RHCE模拟题
相关配置信息
root 用户密码是：redhat
example.com 192.168.0.0/255.255.255.0
my133t.org 192.168.1.0/255.255.255.0
YUM: http://instruct.example.com/pub/rhel6/dvd
虚拟机的网络配置：
主机名：server20.example.com
IP地址：192.168.0.20
网络掩码：255.255.255.0
网关：192.168.0.254
域名服务器：192.168.0.254
配置主机的主机名，IP地址，网关，DNS
首先关闭：NetworkManager
#chkconfig NetworkManager off
#service NetworkManager stop
方法一：图形界面setup (需要重启网络服务)
#setup
#service network restart
方法二：修改配置文件ifcfg-eth0
#cd /etc/sysconfig/network-scripts/
#vim ifcfg-eth0
ONBOOT=yes
BOOTPROTO=none 或者static
IPADDR=192.168.0.120
NETMASK=255.255.255.0
GATEWAY=192.168.0.254
DNS1=192.168.0.254
#vim /etc/sysconfig/network(修改主机名)
HOSTNAME=server20.example.com
#vim /etc/hosts
192.168.0.120 server20.example.com
server network restrat
检查网络地址是否正常：
#ifconfig (查看IP地址)
#route -n (查看网关)
#dig -t NS example.com(查看DNS是否配置正确)
#dig -t A server20.example.com
配置yum:
#vim /etc/yum.repos.d/rhel6.repo
[server]
name=server
baseurl=http://instructor.example.com/pub/rhel6/dvd
enabled=1
gpgcheck=0
#yum clean all
#yum -y install lftp (测试)
1.iptables:
注：RHCE考试要求中没有关于iptables的任何要求，建议大家使用iptables 来实现对vsftpd,nfs,samba,sshd的访问控制。
#iptables -F
#iptables -X
#iptables -Z
#iptables -L -vn
#iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#iptables -A INPUT -i lo -j ACCEPT
#iptables -A INPUT -s 192.168.0.0/24 -j ACCEPT
#iptables -A INPUT -p tcp --dport 80 -j ACCEPT
#iptables -A INPUT -p tcp --dport 25 -j ACCEPT
#iptables -A INPUT -p tcp --dport 110 -j ACCEPT
#iptables -A INPUT -j REJECT
#service iptables save
#service iptables restart
#iptables -L -vn --line-numbers
2,selinux 必须运行在enforcing模式
#vim /etc/sysconfig/selinux
SELINUX=enforcing
#yum -y install setroubleshoot
#init 6 (如果原来是关闭状态必须重启)
#getenforce
3.运行IP转发
附加题：忽略所有发往本机的ping包
#vim /etc/sysctl.conf
net.ipv4.ip_forward = 1
#sysctl -p (重新导入)
附加题：
#ls /proc/sys/net/ipv4/icmp_echo_ignore_all
#vim /etc/sysctl.conf
net.ipv4.icmp_echo_ignore_all=1
#sysctl -p (重新导入)
4.配置cron访问
仅不允许用户 natasha 使用cron
附加题：仅运行harry 和root 使用cron
# vim /etc/cron.dengyw
natasha
#id natasha
#useradd natasha
#su - natasha
#crontab -e
附加题：
#vim /etc/cron.allow
harry
root
#id harry
#useradd harry
#su - harry
#crontab -e
5.配置FTP访问
匿名用户可以从/var/ftp/pub下载
example.com之外的客户端不允许访问FTP
附加题1：允许匿名用户上传文件
附加题2:natasha用户允许访问家目录，不锁定根目录，harry用户允许访问家目录，锁定根目录，tom用户不允许访问，拒绝t3gg.com域访问
附加题3：
#yum -y install vsftpd
#chkconfig vsftpd on
#server vsftpd restart
#lftp localhost
#cd pub
#get 文件
访问控制已经在iptables里做完了，不需要在这里做了
iptables -A INPUT -p tcp --dport 20：21 -s 192.168.1.0/24 -j REJECT
附加:1：
方法一：
#chmod 777 /var/ftp/pub (或：setfacl -m u:ftp:rwx /var/ftp/pub)
#vim /etc/vsftpd/vsftpd.conf
anon_upload_enable=YES
anon_mkdir_write_enable=YES
#chcon -R -t public_content_rw_t /var/ftp/pub/
#getsebool -a |grep ftp
#setsebool -P allow_ftpd_anon_write 1
#service vsftpd restart
#lftp localhost
cd pub
put /root/install.log
方法二：
#chmod 777 /var/ftp/pub (或：setfacl -m u:ftp:rwx /var/ftp/pub)
#vim /etc/vsftpd/vsftpd.conf
anon_upload_enable=YES
anon_mkdir_write_enable=YES
# getsebool -a |grep ftp
#setsebool -P allow_ftpd_full_access 1
#service vsftpd restart
#lftp localhost
cd pub
put /root/install.log
方法三：
#chmod 777 /var/ftp/pub (或：setfacl -m u:ftp:rwx /var/ftp/pub)
#vim /etc/vsftpd/vsftpd.conf
anon_upload_enable=YES
anon_mkdir_write_enable=YES
#yum provides *bin/semanage (如果没安装，查询安装包)
#yum -y install policycoreutils-python
#man -k selinux |grep ftp
#man ftpd_selinux
semanage fcontext -a -t public_content_rw_t "/var/ftp/incoming(/.*)?"
restorecon -R -v /var/ftp/incoming
修改为
#semanage fcontext -a -t public_content_rw_t "/var/ftp(/.*)?"
#restorecon -R -v /var/ftp
#getsebool -a |grep ftp
#setsebool -P allow_ftpd_anon_write on
#service vsftpd restart
#lftp localhost
cd pub
put /root/install.log
附加题1-2：
# vim /etc/vsftpd/vsftpd.conf
anon_upload_enable=YES
anon_mkdir_write_enable=YES
#Setsebool -P allow_ftpd_anon_write on
#chcon -R -t public_content_rw_t /var/ftp/pub
#chmod o+w /var/ftp/pub
#setsebool -P ftp_home_dir ON
#vim /etc/vsftpd/vsftpd.conf
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd/chroot_list
#vim /etc/vsftpd/chroot_list (只有在这个文件中的用户不能跳转)
harry
#vim /etc/vsftpd/user_list
tom
6.控制用户是否允许切换到上级目录
在默认配置下，本地用户登入FTP后可以使用cd命令切换到其他目录，这样会对系统带来安全隐患。可以通过以下三条配置文件来控制用户切换目录。
chroot_list_enable=YES/NO（NO）
设置是否启用chroot_list_file配置项指定的用户列表文件。默认值为NO。
chroot_list_file=/etc/vsftpd.chroot_list
用于指定用户列表文件，该文件用于控制哪些用户可以切换到用户家目录的上级目录。
chroot_local_user=YES/NO（NO）
用于指定用户列表文件中的用户是否允许切换到上级目录。默认值为NO。
通过搭配能实现以下几种效果：
①当chroot_list_enable=YES，chroot_local_user=YES时，在/etc/vsftpd.chroot_list文件中列出的用户，可以切换到其他目录；未在文件中列出的用户，不能切换到其他目录。
②当chroot_list_enable=YES，chroot_local_user=NO时，在/etc/vsftpd.chroot_list文件中列出的用户，不能切换到其他目录；未在文件中列出的用户，可以切换到其他目录。
③当chroot_list_enable=NO，chroot_local_user=YES时，所有的用户均不能切换到其他目录。
④当chroot_list_enable=NO，chroot_local_user=NO时，所有的用户均可以切换到其他目录。
6.配置SMTP邮件服务器能够接收来自远程主机和localhost邮件
harry必须能够从远程主机接收邮件,harry用户邮箱是、/var/spool/mail/harry
附加题：收邮件通过pop或imap
# alternatives --config mta（设置默认MTA，按数字键选择sendmail.postfix为默认mta，如果考试机没装sendmail包，可以不用这么做）
#chkconfig postfix on
#vim /etc/postfix/main.cf
myhostname=server20.example.com
mydomain=example.com
myorigin=$mydomain
inet_interfaces=all（修改侦听地址为all，注释掉inet_interface = localhost）
mydestination=$myhostname,localhost.$mydomain,localhost,$mydomain
#service postfix restart
#netstat -tulnp |grep 25
#ehco hello |mail-s 'test' harry@server20.example.com
#cat /var/spool/mail/harry
附加题：
#yum -y install dovecot
#chkconfig dovecot on
#vim /etc/dovecot/dovecot.conf
protocols= pop3 //制定支持的邮件协议
#vim /etc/dovecot/conf.d/10-auth.conf
disable_plaintext_auth=no //允许明文密码认证
#vim /etc/dovecot/conf.d/10-ssl.conf
ssl=no //禁用ssl
#vim /etc/dovecot/conf.d/10-mail.conf
mail_location=mbox:~/mail:INBOX=/var/mail/%u(定格)//设置邮件存储格式季位置
测试POP3接收邮件
[root@mail ~]# telnet localhost 110
Trying 127.0.0.1...
Connected to localhost.localdomain (127.0.0.1).
Escape character is '^]'.
+OK Dovecot ready.
user zpp002 //使用邮件用户“zpp002”登录
+OK
pass 123.com //键入密码123.com
+OK Logged in.
List //查看邮件列表
+OK 1 messages:
1 485
retr 1 //收取并查看第一封邮件内容
+OK 485 octets
7.配置邮件别名：
发送给admin的邮件由本地用户natasha接收
#vim /etc/aliases
admin: natasha
#newaliases (或postalias /etc/aliases)
8.SMB共享
共享/common目录，工作组STAFF,共享名common
仅example.com域可以访问，common必须可浏览
harry 能够读取，密码是secure
附加题1：只有harry能够访问common目录
#yum -y install samba
#mkdir /common
#useradd harry
#chkconfig smb on
#vim /etc/samba/smb.conf
WORKGROUP=STAFF
hosts allow= 127. 192.168.0.
[common]
path=/common
public=yes
browseable=yes
#vim /etc/samba/smb.conf（附加题1：配置）
workgroup=STAFF
hosts allow= 127. 192.168.0.
[common]
path=/common
public=no
browseable=yes
valid users=harry
#service smb restart
#chcon -R -t samba_share_t /common
#smbclient //192.168.0.120/common -U harry
附加题2:：配置samba服务器，netbios名称为 MYSERVER 工作组为STAFF，将/common共享，共享名为common，能被浏览到。用户harry对此共享只读，如果需要，harry用户密码为redhat,natasha用户对共享可写，natasha用户的密码为redhat,禁止t3gg.com域访问共享目录，用户可以共享家目录
#yum -y install samba
#chkconfig smb on
#chkconfig nmb on
#useradd harry
#mkdir /common
#chmod o+w /common
#vim /etc/samba/smb.conf
workgroup=STAFF
netbios name= MYSERVER
[common]
path=/common
public=yes
browseable=yes
writable=no
write list = natasha
hosts deny =192.168.1.
#service nmb restart
#service smb restart
#chcon -R -t samba_share_t /common
#getsebool -a |grep samba
#setsebool -P samba_export_all_rw on
#setsebool -P samba_enable_home_dirs on
验证：
#testparm
#smbpasswd -a harry
#smbpaswd -a natasha
#smbclient -L //192.168.0.120
#smbclient //192.168.0.120/common -U harry
#mount -t cifs -o username=natasha%redhat //192.168.0.120/common /mnt/common
9.NFS共享
共享/common目录，仅example.com域内可以访问
注：由于物理机上没有root权限接挂载虚拟机上目录/common
#ls /net/server20.example.com
#chkconfig nfs on
#chkconfig rpcbind on
#vim /etc/exports
/common 192.168.0.0/24(ro,sync)
#service nfs start
#showmount -e 192.168.0.120
#mount -t nfs 192.168.0.120:/common /mnt/common
修改exports 不用重启，重新导出
#exportfs -ra (导出所有)
#exportfs -ru (卸载所有)
#exportfs -v (显示导出的详细信息)
10.配置ssh访问
harry能够从example.com访问，my133t.org内的机器不能访问
#chkconfig sshd on
#service sshd restart
#iptables -A INPUT ! -s 192.168.0.0/24 -p tcp --dport 22 -j REJECT
11.实现一个web服务期
站点：http://server20.example.com
网页ftp://instructor.example.com/pub/rhcd/server.html
12.虚拟主机：
站点：http://www20.example.com
DocumentRoot:/var/www/virtual
网页：ftp://instructor.example.com/pub/rhce/www.html
13.配置web访问控制
在默认网站DocumentRoot目录下创建confidential的目录，
下载到ftp://instructor.example.com/pub/rhce/confidential.html该目录，命名index.html
从本地主机任何人都可以浏览confidential的内容，但其他主机都不能访问,其中harry 用户能够读写confidential的内容。
附加题：1.只有harry,natasha用户能访问这个目录的内容
2.本地主机的所有用户的能访问此目录的内容，不能更改用户的密码
#yum -y install httpd
#chkconfig httpd on
#cd
#wget ftp://instructor.example.com/pub/rhce/server.html
#wget ftp://instructor.example.com/pub/rhce/www.html
#mkdir /var/www/virtual
#cp server.html /var/www/html/index.html (用户cp能改变上下文标签，不要用mv)
#cp www.html /vr/www/virtual/index.html
#vim /etc/httpd/conf/httpd.conf
NameVirtualHost *:80
<VirtualHost *:80>
DocumentRoot /var/www/html
ServerName server20.example.com
</VirtualHost>
<VirtualHost *:80>
DocumentRoot /var/www/virtual
ServerName www20.example.com
</VirtualHost>
#service httpd restart
#elinks -dump http://server20.example.com
#elinks -dump http://www20.example.com
13题
# mkdir /var/www/html/confidential
#wget ftp://instructor.example.com/pub/rhce/confidential.html
#cp confidential.html /var/www/html/confidential/index.html
#setfacl -m u:harry:rwx /var/www/html/confidential
#vim /etc/httpd/conf/httpd.conf
<VirtualHost *:80>
DocumentRoot /var/www/html
ServerName server20.example.com
<Directory "/var/www/html/confidential">
order deny,allow
deny from all
allow from 127.0.0.1
allow from localhost
allow from 192.168.0.120
allow from server20.example.com
</Directory>
</VirtualHost>
#server httpd restart
13题：附加题1-2：
#vim /etc/httpd/conf/httpd.conf
<VirtualHost *:80>
DocumentRoot /var/www/html
ServerName server20.example.com
<Directory "/var/www/html/confidential">
authtype basic
authname "welcome to rhce web"
authuserfile /etc/httpd/.htpasswd
require valid-user
</Directory>
</VirtualHost>
附加题1：
#htpasswd -cm /etc/httpd/.htpasswd harry
#htpasswd -m /etc/httpd/.htpasswd natasha
#service httpd restart
#elinks http://server20.example.com/confidential/index.html
附加题2：
#cut -d: -f1-2 /etc/shadow > /etc/httpd/.htpasswd
#service httpd restart
#elinks http://server20.example.com/confidential/index.html
14创建脚本
脚本：/root/script.sh
运行：/root/script.sh all,输出 none
运行：/root/script.sh none, 输出 all
没有运行任何参数或者参数不是all或none, 输出：/root/script.sh all|none
#vim /root/script.sh
#!/bin/bash
case $1 in
all )
echo none
;;
none )
echo all
;;
* )
echo "/root/script.sh all|none"
;;
esac
#chmod a+x /root/script.sh
#./script.sh all
#./script.sh none
#./script.sh aaa
15.挂载iso
开机自动挂载/root/disc.iso 文件到/mnt/virtdisk目录下
#mkdir /mnt/virdisk
#vim /etc/fstab
/root/disc.iso /mnt/virtdisk iso9660 defaults,loop 0 0
#mount -a
16.配置启动参数
将系统的启动参数kernctl设为5，重启后应该可以在/proc/cmdline文件中看到
#vim /boot/grub/grub.conf
kernel ...... kernctl=5
17配置iscsi 磁盘
target 服务器：instructor.example.com
连接iscsi的设备，创建分区20M, ext4,开机自动挂载到/mnt/data
下载ftp://instructor.example.com/pub/iscsi.txt 文件到该目录
文件属主为root,权限为0644
#yum -y install iscsi*
#chkconfig iscsi on
#chkconfig iscsid on
#iscsiadm -m discovery -t st -p 192.168.0.254
#iscsiadm -m none -T targetname -p 192.168.0.254 -l (或：service iscsi restart)
#fdisk -l
#fdisk -cu /dev/sdb
n
p
+20M
w
#partx -a /dev/sdb
#cat /proc/partitions
#mkfs.ext4 /dev/sdb1
#blkid /dev/sdb1
#mkdir /mnt/data
#vim /etc/fstab
UUID=.... /mnt/data ext4 defaults,_netdev 0 0
#mount -a
最后一步开启题目所有的服务，让其开机自动启动。
#chkconfig httpd on
#chkconfig vsftpd on
#chkconfig sshd on
#chkconfig nfs on
#chkconfig rpcbind on
#chkconfig smb on
#chkconfig nmb on
#chkconfig iscsi on
#chkconfig iscsid on
#chkconfig iptables on
#chkconfig postfix on
#chkconfig dovecot on
