常用命令的讲解、文件系统结构与权限管理，以及Shell脚本的入门与进阶，帮助你更好地理解和使用Linux。一、Linux操作系
  • alpine镜像简介 小达人Fighting dockerjava开发语言docker
    AlpineLinux是一个轻量级的Linux发行版，因其小巧、安全和高效而广受欢迎，尤其是在容器化环境中（如Docker）。Alpine镜像指的是基于AlpineLinux制作的容器镜像。它的特点如下：极小的体积：Alpine镜像仅几MB大小，远小于其他常见的Linux镜像（如Ubuntu、Debian等）。这有助于节省存储空间，加快容器下载和部署速度。安全性：AlpineLinux默认采用了“
  • dnspod动态解析linux,NAS折腾记 篇一：五分钟搞定威联通DNSPOD动态域名解析-简单教程+问题解决... 芒果绵绵冰 dnspod动态解析linux
    NAS折腾记篇一：五分钟搞定威联通DNSPOD动态域名解析-简单教程+问题解决2021-01-1321:04:4814点赞156收藏28评论新人值友一枚，第一次发贴，请大家多多支持！2020年双11，因为每天都会打开张大妈看看，经过太多值友PO文轮番轰炸，终于下手了一台威联通NAS。从一开始完全搞不清状况的新人小白(存储池，卷，威联通的太多术证让人傻傻分不清)，到现在基本上把自己的NAS折腾得七七
  • [Yocto] stm32mp1 Linux系统构建 山猫Show Yoctoyocto
    硬件需求我将尝试解释这些教程中每个步骤发生的情况，以便您可以将说明推广到几乎任何单板计算机（假设构建系统支持该板）。但是，对于演示，我将使用以下平台：STM32MP157D-DK1您还需要一张SD卡。STM32MP157D-DK1套件应随附一张SD卡。此外，您还需要一个能够提供5V、3A的USB-C电源。软件需求这个项目需要Linux，因为我们使用的所有工具都必须在Linux中运行。我将展示在Ub
  • Linux 4.xx内核+Go 1.15出core排查 1-programmer GoGoLinuxOSlinuxgolang
    Goruntime出core在使用gozero框架的开发数据库管理服务的过程中，经常出core。通过dlv查看core的位置，各个地方都有，典型的有以下两种：runtime在执行init函数时，某个空串对应的地址上其长度不对，应该是0，却是一个负值。runtime中初始化timer时，timer的某个应该为正整数的属性，变成了负值。明确是踩了内存，但一时间找不到思路。0x01怀疑是CGO由于CGO
  • zswap 数据结构维护解析 仙度瑞拉快点跑 数据结构
    zswap数据结构维护解析zswap是Linux内核中的一个前端压缩交换（swap）机制，它在内存中维护一个zpool来存储被压缩的页面，以减少磁盘I/O并提高性能。以下是zswap维护加解压相关数据结构的核心解析。1.zswap的核心数据结构1.1structzswap_entryzswap_entry结构体表示zswap维护的每个压缩页面的元数据。structzswap_entry{struc
  • 【QT开发教程】使用Qt进行跨平台（Windows、macOS、Linux、iOS和Android）开发的最佳实践 I'mAlex QT开发教程qt开发语言跨平台
    Qt是一个强大的跨平台C++框架，使得开发者可以编写一次代码并在多个平台上运行，包括Windows、macOS、Linux、iOS和Android。在跨平台开发过程中，遵循一些最佳实践可以帮助我们提高开发效率和代码质量。本文将介绍使用Qt进行跨平台开发的最佳实践。博主简介：现任阿里巴巴嵌入式技术专家，15年工作经验，深耕嵌入式+人工智能领域，精通嵌入式领域开发、技术管理、简历招聘面试。CSDN优质
  • 【Linux 进程状态】—— 从创建到消亡的全生命周期 一整颗红豆 Linux驾驭之道掌控操作系统的艺术与哲学linux运维开发python
    欢迎来到ZyyOvO的博客✨，一个关于探索技术的角落，记录学习的点滴，分享实用的技巧️，偶尔还有一些奇思妙想本文由ZyyOvO原创✍️，感谢支持❤️！请尊重原创！欢迎评论区留言交流个人主页ZyyOvO本文专栏➡️Linux驾驭之道掌控操作系统的艺术与哲学各位于晏，亦菲们请看引言==进程=内核数据结构+自己的代码和数据==系统调用fork函数功能返回值代码层面理解进程状态Linux内核源代码进程状态
  • STM32MP157A-DK1开发板评估：官方OpenSTLinux烧录 2301_79326616 stm32单片机嵌入式硬件
    介绍：在本篇文章中，我们将详细介绍如何将官方OpenSTLinux操作系统烧录到STM32MP157A-DK1开发板上。我们将逐步说明所需的步骤，并提供相应的源代码以供参考。STM32MP157A-DK1开发板是一款基于STMicroelectronics的STM32MP1系列微处理器的开发板，该系列微处理器结合了Cortex-A7和Cortex-M4内核。OpenSTLinux是STMicroe
  • 解锁Linux性能密码：25个实用调优技巧 大雨淅淅 Linuxlinux运维
    目录一、引言二、系统资源监控工具2.1top和htop2.2vmstat2.3iostat三、内核参数优化3.1调整swappiness参数3.2优化I/O调度器3.3调整dirty_ratio和dirty_background_ratio3.4启用大页内存（HugePages）3.5调整内核参数net.core.somaxconn四、网络性能优化4.1优化网络缓冲区4.2调整tcp_tw_rec
  • CentOS Stream 8 安装Oracle 19C (静默模式) 3301_ centosstrreamlinuxOracle19Coraclecentos数据库
    CentOSStream8安装Oracle19C(静默模式)1.提前准备工作说明:必须严格遵守用户规则去创建目录，否则会导致缺少目录权限进而影响安装！安装以下软件包最新版本(注意：如果打算使用32位客户端应用程序访问64位服务器，则还必须安装（如果可用）此表中列出的包的最新32位版本。)[root@Test2CentOSStream8~]#dnfinstallbcbinutilselfutils-
  • Docker部署常见应用之Oracle数据库 weixin_44585288 Docker数据库dockeroracle
    文章目录安装部署参考文章安装部署使用Docker安装Oracle数据库是一个相对简便的过程，可以避免在本地环境中直接安装Oracle数据库的复杂性。安装Docker环境：确保你的系统上已经安装了Docker，并且Docker服务正在运行。具体的安装方法可以根据你的操作系统查找相应的Docker安装指南。Centos安装可以参考Docker和Docker-Compose安装。获取Oracle镜像：使
  • 【oracle19c静默安装RAC】 sqlboy-yuzhenc DBAORACLEoracle数据库
    目录安装规划软件规划虚拟机规划主机信息网络规划硬盘规划ASM磁盘组Oracle规划用户组和用户软件目录规划整体数据库安装规划虚拟机准备操作系统安装yum源配置openfiler安装安装前准备配置host文件（rac1和rac2）关闭防火墙（rac1和rac2）关闭Selinux（rac1和rac2）安装依赖包（rac1和rac2）修改内核参数（rac1和rac2）配置资源限制参数（rac1和rac
  • Linux中es启动成功，windows服务器访问不了的解决方案 码代码的小仙女 笔记linuxwindowselasticsearch
    1.在Linux服务器中安装elasticsearch。在bin目录下执行./elasticsearch报错信息：org.elasticsearch.bootstrap.StartupException:java.lang.RuntimeException:cannotrunelasticsearchasrootatorg.elasticsearch.bootstrap.Elasticsearch
  • 字节后端面试面经综合分析 阿贾克斯的黎明 javajava开发语言go
    目录一、字节豆包后端一面面经解析（一）自我介绍（二）实习项目拷打（三）手撕代码（四）C++多态相关问题（五）智能指针相关问题（六）malloc相关问题（七）mmap相关问题（八）多线程相关问题（九）MySQL存储引擎相关问题（十）Redis持久化相关问题（十一）前沿知识相关问题（十二）反问环节二、字节广告后端一面面经解析（一）自我介绍（二）实习项目拷打（三）文件系统相关问题（四）LinuxIO多路
  • linux日志管理_日志系统 Guff_hys linux运维服务器eclipseide开发语言程序人生
    10.1日志系统（系统日志管理）syslog&rsyslog日志：主要用途是系统审计、监测追踪和分析统计。​Linux内核由很多子系统组成，包括网络、文件访问、内存管理等。子系统需要给用户传送一些消息，这些消息内容包括消息的来源及其重要性等。所有的子系统都要把消息送到一个可以维护的公用消息区，于是就有了syslog。​syslog是一个综合的日志记录系统，它广泛应用于各种类UNIX系统上。它的主要
  • 【在Oracle Linux 7 上安装Oracle 19c - 基于ASM存储的单实例数据库】 AllanHwang Oracleoracle数据库linux
    在OracleLinux7上安装Oracle19c-基于ASM存储的单实例数据库前言环境环境准备阶段配置主机名、网络等安装ORACLE先决条件的软件包修改系统参数安装阶段下载软件安装GRID安装ORACLEDBCA建库使用阶段ASM的启动和暂停自动启停手动启停前言记录Oracle学习过程，形成自己的知识体系。目前有部分操作还不清楚具体原理，后期随着学习的深入，逐渐完善本文档。环境系统：Oracle
  • Linux上创建SSL证书 太炀 ssllinux服务器
    创建没有密码的SSL证书如何为测试服务器创建没有密码的自签名SSL证书-贾斯汀·凯利使用工具OpenSSL基本步骤指南生成私钥通常是RSA私钥opensslgenrsa-outserver.key1024pensslgenrsa：这是OpenSSL的命令，用于生成RSA私钥。-outserver.key：这个选项告诉OpenSSL将生成的私钥保存到名为server.key的文件中。1024：这个数
  • Linux mount命令 A星空123 Linux总结linux运维服务器
    Linuxmount命令是经常会使用到的命令，它用于挂载Linux系统外的文件。一、挂载功能介绍挂载方法：mountDECEMOUNT_POINT命令使用格式：mount[-fnrsvw][-tvfstype][-ooptions]devicedirdevice：指明要挂载的设备；(1)设备文件：例如/dev/sda5(2)卷标：-L'LABEL',例如-L'MYDATA'(3)UUID,-U'U
  • linux常用基础命令_最新版 脚大江山稳 linux
    常用命令查看当前目录下个各个文件大小查看当前系统储存使用情况查看当前路径删除当前目录下所有包含".log"的文件linux开机启动jar更改自动配置文件后操作关闭自启动linux静默启动java服务查询端口被占用查看软件版本重启关机开机启动取别名清空当前行创建文件touch创建文件夹查找文件/文件名/大小查找查看文件内容cat/more删除文件或文件夹管道符|过滤grep命令echo命令输出内容重
  • 华为AP4050DN-HD使用tftp、uboot瘦转胖 Rzhidong 网络
    准备工作：centos7ios镜像，一根console线，一根网线本地pc与ap（GE0）用网线连接本地环境说明：本地电脑ip192.168.1.2centos7ip192.168.1.3apuboot设置ip192.168.1.41、本地电脑安装vm虚拟机，并安装好centos7系统（网络模式选择桥接模式，ip设置为192.168.1.3）2、centos7安装tftp服务yum-yinstal
  • ztree异步加载 3213213333332132 JavaScriptAjaxjsonWebztree
    相信新手用ztree的时候,对异步加载会有些困惑，我开始的时候也是看了API花了些时间才搞定了异步加载，在这里分享给大家。 我后台代码生成的是json格式的数据，数据大家按各自的需求生成，这里只给出前端的代码。 设置setting，这里只关注async属性的配置 var setting = { //异步加载配置
  • thirft rpc 具体调用流程 BlueSkator 中间件rpcthrift
    Thrift调用过程中，Thrift客户端和服务器之间主要用到传输层类、协议层类和处理类三个主要的核心类，这三个类的相互协作共同完成rpc的整个调用过程。在调用过程中将按照以下顺序进行协同工作：         （1）     将客户端程序调用的函数名和参数传递给协议层（TProtocol），协议
  • 异或运算推导, 交换数据 dcj3sjt126com PHP异或^
    /* * 5 0101 * 9 1010 * * 5 ^ 5 * 0101 * 0101 * ----- * 0000 * 得出第一个规律: 相同的数进行异或, 结果是0 * * 9 ^ 5 ^ 6 * 1010 * 0101 * ---- * 1111 * * 1111 * 0110 * ---- * 1001
  • 事件源对象 周华华 JavaScript
    <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/1999/xhtml&q
  • MySql配置及相关命令 g21121 mysql
            MySQL安装完毕后我们需要对它进行一些设置及性能优化，主要包括字符集设置，启动设置，连接优化，表优化，分区优化等等。           一 修改MySQL密码及用户      
  • [简单]poi删除excel 2007超链接 53873039oycg Excel
          采用解析sheet.xml方式删除超链接，缺点是要打开文件2次,代码如下:      public void removeExcel2007AllHyperLink(String filePath) throws Exception { OPCPackage ocPkg = OPCPac
  • Struts2添加 open flash chart 云端月影
    准备以下开源项目： 1. Struts 2.1.6 2. Open Flash Chart 2 Version 2 Lug Wyrm Charmer (28th, July 2009) 3. jofc2，这东西不知道是没做好还是什么意思，好像和ofc2不怎么匹配，最好下源码，有什么问题直接改。 4. log4j 用eclipse新建动态网站，取名OFC2Demo，将Struts2 l
  • spring包详解 aijuans spring
    下载的spring包中文件及各种包众多，在项目中往往只有部分是我们必须的，如果不清楚什么时候需要什么包的话，看看下面就知道了。 aspectj目录下是在Spring框架下使用aspectj的源代码和测试程序文件。Aspectj是java最早的提供AOP的应用框架。 dist 目录下是Spring 的发布包，关于发布包下面会详细进行说明。 docs&nb
  • 网站推广之seo概念 antonyup_2006 算法Web应用服务器搜索引擎Google
       持续开发一年多的b2c网站终于在08年10月23日上线了。作为开发人员的我在修改bug的同时，准备了解下网站的推广分析策略。     所谓网站推广，目的在于让尽可能多的潜在用户了解并访问网站，通过网站获得有关产品和服务等信息，为最终形成购买决策提供支持。     网站推广策略有很多，seo，email，adv
  • 单例模式,sql注入,序列 百合不是茶 单例模式序列sql注入预编译
      序列在前面写过有关的博客,也有过总结,但是今天在做一个JDBC操作数据库的相关内容时 需要使用序列创建一个自增长的字段  居然不会了,所以将序列写在本篇的前面    1,序列是一个保存数据连续的增长的一种方式; 序列的创建; CREATE SEQUENCE seq_pro 2 INCREMENT BY 1 -- 每次加几个 3
  • Mockito单元测试实例 bijian1013 单元测试mockito
    Mockito单元测试实例： public class SettingServiceTest { private List<PersonDTO> personList = new ArrayList<PersonDTO>(); @InjectMocks private SettingPojoService settin
  • 精通Oracle10编程SQL(9)使用游标 bijian1013 oracle数据库plsql
    /* *使用游标 */ --显示游标 --在显式游标中使用FETCH...INTO语句 DECLARE CURSOR emp_cursor is select ename,sal from emp where deptno=1; v_ename emp.ename%TYPE; v_sal emp.sal%TYPE; begin ope
  • 【Java语言】动态代理 bit1129 java语言
      JDK接口动态代理 JDK自带的动态代理通过动态的根据接口生成字节码(实现接口的一个具体类)的方式，为接口的实现类提供代理。被代理的对象和代理对象通过InvocationHandler建立关联   package com.tom; import com.tom.model.User; import com.tom.service.IUserService;
  • Java通信之URL通信基础 白糖_ javajdkwebservice网络协议ITeye
    java对网络通信以及提供了比较全面的jdk支持，java.net包能让程序员直接在程序中实现网络通信。 在技术日新月异的现在，我们能通过很多方式实现数据通信，比如webservice、url通信、socket通信等等，今天简单介绍下URL通信。 学习准备：建议首先学习java的IO基础知识   URL是统一资源定位器的简写，URL可以访问Internet和www，可以通过url
  • 博弈Java讲义 - Java线程同步 (1) boyitech java多线程同步锁
      在并发编程中经常会碰到多个执行线程共享资源的问题。例如多个线程同时读写文件，共用数据库连接，全局的计数器等。如果不处理好多线程之间的同步问题很容易引起状态不一致或者其他的错误。    同步不仅可以阻止一个线程看到对象处于不一致的状态，它还可以保证进入同步方法或者块的每个线程，都看到由同一锁保护的之前所有的修改结果。处理同步的关键就是要正确的识别临界条件（cri
  • java-给定字符串，删除开始和结尾处的空格，并将中间的多个连续的空格合并成一个。 bylijinnan java
    public class DeleteExtraSpace { /** * 题目：给定字符串，删除开始和结尾处的空格，并将中间的多个连续的空格合并成一个。 * 方法1.用已有的String类的trim和replaceAll方法 * 方法2.全部用正则表达式，这个我不熟 * 方法3.“重新发明轮子”，从头遍历一次 */ public static v
  • An error has occurred.See the log file错误解决！ Kai_Ge MyEclipse
    今天早上打开MyEclipse时，自动关闭！弹出An error has occurred.See the log file错误提示！ 很郁闷昨天启动和关闭还好着！！！打开几次依然报此错误，确定不是眼花了！ 打开日志文件！找到当日错误文件内容： --------------------------------------------------------------------------
  • [矿业与工业]修建一个空间矿床开采站要多少钱? comsci
           地球上的钛金属矿藏已经接近枯竭...........        我们在冥王星的一颗卫星上面发现一些具有开采价值的矿床.....        那么,现在要编制一个预算,提交给财政部门..
  • 解析Google Map Routes dai_lm google api
    为了获得从A点到B点的路劲，经常会使用Google提供的API，例如 [url] http://maps.googleapis.com/maps/api/directions/json?origin=40.7144,-74.0060&destination=47.6063,-122.3204&sensor=false [/url] 从返回的结果上，大致可以了解应该怎么走，但
  • SQL还有多少“理所应当”？ datamachine sql
    转贴存档，原帖地址：http://blog.chinaunix.net/uid-29242841-id-3968998.html、http://blog.chinaunix.net/uid-29242841-id-3971046.html！ ------------------------------------华丽的分割线--------------------------------
  • Yii使用Ajax验证时，如何设置某些字段不需要验证 dcj3sjt126com Ajaxyii
    经常像你注册页面,你可能非常希望只需要Ajax去验证用户名和Email,而不需要使用Ajax再去验证密码,默认如果你使用Yii 内置的ajax验证Form,例如: $form=$this->beginWidget('CActiveForm', array(        'id'=>'usuario-form',&
  • 使用git同步网站代码 dcj3sjt126com crontabgit
    转自:http://ued.ctrip.com/blog/?p=3646?tn=gongxinjun.com   管理一网站，最开始使用的虚拟空间，采用提供商支持的ftp上传网站文件，后换用vps，vps可以自己搭建ftp的，但是懒得搞，直接使用scp传输文件到服务器，现在需要更新文件到服务器，使用scp真的很烦。发现本人就职的公司，采用的git+rsync的方式来管理、同步代码，遂
  • sql基本操作 蕃薯耀 sqlsql基本操作sql常用操作
    sql基本操作 >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>> 蕃薯耀 2015年6月1日 17:30:33 星期一     &
  • Spring4+Hibernate4+Atomikos3.3多数据源事务管理 hanqunfeng Hibernate4
    Spring3+后不再对JTOM提供支持，所以可以改用Atomikos管理多数据源事务。Spring2.5+Hibernate3+JTOM参考：http://hanqunfeng.iteye.com/blog/1554251Atomikos官网网站：http://www.atomikos.com/   一.pom.xml <dependency> <
  • jquery中两个值得注意的方法one()和trigger()方法 jackyrong trigger
      在jquery中，有两个值得注意但容易忽视的方法，分别是one()方法和trigger()方法,这是从国内作者<<jquery权威指南》一书中看到不错的介绍 1） one方法     one方法的功能是让所选定的元素绑定一个仅触发一次的处理函数，格式为    one(type,${data},fn) &nb
  • 拿工资不仅仅是让你写代码的 lampcy 工作面试咨询
    这是我对团队每个新进员工说的第一件事情。这句话的意思是，我并不关心你是如何快速完成任务的，哪怕代码很差，只要它像救生艇通气门一样管用就行。这句话也是我最喜欢的座右铭之一。 这个说法其实很合理：我们的工作是思考客户提出的问题，然后制定解决方案。思考第一，代码第二，公司请我们的最终目的不是写代码，而是想出解决方案。 话粗理不粗。 付你薪水不是让你来思考的，也不是让你来写代码的，你的目的是交付产品
  • 架构师之对象操作----------对象的效率复制和判断是否全为空 nannan408 架构师
    1.前言。   如题。 2.代码。 (1)对象的复制，比spring的beanCopier在大并发下效率要高，利用net.sf.cglib.beans.BeanCopier Src src=new Src(); BeanCopier beanCopier = BeanCopier.create(Src.class, Des.class, false);
  • ajax 被缓存的解决方案 Rainbow702 JavaScriptjqueryAjaxcache缓存
    使用jquery的ajax来发送请求进行局部刷新画面，各位可能都做过。 今天碰到一个奇怪的现象，就是，同一个ajax请求，在chrome中，不论发送多少次，都可以发送至服务器端，而不会被缓存。但是，换成在IE下的时候，发现，同一个ajax请求，会发生被缓存的情况，只有第一次才会被发送至服务器端，之后的不会再被发送。郁闷。 解决方法如下： ① 直接使用 JQuery提供的 “cache”参数，
  • 修改date.toLocaleString()的警告 tntxia String
      我们在写程序的时候，经常要查看时间，所以我们经常会用到date.toLocaleString()，但是date.toLocaleString()是一个过时 的API，代替的方法如下：   package com.tntxia.htmlmaker.util; import java.text.SimpleDateFormat; import java.util.
  • 项目完成后的小总结 xiaomiya js总结项目
    项目完成了，突然想做个总结但是有点无从下手了。 做之前对于客户端给的接口很模式。然而定义好了格式要求就如此的愉快了。 先说说项目主要实现的功能吧 1，按键精灵 2，获取行情数据 3，各种input输入条件判断 4，发送数据（有json格式和string格式） 5，获取预警条件列表和预警结果列表， 6，排序， 7，预警结果分页获取 8，导出文件（excel，text等） 9，修