资源简介

(共41张PPT)
项目6 配置网络、防火墙与远程桌面
Linux网络操作系统项目式教程（第二版）
任务1
1
网络配置
配置网络
2
常用网络命令
1
网络配置
1
网络配置－准备工作
网络配置
设置虚拟机网络连接方式为 NAT
设置NAT虚拟网卡网络地址
1
网络配置－图形界面
网络配置
1
网络配置－网卡配置文件
网络配置
不同的网卡对应不同的配置文件
修改之后重启网络服务
[root@centos7 ~]# cd /etc/sysconfig/network-scripts/
[root@centos7 network-scripts]# vim ifcfg-ens33
BOOTPROTO=none
ONBOOT=yes
IPADDR=192.168.100.100
PREFIX=24
GATEWAY=192.168.100.2
DNS1=192.168.100.2
[root@centos7 network-scripts]# systemctl restart network / /重启网络服务
1
网络配置－nmtui
网络配置
终端窗口执行 nmtui 命令
1
网络配置－nmcli
网络配置
终端窗口执行 nmcli 命令
[root@centos7 ~]# nmcli connection show ens33 // 查看指定网络连接
connection.id: ens33
ipv4.method: manual
ipv4.dns: 192.168.100.2
ipv4.addresses: 192.168.100.100/24
ipv4.gateway: 192.168.100.2
[root@centos7 ~]# nmcli connection modify ens33 \ // 换行继续输入
> ipv4.addresses 192.168.100.200/24 \
> ipv4.dns 192.168.100.254
[root@centos7 ~]# nmcli connection up ens33
2
常用网络命令
2
最常用的测试网络连通性的工具之一
向目标主机连续发送ICMP分组，记录目标主机是否正常响应及响应时间
常用网络命令－ping
常用网络命令
[zys@centos7 ~]$ ping www..cn
PING www..cn (39.96.127.170) 56(84) bytes of data.
64 bytes from 39.96.127.170 (39.96.127.170): icmp_seq=1 ttl=128 time=30.2 ms
64 bytes from 39.96.127.170 (39.96.127.170): icmp_seq=2 ttl=128 time=28.0 ms
^C <== 按【Ctrl+C】组合键手动终止ping命令
[zys@centos7 ~]$ ping -c 3 www.moe. // 只发送3个分组
PING hcdnw101.gslb.v6.c.cdnhwc2.com (36.156.217.199) 56(84) bytes of data.
64 bytes from 36.156.217.199 (36.156.217.199): icmp_seq=1 ttl=128 time=11.9 ms
64 bytes from 36.156.217.199 (36.156.217.199): icmp_seq=2 ttl=128 time=13.5 ms
64 bytes from 36.156.217.199 (36.156.217.199): icmp_seq=3 ttl=128 time=12.6 ms
2
向目标主机发送特殊的分组，并跟踪分组从源主机到目标主机的传输路径
Windows操作系统中对应的命令是tracert
常用网络命令－traceroute
常用网络命令
[zys@centos7 ~]$ traceroute www.
traceroute to www. (36.152.44.95), 30 hops max, 60 byte packets
1 192.168.100.2 (192.168.100.2) 5.376 ms 5.288 ms 5.197 ms
2 221.178.235.218 (221.178.235.218) 4.955 ms 5.263 ms 5.632 ms
[zys@centos7 ~]$ traceroute www.
traceroute to www. (36.152.44.95), 30 hops max, 60 byte packets
1 192.168.100.2 (192.168.100.2) 5.376 ms 5.288 ms 5.197 ms
2 221.178.235.218 (221.178.235.218) 4.955 ms 5.263 ms 5.632 ms
2
一个综合的网络状态查询工具，功能较多
查看系统开放的端口、服务及路由表
常用网络命令－netstat
常用网络命令
[zys@centos7 ~]$ netstat -ant
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 0.0.0.0:22345 0.0.0.0:* LISTEN
tcp 0 0 192.168.122.1:53 0.0.0.0:* LISTEN
[zys@centos7 ～]$ netstat -r
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
default 192.168.100.2 0.0.0.0 UG 0 0 0 ens33
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 ens33
192.168.122.0 0.0.0.0 255.255.255.0 U 0 0 0 virbr0
2
查看或配置Linux中的网络设备
常用网络命令－ifconfig
常用网络命令
[zys@centos7 ~]$ ifconfig ens33 // 查看ens33网络接口的相关信息
ens33: flags=4163 mtu 1500
inet 192.168.100.100 netmask 255.255.255.0 broadcast 192.168.100.255
inet6 fe80::2c73:9d:1146:8f8b prefixlen 64 scopeid 0x20
ether 00:0c:29:5d:e9:02 txqueuelen 1000 (Ethernet)
2
验证DNS服务的正向解析和反向解析
常用网络命令－nslookup
常用网络命令
[zys@centos7 ~]# nslookup www..cn
Server: 192.168.100.2 <== DNS服务器
Address: 192.168.100.2#53
Non-authoritative answer: <== 非权威应答
Name: www..cn
Address: 39.96.127.170 <== 域名对应的IP地址
2
Linux 中最常使用的命令行下载工具
支持多种协议，支持单个或批量文件下载
支持断点续传功能
常用网络命令－wget
常用网络命令
[zys@centos7 ~]$ wget http://dangshi..cn/GB/437131/index.html
[zys@centos7 ~]$ ls -l index.html
-rw-rw-r--. 1 zys zys 10755 3月 26 21:03 index.html
任务2
配置防火墙
firewalld基本概念
1
2
firewalld安装与启停
3
firewalld基本配置
1
firewalld基本概念
1
firewalld 基本概念
支持动态更新防火墙规则
不重启即可创建、修改和删除规则
使用区域和服务来简化防火墙配置
firewalld 概述
1
firewalld 基本概念
一组预定义的规则，防火墙策略集合（或策略模板）
把网络分配到不同的区域中，并为网络及其关联的网络接口或流量源指定信任级别
在区域上定义规则并应用于进入该区域的网络流量
firewalld－区域
1
firewalld 基本概念
服务是端口和协议的组合
表示为允许外部流量访问某种服务需要配置的所有规则的集合
放行服务即相当于打开与该服务相关的端口和协议、启用数据包转发等功能
将多步操作集成到一条规则中，减少配置工作量
firewalld－服务
2
firewalld安装与启停
2
firewalld 安装与启停
功能：查看系统中当前有哪些进程，选项非常多
只能显示系统进程的静态信息
firewalld 安装与启停
[root@centos7 ~]# yum install firewalld -y // 默认已安装
[root@centos7 ~]# yum install firewall-config -y // 默认已安装
systemctl start | stop | restart | status | enable firewalld
3
firewalld基本配置
3
firewalld 基本配置
firewall-config 图形化界面
firewall-cmd 命令
firewall-offline-cmd 命令
firewalld 基本配置－三种配置方式
3
firewalld 基本配置
运行时配置：firewalld 处于运行状态时生效的配置
永久配置：firewalld 重载或重启时加载的配置
使用 --permanent 选项使更改在下次启动时仍然生效
使用 --reload 选项重载永久配置并覆盖运行时配置
firewalld 基本配置－两种配置模式
[root@centos7 ~]# firewall-cmd --add-service=http // 只修改运行时配置
[root@centos7 ~]# firewall-cmd --permanent --add-service=http // 修改永久配置
[root@centos7 ~]# firewall-cmd --reload // 重载永久配置
[root@centos7 ~]# firewall-cmd --add-service=http // 只修改运行时配置
[root@centos7 ~]# firewall-cmd --runtime-to-permanent // 提交到永久配置中
3
firewalld 基本配置
firewalld 基本配置－查看信息
[root@centos7 ~]# firewall-cmd --state // 查看运行状态
running
[root@centos7 ~] # firewall-cmd --list-all // 查看默认区域配置
public (active)
interfaces: ens33
services: ssh dhcpv6-client samba dns http ftp amanda-k5-client
[root@centos7 ~]# firewall-cmd --list-all --zone=work // 指定区域名
work
target: default
services: ssh dhcpv6-client
[root@centos7 ~]# firewall-cmd --list-services // 只查看服务信息
ssh dhcpv6-client
[root@centos7 ~]# firewall-cmd --list-services --zone=public // 组合使用
ssh dhcpv6-client http
3
firewalld 基本配置
firewalld 基本配置－基于服务的流量管理
[root@centos7 ~]# firewall-cmd --list-services // 查看当前允许服务列表
ssh dhcpv6-client
[root@centos7 ~]# firewall-cmd --permanent --add-service=http // 添加预定义服务
[root@centos7 ~]# firewall-cmd --reload // 重载防火墙的永久配置
[root@centos7 ~]# firewall-cmd --list-services
ssh dhcpv6-client http
[root@centos7 ~]# firewall-cmd --add-port=80/tcp // 放行 tcp 80 端口
[root@centos7 ~]# firewall-cmd --list-ports
80/tcp
[root@centos7 ~]# firewall-cmd --remove-port=80/tcp // 移除 tcp 80 端口
添加或移除预定义服务
添加或移除服务端口
3
firewalld 基本配置
firewalld 基本配置－基于区域的流量管理
[root@centos7 ~]# firewall-cmd --get-zones
block dmz drop external home internal public trusted work
[root@centos7 ~]# firewall-cmd --list-all-zones
block
target: %%REJECT%%
icmp-block-inversion: no
[root@centos7 ~]# firewall-cmd --list-all --zone=home
home
target: default
icmp-block-inversion: no
查看当前可用区域
查看指定区域的详细信息
3
firewalld 基本配置
firewalld 基本配置－基于区域的流量管理
[root@centos7 ~]# firewall-cmd --get-default-zone // 查看当前默认区域
public
[root@centos7 ~]# firewall-cmd --set-default-zone work // 修改默认区域
[root@centos7 ~]# firewall-cmd --get-default-zone // 再次查看当前默认区域
work
[root@centos7 ~]# firewall-cmd --get-active-zones // 查看活动区域的网络接口
public
interfaces: ens33
[root@centos7 ~]# firewall-cmd --zone=work --change-interface=ens33
[root@centos7 ~]# vim /etc/sysconfig/network-scripts/ifcfg-ens33
ZONE=work
修改默认区域
关联区域和网络接口
3
firewalld 基本配置
firewalld 基本配置－基于区域的流量管理
[root@centos7 zones]# firewall-cmd --permanent --zone=work --set-target=ACCEPT
[root@centos7 zones]# firewall-cmd --reload
[root@centos7 zones]# firewall-cmd --zone=work --list-all
work
target: ACCEPT
icmp-block-inversion: no
当数据包与区域的所有规则都不匹配时，可以使用区域的默认规则处理数据包
包括接受（ACCEPT）、拒绝（REJECT）和丢弃（DROP）
3
firewalld 基本配置
firewalld 基本配置－基于区域的流量管理
[root@centos7 ~]# firewall-cmd --zone=work --add-source=192.168.100.0/24
[root@centos7 ~]# firewall-cmd --runtime-to-permanent
[root@centos7 ~]# firewall-cmd --zone=work --remove-source=192.168.100.0/24
[root@centos7 ~]# firewall-cmd --zone=work --add-source-port=3721/tcp
[root@centos7 ~]# firewall-cmd --zone=work --remove-source-port=3721/tcp
[root@centos7 ~]# firewall-cmd --zone=internal --add-protocol=icmp
[root@centos7 ~]# firewall-cmd --zone=internal --remove-protocol=icmp
添加和删除流量源
添加和删除源端口和协议
任务3
配置远程桌面
VNC远程桌面
1
2
OpenSSH服务
1
VNC远程桌面
1
VNC 远程桌面
VNC分为两部分：VNC服务器和VNC客户端
（1）用户从VNC客户端发起远程连接请求
（2）VNC服务器要求VNC客户端提供远程连接密码
（3）VNC客户端输入密码，VNC服务器验证密码及VNC客户端的访问权限
（4）通过验证后，VNC客户端请求VNC服务器显示远程桌面环境
（5）VNC 服务器利用VNC通信协议把桌面环境传送至VNC客户端，并且允许VNC客户端控制VNC服务器的桌面环境及输入设备
VNC 工作流程
1
VNC 远程桌面
VNC服务器为每个VNC客户端分配一个桌面号，编号从1开始
VNC服务器使用的TCP端口号从5900开始，实际端口为5900+桌面号
配置 VNC 远程桌面－服务端
[root@centos7 ~]# vncserver :1
You will require a password to access your desktops.
Password:
Verify:
Would you like to enter a view-only password (y/n) n <== 输入n
A view-only password is not used
New centos7:1 (zys)' desktop is centos7:1
[zys@centos7 ~]$ netstat -an | grep 5901
tcp 0 0 0.0.0.0:5901 0.0.0.0:* LISTEN
tcp6 0 0 :::5901 :::* LISTEN
1
VNC 远程桌面
安装VNC客户端软件，如RealVNC
输入VNC服务器IP地址及桌面号、VNC密码
配置 VNC 远程桌面－客户端
2
OpenSSH 服务
2
OpenSSH 服务
SSH（Secure Shell，安全外壳）是为提高网络服务的安全性而设计
可以对数据进行加密传输，有效防止远程管理过程中的信息泄露问题
使用SSH传输的数据是经过压缩的，可以提高数据的传输速度
SSH服务由客户端和服务器两部分组成，使用两种级别的安全验证
第1种级别是基于口令的安全验证，SSH客户端只要知道服务器的账号和密码就可以登录到远程服务器
第2种级别是基于密钥的安全验证，这要求SSH客户端创建一对密钥，即公钥和私钥
OpenSSH服务概述
2
OpenSSH 服务
配置SSH端口
是否允许root用户登录
配置OpenSSH服务－服务端
[root@sshserver～]# vim /etc/ssh/sshd_config
Port 22345 <== 修改SSH服务默认的监听端口为22345
PermitRootLogin no <== 禁止root用户使用SSH服务
[root@sshserver～]# semanage port -a -t ssh_port_t -p tcp 22345
[root@sshserver ~]# systemctl restart sshd
[root@sshserver ~]# netstat -an | grep :22345
tcp 0 0 0.0.0.0:22345 0.0.0.0:* LISTEN
tcp6 0 0 :::22345 :::* LISTEN
2
OpenSSH 服务
使用 ssh 命令访问SSH服务，使用 -p 选项指定端口
配置OpenSSH服务－客户端
[zys@sshclient ~]# ssh root@192.168.100.100
ssh: connect to host 192.168.100.100 port 22: Connection refused <== 连接22号端口被拒绝
[zys@sshclient ~]$ ssh root@192.168.100.100 -p 22345
root@192.168.100.100's password: <== 输入密码
Permission denied, please try again. <== 访问被拒绝
[zys@sshclient ~]$ ssh ss@192.168.100.100 -p 22345
ss@192.168.100.100's password: <== 输入密码
[ss@sshserver ~]$ exit
[zys@sshclient ~]$
谢谢

展开更多......

收起↑