�??xml version="1.0" encoding="utf-8" standalone="yes"?><rss version="2.0" xmlns:dc="http://purl.org/dc/elements/1.1/" xmlns:trackback="http://madskills.com/public/xml/rss/module/trackback/" xmlns:wfw="http://wellformedweb.org/CommentAPI/" xmlns:slash="http://purl.org/rss/1.0/modules/slash/"><channel><title>&#20122;&#27954;&#22269;&#20135;&#31934;&#21697;&#26080;&#30721;&#20037;&#20037;&#19968;&#21306;&#20108;&#21306;&#44;&#20122;&#27954;&#65;&#86;&#20154;&#26080;&#30721;&#32508;&#21512;&#22312;&#32447;&#35266;&#30475;&#44;&#26085;&#26412;&#20122;&#27954;&#27431;&#32654;&#33394;&#35270;&#39057;&#22312;&#32447;&#25773;&#25918;&#13;</title><link>http://m.tkk7.com/alex/category/5489.html</link><description>不求多得,只求一�?
about java,hibernate,spring,design,database,Ror,ruby,快速开�?lt;br/&gt;&lt;br/&gt;
最�q�关心的内容关键�?RoR
</description><language>zh-cn</language><lastBuildDate>Mon, 18 Jun 2007 09:14:53 GMT</lastBuildDate><pubDate>Mon, 18 Jun 2007 09:14:53 GMT</pubDate><ttl>60</ttl><item><title>[zt]如何在Linux下增加Swap </title><link>http://m.tkk7.com/alex/archive/2007/06/18/124940.html</link><dc:creator>Alex</dc:creator><author>Alex</author><pubDate>Mon, 18 Jun 2007 06:27:00 GMT</pubDate><guid>http://m.tkk7.com/alex/archive/2007/06/18/124940.html</guid><wfw:comment>http://m.tkk7.com/alex/comments/124940.html</wfw:comment><comments>http://m.tkk7.com/alex/archive/2007/06/18/124940.html#Feedback</comments><slash:comments>0</slash:comments><wfw:commentRss>http://m.tkk7.com/alex/comments/commentRss/124940.html</wfw:commentRss><trackback:ping>http://m.tkk7.com/alex/services/trackbacks/124940.html</trackback:ping><description><![CDATA[<p>1.查看�pȝ��Swap�I�间使用</p>
<p>[root@jumper usr]# free<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; total&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; used&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; free&nbsp;&nbsp;&nbsp;&nbsp; shared&nbsp;&nbsp;&nbsp; buffers&nbsp;&nbsp;&nbsp;&nbsp; cached<br>Mem:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 513980&nbsp;&nbsp;&nbsp;&nbsp; 493640&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 20340&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp; 143808&nbsp;&nbsp;&nbsp;&nbsp; 271780<br>-/+ buffers/cache:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 78052&nbsp;&nbsp;&nbsp;&nbsp; 435928<br>Swap:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 1052248&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 21256&nbsp;&nbsp;&nbsp; 1030992</p>
<p>2.在空间合适处创徏swap文�g</p>
<p>[root@jumper usr]# mkdir swap<br>[root@jumper usr]# cd swap<br>[root@jumper swap]# dd if=/dev/zero of=swapfile bs=1024 count=10000<br>10000+0 records in<br>10000+0 records out<br>[root@jumper swap]# ls -al<br>total 10024<br>drwxr-xr-x&nbsp;&nbsp;&nbsp; 2 root&nbsp;&nbsp;&nbsp;&nbsp; root&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 4096&nbsp; 7�?28 14:58 .<br>drwxr-xr-x&nbsp;&nbsp; 19 root&nbsp;&nbsp;&nbsp;&nbsp; root&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 4096&nbsp; 7�?28 14:57 ..<br>-rw-r--r--&nbsp;&nbsp;&nbsp; 1 root&nbsp;&nbsp;&nbsp;&nbsp; root&nbsp;&nbsp;&nbsp;&nbsp; 10240000&nbsp; 7�?28 14:58 swapfile</p>
<p><br>[root@jumper swap]# mkswap swapfile<br>Setting up swapspace version 1, size = 9996 KiB</p>
<p><br>3.�Ȁ�z�swap文�g<br>[root@jumper swap]# swapon swapfile<br>[root@jumper swap]# ls -l<br>total 10016<br>-rw-r--r--&nbsp;&nbsp;&nbsp; 1 root&nbsp;&nbsp;&nbsp;&nbsp; root&nbsp;&nbsp;&nbsp;&nbsp; 10240000&nbsp; 7�?28 14:58 swapfile<br>[root@jumper swap]# free<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; total&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; used&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; free&nbsp;&nbsp;&nbsp;&nbsp; shared&nbsp;&nbsp;&nbsp; buffers&nbsp;&nbsp;&nbsp;&nbsp; cached<br>Mem:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 513980&nbsp;&nbsp;&nbsp;&nbsp; 505052&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 8928&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp; 143900&nbsp;&nbsp;&nbsp;&nbsp; 282288<br>-/+ buffers/cache:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 78864&nbsp;&nbsp;&nbsp;&nbsp; 435116<br>Swap:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 1062240&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 21256&nbsp;&nbsp;&nbsp; 1040984<br>[root@jumper swap]# &nbsp;</p>
<p>&nbsp;</p>
<p>&nbsp;</p>
<p>Swap�Q�即交换区，除了安装Linux的时候，有多����h兛_���q�它呢？其实�Q�Swap的调整对Linux服务器，特别是Web服务器的性能臛_��重要。通过调整Swap�Q�有时可以越�q�系�l�性能瓉����Q�节省系�l�升�U�费用�?nbsp; <br><br>本文内容包括�Q?nbsp; <br><br><br>Swap基本原理&nbsp; <br><br>�H�破128M&nbsp;Swap限制&nbsp; <br><br>Swap配置�Ҏ��能的媄�?nbsp; <br><br>Swap性能监视&nbsp; <br><br>有关Swap操作的系�l�命�?nbsp; <br>Swap基本原理&nbsp; <br><br>Swap的原理是一个较复杂的问题，需要大量的���幅来说明。在�q�里只作���单的介绍�Q�在以后的文章中���和大家详细讨论Swap实现的细节�?nbsp; <br><br>众所周知�Q�现代操作系�l�都实现�?虚拟内存"�q�一技术，不但在功能上�H�破了物理内存的限制�Q��ɽE�序可以操纵大于实际物理内存的空��_��更重要的是，"虚拟内存"是隔���L��个进�E�的安全保护�|�，使每个进�E�都不受其它�E�序的干扰�?nbsp; <br><br>Swap �I�间的作用可���单描�q�Cؓ�Q�当�pȝ��的物理内存不够用的时候，���需要将物理内存中的一部分�I�间释放出来�Q�以供当前运行的�E�序使用。那些被释放的空间可能来自一些很长时间没有什么操作的�E�序�Q�这些被释放的空间被临时保存到Swap�I�间中，�{�到那些�E�序要运行时�Q�再从Swap中恢复保存的数据到内存中。这��P���pȝ����L��在物理内存不够时�Q�才�q�行Swap交换�?nbsp; <br><br>计算机用户会�l�常遇这�U�现象。例如，在��用Windows�pȝ���Ӟ��可以同时�q�行多个�E�序�Q�当你切换到一个很长时间没有理会的�E�序�Ӟ��会听到硬�?哗哗"直响。这是因�����个程序的内存被那些频�J�运行的�E�序�l?偯���"了，攑ֈ�了Swap��Z��。因此，一旦此�E�序被放�|�到前端�Q�它��׃��从Swap区取回自��q��数据�Q�将其放�q�内存，然后接着�q�行�?nbsp; <br><br>需要说明一点，�q�不是所有从物理内存中交换出来的数据都会被放到Swap中（如果�q�样的话�Q�Swap��׃��不堪重负�Q�，有相当一部分数据被直接交换到文�g�pȝ��。例如，有的�E�序会打开一些文�Ӟ���Ҏ��件进行读写（其实每个�E�序都至���要打开一个文�Ӟ��那就是运行程序本�w�）�Q�当需要将�q�些�E�序的内存空间交换出��L���Q�就没有必要���文仉���分的数据攑ֈ� Swap�I�间中了�Q�而可以直接将其放到文仉���厅R��如果是��L��件操作，那么内存数据被直接释放，不需要交换出来，因�ؓ下次需要时�Q�可直接从文件系�l�恢复；如果是写文�g�Q�只需要将变化的数据保存到文�g中，以便恢复。但是那些用malloc和new函数生成的对象的数据则不同，它们需要Swap�I�间�Q�因为它们在文�g�pȝ��中没有相应的"储备"文�g�Q�因此被�U�C��"匿名"(Anonymous)内存数据。这�c�L��据还包括堆栈中的一些状态和变量数据�{�。所以说�Q�Swap �I�间�?匿名"数据的交换空间�?nbsp; <br><br>�H�破128M&nbsp;Swap限制&nbsp; <br><br>�l�常看到有些Linux�Q�国内汉化版�Q�安装手册上有这��L��说明�Q�Swap�I�间不能���过128M。�ؓ什么会有这�U�说法？在说�?128M"�q�个数字的来历之前，先给问题一个回�{�：现在�Ҏ��不存�?28M的限�Ӟ��现在的限制是2G�Q?nbsp; <br><br>Swap �I�间是分��늚��Q�每一��늚�大小和内存页的大���一��P��方便Swap�I�间和内存之间的数据交换。旧版本的Linux实现Swap�I�间�Ӟ��用Swap�I�间的第一��作为所有Swap�I�间��늚�一�?位映��?�Q�Bit&nbsp;map�Q�。这���是说第一��늚�每一位，都对应着一��Swap�I�间。如果这一位是1�Q�表�C�此��Swap可用�Q�如果是0�Q�表�C�此��|��坏块�Q�不能��用。这么说来，�W�一个Swap映射位应该是0�Q�因为，�W�一��Swap是映���页。另外，最�?0个映���位也被占用�Q�用来表�C�Swap的版本（原来的版本是Swap_space&nbsp;�Q�现在的版本是swapspace2�Q�。那么，如果说一��늚�大小为s�Q�这�U�Swap的实现方法共能管�?8&nbsp;*&nbsp;(&nbsp;s&nbsp;-&nbsp;10&nbsp;)&nbsp;-&nbsp;1"个Swap���c��对于i386�pȝ��来说s=4096�Q�则�I�间大小�׃ؓ133890048�Q�如果认�?1&nbsp;MB=2^20&nbsp;Byte的话�Q�大���正好�ؓ128M�?nbsp; <br><br>之所以这��h��实现Swap�I�间的管理，是要防止Swap�I�间中有坏块。如果系�l�检查到Swap中有坏块�Q�则在相应的位映���上标记�?�Q�表�C�此��不可用。这样在使用Swap�Ӟ��不至于用到坏块，而�ɾpȝ��产生错误�?nbsp; <br><br>现在的系�l�设计者认为：&nbsp; <br><br>1.现在���盘质量很好�Q�坏块很����?nbsp; <br><br>2.���q��有，也不多，只需要将坏块�|�列出来�Q�而不需要�ؓ每一��徏立映����?nbsp; <br><br>3.如果有很多坏块，��׃��应该���此���盘作�ؓSwap�I�间使用�?nbsp; <br><br>于是�Q�现在的Linux取消了位映射的方法，也就取消�?28M的限制。直接用地址讉K���Q�限制�ؓ2G�?nbsp; <br><br>Swap配置�Ҏ��能的媄�?nbsp; <br><br>分配太多的Swap�I�间会浪费磁盘空��_��而Swap�I�间太少�Q�则�pȝ��会发生错误�?nbsp; <br><br>如果�pȝ��的物理内存用光了�Q�系�l�就会跑得很慢，但仍能运行；如果Swap�I�间用光了，那么�pȝ����׃��发生错误。例如，Web服务器能�Ҏ��不同的请求数量衍生出多个服务�q�程�Q�或�U�程�Q�，如果Swap�I�间用完�Q�则服务�q�程无法启动�Q�通常会出�?application&nbsp;is&nbsp;out&nbsp;of&nbsp;memory"的错误，严重时会造成服务�q�程的死锁。因此Swap�I�间的分配是很重要的�?nbsp; <br><br>通常情况下，Swap�I�间应大于或�{�于物理内存的大���，最���不应小�?4M�Q�通常Swap�I�间的大���应是物理内存的2-2.5倍。但�Ҏ��不同的应用，应有不同的配�|�：如果是小的桌面系�l�，则只需要较���的Swap�I�间�Q�而大的服务器�pȝ��则视情况不同需要不同大���的Swap�I�间。特别是数据库服务器和Web服务器，随着讉K��量的增加�Q�对Swap�I�间的要求也会增加，具体配置参见各服务器产品的说明�?nbsp; <br><br>另外�Q�Swap分区的数量对性能也有很大的媄响。因为Swap交换的操作是���盘IO的操作，如果有多�?Swap交换区，Swap�I�间的分配会以轮���的方式操作于所有的Swap�Q�这样会大大均衡IO的负载，加快Swap交换的速度。如果只有一个交换区�Q�所有的交换操作会��交换区变得很忙，使系�l�大多数旉���处于�{�待状态，效率很低。用性能监视工具��׃��发现�Q�此时的CPU�q�不很忙�Q�而系�l�却慢。这说明�Q�瓶颈在 IO上，依靠提高CPU的速度是解决不了问题的�?nbsp; <br>�pȝ��性能监视&nbsp; <br><br>Swap�I�间的分配固然很重要�Q�而系�l�运行时的性能监控却更加有价倹{��通过性能监视工具�Q�可以检查系�l�的各项性能指标�Q�找到系�l�性能的瓶颈。本文只介绍一下在Solaris下和Swap相关的一些命令和用途�?nbsp; <br><br>最常用的是Vmstat命��o�Q�在大多数Unix�q�_��下都有这样一些命令）�Q�此命��o可以查看大多数性能指标�?nbsp; <br><br>例如�Q?nbsp; <br>#&nbsp;vmstat&nbsp;3&nbsp; <br>procs&nbsp;memory&nbsp;swap&nbsp;io&nbsp;system&nbsp;cpu&nbsp; <br>r&nbsp;b&nbsp;w&nbsp;swpd&nbsp;free&nbsp;buff&nbsp;cache&nbsp;si&nbsp;so&nbsp;bi&nbsp;bo&nbsp;in&nbsp;cs&nbsp;us&nbsp;sy&nbsp;id&nbsp; <br>0&nbsp;0&nbsp;0&nbsp;0&nbsp;93880&nbsp;3304&nbsp;19372&nbsp;0&nbsp;0&nbsp;10&nbsp;2&nbsp;131&nbsp;10&nbsp;0&nbsp;0&nbsp;99&nbsp; <br>0&nbsp;0&nbsp;0&nbsp;0&nbsp;93880&nbsp;3304&nbsp;19372&nbsp;0&nbsp;0&nbsp;0&nbsp;0&nbsp;109&nbsp;8&nbsp;0&nbsp;0&nbsp;100&nbsp; <br>0&nbsp;0&nbsp;0&nbsp;0&nbsp;93880&nbsp;3304&nbsp;19372&nbsp;0&nbsp;0&nbsp;0&nbsp;0&nbsp;112&nbsp;6&nbsp;0&nbsp;0&nbsp;100&nbsp; <br>............&nbsp; <br><br>命��o说明�Q?nbsp; <br>vmstat&nbsp;后面的参数指定了性能指标捕获的时间间隔�?表示每三�U�钟捕获一�ơ。第一行数据不用看�Q�没有�h��|��它仅反映开��Z��来的�q�_��性能。从�W�二行开始，反映每三�U�钟之内的系�l�性能指标。这些性能指标中和Swap有关的包括以下几��：&nbsp; <br><br><br>procs下的w&nbsp; <br>它表�C�当前（三秒钟之内）需要释攑ֆ�存、交换出�ȝ���q�程数量�?nbsp; <br><br>memory下的swpd&nbsp; <br>它表�C�Z��用的Swap�I�间的大����?nbsp; <br><br>Swap下的si�Q�so&nbsp; <br>si表示当前�Q�三�U�钟之内�Q�每�U�交换回内存�Q�Swap&nbsp;in�Q�的总量�Q�单位�ؓkbytes�Q�so表示当前�Q�三�U�钟之内�Q�每�U�交换出内存�Q�Swap&nbsp;out�Q�的总量�Q�单位�ؓkbytes�?nbsp; <br>以上的指标数量越大，表示�pȝ�����忙。这些指标所表现的系�l�繁忙程度，与系�l�具体的配置有关。系�l�管理员应该在��^时系�l�正常运行时�Q�记下这些指标的数��|��在系�l�发生问题的时候，再进行比较，��׃��很快发现问题�Q��ƈ制定本系�l�正常运行的标准指标��|��以供性能监控使用�?nbsp; <br><br>另外�Q���用Swapon-s也能���单地查看当前Swap资源的��用情��c��例如：&nbsp; <br>#&nbsp;swapon&nbsp;-s&nbsp; <br>Filename&nbsp;Type&nbsp;Size&nbsp;Used&nbsp;Priority&nbsp; <br>/dev/hda9&nbsp;partition&nbsp;361420&nbsp;0&nbsp;3&nbsp; <br><br>能够方便地看出Swap�I�间的已用和未用资源的大����?nbsp; <br><br>应该使Swap负蝲保持�?0%以下�Q�这��h��能保证系�l�的良好性能�?nbsp; <br><br>有关Swap操作的系�l�命�?nbsp; <br><br><br>增加Swap�I�间�Q�分以下几步�Q?nbsp; <br>1)成�ؓ�����用户&nbsp; <br>$su&nbsp;-&nbsp;root&nbsp; <br><br>2)创徏Swap文�g&nbsp; <br>#&nbsp;dd&nbsp;if=/dev/zero&nbsp;of=swapfile&nbsp;bs=1024&nbsp;count=65536&nbsp; <br><br>创徏一个有�q�箋�I�间的交换文件�?nbsp; <br><br>3)�Ȁ�z�Swap文�g&nbsp; <br>#/usr/sbin/swapon&nbsp;swapfile&nbsp; <br><br>swapfile指的是上一步创建的交换文�g�?nbsp;4)现在新加的Swap文�g已经起作用了�Q�但�pȝ��重新启动以后�Q��ƈ不会��C��前几步的操作。因此要�?etc/fstab文�g中记录文件的名字�Q�和Swap�c�d���Q�如�Q?nbsp; <br>/path/swapfile&nbsp;none&nbsp;Swap&nbsp;sw,pri=3&nbsp;0&nbsp;0&nbsp; <br><br>5)���验Swap文�g是否加上&nbsp; <br>/usr/sbin/swapon&nbsp;-s&nbsp; <br><br><br>删除多余的Swap�I�间�?nbsp; <br>1)成�ؓ�����用户&nbsp; <br><br>2)使用Swapoff命��o收回Swap�I�间�?nbsp; <br>#/usr/sbin/swapoff&nbsp;swapfile&nbsp; <br><br>3)�~�辑/etc/fstab文�g�Q�去掉此Swap文�g的实体�?nbsp; <br><br>4)从文件系�l�中回收此文件�?nbsp; <br>#rm&nbsp;swapfile&nbsp; <br><br>5)当然�Q�如果此Swap�I�间不是一个文�Ӟ��而是一个分区，则需创徏一个新的文件系�l�，再挂接到原来的文件系�l�上�?/p>
<img src ="http://m.tkk7.com/alex/aggbug/124940.html" width = "1" height = "1" /><br><br><div align=right><a style="text-decoration:none;" href="http://m.tkk7.com/alex/" target="_blank">Alex</a> 2007-06-18 14:27 <a href="http://m.tkk7.com/alex/archive/2007/06/18/124940.html#Feedback" target="_blank" style="text-decoration:none;">发表评论</a></div>]]></description></item><item><title>ssh timeout</title><link>http://m.tkk7.com/alex/archive/2006/09/06/68048.html</link><dc:creator>Alex</dc:creator><author>Alex</author><pubDate>Wed, 06 Sep 2006 08:07:00 GMT</pubDate><guid>http://m.tkk7.com/alex/archive/2006/09/06/68048.html</guid><wfw:comment>http://m.tkk7.com/alex/comments/68048.html</wfw:comment><comments>http://m.tkk7.com/alex/archive/2006/09/06/68048.html#Feedback</comments><slash:comments>0</slash:comments><wfw:commentRss>http://m.tkk7.com/alex/comments/commentRss/68048.html</wfw:commentRss><trackback:ping>http://m.tkk7.com/alex/services/trackbacks/68048.html</trackback:ping><description><![CDATA[how to set the SSH timeout?<br />a: set 'TMOUT=3600' in /etc/profile <br /><br />fine.<br /><img src ="http://m.tkk7.com/alex/aggbug/68048.html" width = "1" height = "1" /><br><br><div align=right><a style="text-decoration:none;" href="http://m.tkk7.com/alex/" target="_blank">Alex</a> 2006-09-06 16:07 <a href="http://m.tkk7.com/alex/archive/2006/09/06/68048.html#Feedback" target="_blank" style="text-decoration:none;">发表评论</a></div>]]></description></item><item><title>[转]OpenLDAP学习�W�记</title><link>http://m.tkk7.com/alex/archive/2006/08/10/62716.html</link><dc:creator>Alex</dc:creator><author>Alex</author><pubDate>Thu, 10 Aug 2006 01:33:00 GMT</pubDate><guid>http://m.tkk7.com/alex/archive/2006/08/10/62716.html</guid><wfw:comment>http://m.tkk7.com/alex/comments/62716.html</wfw:comment><comments>http://m.tkk7.com/alex/archive/2006/08/10/62716.html#Feedback</comments><slash:comments>0</slash:comments><wfw:commentRss>http://m.tkk7.com/alex/comments/commentRss/62716.html</wfw:commentRss><trackback:ping>http://m.tkk7.com/alex/services/trackbacks/62716.html</trackback:ping><description><![CDATA[key words : openldap ldap<br /><br /><div   id="zhbbpbt"   class="book" lang="en"><div   id="nbxxdvj"   class="titlepage"><div><div><h1 class="title"><a name="id2875167"></a></h1></div><div><div   id="hlzvhnd"   class="author"><h3 class="author"><span id="vhvhrzp"    class="firstname">整理�Q�Jims of <a  target="_top">肥肥世家</a></span></h3><div   id="zdvrljz"   class="affiliation"><div   id="vrdfzxv"   class="address"><p><tt class="email">&lt;<a href="mailto:jims.yang@gmail.com">jims.yang@gmail.com</a>&gt;</tt></p></div></div></div></div><div><p class="copyright">Copyright © 2004�Q?005�Q?本文遵从GNU 的自由文档许可证(Free Document License)的条�ƾ，�Ƣ迎转蝲、修攏V��散布�?/p></div><div><p class="pubdate">发布旉���:2004�q?4�?7�?/p></div><div><p class="pubdate">最�q�更�?2005�q?8�?8�?/p></div><div><div   id="nxrdpvd"   class="abstract"><p class="title"><b>Abstract</b></p><p>LDAP
(轻量�U�目录服务访问协议，Lightweight Directory Access
Protocol)��Z��X.500标准�Q�支持TCP/IP�Q���用简单方�ѝ��现在越来越多的�|�络应用�pȝ��都支持LDAP。OpenLDAP是LDAP的一�U?
开源实玎ͼ�本笔记基于OpenLDAP2.1.29�?/p></div></div></div><hr /></div><div   id="fhldhhf"   class="toc"><p><b>Table of Contents</b></p><dl><dt><span id="dfhtdtz"    class="chapter"><a >1. 目录服务����?/a></span></dt><dd><dl><dt><span id="hbtvrxv"    class="sect1"><a >1.1. X.500和LDAP</a></span></dt><dt><span id="lnrvpdl"    class="sect1"><a >1.2. LDAP产品</a></span></dt></dl></dd><dt><span id="ffjtndd"    class="chapter"><a >2. OpenLDAP安装�W�记</a></span></dt><dd><dl><dt><span id="bnxjvbh"    class="sect1"><a >2.1. 源码安装</a></span></dt><dt><span id="dzjtnnt"    class="sect1"><a >2.2. 数据录入</a></span></dt><dd><dl><dt><span id="zzlfhnd"    class="sect2"><a >2.2.1. 手动录入�Ҏ��</a></span></dt><dt><span id="zbnfjpf"    class="sect2"><a >2.2.2. 文�g方式</a></span></dt><dt><span id="jlnrlrz"    class="sect2"><a >2.2.3. 脚本方式</a></span></dt></dl></dd><dt><span id="tnhztrr"    class="sect1"><a >2.3. 常用命��o介绍</a></span></dt><dt><span id="tnprvtb"    class="sect1"><a >2.4. 启用sasl验证</a></span></dt><dt><span id="dfjtnlt"    class="sect1"><a >2.5. 配置服务器复�?/a></span></dt></dl></dd><dt><span id="vxjdvdt"    class="chapter"><a >3. ���理工具</a></span></dt><dd><dl><dt><span id="vfrvflj"    class="sect1"><a >3.1. phpldapadmin</a></span></dt><dt><span id="nnptlrr"    class="sect1"><a >3.2. gq</a></span></dt><dt><span id="rrvfjhf"    class="sect1"><a >3.3. CPU</a></span></dt><dt><span id="fhlrxxn"    class="sect1"><a >3.4. JXplore</a></span></dt><dt><span id="tdxzlrr"    class="sect1"><a >3.5. LAM</a></span></dt></dl></dd><dt><span id="lvfhbjz"    class="chapter"><a >4. HowTo</a></span></dt><dd><dl><dt><span id="xhjvxdd"    class="sect1"><a >4.1. ���止整个服务器的匿名讉K��</a></span></dt></dl></dd></dl></div><div   id="xhbnpnt"   class="chapter" lang="en"><div   id="zjlxhfn"   class="titlepage"><div><div><h2 class="title"><a name="id2809654"></a>Chapter 1. 目录服务����?/h2></div></div></div><div   id="hjtvxnf"   class="toc"><p><b>Table of Contents</b></p><dl><dt><span id="rzlfpnf"    class="sect1"><a >1.1. X.500和LDAP</a></span></dt><dt><span id="tlvrrpp"    class="sect1"><a >1.2. LDAP产品</a></span></dt></dl></div><p>�?
录是一个�ؓ查询、浏览和搜烦而优化的专业分布式数据库�Q�它成树状结构组�l�数据，���好象Linux/Unix�pȝ��中的文�g目录一栗���目录数据库和关�p�L��据库
不同�Q�它有优异的��L��能�Q�但写性能差，�q�且没有事务处理、回滚等复杂功能�Q�不适于存储修改频繁的数据。所以目录天生是用来查询的，���好象它的名字一栗���目
录服务是��q��录数据库和一套访问协议组成的�pȝ��。类��g��下的信息适合储存在目录中�Q?/p><div   id="bnpzjrz"   class="itemizedlist"><ul type="disc"><li><p>企业员工和企业客户之�c�M�h员信息；</p></li><li><p>公用证书和安全密钥；</p></li><li><p>邮�g地址、网址、IP�{�电脑信息；</p></li><li><p>电脑配置信息�?/p></li><li><p>...</p></li></ul></div><div   id="tfzjttr"   class="sect1" lang="en"><div   id="ndrtntz"   class="titlepage"><div><div><h2 class="title" style="clear: both;"><a name="id2809734"></a>1.1. X.500和LDAP</h2></div></div></div><p>现在国际上的目录服务标准有两个，一个是较早的X.500标准�Q�一个是较新的LDAP标准�?/p><div   id="xjvnrxv"   class="itemizedlist"><ul type="disc"><li><p>X.500是一个协议族�Q�由一�p�d��的概念和协议�l�成�Q�包括：</p><div   id="phvfjff"   class="itemizedlist"><ul type="circle"><li><p>X.501是模型定义，定义目录服务的基本模型和概念�Q?/p></li><li><p>X.509是认证框�Ӟ��定义如何处理目录服务中客户和服务器认证；</p></li><li><p>X.511是抽象服务定义，定义X.500提供的功能性服务；</p></li><li><p>X.518是分布式操作�q�程定义�Q�定义如何跨�q�_��处理目录服务�Q?/p></li><li><p>X.519
是协议规范，定义了X.500协议�Q�包括DAP(Directory Access Protocol�Q�目录访问协�?、DSP(Directory
System Protocol�Q�目录系�l�协�?、DOP(Directory Operator
Protocol�Q�目录操作绑定协�?、DISP(Directory Information Shadowing
Protocol�Q�目录信息阴影协�?)�Q?/p></li><li><p>X.520定义属性类型要求；</p></li><li><p>X.521定义对象�c�d���Q?/p></li><li><p>X.525定义如果在目录服务器间复制内宏V�?/p></li></ul></div><p>X.500标准中定义了很多内容�Q�包括：</p><div   id="jtfrrzh"   class="itemizedlist"><ul type="circle"><li><p>定义了信息模型，���定目录中信息的格式和字�W�集�Q�如何在��中表示目录信息(定义对象�c�R��属性等模式)�Q?/p></li><li><p>定义命名�I�间�Q�确定对信息�q�行的组�l�和引用�Q�如何组�l�和命名��?目录信息树DIT和层�ơ命名模型；</p></li><li><p>定义功能模型�Q�确定可以在信息上执行的操作�Q?/p></li><li><p>定义认证框架�Q�保证目录中信息的安全，如何实现目录中信息的授权保护-讉K��控制模型�Q?/p></li><li><p>定义分布操作模型�Q�确定数据如何分布和如何对分布数据执行操作，如何���全局目录树划分�ؓ���理域，以便���理�?/p></li><li><p>定义客户端与服务器之间的通信的各�U�协议�?/p></li></ul></div><p>�׃��X.500较复杂，且需严格�늅�OSI七层协议模型。造成应用开发较困难。所以开发了LDAP�Q�以便在INTERNET上��用�?/p></li><li><p>LDAP协议�?993�q�获批准�Q���生LDAPv1版，1997�q�发布最新的LDAPv3版，该版本是LDAP协议发展的一个里�E�碑�Q�它作�ؓX.500的简化版提供了很多自有的�Ҏ��，使LDAP功能更�ؓ完备�Q�具有更强大的生命力�?/p><p>LDAP也是一个协议族�Q�包含以下内容：</p><div   id="dzfprhf"   class="itemizedlist"><ul type="circle"><li><p>RFC 2251--LDAPv3核心协议�Q�定义了LDAPv3协议的基本模型和基本操作�Q?/p></li><li><p>RFC 2252--定义LDAPv3基本数据模式(Schema)(包括语法、匹配规则、属性类型和对象�c?以及标准的系�l�数据模式；</p></li><li><p>RFC 2253--定义LDAPv3中的分辩�?DN)表达式；</p></li><li><p>RFC 2254--定义了LDAPv3中的�q���o表达式；</p></li><li><p>RFC 2255--定义LDAPv3�l�一资源地址的格式；</p></li><li><p>RFC 2256--定义LDAPv3中��用X.500的Schema列表�Q?/p></li><li><p>RFC 2829--定义了LDAPv3中的认证方式�Q?/p></li><li><p>RFC 2830--定义了如何通过扩展使用TLS服务�Q?/p></li><li><p>RFC 1823--定义了C的LDAP客户端API开发接口；</p></li><li><p>RFC 2847--定义了LDAP数据导入、导出文件接口LDIF�?/p></li></ul></div><p>�q�些协议定义了LDAP的内容，包括�Q?/p><div   id="nptnpxf"   class="itemizedlist"><ul type="circle"><li><p>定义了一个信息模型，���定了LDAP目录中信息的格式和字�W�集�Q�如何表�C�目录信�?定义对象�c�R��属性、匹配规则和语法�{�模�?�Q?/p></li><li><p>定义了命名空��_�����定信息的组�l�方�?-目录树DIT�Q�以DN和RDN为基���的命名方式，以及LDAP信息的Internet表示方式�Q?/p></li><li><p>定义了功能模型，���定在可以在信息上执行的操作及API�?/p></li><li><p>定义了安全框�Ӟ��保证目录中信息的安全�Q�定义匿名、用户名/密码、SASL�{�多�U�认证方式，以及与TLS�l�合的通讯保护框架�Q?/p></li><li><p>定义分布式操作模型，��Z��指引方式的分布式操作框架�Q?/p></li><li><p>定义了LDAP扩展框架�?/p></li></ul></div></li></ul></div></div><div   id="blnpzhx"   class="sect1" lang="en"><div   id="xpjlflt"   class="titlepage"><div><div><h2 class="title" style="clear: both;"><a name="id2810057"></a>1.2. LDAP产品</h2></div></div></div><p>�?
在市��Z��有关LDAP的��品已有很多，各大软�g公司都在他们的��品中集成了LDAP服务�Q�如Microsoft的ActiveDirectory�?
Lotus的Domino
Directory、IBM的WebSphere中也集成了LDAP服务。LDAP的开源实现是OpenLDAP�Q�它比商业��品一点也不差�Q�而且源码开
放�?/p></div></div><div   id="ltnzbhx"   class="chapter" lang="en"><div   id="rtdprpx"   class="titlepage"><div><div><h2 class="title"><a name="id2810083"></a>Chapter 2. OpenLDAP安装�W�记</h2></div></div></div><div   id="tdxptrf"   class="toc"><p><b>Table of Contents</b></p><dl><dt><span id="rbpjbrx"    class="sect1"><a >2.1. 源码安装</a></span></dt><dt><span id="vprtndt"    class="sect1"><a >2.2. 数据录入</a></span></dt><dd><dl><dt><span id="jjfhrhp"    class="sect2"><a >2.2.1. 手动录入�Ҏ��</a></span></dt><dt><span id="vxhjdjj"    class="sect2"><a >2.2.2. 文�g方式</a></span></dt><dt><span id="hrdhrpn"    class="sect2"><a >2.2.3. 脚本方式</a></span></dt></dl></dd><dt><span id="vnhttlb"    class="sect1"><a >2.3. 常用命��o介绍</a></span></dt><dt><span id="frbfffl"    class="sect1"><a >2.4. 启用sasl验证</a></span></dt><dt><span id="jjdfpxf"    class="sect1"><a >2.5. 配置服务器复�?/a></span></dt></dl></div><div   id="jrvvhfd"   class="sect1" lang="en"><div   id="hlrbfdb"   class="titlepage"><div><div><h2 class="title" style="clear: both;"><a name="id2810091"></a>2.1. 源码安装</h2></div></div></div><p>我的安装�Ҏ��是以源码�~�译的方式进行的�Q�以root用户�q�行安装。安装所需软�g如下�Q?/p><div   id="blvhzpf"   class="itemizedlist"><ul type="disc"><li><p><a  target="_top">openldap-2.1.29</a></p></li><li><p><a  target="_top">Berkeley DB 4.2.52</a></p></li></ul></div><p>具体的安装步骤如下：</p><div   id="fxhdftt"   class="orderedlist"><ol type="1"><li><p>�׃��openldap需要Berkeley DB来存放数据，所以需先安装Berkeley DB 4.2.52�Q�可到它的网站下载，�|�址见上面。运行下面的命��o解压�Q?/p><pre class="screen"># tar -zxvf db-4.2.52.tar.gz<br /></pre><p>解完压后�Q�会生成一个db-4.2.52目录,�q�行该目录下的build_unix目录。执行以下命令进行配�|�安装�?/p><pre class="screen"># ../dist/configure<br /># make<br /># make install<br /></pre><p>也是按linux源码安装的三步曲完成�Q�没有什么好说的了。该软�g默认是安装在/usr/local/BerkeleyDB.4.2�?
录下。安装完成后�Q�要�?usr/local/BerkeleyDB.4.2/lib的库路径加到/etc/ld.so.conf文�g内，��d��完成后执�?
一�ơldconfig�Q���配置文�g生效。这��L��译openldap时才能找到相应的库文件。这栯���料库���安装完成了�Q�接下来可以安装openldap了�?
ld.so.conf是什么东西？它就是系�l�动态链接库的配�|�文件。此文�g�?存放着可被LINUX�׃�n的动态链接库所在目录的名字(�pȝ��目录/lib,
/usr/lib除外)�Q�各个目录名间以�I�白字符(�I�格�Q�换行等)或冒��h��逗号分隔。一般的LINUX发行版中�Q�此文�g均含一个共享目�?
/usr/X11R6/lib�Q��ؓX window�H�口�pȝ��的动态链接库所在的目录�?
ldconfig是它的管理命令，具体操作�Ҏ��可查询man手册�Q�这里就不细讲了�?/p></li><li><p>到openldap官方�|�站下蝲最�?
的稳定版源码�Q��ƈ解压。查看INSTALLT
和README文档�Q�这个很重要�Q�因为安装方法和一些注意事��w��在里面有介绍。认真弄明白文档内容能节省你不少的安装调试时间。这也是开源��Y件的一个特
点，�l�用��h��供了最大的灉|��性和可配�|�性。但也增加了�pȝ��安装配置的难度，需要有相关的文档配�|�说明和指导。在官方�|�站上还有详�l�的帮助文�g�Q�在整个�pȝ��
配置中需要经常查询�?/p><pre class="screen"># tar -zxvf openldap-stable-20040329.tgz<br /></pre><p>解压完成后，会生成一个openldap-2.1.29目录。进行该目录�Q�执行以下命令进行配�|�安装�?/p><pre class="screen"># env CPPFLAGS="-I/usr/local/BerkeleyDB.4.2/include" <br />LDFLAGS="-L/usr/local/BerkeleyDB.4.2/lib" ./configure --prefix=/usr/local/openldap <br />--enable-ldbm <br /></pre><p>注意以上配置语句�Q�要讄���资料库的include和lib路径�Q�否则在配置到资料库相关内容时会提示Berkeley DB版本不兼容，�q�中断配�|�。如果没�?-enable-ldbm选项�Q�在make test时会提示ldbm找不到。�ؓ了减���出错，�q�是加上为好�?/p><pre class="screen">#make depens<br />#make<br />#make test<br /></pre><p>在make test阶段要花费较长时间进行测试，好像�?6��吧。你可以放松一下，上上�|�，聊聊天，听听歌，呵呵�Q�开玩笑了，�q�个旉���应该是最紧张的了。成与不成就看这下的了，如果没问题就可安装了�?/p><pre class="screen">#make install<br /></pre><p>通过配置命��o可以看出�Q�我们把openldap安装�?usr/local/openldap目录下。徏议以源码安装的��Y仉���攑ֈ�独立的目录下�Q�不要放到��Y仉���认的目录。好处是方便���理和控�Ӟ��所有文件在�l�一的目录下�Q�卸载��Y件只要删除整个目录就可以了�?/p></li><li><p>�?
装完相关软�g后就可以着手配�|�了。Berkeley DB资料库没什么好配置的。主要是配置openldap
服务。配�|�文件在软�g的安装目录的etc/openldap下，有四个文�Ӟ��主要的是slapd.conf and
ldap.conf�Q�其它两个是backup文�g。首先，我们先来配置slapd.conf文档。系�l�默认的slapd.conf文�g如下�Q?/p><pre class="screen"># $OpenLDAP: pkg/ldap/servers/slapd/slapd.conf,v 1.23.2.8 2003/05/24 23:19:14 kurt Exp $<br /># <br /># See slapd.conf(5) for details on configuration options.<br /># This file should NOT be world readable. <br /># <br />include      /usr/local/openldap/etc/openldap/schema/core.schema  <br />#讄���schema配置文档包含<br /><br /># Define global ACLs to disable default read access.<br /><br /># Do not enable referrals until AFTER you have a working directory<br /># service AND an understanding of referrals.<br />#referral       ldap://root.openldap.org<br /><br />pidfile         /usr/local/openldap/var/slapd.pid <br />#讄���pid和args文档位置<br />argsfile        /usr/local/openldap/var/slapd.args<br /><br /># Load dynamic backend modules:<br /># modulepath    /usr/local/openldap/libexec/openldap<br /># moduleload    back_bdb.la <br /># moduleload    back_ldap.la<br /># moduleload    back_ldbm.la <br /># moduleload    back_passwd.la<br /># moduleload    back_shell.la<br /><br /># Sample security restrictions <br />#       Require integrity protection (prevent hijacking)<br />#       Require 112-bit (3DES or better) encryption for updates<br />#       Require 63-bit encryption for simple bind<br /># security ssf=1 update_ssf=112 simple_bind=64<br /><br /># Sample access control policy: <br />#       Root DSE: allow anyone to read it<br />#       Subschema (sub)entry DSE: allow anyone to read it<br />#       Other DSEs: <br />#       Subschema (sub)entry DSE: allow anyone to read it<br />#       Other DSEs:<br />#               Allow self write access<br />#               Allow authenticated users read access<br />#               Allow anonymous users to authenticate<br />#       Directives needed to implement policy:<br /># access to dn.base="" by * read<br /># access to dn.base="cn=Subschema" by * read<br /># access to *<br />#       by self write<br />#       by users read<br />#       by anonymous auth<br />#<br /># if no access controls are present, the default policy is:<br />#       Allow read by all<br />#<br /># rootdn can always write!<br /><br />#######################################################################<br /># ldbm database definitions<br />#######################################################################<br /><br />database        bdb                                <br />#讄���使用的资料库�Q�也可用lbdm�?br />suffix          "dc=my-domain,dc=com"              <br />#讄���目录后缀<br />rootdn          "cn=Manager,dc=my-domain,dc=com"   <br />#讄���目录���理�?br /># Cleartext passwords, especially for the rootdn, should<br /># be avoid.  See slappasswd(8) and slapd.conf(5) for details.<br /># Use of strong authentication encouraged.<br />rootpw          secret                             <br />#讄������理密码�Q�这里用了明文的“secret”密码。这栯����|�不安全�Q�需使用加密的密码，下面会讲到如何设�|�加密密码�?br /># The database directory MUST exist prior to running slapd AND <br /># should only be accessible by the slapd and slap tools.<br /># Mode 700 recommended.<br />directory       /usr/local/openldap/var/openldap-data  <br />#讄���资料库�\�?br /># Indices to maintain<br />index   objectClass     eq                        <br />#讄���目录��烦�?br /></pre><p>要服务器正常动作�Q�要修改一些始初参数和讄����Q�修改后的配�|�文档如下：</p><pre class="screen"># $OpenLDAP: pkg/ldap/servers/slapd/slapd.conf,v 1.23.2.8 2003/05/24 23:19:14 kurt Exp $<br />#<br /># See slapd.conf(5) for details on configuration options.<br /># This file should NOT be world readable.<br />#<br />#��Z��有效使用目录服务�Q�包含相关的文�g。注意，在包含文件时是要按一定顺序的�Q�因�?br />#文�g里的属性存在依赖关�p�R��如果顺序不对，服务器启动不了，文档间的依赖关系在文�?br />#中都有说明，请仔�l�查看一下。如果懒得看也可以按我的��序�?br />include         /usr/local/openldap/etc/openldap/schema/core.schema<br />include         /usr/local/openldap/etc/openldap/schema/corba.schema<br />include         /usr/local/openldap/etc/openldap/schema/cosine.schema<br />include         /usr/local/openldap/etc/openldap/schema/inetorgperson.schema    <br />include         /usr/local/openldap/etc/openldap/schema/misc.schema             <br />include         /usr/local/openldap/etc/openldap/schema/openldap.schema<br />include         /usr/local/openldap/etc/openldap/schema/nis.schema<br />include         /usr/local/openldap/etc/openldap/schema/samba.schema<br /># Define global ACLs to disable default read access.<br /><br /># Do not enable referrals until AFTER you have a working directory<br /># service AND an understanding of referrals.<br />#referral       ldap://root.openldap.org<br /><br />pidfile         /usr/local/openldap/var/slapd.pid<br />argsfile        /usr/local/openldap/var/slapd.args<br /><br />loglevel 1                       <br />#增加了日志功能，需修改syslog配置文�g�Q�在文�g中增加一��：local4.* /var/log/ldap.log日志�U�别定义可查相官方网站的文档�?br />#1�U�记录的信息很多�Q�可用于调试�?br /># Load dynamic backend modules:<br /># modulepath    /usr/local/openldap/libexec/openldap<br /># moduleload    back_bdb.la<br /># moduleload    back_ldap.la<br /># moduleload    back_ldbm.la<br /># moduleload    back_passwd.la<br /># moduleload    back_shell.la<br /><br /># Sample security restrictions<br />#       Require integrity protection (prevent hijacking)<br />#       Require 112-bit (3DES or better) encryption for updates<br />#       Require 63-bit encryption for simple bind<br /># security ssf=1 update_ssf=112 simple_bind=64<br /><br /># Sample access control policy:<br />#       Root DSE: allow anyone to read it<br />#       Subschema (sub)entry DSE: allow anyone to read it<br />#       Other DSEs:<br />#               Allow self write access<br />#               Allow authenticated users read access<br />#               Allow anonymous users to authenticate<br />#       Directives needed to implement policy:<br /># access to dn.base="" by * read<br /># access to dn.base="cn=Subschema" by * read<br /># access to *<br />#       by self write<br />#       by users read<br />#       by anonymous auth<br />#<br /># if no access controls are present, the default policy is:<br />#       Allow read by all<br />#<br /># rootdn can always write!<br /><br />#######################################################################<br /># ldbm database definitions<br />#######################################################################<br /><br />database        bdb<br />suffix          "dc=it,dc=com"<br />#�Ҏ��你自已的目录后缀�Q?br />rootdn          "cn=root,dc=it,dc=com"<br />#讄���root为管理员�Q�与linux的root没有什么关�p�R�?br /># Cleartext passwords, especially for the rootdn, should<br /># be avoid.  See slappasswd(8) and slapd.conf(5) for details.<br /># Use of strong authentication encouraged.<br />rootpw          {MD5}mjkiuPt0wXhpxxkdiOOO+0000000AKq0by<br />#讄���root密码�Q�用MD5加密。密码串用slappasswd -h {MD5}指��o生成<br /># The database directory MUST exist prior to running slapd AND <br /># should only be accessible by the slapd and slap tools.<br /># Mode 700 recommended.<br />directory       /usr/local/openldap/var/openldap-data    <br /># Indices to maintain<br />index   objectClass     eq<br />#�q�里可根据你的需要设�|�相关烦引，以加快查询速度。具体内容可查询官方�|�站���理手册�?br /><br />#ACL configure以下内容定义讉K��控制<br />access to  attr=userPassworduserPassword<br />#只能��p��已修改，有效验证用户查询�?br />        by self write<br />        by anonymous auth<br />access to attr=mail<br />        by dn="cn=root,dc=it,dc=tigerhead" writemail<br />#只能��p��已修改，有效验证用户查询�?br />        by self write<br />        by anonymous auth<br />access to dn=".*,dc=it,dc=tigerhead"<br />#允许所有�h查询没受控制讉K��限制的信息�?br />        by self write<br />        by * read<br /></pre><p>到现在�ؓ止，服务器基本就配置完成了，可以启动了，服务器程序是位于安装目录的libexec下的slapd�E�序。注意，不是
sldap哦。ok�Q�到现在为止�Q�服务器基本���配�|�完成了�Q�可以启动了�Q�服务器�E�序是位于安装目录的libexec下的slapd�E�序。注意，不是
sldap哦。启动服务器执行以下命��o�Q?/p><pre class="screen"># ./slapd<br /></pre><p>如果没有提示什么出错信息，直接�q�回shell状态，���p��明服务器正常启动了，你可以查询日志或用ps -aux查看。或用以下命令查询服务器:</p><pre class="screen">ldapsearch -x -b '' -s base '(objectclass=*)' namingContexts<br /></pre><p>如果命��o执行成功�Q�返回一些信息，则说明服务器正常�q�行了。如果启动不成功�Q�它会提�C�Z��些出错信息，多数是slapd.conf配置出错。回头仔�l�核查一下配�|�文档�?/p></li><li><p>客户端配�|�文档是ldap.conf。该文档相当���单，其实不用配置也能正常操作�?/p><pre class="screen"># $OpenLDAP: pkg/ldap/libraries/libldap/ldap.conf,v 1.9 2000/09/04 19:57:01 kurt Exp $<br />#<br /># LDAP Defaults<br />#<br /><br /># See ldap.conf(5) for details<br /># This file should be world readable but not world writable.<br /><br />BASE    dc=it, dc=com讄���目录��L��<br />#URI    ldap://ldap.example.com ldap://ldap-master.example.com:666<br /><br />#SIZELIMIT      12<br />#TIMELIMIT      15<br />#DEREF          never<br /></pre></li></ol></div></div><div   id="vzlnxdt"   class="sect1" lang="en"><div   id="tdhjtjb"   class="titlepage"><div><div><h2 class="title" style="clear: both;"><a name="id2810479"></a>2.2. 数据录入</h2></div></div></div><p>�?
务器正常�q�作后，���可以录入信息了。信息的录入有三�U�方法，一�U�是手工录入�Q�一�U�是.ldif文�g格式录入�Q�一�U�是脚本自动录入。我们先从最基础的手工录
入方式开始介�l�，了解录入信息的格式。明白了手工录入的格式，其它两种方式都很�Ҏ��明白。信息录入用到ldapadd�q�个�E�序。可在安装目录的bin目录
下找到�?/p><div   id="prvxphf"   class="sect2" lang="en"><div   id="dlpzlrz"   class="titlepage"><div><div><h3 class="title"><a name="id2810506"></a>2.2.1. 手动录入�Ҏ��</h3></div></div></div><div   id="vxhtvlr"   class="itemizedlist"><ul type="disc"><li><p>�W�一步是要徏立DN�Q?/p><pre class="screen"># ldapadd -x -D 'cn=root,dc=it,dc=com' -W<br />dn: dc=it,dc=com<br />objectClass: dcObject<br />objectClass: organization<br />dc: it<br />o: Corporation<br />description: d Corporation<br />注意�Q�如果你用复�?�_�脓功能把以上内�Ҏ��贝过去，一定要注意每行后面不要有空��|��������q�是手工输入�Q�按Ctrl+d存盘�?br /></pre></li><li><p>�W�二步是建立RDN:</p><pre class="screen"># ldapadd -x -D 'cn=root,dc=it,dc=com' -W        <br />#-x表示用简单验证，-D表示指定目录�Q?W表示弹出密码输入提示<br /></pre><p>输入密码�Q�这里的密码是在配置文�g中rootpw��设�|�的密码�Q�不是操作系�l�中root用户的密码。验证通过后就可输入以下内容：</p><pre class="screen">dn: uid=qq,dc=it,dc=com<br />objectClass: person<br />objectClass: organizationalPerson<br />objectClass: inetOrgPerson<br />uid: qq<br />cn: qq<br />sn: qq<br />telephoneNumber: 138888888<br />description: openldap test<br />telexNumber: tex-8888888<br />street: my street<br />postOfficeBox: postofficebox<br />displayName: qqdisplay<br />homePhone: home1111111<br />mobile: mobile99999<br />mail:qq@qq.com<br /></pre><p>输入完所有信息后�Q�按Ctrl+d�l�束存盘。如果出现出错信息，��h��一下对象类和属性的对应关系有没有错或输入失误。初学者就�Ҏ��出错
的地�Ҏ��对象�c�d��属性的对应关系没有处理好。对象类和属性是在schema文档中定义的。它们之间的关系是这��L���Q�对象类中有些属性是必选的�Q�有些属性是
可选的。录入信息的属性必���d��对象�c�M��有定义才能用�?/p></li></ul></div><p>输入以下命��o可查询到刚才输入的信息�?/p><pre class="screen"># ldapsearch -x -b 'dc=it,dc=com'            <br />-b选项是设�|�目录�v点，如果讄���了客��L��的BASE配置参数�Q�该��可不用�?br /></pre><p>如果按以上配�|�文件设�|�了acl�Q�用上面的查询命令是查询不到受保护的内容的。如上面的userPassword and mail。要查询到这些受限内容，需要通过验证才可以：</p><pre class="screen"># ldapsearch -x -LLL -h it.com -b 'dc=it,dc=com' -D 'uid=qq,dc=it,dc=com' -W 'uid=qq'<br />接着提示输入密码。输入userPassword的密码回车，所有信息就都出来了�?br /></pre></div><div   id="xhtlffv"   class="sect2" lang="en"><div   id="fhjtxld"   class="titlepage"><div><div><h3 class="title"><a name="id2810743"></a>2.2.2. 文�g方式</h3></div></div></div><p>.ldif文�g方式也就是把以上手工输入的内容先写入一�?ldif文�g中，然后�Q�用ldapadd命��o�?f参数导入�?/p><pre class="screen"># ldapadd -x -D "cn=root,dc=it,dc=com" -W -f test.ldif<br /></pre><p>一个完整的global.ldif文�g例子�Q?/p><pre class="screen">dn: dc=info, dc=net<br />objectClass: top<br />objectClass: organization<br />o: info.net<br /><br />dn: ou=People, dc=info, dc=net<br />objectClass: top<br />objectClass: organizationalUnit<br />ou: People<br />description: User Info<br /><br />dn: cn=Admin, dc=info, dc=net<br />objectClass: top<br />objectClass: person<br />objectClass: organizationalPerson<br />cn: Admin<br />sn: Admin<br />userPassword: Admin<br />description: Administrator for info.net<br /><br />dn: id=1, ou=People, dc=info, dc=net<br />objectclass: top<br />objectclass: InfoPerson<br />id: 1<br />username: 张三<br />tel:021-63138990<br />card_id:ABC001<br /></pre><p>我们也可用slapadd命��o来导入数据。该命��o可以导入包含一些系�l�信息的ldif文�g�Q�如�Q?/p><pre class="screen">dn: dc=it,dc=com<br />objectClass: top<br />objectClass: dcObject<br />objectClass: organization<br />dc: it<br />structuralObjectClass: organization<br />entryUUID: d97b06da-d77e-1028-9866-d4ec7ac00d12<br />creatorsName: cn=anonymous            #�pȝ��信息<br />createTimestamp: 20041201005115Z      #�pȝ��信息<br />o:: 5bm/5bee5biC6JmO5aS055S15rGg6ZuG5Zui5pyJ6ZmQ5YWs5Y+4<br />userPassword:: e01ENX14TXBDT0tDNUk0SU56RkNhYjNXRW13PT0=<br />entryCSN: 2004120603:50:08Z#0x0001#0#0000     #�pȝ��信息<br />modifiersName: cn=admin,dc=it,dc=com          #�pȝ��信息<br />modifyTimestamp: 20041206035008Z              #�pȝ��信息<br /></pre><div   id="vptvndb"   class="note" style="margin-left: 0.5in; margin-right: 0.5in;"><table summary="Note" border="0"><tbody><tr><td rowspan="2" align="center" valign="top" width="25"><img alt="[Note]" src="http://www.ringkee.com/note/opensource/images/note.png" /></td><th align="left"><br /></th></tr><tr><td colspan="2" align="left" valign="top">再次提醒�Q�注意每行后面不要留有空根{�?/td></tr></tbody></table></div></div><div   id="dfhldbr"   class="sect2" lang="en"><div   id="nlrlxvt"   class="titlepage"><div><div><h3 class="title"><a name="id2810843"></a>2.2.3. 脚本方式</h3></div></div></div><p>脚本录入方式需要自已编写脚本，或到�|�上下蝲。有一个用PHP写的LDAP���理工具不错�Q�叫phpLDAPadmin。可以到以下�|�址下蝲�Q?a  target="_top">http://phpldapadmin.sourceforge.net</a>。安装方法也很简单，只要解压出来�Q�拷贝到apache的web目录下，按说明配�|�一下设定文�?���ok了�?/p></div></div><div   id="llfhbhh"   class="sect1" lang="en"><div   id="ffhbvvt"   class="titlepage"><div><div><h2 class="title" style="clear: both;"><a name="id2810869"></a>2.3. 常用命��o介绍</h2></div></div></div><p>接着为大家介�l�一下几个常用的ldap命��o�Q�如果你用了phpLDAPadmin�E�序�Q�其实它已经有一个很好的囑�Ş介面帮你完成�q�些命��o了。但了解一下还是对你还是很有益的，因�ؓ命��o�Ҏ��才是最�Ҏ��的�?/p><div   id="tnpjdtr"   class="itemizedlist"><ul type="disc"><li><p>删除命��oldapdelete</p><pre class="screen"># ldapdelete -x -D 'cn=root,dc=it,dc=com' -W 'uid=qq1,dc=it,dc=com'<br /></pre></li><li><p>重新索引ldap数据库命令slapindex</p><pre class="screen"># slapindex -f slapd.conf<br /></pre></li><li><p>讄���使用者密码，当然了，你的用户需要有userPassword��了�?/p><pre class="screen">#ldappasswd -x -D "cn=root,dc=it,dc=com" -W "uid=qq1,dc=it,dc=com" -S <br />New password: <br />Re-enter new password: <br />Enter bind password: <br />Result: Success (0)<br /></pre><div   id="ddnhlbz"   class="note" style="margin-left: 0.5in; margin-right: 0.5in;"><table summary="Note" border="0"><tbody><tr><td rowspan="2" align="center" valign="top" width="25"><img alt="[Note]" src="http://www.ringkee.com/note/opensource/images/note.png" /></td><th align="left"><br /></th></tr><tr><td colspan="2" align="left" valign="top">"Enter bind password" �?"cn=root,dc=it,dc=com"���理员的密码�?/td></tr></tbody></table></div></li><li><p>���理员密码更�?</p><pre class="screen">#slappasswd <br />New password <br />Re-enter new password <br />{SSHA}83DJ4KVwqlk1uh9k2uDb8+NT1U4RgkEs <br /></pre><p>接下再拷贝到 path/to/sldap.conf �?rootpw 卛_��,重启使用配置文�g生效</p></li><li><p>通过ldapmodify修改目录内容</p><pre class="screen"># ldapmodify -x -D "cn=root,dc=it,dc=com" -W -f modify.ldif<br /></pre><p>通过ldif文�g修改ldap数据�Q�ldif文�g格式如下�Q?/p><pre class="screen">dn: cn=qq,dc=it,dc=com<br />changetype: modify<br />replace: mail<br />mail: modme@example.com<br />-<br />add: title<br />title: Grand Poobah<br />-<br />add: jpegPhoto<br />jpegPhoto:&lt; file:///tmp/modme.jpeg<br />-<br />delete: description<br />-<br /></pre></li></ul></div></div><div   id="bvfrtzh"   class="sect1" lang="en"><div   id="dfpbdjh"   class="titlepage"><div><div><h2 class="title" style="clear: both;"><a name="id2808359"></a>2.4. 启用sasl验证</h2></div></div></div><p>前提是你在系�l�中安装了sasl认证库，�q�在�~�译openldap时支持它�Q�默认就支持了。到<a  target="_top">http://asg.web.cmu.edu/cyrus</a>下蝲。安装方法见我写的sendmail安装�W�记。安装好之后�Q�需要在sasl中徏立相应的帐号�Q�用以下命��o可完成�?/p><pre class="screen"># saslpasswd2 -c test<br /></pre><p>接着配置slapd.conf文�g�Q�加入以下内宏V�?/p><pre class="screen">sasl-regexp<br />        uid=(.*),cn=.*,cn=auth<br />        uid=$1,dc=it,dc=com<br /></pre><p>重启服务器��配置文�g生效。这个配�|�是最大权限的配置�Q�如果要�l�化��h��阅相��x��档。用以下命��o���试�?/p><pre class="screen"># ldapsearch -U qq  -b 'uid=qq,dc=it,dc=com' -D 'dc=it,dc=com' -Y DIGEST-MD5<br /></pre><p>采用digest-md5验证,提示密码�Q�输入saslpasswd2的密码�?/p></div><div   id="vpzbvfh"   class="sect1" lang="en"><div   id="btvhjrx"   class="titlepage"><div><div><h2 class="title" style="clear: both;"><a name="id2808424"></a>2.5. 配置服务器复�?/h2></div></div></div><p>�?
一些关键的应用场合�Q�我们需讄���多个ldap服务器实例，且数据要保持同步。当一台服务器出现故障或被黑客��d���Ӟ��我们���p���l�箋保持应用的正常运行。通过
DNS的轮���查询功能，�q�能实现服务器的负蝲均衡�Q�提高响应速度。在openldap中有一个slurpd�q�程�Q�利用slurpd�q�程可帮助我们实现多�?
ldap服务器数据的同步功能。下面简单介�l�一下主、从ldap服务器的配置�?/p><p>slurpd�q�行在主服务器上�Q�它能把��L��务器上的变化通过
LDAP协议传送到从服务器上。从服务器上的变化不能传送到��L��务器上，也就是说是单向同步的。主从服务器的版本最好一��P��以减���兼�Ҏ��问题。主从服务器
的安装方法是一��L���Q�关键是配置文�g有所不同。我的操作系�l�是debian sarge�Q�在���保��M��服务器能正常�q�行的前提下�q�行以下配置�Q?/p><div   id="ldvxbzp"   class="itemizedlist"><ul type="disc"><li><p>首先�Q�把��M��服务器关闭。通过以下三步操作静态同步主从服务器上的数据�Q?/p><div   id="fprvfvt"   class="orderedlist"><ol type="1"><li><p>把主服务器上/var/lib/ldap目录下的所有数据库文�g全部拯�����C��服务器的同目录中�Q�覆盖原有文件�?/p></li><li><p>把主服务器上�?etc/ldap/schema目录下的所有schema文�g拯�����C��服务器的同目录中�Q�覆盖原有文件�?/p></li><li><p>把主服务器上/etc/ldap/slapd.conf文�g拯�����C��服务器的同目录中�Q�覆盖原有文件�?/p></li></ol></div></li><li><p>配置��L��务器上的slapd.conf文�g�Q�取消replogfile指��o前的注释�W�号�Q�取消后的结果如下：</p><pre class="screen"># Where to store the replica logs for database #1<br />replogfile      /var/lib/ldap/replog<br /></pre><p>增加replica指��o�Q�如�Q?/p><pre class="screen">#replace config<br />replica uri=ldap://192.168.6.195:389     #指定从服务器��L��名和端口�?br />        binddn="cn=admin,dc=com"         #指定需同步的DN的管理员<br />        bindmethod=simple credentials=1  #指定验证方式和需同步的DN的管理员密码<br /></pre></li><li><p>配置从服务器上的slapd.conf文�g�Q�增加updatedn指��o�Q�如�Q?/p><pre class="screen">updatedn "cn=admin,dc=com"          #与主服务器的binddn对应<br /></pre><p>在从服务器的配置文�g中，不要包含replica和replogfile指��o�?/p></li><li><p>先启动主服务器的slapd和slurpd�Q�再启动从服务器的slapd�?/p></li></ul></div><p>配置完成后，我们可测试一下，在主服务器上修改一个目录项�Q�在从服务器上可查看目录��的数据已同步�?/p></div></div><div   id="lxztvbp"   class="chapter" lang="en"><div   id="ffhbfdj"   class="titlepage"><div><div><h2 class="title"><a name="id2808612"></a>Chapter 3. ���理工具</h2></div></div></div><div   id="hjvxrfd"   class="toc"><p><b>Table of Contents</b></p><dl><dt><span id="rjhnzpv"    class="sect1"><a >3.1. phpldapadmin</a></span></dt><dt><span id="vxzdfvl"    class="sect1"><a >3.2. gq</a></span></dt><dt><span id="nxrdfdr"    class="sect1"><a >3.3. CPU</a></span></dt><dt><span id="dfhhtjp"    class="sect1"><a >3.4. JXplore</a></span></dt><dt><span id="xprlfvt"    class="sect1"><a >3.5. LAM</a></span></dt></dl></div><p>开源的目录服务���理工具有很多，包括phpldapadmin�Q�gq�Q�CPU�Q�JXplore�{�。这些工具可帮助我们方便�l�护目录服务器上的数据。这些工具各有优�~�点�Q�下面简要介�l�一下，详细的内容可参考相关的官方�|�站�?/p><div   id="dlxjdtr"   class="sect1" lang="en"><div   id="prbdfvt"   class="titlepage"><div><div><h2 class="title" style="clear: both;"><a name="id2808628"></a>3.1. phpldapadmin</h2></div></div></div></div><div   id="zbvprpv"   class="sect1" lang="en"><div   id="dfzjdlh"   class="titlepage"><div><div><h2 class="title" style="clear: both;"><a name="id2808639"></a>3.2. gq</h2></div></div></div></div><div   id="hhbvhnd"   class="sect1" lang="en"><div   id="zlnxlnl"   class="titlepage"><div><div><h2 class="title" style="clear: both;"><a name="id2808650"></a>3.3. CPU</h2></div></div></div></div><div   id="pbtnthh"   class="sect1" lang="en"><div   id="pjlfhpx"   class="titlepage"><div><div><h2 class="title" style="clear: both;"><a name="id2808661"></a>3.4. JXplore</h2></div></div></div></div><div   id="rtfpbjz"   class="sect1" lang="en"><div   id="xlnfzpx"   class="titlepage"><div><div><h2 class="title" style="clear: both;"><a name="id2808672"></a>3.5. LAM</h2></div></div></div><p>官方�|�站�Q?a  target="_top">http://lam.sourceforge.net/index.htm</a></p></div></div><div   id="nplnfnd"   class="chapter" lang="en"><div   id="ndztnlr"   class="titlepage"><div><div><h2 class="title"><a name="id2808693"></a>Chapter 4. HowTo</h2></div></div></div><div   id="xhtfrxv"   class="toc"><p><b>Table of Contents</b></p><dl><dt><span id="jjzztbl"    class="sect1"><a >4.1. ���止整个服务器的匿名讉K��</a></span></dt></dl></div><div   id="hbldl7r"   class="sect1" lang="en"><div   id="nrtlvdb"   class="titlepage"><div><div><h2 class="title" style="clear: both;"><a name="id2808700"></a>4.1. ���止整个服务器的匿名讉K��</h2></div></div></div><p>在slapd.conf配置文�g中加入disallow bind_anon卛_���?/p></div></div></div><br /><img src ="http://m.tkk7.com/alex/aggbug/62716.html" width = "1" height = "1" /><br><br><div align=right><a style="text-decoration:none;" href="http://m.tkk7.com/alex/" target="_blank">Alex</a> 2006-08-10 09:33 <a href="http://m.tkk7.com/alex/archive/2006/08/10/62716.html#Feedback" target="_blank" style="text-decoration:none;">发表评论</a></div>]]></description></item><item><title>[转]使用 OpenLDAP 集中���理用户帐号</title><link>http://m.tkk7.com/alex/archive/2006/08/10/62714.html</link><dc:creator>Alex</dc:creator><author>Alex</author><pubDate>Thu, 10 Aug 2006 01:19:00 GMT</pubDate><guid>http://m.tkk7.com/alex/archive/2006/08/10/62714.html</guid><wfw:comment>http://m.tkk7.com/alex/comments/62714.html</wfw:comment><comments>http://m.tkk7.com/alex/archive/2006/08/10/62714.html#Feedback</comments><slash:comments>0</slash:comments><wfw:commentRss>http://m.tkk7.com/alex/comments/commentRss/62714.html</wfw:commentRss><trackback:ping>http://m.tkk7.com/alex/services/trackbacks/62714.html</trackback:ping><description><![CDATA[key words : openldap ldap <br /><br /><br /><p>2006 �q? 6 �? 26 �?/p><blockquote>使用轻量�U�目录访问协议（LDAP�Q�构建集中的�w�䆾验证�pȝ��可以减少���理�?
本，增强安全性，避免数据复制的问题，�q�提高数据的一致性。随着 Linux�] 的不断成熟，已经出现了很多工��L��来简化用户帐号信息到 LDAP
目录的迁�U�R��还开发了一些工��L��来在客户机和目录服务器之间启用加密通信配置�Q��ƈ通过复制提供定w��性。本文将向您展示如何配置服务器和客户机在 Red
Hat Linux 上���?OpenLDAP�?/blockquote><!--START RESERVED FOR FUTURE USE INCLUDE FILES--><!-- include java script once we verify teams wants to use this and it will work on dbcs and cyrillic characters --><!--END RESERVED FOR FUTURE USE INCLUDE FILES--><p><a name="N1004F"><span id="z7dbdtt"    class="atitle">����?/span></a></p><p>Linux 发行版中提供�?OpenLDAP 软�g按照一个客��h��/服务器模型实��C��轻量�U�目录访问协议（LDAP�Q�。LDAP
的设计目的是提供一�U�有效的�Ҏ��来查扑֒����理信息。OpenLDAP
软�g和包提供了创建目录信息树�Q�一个主要进行读操作的数据库�Q�的工具。本文向您展�C�如何存储用��L��帐号信息�Q��ƈ修改�w�䆾验证服务来���?LDAP
获取所需要的信息。内部细节�ƈ不重要，因�ؓ�q�些工具可以���数据库的内容以文本格式�Q�LDAP 数据交换格式�Q�LDIF�Q�呈现在您的面前�?/p><p>LDAP 信息被组�l�成属性和值的�l�合�Q�称�?<i>条目�Q�entry�Q?/i>。条目可能会��h��必须的属性或可选属性。一个条目的属性必��要遵��@ /etc/openldap/schema/ 模式文�g中定义的规则。规则包含在条目�?<i>objectclass</i> 属性中。看一下下面的关系�Q�我们可以看�?<code>posixAccount</code> objectclass 中包含了密码文�g条目的信息（<code>posixAccount userPassword</code> 是文件条目的 base64 �~�码�Q��?/p><br /><a name="figure1"><b>�?1. LDAP 目录条目�?Linux 密码文�g之间的关�p?/b></a><br /><img alt="LDAP 目录条目�?Linux 密码文�g之间的关�p? src="http://www-128.ibm.com/developerworks/cn/linux/l-openldap/figure1.jpg" height="174" width="572" /><br /><p>文�g /etc/openldap/schema/nis.schema �?posixAccount 对象�c�M��的条目定义了所有的属性和 objectclass。例如，下面是对 <code>uidNumber</code> 属性的描述�Q?/p><pre>attributetype ( 1.3.6.1.1.1.1.0 NAME 'uidNumber'<br />   DESC 'An integer uniquely identifying a user in an administrative domain'<br />   EQUALITY integerMatch<br />   SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )<br /></pre><p>所有的属性类型都已经定义了，它们被收集到 <code>posixAccount</code> objectclass 中。例如：</p><pre>objectclass ( 1.3.6.1.1.1.2.0 NAME 'posixAccount' SUP top AUXILIARY<br />   DESC 'Abstraction of an account with POSIX attributes'<br />   MUST ( cn $ uid $ uidNumber $ gidNumber $ homeDirectory )<br />   MAY ( userPassword $ loginShell $ gecos $ description ) )<br /></pre><p><code>ldapuser</code> 条目��h��一个识别名属�?<code>dn</code>�Q�它用作用户名，�q�与 <code>userPassword</code> 一��L��来在 LDAP 目录中记录信息，或与 LDAP 目录�l�定在一起��用�?/p><p>LDAP ��Z��为容器��用的�Ҏ��条目提供了将�q�些条目�l�织成树�l�构的功能。在�q�个例子中，我们�����用一个容�?<code>People</code> 保存用户帐号信息�Q���用另外一个容�?<code>Groups</code> 保存�l�帐号信息。所生成的目录信息树如图 2 所�C��?/p><br /><a name="figure2"><b>�?2. 用户帐号信息使用的目录信息树</b></a><br /><img alt="用户帐号信息使用的目录信息树" src="http://www-128.ibm.com/developerworks/cn/linux/l-openldap/figure2.gif" height="191" width="572" /><br /><p>让我们来看一下如何配�|?OpenLDAP 服务器，如何���信息从�pȝ��文�g�q�移�?LDAP 目录中，如何配置 OpenLDAP 客户机通过
LDAP 对用戯���行��n份验证。在使用一个集中的�w�䆾验证数据库时�Q�应该通过使用复制技术采用第二个 LDAP
服务器提供高可用性，�q�样在主服务器出现问题时�Q�就可以使用�W�二�?LDAP
服务器响应客��h��的请求。由于诸如密码之�cȝ���w�䆾验证数据会通过�|�络�q�行传输�Q�因此希望���?TSL 协议建立加密通信�q�接�?/p><p>我们�?OpenLDAP 服务器和客户机都是虚拟机�Q�上面运行的�?Red Hat Enterprise Linux AS release 4�Q�Nahant Update 1�Q�。在我们的例子中使用�?<a >�?1</a> 所列出的系�l�。如果想模仿�q�些例子�Q�请使用适合您自��q��讄����?/p><br /><a name="table1"><b>�?1. �pȝ���|�络信息</b></a><br /><table class="data-table-1" summary="System network information" border="0" cellpadding="0" cellspacing="0" width="100%"><tbody><tr><th>角色</th><th>��L���?/th><th>IP 地址</th></tr><tr><td class="tb-row">OpenLDAP ��L��务器</td><td>dhcp64-233.ibm.com</td><td>9.47.64.233</td></tr><tr><td class="tb-row">OpenLDAP 从服务器</td><td>dhcp64-253.ibm.com</td><td>9.47.64.253</td></tr><tr><td class="tb-row">OpenLDAP 客户�?/td><td>dhcp64-251.ibm.com</td><td>9.47.64.251</td></tr></tbody></table><br /><br /><table border="0" cellpadding="0" cellspacing="0" width="100%"><tbody><tr><td><img src="http://www.ibm.com/i/v14/rules/blue_rule.gif" alt="" height="1" width="100%" /><br /><img alt="" src="http://www.ibm.com/i/c.gif" border="0" height="6" width="8" /></td></tr></tbody></table><table class="no-print" align="right" cellpadding="0" cellspacing="0"><tbody><tr align="right"><td><img src="http://www.ibm.com/i/c.gif" alt="" height="4" width="100%" /><br /><table border="0" cellpadding="0" cellspacing="0"><tbody><tr><td valign="middle"><img src="http://www.ibm.com/i/v14/icons/u_bold.gif" alt="" border="0" height="16" width="16" /><br /></td><td align="right" valign="top"><a  class="fbox"><b>回页�?/b></a></td></tr></tbody></table></td></tr></tbody></table><br /><br /><p><a name="configserver"><span id="ft9pb7d"    class="atitle">配置 LDAP 服务�?/span></a></p><p>我们使用 Red Hat Enterprise Linux release 4 Update 1 上的包来构徏服务器：</p><ul><li><b>openldap-2.2.13-2</b>�Q�包�?OpenLDAP 配置文�g、库和文�?/li><li><b>openldap-servers-2.2.13-2</b>�Q�包�?slapd �?slurpd 服务器、迁�U�脚本和相关文�g</li><li><b>openldap-clients-2.2.13-2</b>�Q�包含客��h���E�序�Q�用来访问和修改 OpenLDAP 目录</li></ul><p>OpenLDAP 包在服务器上安装了很多程序：</p><ul><li>守护�q�程�Q?
<ul><li><b>slapd</b>�Q�主 LDAP 服务�?/li><li><b>slurpd</b>�Q�负责与复制 LDAP 服务器保持同步的服务�?/li></ul></li><li>对网�l�上的目录进行操作的客户机程序。下面这两个�E�序是一对儿�Q?
<ul><li><b>ldapadd</b>�Q�打开一个到 LDAP 服务器的�q�接�Q�绑定、修�Ҏ��增加条目</li><li><b>ldapsearch</b>�Q�打开一个到 LDAP 服务器的�q�接�Q�绑定�ƈ使用指定的参数进行搜�?/li></ul></li><li>�Ҏ��地系�l�上的数据库�q�行操作的几个程序：
<ul><li><b>slapadd</b>�Q�将�?LDAP 目录交换格式�Q�LDIF�Q�指定的条目��d���?LDAP 数据库中</li><li><b>slapcat</b>�Q�打开 LDAP 数据库，�q�将对应的条目输��Zؓ LDIF 格式</li></ul></li></ul><p>OpenLDAP 的主要服务器配置文�g�?/etc/openldap/slapd.conf。本例所使用的完�?slapd.conf 文�g�?<a >清单 18</a> 所�C�。slapd.conf 文�g中包括一�p�d��全局配置选项�Q�它们作��Z��个整体应用到 slapd 上面�Q�后面是包含数据库特有信息的数据库后端定义。如果一行内�Ҏ��以空格开始的�Q�就认�ؓ它是上一行的延箋。空行和�?�?�?字符开头的注释行都会被忽略�?/p><p>如果您正把本文当作练习来做，那就可以按照下面指定的方式进行修改，从而启�?LDAP 服务器。一旦确认服务器正常工作之后�Q�就可以��d��复制功能�Q�然后再��d��安全性支持。首先是全局配置信息�D늚�讄���。其中每个选项的值都是我们想要的�?/p><p>正如上面介绍的一��P��信息被组�l�成属性和值的�l�合�Q�称为条目。条目属性必��遵循的规则是���?<code>objectclass</code> 专用属性进行组�l�的�Q�这可以�?/etc/openldap/schema/ 模式文�g中找到。对于��n份验证来��_��需要��用在 nis.schema 中定义的 <code>posixAccount</code> �?<code>shadowAccount</code> objectclasses�Q?/p><p><code>
include         /etc/openldap/schema/nis.schema
</code></p><p><code>loglevel</code> 行设�|�的是日志选项。可以将其设�|��ؓ�q�样的��别：调试语句和操作统计信息都会被记录�?/var/log/slapd.log 中。日志��别是累加的：296 = 256 日志�q�接/操作/�l�果 + 32 搜烦�q���o器处�?+ 8 �q�接���理�Q?/p><p><code>
loglevel        296
</code></p><p>日志信息会被记录�?syslogd LOG_LOCAL4 机制中。还需要将下面的内�Ҏ��加到 /etc/syslog.conf 中，�q�让 syslogd 重新��d��自己的配�|�文�Ӟ��</p><p><code>
local4.debug   /var/log/slapd.log
</code></p><p>access 行定义了谁可以访问目录中的内宏V��我们希望用户可以修改自��q��密码�Q��ƈ更新自己�?shadow
信息来反映密码的变化。希望��n份验证程序能够检索用��L��密码。还希望用户能够��d��所有其他条目。注意密码条目是不可�ȝ���Q�shadow
属性的惟一用处���是���理密码的过期问题�?/p><pre>access to attrs=shadowLastChange,userPassword<br />      by self write<br />      by * auth<br /><br />access to *<br />      by * read<br /></pre><p>接下来，�?database 部分�Q�要定义下面的内宏V�?/p><p>使用新的 bdb 后端数据库：</p><p><code>
database        bdb
</code></p><p>指定后端数据库需要响应的查询�?DN 前缀。�ؓ了确保惟一性，根前�~�应该从自��q���|�络域名构徏出来。在本例的情况中�Q�它�?.dc=svc,dc=beaverton,dc=ibm,dc=com.�Q�但是在下面的例子中我们对其�q�行了简化：</p><p><code>
suffix              "dc=ibm,dc=com"
</code></p><p>指定���理 DN�Q�它不用于访问控制或限制数据库的操作。也不需要在目录中�ؓ�q�个 DN 指定一个条目。�ؓ��h�� rootpw 密码的管理员使用 DN 可以跌��� ACL 规则中的所有访问控�Ӟ��</p><p><code>
rootdn           "cn=Manager,dc=ibm,dc=com"<br />
rootpw           {MD5}ijFYNcSNctBYg
</code></p><p>�q�就是我们现在想要设�|�的选项。稍后将�q�回 slapd.conf 文�g来配�|�复�Ӟ��然后在配�|�安全性�?/p><p>现在�Q�我们希望将数据��d��到目录中�Q��ƈ���认可以讉K���q�些信息。要实现�q�种功能�Q�需要配�|�服务器来���?ldap 客户机工��P��例如
ldapadd �?ldapsearch。ldap 客户机工��L��配置文�g�?
/etc/openldap/ldap.conf。我们��用的�q�个文�g的完整列表如本文末尾�?<a >清单 19</a> 所�C�。要�?ldap 服务器上�q�行�q�些工具�Q�只需要将该行修改成下面的内容�Q?/p><p><code>
BASE dc=ibm,dc=com
</code></p><p>讄���启动脚本在���?2�? �?5 时启�?LDAP�Q?/p><br /><a name="listing1"><b>清单 1. 讄���启动�q�行�U�别</b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section"># chkconfig --levels 235 ldap on<br /></pre></td></tr></tbody></table><br /><p>从命令行中启动服务：</p><br /><a name="listing2"><b>清单 2. 启动服务</b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section"># service ldap start<br />Starting slapd:                               [  OK  ]<br /></pre></td></tr></tbody></table><br /><p>OpenLDAP 守护�q�程 slapd 应该已经�q�行了：</p><br /><a name="listing3"><b>清单 3. ���查服务正在运�?/b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section"># ps -ef | grep slap<br />ldap   13521  1  0 Oct24 ?     00:00:00 /usr/sbin/slapd -u ldap -h ldap:/// ldaps:///<br /></pre></td></tr></tbody></table><br /><p><code>ldapsearch -x</code> 命��o应该可以成功完成�Q�但不会�q�回��M��数据�?/p><br /><table border="0" cellpadding="0" cellspacing="0" width="100%"><tbody><tr><td><img src="http://www.ibm.com/i/v14/rules/blue_rule.gif" alt="" height="1" width="100%" /><br /><img alt="" src="http://www.ibm.com/i/c.gif" border="0" height="6" width="8" /></td></tr></tbody></table><table class="no-print" align="right" cellpadding="0" cellspacing="0"><tbody><tr align="right"><td><img src="http://www.ibm.com/i/c.gif" alt="" height="4" width="100%" /><br /><table border="0" cellpadding="0" cellspacing="0"><tbody><tr><td valign="middle"><img src="http://www.ibm.com/i/v14/icons/u_bold.gif" alt="" border="0" height="16" width="16" /><br /></td><td align="right" valign="top"><a  class="fbox"><b>回页�?/b></a></td></tr></tbody></table></td></tr></tbody></table><br /><br /><p><a name="N101F5"><span id="7vjtnvx"    class="atitle">�q�移密码�?shadow 信息</span></a></p><p>Red Hat 所提供�?openldap-servers 包包�?PADL Software Pty Ltd. 公司�?
MigrationTools 工具。我们将使用�q�些工具���数据从 Linux �pȝ��文�g�Q�例�?/etc/group �?
/etc/password�Q��{换成 LDAP LDIF 格式�Q�这是数据库信息的一�U�文本格式的表示。这�U�格式是行界定、冒号分隔的属�?值对�?/p><p>有一�l?Perl 脚本被安装到 /usr/share/openldap/migration/ 中执行迁�U�R��这�?Perl
脚本的配�|�信息包含在 migrate_common.ph
文�g的开头。对于我们的目的来说�Q�只需要修改命名前�~�的变量来使用条目的识别名���p��够了�Q�如下所�C�：</p><p><code>
$DEFAULT_BASE = "dc=ibm,dc=com"
</code></p><p>在进行这些修改之后，误���行脚�?migrate_base.pl�Q�它会创建根��，�q��ؓ Hosts、Networks、Group �?People �{�创��Z��一�U�的�l�织单元�Q?/p><br /><a name="listing4"><b>清单 4. �q�行 migrate_base.pl</b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section"># migrate_base.pl &gt; base.ldif<br /></pre></td></tr></tbody></table><br /><p>�~�辑 base.ldif�Q�删除除下面之外的所有条目：</p><br /><a name="listing5"><b>清单 5. base.ldif 条目</b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section"># cat base.ldif<br />dn: dc=ibm,dc=com<br />dc: ibm<br />objectClass: top<br />objectClass: domain<br /><br />dn: ou=People,dc=ibm,dc=com<br />ou: People<br />objectClass: top<br />objectClass: organizationalUnit<br /><br />dn: ou=Group,dc=ibm,dc=com<br />ou: Group<br />objectClass: top<br />objectClass: organizationalUnit<br /></pre></td></tr></tbody></table><br /><p>�?LDAP 服务器上�Q����?OpenLDAP 客户机工�?ldapadd ���以下条目插入到数据库中。简单��n份验证必��要使用 <code>-x</code> 选项指定。在 slapd.conf 中定义的 <code>rootdn</code> �w�䆾验证识别名是 “cn=Manager,dc=ibm,dc=com”。对于简单��n份验证来��_��必须使用密码。选项 <code>-W</code> 强制提示输入密码。这个密码就是在 slapd.conf 文�g中指定的 <code>rootpw</code> 参数的倹{��包含这些条目的 LDIF 文�g是���?<code>-f</code> 选项指定的：</p><br /><a name="listing6"><b>清单 6. 使用 ldapadd 插入条目</b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section"># ldapadd -x -D "cn=Manager,dc=ibm,dc=com" -W -f base.ldif<br /></pre></td></tr></tbody></table><br /><p>接下来，�?/etc/group 中迁�U?ldapuser �l�：</p><br /><a name="listing7"><b>清单 7. �q�移 ldapuser �l?/b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section"># grep ldapuser /etc/group &gt; group.in<br /># ./migrate_group.pl group.in &gt; group.ldif<br /><br />#  cat group.ldif<br />dn: cn=ldapuser,ou=Group,dc=ibm,dc=com<br />objectClass: posixGroup<br />objectClass: top<br />cn: ldapuser<br />userPassword: {crypt}x<br />gidNumber: 500<br /><br /># ldapadd -x -D "cn=Manager,dc=ibm,dc=com" -W -f group.ldif<br /></pre></td></tr></tbody></table><br /><p>最后，�?/etc/passwd �?/etc/shadow 中迁�U?ldapuser 的信息：</p><br /><a name="listing8"><b>清单 8. �q�移 ldapuser 信息</b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section"># grep ldapuser /etc/passwd &gt; passwd.in<br /># ./migrate_passwd.pl passwd.in &gt; passwd.ldif<br /><br /># cat passwd.ldif<br />dn: uid=ldapuser,ou=People,dc=ibm,dc=com<br />uid: ldapuser<br />cn: ldapuser<br />objectClass: account<br />objectClass: posixAccount<br />objectClass: top<br />objectClass: shadowAccount<br />userPassword: {crypt$1$TeOlOcMc$cpQaa0WpLSFRC1HIHW5bt1<br />shadowLastChange: 13048<br />shadowMax: 99999<br />shadowWarning: 7<br />loginShell: /bin/bash<br />uidNumber: 500<br />gidNumber: 500<br />homeDirectory: /home/ldapuser<br />gecos: ldapuser<br /><br /># ldapadd -x -D "cn=Manager,dc=ibm,dc=com" -W -f passwd.ldif<br /></pre></td></tr></tbody></table><br /><p>现在���查已�l�添加到数据库中的信息。清�?9 �l�出了全部输出结果：</p><br /><a name="listing9"><b>清单 9. �?LDIF 格式填充�?OpenLDAP 数据�?/b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section"># ldapsearch -x<br /><br /># extended LDIF<br />#<br /># LDAPv3<br /># base &lt;&gt; with scope sub<br /># filter: (objectclass=*)<br /># requesting: ALL<br />#<br /><br /># ibm.com<br />dn: dc=ibm,dc=com<br />dc: ibm<br />objectClass: top<br />objectClass: domain<br /><br /># People, ibm.com<br />dn: ou=People,dc=ibm,dc=com<br />ou: People<br />objectClass: top<br />objectClass: organizationalUnit<br /><br /># Group, ibm.com<br />dn: ou=Group,dc=ibm,dc=com<br />ou: Group<br />objectClass: top<br />objectClass: organizationalUnit<br /><br /># ldapuser, Group, ibm.com<br />dn: cn=ldapuser,ou=Group,dc=ibm,dc=com<br />objectClass: posixGroup<br />objectClass: top<br />cn: ldapuser<br />gidNumber: 500<br /><br /># ldapuser, People, ibm.com<br />dn: uid=ldapuser,ou=People,dc=ibm,dc=com<br />uid: ldapuser<br />cn: ldapuser<br />objectClass: account<br />objectClass: posixAccount<br />objectClass: top<br />objectClass: shadowAccount<br />shadowMax: 99999<br />shadowWarning: 7<br />loginShell: /bin/bash<br />uidNumber: 500<br />gidNumber: 500<br />homeDirectory: /home/ldapuser<br />gecos: test2<br /><br /># search result<br />search: 2<br />result: 0 Success<br /><br /># numResponses: 6<br /># numEntries: 5<br /></pre></td></tr></tbody></table><br /><br /><table border="0" cellpadding="0" cellspacing="0" width="100%"><tbody><tr><td><img src="http://www.ibm.com/i/v14/rules/blue_rule.gif" alt="" height="1" width="100%" /><br /><img alt="" src="http://www.ibm.com/i/c.gif" border="0" height="6" width="8" /></td></tr></tbody></table><table class="no-print" align="right" cellpadding="0" cellspacing="0"><tbody><tr align="right"><td><img src="http://www.ibm.com/i/c.gif" alt="" height="4" width="100%" /><br /><table border="0" cellpadding="0" cellspacing="0"><tbody><tr><td valign="middle"><img src="http://www.ibm.com/i/v14/icons/u_bold.gif" alt="" border="0" height="16" width="16" /><br /></td><td align="right" valign="top"><a  class="fbox"><b>回页�?/b></a></td></tr></tbody></table></td></tr></tbody></table><br /><br /><p><a name="N10281"><span id="ptnxrhh"    class="atitle">配置 LDAP 客户�?/span></a></p><p>用来讄���客户机的 Red Hat Enterprise Linux release 4 Update 1 包包括：</p><ul><li><b>nss_ldap-226-6</b>�Q�包括两�?LDAP 讉K��客户机：nss_ldap �?pam_ldap
<ul><li><b>nss_ldap</b> 是一�l?C 库扩展，它允�?LDAP 目录服务器用作一个用户和�l�信息的��L��</li><li><b>pam_ldap</b> 是一�?Linux-PAM 模块�Q�它支持�w�䆾验证功能</li></ul></li></ul><p>LDAP �w�䆾验证要想正确地工作，需要配�|�两个服务：�pȝ��命名服务和��n份验证服务�?/p><p>�pȝ��命名服务�Q�NSS�Q�需要配�|��ؓ使用 LDAP 来解析诸如用户和�l�帐号之�cȝ��资源。例如，在运行命�?<code>ls -l</code> �Ӟ��如果某个文�g inode �l�出文�g的所有者是 “user 501”，那么命名服务���需要将 “uid 501�?解析成用户名�Q��ƈ�?<code>ls</code>
命��o输出�l�果中输出。通常来说�Q�这是通过查找 /etc/passwd 文�g中的所有用户帐号实现的。由于用��L��在都存储�?LDAP
目录中，因此�pȝ��需要配�|�成同时�?passwd 文�g�?LDAP 目录中的帐号�q�行解析。这�U�功能是通过
/usr/lib/libnss_ldap.so 库提供的�?/p><p>�w�䆾验证服务是实际向 LDAP 验证用户�w�䆾的服务。可插入�w�䆾验证模块�Q�PAM�Q�提供了本地 Linux �w�䆾验证服务。下面我们将配置
PAM 先对本地�?/etc/passwd 文�g���查用户帐��P��然后再对 LDAP 服务器进行检查。PAM LDAP
模块可以用来�����n份验证重定向�?LDAP 目录上�?lib/security/pam_ldap.so PAM 模块提供�?LDAP
�w�䆾验证功能�?/p><p>�w�䆾验证本��n是由 PAM �E�序执行的，它从�w�䆾验证候选机制中获取用户名，���其�l�定�?OpenLDAP 服务器上�Q�检索与�q�个 uid
条目�Q�用户名条目�Q�相关的 DN�Q�从�w�䆾验证候选机制中获取密码�Q�然后��用这�?DN 和密码试囑ְ�其绑定到 OpenLDAP
服务器上。如果绑定成功，PAM 会报告说�q�个用户已经成功通过�?pam_ldap.so 提供的��n份验证测试。根�?PAM
的配�|�不同，在用��L��到命令行提示�W�之前可能会执行其他���试�?/p><p>我们可以采用两种�Ҏ��来配�|?LDAP 客户机。一�U�快速而简单的�Ҏ��是运�?
/usr/sbin/authconfig�Q��ƈ在两个屏�q�中输入信息。另外一�U�方法是通过�~�辑客户�?LDAP 配置文�g
/etc/ldap.conf�Q�然后修�?/etc/nsswitch.conf�?etc/sysconfig/authconfig �?
/etc/pam.d/system-auth。首先让我们来看一下如何运�?authconfig�?/p><p>如图 3 所�C����行选择�Q�然后点�?<b>Next</b>�?/p><br /><a name="figure3"><b>�?3. 执行 authconfig 命��o的第一个页�?/b></a><br /><img alt="执行 authconfig 命��o的第一个页�? src="http://www-128.ibm.com/developerworks/cn/linux/l-openldap/figure3.jpg" height="398" width="572" /><br /><p>在如�?4 所�C�的�W�二个屏�q�中输入对应的信息，然后点击 <b>OK</b>�?/p><br /><a name="figure4"><b>�?4. 执行 authconfig 命��o的第二个��面</b></a><br /><img alt="执行 authconfig 命��o的第二个��面" src="http://www-128.ibm.com/developerworks/cn/linux/l-openldap/figure4.jpg" height="398" width="572" /><br /><p>要手工配�|?OpenLDAP 客户机，请遵循下面的步骤�?/p><p>用来跟踪特定�w�䆾验证机制是否已经启用的文件是 /etc/sysconfig/。我们可以希望以下条目的值都�?“yes”：</p><p><code>
USELDAP=yes<br />
USELDAPAUTH=yes<br />
USEMD5=yes<br />
USESHADOW=yes<br />
USELOCAUTHORIZE=yes
</code></p><p>PAM �?NSS 模块使用的基本配�|�文件是 /etc/ldap.conf。host 选项指定 LDAP 服务器，base 选项指定�q�个目录使用�?DN�Q�最初我们希望关闭加密功能：</p><p><code>
host dhcp64-233.ibm.com<br />
base dc=ibm,dc=com<br />
ssl off
</code></p><p>要让 NSS 服务使用 OpenLDAP 服务器，需要将 “ldap�?��d���?/etc/nsswitch.conf 文�g�?passwd、shadow �?group 行中�Q�如下所�C�： </p><p><code>
passwd:     files ldap<br />
shadow:     files ldap<br />
group:      files ldap
</code></p><p>要让 PAM �w�䆾验证服务使用 OpenLDAP 服务器，请将 pam_ldap 行加入到 /etc/pam.d/system-auth 中，位置在对应的标准 pam_unix.so 条目之后。尽���其他设�|�也可以实现相同的结果，但是我��用下面的文�g讄����Q?/p><p><code>
auth        required      /lib/security/$ISA/pam_env.so<br />
auth        sufficient    /lib/security/$ISA/pam_unix.so likeauth nullok<br />
auth        sufficient    /lib/security/$ISA/pam_ldap.so use_first_pass<br />
auth        required      /lib/security/$ISA/pam_deny.so<br /><br />
account     required      /lib/security/$ISA/pam_unix.so broken_shadow<br />
account     sufficient    /lib/security/$ISA/pam_localuser.so<br />
account     sufficient    /lib/security/$ISA/pam_succeed_if.so uid %lt; 100 quiet<br />
account     [default=bad success=ok user_unknown=ignore] /lib/security/$ISA/pam_ldap.so<br />
account     required      /lib/security/$ISA/pam_permit.so<br /><br />
password    requisite     /lib/security/$ISA/pam_cracklib.so retry=3<br />
password    sufficient    /lib/security/$ISA/pam_unix.so nullok use_authtok md5 shadow<br />
password    sufficient    /lib/security/$ISA/pam_ldap.so use_authtok<br />
password    required      /lib/security/$ISA/pam_deny.so<br /><br />
session     required      /lib/security/$ISA/pam_limits.so<br />
session     required      /lib/security/$ISA/pam_unix.so<br />
session     optional      /lib/security/$ISA/pam_ldap.so
</code></p><p>现在�Q�用户帐号信息可以从客户机系�l�中删除�q�从 LDAP 目录中进行获取了。当用户试图��d��客户机系�l�时�Q�PAM �w�䆾验证服务��׃��从用户那里获取用户名�Q�在我们的例子中�?<code>ldapuser</code>。PAM 会从 LDAP 服务器中���索识别名�Q�DN�Q�条�?<code>.dn: uid=ldapuser, ou=People, dc=ibm, dc=com.</code>。PAM
然后会从用户那里获取密码。然�?PAM 试图使用�q�个 DN 和密码与 LDAP 服务器进行绑定。DN 和密码都以正文文本的格式发送给 LDAP
服务器。在对密码进行散列操作之后，如果服务器可以让用户��d���Q�就会向 PAM 报告说已�l�成功进行了�l�定。成功绑定可以完全满��?PAM �?
pam_ldap 模块汇报成功的标准，如果所有其�?PAM 标准都已�l�满���了�Q�那么就允许用户��d��到系�l�中�?/p><p>�?LDAP 服务器对�w�䆾验证�q�行处理�Ӟ��需要解军_��外两个问题才能满���x��供可靠安全的�w�䆾验证的目标。现在，��M��客户机系�l�不能成功地�?
LDAP 服务器进行通信都会��L��用户��d��客户机系�l�。在下一节中我们���看到如何消除这�U�单�Ҏ��障，�q�将昄���客户机如何从备䆾服务器上讉K�� LDAP
目录。由于用户密码是在网�l�上以正文文本格式传输的�Q�因此这�q�不能满���_��全��n份验证的需求�?a >配置 TLS 安全�?/a> ���解册���个问题�?/p><br /><table border="0" cellpadding="0" cellspacing="0" width="100%"><tbody><tr><td><img src="http://www.ibm.com/i/v14/rules/blue_rule.gif" alt="" height="1" width="100%" /><br /><img alt="" src="http://www.ibm.com/i/c.gif" border="0" height="6" width="8" /></td></tr></tbody></table><table class="no-print" align="right" cellpadding="0" cellspacing="0"><tbody><tr align="right"><td><img src="http://www.ibm.com/i/c.gif" alt="" height="4" width="100%" /><br /><table border="0" cellpadding="0" cellspacing="0"><tbody><tr><td valign="middle"><img src="http://www.ibm.com/i/v14/icons/u_bold.gif" alt="" border="0" height="16" width="16" /><br /></td><td align="right" valign="top"><a  class="fbox"><b>回页�?/b></a></td></tr></tbody></table></td></tr></tbody></table><br /><br /><p><a name="N1034A"><span id="xt7v93h"    class="atitle">配置复制</span></a></p><p>��Z��防止出现客户机由�?LDAP 服务器的问题而不能登录的情况�Q�我们需要采用复制技术来实现可靠性目标。复制是通过 OpenLDAP
复制�q�程 slurpd
提供的，它会周期性地唤醒�Q��ƈ���查主服务器上的日志文�Ӟ��从而确定是否有��M��更新。这些更新然后会传播��C��服务器上。读��h��可以�׃�Q何一个服务器�q�行�?
析，而更新请求则只能�׃��服务器进行解析。客��h��需要负责在推荐地址上重试更新操作�?/p><p>要配�|�复�Ӟ��需要停�?OpenLDAP 服务器的 slapd 守护�q�程�Q?/p><br /><a name="listing10"><b>清单 10. 停止服务</b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section"># service ldap stop<br /></pre></td></tr></tbody></table><br /><p>���以下内�Ҏ��加到服务器的 /etc/openldap/slapd.conf 文�g中，从而启用对��C��服务器的复制�?code>replogfile</code> 行的内容指定�c?LDIF 变化应该写入的文件�?code>replica</code> 原语定义了变化应该传播到的主机：</p><pre>#Replicas of this database<br />replogfile /var/lib/ldap/replog<br />replica host=dhcp64-253.ibm.com:389<br />        binddn="cn=Manager,dc=ibm,dc=com"<br />        credentials=secret<br />        bindmethod=simple<br /></pre><p>在运行从 OpenLDAP 服务器的�pȝ��上，请遵�?<a >配置 LDAP 服务�?/a> 一节给出的步骤。然后通过���信息导出到一�?ldif 文�g中�ƈ���其��d����C��服务器数据库上，从而将数据库从��L��务器拯���到复制服务器上�?/p><p>在主服务器上�Q?/p><br /><a name="listing11"><b>清单 11. ���数据导出到 LDIF 文�g�?/b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section"># ldapsearch -x &gt; database.ldif<br /></pre></td></tr></tbody></table><br /><p>在复制服务器上：</p><br /><a name="listing12"><b>清单 12. ���数据添加到从服务器数据库中</b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section"># ldapadd -x -D "cn=Manager,dc=ibm,dc=com" -W -f database.ldif<br /></pre></td></tr></tbody></table><br /><p>���以下内�Ҏ��加到复制服务器的 /etc/openldap/slapd.conf 文�g中�?code>updatedn</code> 指定了在更新从目录时�?slurpd 守护�q�程使用�?DN�?code>updateref</code> 指定的是�ȝ��录服务器。当一�?LDAP 客户�����求从服务器进行更新时�Q�从服务器就���客��h��重定向到�q�个��L��务器上�?/p><p><code>
updatedn  "cn=Manager,dc=ibm,dc=com"<br />
updateref ldap://dhcp64-233.ibm.com:389/
</code></p><p>启动复制 OpenLDAP 服务器，当它�q�行之后�Q�再启动�?OpenLDAP 服务器。在��L��务器上，slapd �?slurpd 都会启动�?/p><p>现在�Q�可以让 OpenLDAP 客户机除了主服务器之外还可以使用复制服务器，�q�可以通过�q�行 authconfig �q�将复制��L��名添加到�W�二个屏�q�中�?Server 行中实现�Q�也可以通过�?/etc/ldap.conf 中修�?host 实现�Q?/p><p><code>
host dhcp64-253.ibm.com dhcp64-233.ibm.com
</code></p><p>��Z�����认复制可以正常工作�Q�需要研�I�一下在更新 <code>gecos</code> 属性时到底发生了什么。复制日志��用了�?LDIF
�c�M��的格式。在��d�� replogfile 之后�Q�slurpd 会将�q�个条目拯���到自��q��重做日志中。实际的变化都以 LDIF 格式保存在主
LDAP 服务器上 /var/lib/ldap/replica/ 中的 slurpd.replog 文�g中�?/p><p>使用文�g user_mod 中的变化�Q�客��h���E�序 ldapmodify 应用�q�些变化�Q?/p><br /><a name="listing13"><b>清单 13. 应用 user_mod 的变�?/b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section"># cat user_mod<br />dn: uid=ldapuser,ou=People,dc=ibm,dc=com<br />changetype: modify<br />replace: gecos<br />gecos: test2<br /><br /># tail -f /var/lib/ldap/replog &amp;<br /><br /># ldapmodify -x -r -f /home/ldapuser/user_mod -D'cn=Manager,dc=ibm,dc=com' -W<br />Enter LDAP Password:<br />modifying entry "uid=ldapuser,ou=People,dc=ibm,dc=com"<br /><br />replica: dhcp64-253.ibm.com:389<br />time: 1130111686<br />dn: uid=ldapuser,ou=People,dc=ibm,dc=com<br />changetype: modify<br />replace: gecos<br />gecos: test2<br />-<br />replace: entryCSN<br />entryCSN: 20051023235446Z#000001#00#000000<br />-<br />replace: modifiersName<br />modifiersName: cn=Manager,dc=ibm,dc=com<br />-<br />replace: modifyTimestamp<br />modifyTimestamp: 20051023235446Z<br />-<br /></pre></td></tr></tbody></table><br /><br /><table border="0" cellpadding="0" cellspacing="0" width="100%"><tbody><tr><td><img src="http://www.ibm.com/i/v14/rules/blue_rule.gif" alt="" height="1" width="100%" /><br /><img alt="" src="http://www.ibm.com/i/c.gif" border="0" height="6" width="8" /></td></tr></tbody></table><table class="no-print" align="right" cellpadding="0" cellspacing="0"><tbody><tr align="right"><td><img src="http://www.ibm.com/i/c.gif" alt="" height="4" width="100%" /><br /><table border="0" cellpadding="0" cellspacing="0"><tbody><tr><td valign="middle"><img src="http://www.ibm.com/i/v14/icons/u_bold.gif" alt="" border="0" height="16" width="16" /><br /></td><td align="right" valign="top"><a  class="fbox"><b>回页�?/b></a></td></tr></tbody></table></td></tr></tbody></table><br /><br /><p><a name="configtls"><span id="7zhbdbx"    class="atitle">配置 TLS 安全�?/span></a></p><p>LDAP 是以明文的格式通过�|�络来发送所有信息的�Q�包括密码。我们将采用 TLS 所提供的加密机�Ӟ��SSL 的后�l�者）来解册���个问题。在传输层，数据使用 TLS 协议�q�行加密和封装，然后通过�|�络�q�行传输。用来配�|�加密的工具都是�?OpenSSL 包提供的�?/p><p>虽然加密是一个复杂的主题�Q�但是要使用 OpenSSL 包，我们依然需要简要介�l�一�?TLS
是如何工作的。数据块使用一个对�U�密钥算法进行加密，它��用一个密钥来实现�Ҏ��据的加密和解密。我们还有一个问题：如何防止出现以正文文本格式将密钥�?
LDAP 服务器发送到 LDAP
客户��Z��的情��c��我们��用公钥算法来解决�q�个问题�Q�其中客��h��可以使用一个自��p��取的公钥对自��q��密钥�q�行加密�Q�而只有服务器才可以对�q�个密钥�q�行解密�?/p><p>公钥是作�����书的一部分来创建和分发的，其中包含了一些支持信息，例如 ID、过期日期、提供这个证书的 LDAP
服务器的完整域名�Q�FQDN�Q�。在 LDAP
客户��Z��用证书进行加密之前，它会验证自己正在与之�q�行交谈的服务器拥有�q�个证书�Q�这是通过加密一个挑战�ƈ验证服务器可以对其进行解密实现的�?/p><p>要验证发行这个证书的服务器是一个已�l�批准过�?LDAP 服务器，客户�����配置为只接受本地证书机构�Q�CA�Q�所�{���v的证书。它使用 CA 所生成的证书中的公钥，�q�个公钥保存到客��h��中以验证�q�个 LDAP 所产生的证书是有效的�?/p><p>在这个例子中�Q�我们将自己�?LDAP 服务器设�|��ؓ证书机构�Q��ƈ创徏一个自�{���v的证书供 LDAP 客户机和服务器在加密信息中��用�?/p><p>用来构徏 TLS 服务器的 Red Hat Enterprise Linux release 4 Update 1 包是�Q?/p><ul><li><b>openssl-0.9.7a-43.1</b>�Q�包括一个证书管理工具和提供各种加密���法和协议的�׃�n�?/li></ul><p>要构�����书机构的工作环境�q�生成自��q��自签�|�证书，需要运�?/usr/share/ssl/misc/CA shell 脚本�Q�这是一个对 <code>openssl</code> 命��o的封装程序。私密性增强邮�Ӟ��PEM�Q�是一�U�用来对数据�q�行加密和编码的格式�Q?/p><br /><a name="listing14"><b>清单 14. �q�行 CA shell 脚本</b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section"># cd /usr/share/ssl/misc<br /># ./CA -newca<br />CA certificate filename (or enter to create)<br /><br />Making CA certificate ...<br />Generating a 1024 bit RSA private key<br />.........++++++<br />......++++++<br />writing new private key to './demoCA/private/./cakey.pem'<br />Enter PEM pass phrase:<br />Verifying - Enter PEM pass phrase:<br />Enter PEM pass phrase:<br />Verifying - Enter PEM pass phrase:<br />-----<br />You are about to be asked to enter information that will be incorporated into<br />your certificate request.<br />What you are about to enter is what is called a Distinguished Name or a DN.<br />There are quite a few fields but you can leave some blank<br />For some fields there will be a default value,<br />If you enter '.', the field will be left blank.<br />-----<br />Country Name (2 letter code) [GB]:US<br />State or Province Name (full name) [Berkshire]:Oregon<br />Locality Name (eg, city) [Newbury]:Beaverton<br />Organization Name (eg, company) [My Company Ltd]:IBM<br />Organizational Unit Name (eg, section) []:its<br />Common Name (eg, your name or your server's hostname) []:dhcp64-233.ibm.com<br />Email Address []:root@dhcp64-233.ibm.com<br /></pre></td></tr></tbody></table><br /><p>接下来，要生成由证书机构�q�行�{���v的服务器证书。其余的步骤只会对主 LDAP 服务器执行一�ơ，此时指定的是 <code>CN=dhcp64-233.ibm.com</code>�Q�然后对从服务器执行一�ơ，此时指定的是 <code>CN=dhcp64-253.ibm.com</code>。还要���?<code>nodes</code> 选项�Q�这样就不用在每�ơ启�?OpenLDAP 服务器守护进�E?slapd 旉���需要输入密码了。签�|�后的公钥被嵌入到证书请�?slapd-req.pem 中，与之匚w��的私钥嵌入在 slapd-key.pem 中：</p><br /><a name="listing15"><b>清单 15. 生成服务器证�?/b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section"># openssl req -new -nodes -subj<br />   '/CN=dhcp64-233.ibm.com/O=IBM/C=US/ST=Oregon/L=Beaverton'<br />   -keyout slapd-key.pem -out slapd-req.pem -days 365<br />Generating a 1024 bit RSA private key<br />...............++++++<br />.....................................++++++<br />writing new private key to 'slapd-key.pem'<br />-----<br /></pre></td></tr></tbody></table><br /><p>使用在第一个步骤中创徏�?CA 证书对这个证书进行签�|Ԍ��</p><br /><a name="listing16"><b>清单 16. 对证书进行签�|?/b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section"># openssl ca -out slapd-cert.pem -infiles slapd-req.pem<br />Using configuration from /usr/share/ssl/openssl.cnf<br />Enter pass phrase for ./demoCA/private/cakey.pem:<br />Check that the request matches the signature<br />Signature ok<br />Certificate Details:<br />        Serial Number: 1 (0x1)<br />        Validity<br />            Not Before: Oct 25 02:50:05 2005 GMT<br />            Not After : Oct 25 02:50:05 2006 GMT<br />        Subject:<br />            countryName               = US<br />            stateOrProvinceName       = Oregon<br />            organizationName          = IBM<br />            commonName                = dhcp64-233.ibm.com<br />        X509v3 extensions:<br />            X509v3 Basic Constraints:<br />            CA:FALSE<br />            Netscape Comment:<br />            OpenSSL Generated Certificate<br />            X509v3 Subject Key Identifier:<br />            11:A2:FB:59:42:A4:B3:26:73:1D:6D:F5:4D:2F:80:F0:FA:10:38:F5<br />            X509v3 Authority Key Identifier:<br />            keyid:F7:6A:25:F5:76:BE:20:E7:8D:0F:51:EF:D8:86:7B:AF:2C:74:2F:80<br />            DirName:/C=US/ST=Oregon/L=Beaverton/O=IBM/OU=its/CN=dhcp64-233.ibm.com<br />/emailAddress=root@dhcp64-233.ibm.com<br />            serial:00<br /><br />Certificate is to be certified until Oct 25 02:50:05 2006 GMT (365 days)<br />Sign the certificate? [y/n]:y<br /><br />1 out of 1 certificate requests certified, commit? [y/n]y<br />Write out database with 1 new entries<br />Data Base Updated<br /></pre></td></tr></tbody></table><br /><p>下一个步骤将所有需要的证书拯����?slapd 可以扑ֈ�的地斏V��另外，�q�要�Ҏ��个文件强刉���用正���的权限�Q?/p><br /><a name="listing17"><b>清单 17. 拯���证书�q�强制设�|�权�?/b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section"># cp -p slapd-key.pem /etc/openldap/slapdkey.pem<br /># cp -p slapd-cert.pem /etc/openldap/slapdcert.pem<br /># chown ldap:ldap /etc/openldap/slapdcert.pem<br /># chmod 644 /etc/openldap/slapdcert.pem<br /># chown ldap:ldap /etc/openldap/slapdkey.pem<br /># chmod 400 /etc/openldap/slapdkey.pem<br /><br /># mkdir /etc/openldap/cacerts/<br /># cp /usr/share/ssl/misc/demoCA/cacert.pem /etc/openldap/cacerts/cacert.pem<br /># chown ldap:ldap /etc/openldap/cacerts cacert.pem<br /># chmod 644 /etc/openldap/cacerts cacert.pem<br /></pre></td></tr></tbody></table><br /><p>�?OpenLDAP 服务器上�Q�将以下内容��d���?/etc/openldap/slapd.conf 文�g�?<code>global</code> �D�下面�?code>TLSCertificateFile</code> �?<code>TLSCertificateKeyFile</code> 指定了证书文件和�U�钥文�g的�\径�?code>TLSCipherSuite</code> 指定了一�?OpenSSL 密码的列表，slapd 在与 TLS 协商建立�q�接时可以从中按照降序顺序依�ơ选择�?code>HIGH</code> 的意思是 “所有密钥的长度都大�?128 位”；<code>MEDIUM</code> 表示 “所有密钥的长度都等�?128 位”；<code>+SSLv2</code> 表示 “不���密钥强度如何，所有密码都是以 SSL 协议版本 2 的�Ş式指定的”�?/p><p><code>
TLSCipherSuite  HIGH:MEDIUM:+SSLv2<br />
TLSCACertificateFile    /etc/openldap/cacerts/cacert.pem<br />
TLSCertificateFile      /etc/openldap/slapdcert.pem<br />
TLSCertificateKeyFile   /etc/openldap/slapdkey.pem
</code></p><p>���以下内�Ҏ��加到 LDAP 服务器的�W�二个配�|�文�?/etc/openldap/ldap.conf 中：</p><p><code>
TLS_CACERTDIR /etc/openldap/cacerts<br />
TLS_REQCERT allow
</code></p><p>
��Z��允许�?OpenLDAP 客户��Z��使用安全�q�接�Q�需要将以下内容��d���?/etc/openldap/ldap.conf 文�g中：</p><p><code>
ssl start_tls<br />
tls_checkpeer yes<br />
tls_cacertfile /etc/openldap/cacerts/cacert.pem
</code></p><br /><table border="0" cellpadding="0" cellspacing="0" width="100%"><tbody><tr><td><img src="http://www.ibm.com/i/v14/rules/blue_rule.gif" alt="" height="1" width="100%" /><br /><img alt="" src="http://www.ibm.com/i/c.gif" border="0" height="6" width="8" /></td></tr></tbody></table><table class="no-print" align="right" cellpadding="0" cellspacing="0"><tbody><tr align="right"><td><img src="http://www.ibm.com/i/c.gif" alt="" height="4" width="100%" /><br /><table border="0" cellpadding="0" cellspacing="0"><tbody><tr><td valign="middle"><img src="http://www.ibm.com/i/v14/icons/u_bold.gif" alt="" border="0" height="16" width="16" /><br /></td><td align="right" valign="top"><a  class="fbox"><b>回页�?/b></a></td></tr></tbody></table></td></tr></tbody></table><br /><br /><p><a name="N104A2"><span id="jdxrj7p"    class="atitle">�l�束�?/span></a></p><p>按照本文�l�出的提�C�，我们现在已经使用轻量�U�目录访问协议（LDAP�Q�构��Z��一个集中的�w�䆾验证�pȝ��。我们最初是通过配置 LDAP
服务器来响应�?“dc=ibm,dc=com�?的基本请求开始入手的。我们��用了一�l?Perl 脚本来将用户帐号信息�q�移�?LDAP
目录中。我们对 Linux 用户帐号服务、PAM �?NSS 服务�q�行了修改，从而可以从 LDAP 服务器中���索用户信息。还讄���了一�?
LDAP 服务器副本作为备用服务器来响应客��h��的请求。然后，使用 TLS 协议�?LDAP 客户机和服务器之间对通信�q�行安全加密。恭喜！</p><p>��Z��参考方便，下面�l�出了本文中使用的配�|�文件的完整清单�?/p><br /><a name="listing18"><b>清单 18. 本文例子中��用的服务�?/etc/openldap/slapd.conf 文�g</b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section">#<br /># See slapd.conf (5) for details on configuration options.<br />#<br />include         /etc/openldap/schema/core.schema<br />include         /etc/openldap/schema/cosine.schema<br />include         /etc/openldap/schema/inetorgperson.schema<br />include         /etc/openldap/schema/nis.schema<br /><br />loglevel        256<br />pidfile         /var/run/slapd.pid<br />argsfile        /var/run/slapd.args<br /><br /># The next three lines allow use of TLS for encrypting connections.<br />TLSCipherSuite  HIGH:MEDIUM:+SSLv2<br />TLSCACertificateFile    /etc/openldap/cacerts/cacert.pem<br />TLSCertificateFile      /etc/openldap/slapdcert.pem<br />TLSCertificateKeyFile   /etc/openldap/slapdkey.pem<br /><br /># access control policy:<br /># Restrict password access to change by owner and authentication.<br /># Allow read access by everyone to all other attributes.<br /><br />access to attrs=shadowLastChange,userPassword<br />   by self write<br />   by * auth<br /><br />access to *<br />   by * read<br /><br />#######################################################################<br /># database definition<br />#######################################################################<br /><br />database        bdb<br />suffix          "dc=ibm,dc=com"<br /><br />rootdn          "cn=Manager,dc=ibm,dc=com"<br />rootpw          {MD5}ijFYNcSNctBYg<br /><br />directory       /var/lib/ldap<br /><br /># Indices to maintain for this database<br />index objectClass                       eq,pres<br />index ou,cn,mail,surname,givenname      eq,pres,sub<br />index uidNumber,gidNumber,loginShell    eq,pres<br />index uid,memberUid                     eq,pres,sub<br />index nisMapName,nisMapEntry            eq,pres,sub<br /><br />#Replicas of this database<br />replica host=dhcp64-253.ibm.com:389<br />        binddn="cn=Manager,dc=ibm,dc=com"<br />        credentials=secret<br />        bindmethod=simple<br />replogfile /var/lib/ldap/replog<br /></pre></td></tr></tbody></table><br /><br /><a name="listing19"><b>清单 19. 本文例子中��用的服务�?/etc/openldap/ldap.conf 文�g</b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section">#<br /># LDAP Defaults<br />#<br /><br /># See ldap.conf(5) for details<br /><br />HOST 127.0.0.1<br />BASE dc=ibm,dc=com<br /><br />TLS_CACERTDIR /etc/openldap/cacerts<br />TLS_REQCERT allow<br /></pre></td></tr></tbody></table><br /><br /><a name="listing20"><b>清单 20. 本文例子中��用的客户�?/etc/ldap.conf 文�g</b></a><br /><table bgcolor="#eeeeee" border="1" cellpadding="5" cellspacing="0" width="100%"><tbody><tr><td><code></code><pre class="section">a<br /># @(#)$Id: ldap.conf,v 1.34 2004/09/16 23:32:02 lukeh Exp $<br />#<br /># This is the configuration file for the LDAP nameservice<br /># switch library and the LDAP PAM module.<br />#<br /># PADL Software<br /># http://www.padl.com<br />#<br /><br /># Your LDAP server.<br /># Multiple hosts may be specified, each separated by a<br /># space.<br /><br />host dhcp64-233.ibm.com dhcp64-233.ibm.com<br /><br /># The distinguished name of the search base.<br /><br />base dc=ibm,dc=com<br /><br /># OpenLDAP SSL mechanism, start_tls mechanism uses the normal LDAP port 389<br />ssl start_tls<br /><br />#Require and verify server certificate<br />tls_checkpeer yes<br /><br /># CA certificates for server certificate verification<br />tls_cacertfile /etc/openldap/cacerts/cacert.pem<br /><br />pam_password md5<br /></pre></td></tr></tbody></table><br /><br /><table border="0" cellpadding="0" cellspacing="0" width="100%"><tbody><tr><td><img src="http://www.ibm.com/i/v14/rules/blue_rule.gif" alt="" height="1" width="100%" /><br /><img alt="" src="http://www.ibm.com/i/c.gif" border="0" height="6" width="8" /></td></tr></tbody></table><table class="no-print" align="right" cellpadding="0" cellspacing="0"><tbody><tr align="right"><td><img src="http://www.ibm.com/i/c.gif" alt="" height="4" width="100%" /><br /><table border="0" cellpadding="0" cellspacing="0"><tbody><tr><td valign="middle"><img src="http://www.ibm.com/i/v14/icons/u_bold.gif" alt="" border="0" height="16" width="16" /><br /></td><td align="right" valign="top"><a  class="fbox"><b>回页�?/b></a></td></tr></tbody></table></td></tr></tbody></table><br /><br /><p><a name="resources"><span id="9njbtlv"    class="atitle">参考资�?</span></a></p><b>学习</b><br /><ul><li>您可以参阅本文在 developerWorks 全球站点上的 <a  target="_blank">英文原文</a> �?br /><br /></li><li><a >OpenLDAP 主页</a> �?OpenLDAP ��目的主���c��其中包含了有关如何配置 OpenLDAP 的丰富信息，以及���来的�\�U�图和版本信息。请���保阅读 <a >OpenLDAP Software 2.3 Administrator's Guide</a>�?
<br /><br /></li><li>
�?<a >OpenSSL Project</a> 中，可以扑ֈ�有关 SSL �?TLS 的信息�?
<br /><br /></li><li>
�?<a >LDAP Linux HOWTO</a> 中，我们可以扑ֈ�有关�?Linux 机器上安装、配�|�、运行和�l�护 LDAP�Q�Lightweight Directory Access Protocol�Q�服务器的详�l�信息。请�?<a >LDAP Implementation HOWTO</a> 中阅��M���?pam_ldap �?nss_ldap �q�行 LDAP �w�䆾验证的讨论�?
<br /><br /></li><li><a >PADL 主页</a> 提供�?Perl �q�移脚本 nss_ldap �?pam_ldap 以及很多其他有用�?LDAP 工具�?
<br /><br /></li><li>
�?<a >developerWorks Linux 专区</a> 中可以找��Cؓ Linux 开发�h员准备的更多资源�?
<br /><br /></li><li>
随时��x�� <a >developerWorks 技术活动和�|�络�q�播</a>�?
</li></ul><br /><b>获得产品和技�?/b><br /><ul><li><a >索取免费�?SEK for Linux</a>�Q�这有两�?DVD�Q�包括最新的 IBM for Linux 的试用版软�g�Q�包�?DB2�]、Lotus�]、Rational�]、Tivoli�] �?WebSphere�]�?
<br /><br /></li><li>

在您的下一个开发项目中采用 <a >IBM 试用版��Y�?/a>�Q�这可以�?developerWorks 上直接下载�?
<br /><br /></li></ul><br /><b>讨论</b><br /><ul><li><a >OpenLDAP 邮�g列表</a> 是讨�?OpenLDAP 的主要论坛�?
<br /><br /></li><li>
通过参与 <a >developerWorks blogs</a> 加入  developerWorks �C�֌��?
<br /><br /></li></ul><br /><table border="0" cellpadding="0" cellspacing="0" width="100%"><tbody><tr><td><img src="http://www.ibm.com/i/v14/rules/blue_rule.gif" alt="" height="1" width="100%" /><br /><img alt="" src="http://www.ibm.com/i/c.gif" border="0" height="6" width="8" /></td></tr></tbody></table><table class="no-print" align="right" cellpadding="0" cellspacing="0"><tbody><tr align="right"><td><img src="http://www.ibm.com/i/c.gif" alt="" height="4" width="100%" /><br /><table border="0" cellpadding="0" cellspacing="0"><tbody><tr><td valign="middle"><img src="http://www.ibm.com/i/v14/icons/u_bold.gif" alt="" border="0" height="16" width="16" /><br /></td><td align="right" valign="top"><a  class="fbox"><b>回页�?/b></a></td></tr></tbody></table></td></tr></tbody></table><br /><br /><p><a name="author"><span id="t9vnpzb"    class="atitle">关于作�?/span></a></p><table border="0" cellpadding="0" cellspacing="0" width="100%"><tbody><tr><td colspan="3"><img alt="" src="http://www.ibm.com/i/c.gif" height="5" width="100%" /></td></tr><tr align="left" valign="top"><td><p><img alt="Mike O'Reilly" src="http://www.ibm.com/developerworks/i/p-moreilly.jpg" align="left" border="0" height="80" width="64" /></p></td><td><img alt="" src="http://www.ibm.com/i/c.gif" height="5" width="4" /></td><td width="100%"><p>Mike O'Reilly �?IBM Linux �?VMware ESX 产品支持���组的一员，他�ؓ Linux 产品提供支持已经�?5 �q�的旉���了。另外，他支�?VMware ��?/p></td></tr></tbody></table><br /><img src ="http://m.tkk7.com/alex/aggbug/62714.html" width = "1" height = "1" /><br><br><div align=right><a style="text-decoration:none;" href="http://m.tkk7.com/alex/" target="_blank">Alex</a> 2006-08-10 09:19 <a href="http://m.tkk7.com/alex/archive/2006/08/10/62714.html#Feedback" target="_blank" style="text-decoration:none;">发表评论</a></div>]]></description></item><item><title>[转]bash�~�程教学实例</title><link>http://m.tkk7.com/alex/archive/2006/06/16/53293.html</link><dc:creator>Alex</dc:creator><author>Alex</author><pubDate>Fri, 16 Jun 2006 06:20:00 GMT</pubDate><guid>http://m.tkk7.com/alex/archive/2006/06/16/53293.html</guid><wfw:comment>http://m.tkk7.com/alex/comments/53293.html</wfw:comment><comments>http://m.tkk7.com/alex/archive/2006/06/16/53293.html#Feedback</comments><slash:comments>0</slash:comments><wfw:commentRss>http://m.tkk7.com/alex/comments/commentRss/53293.html</wfw:commentRss><trackback:ping>http://m.tkk7.com/alex/services/trackbacks/53293.html</trackback:ping><description><![CDATA[key words: bash�~�程 <br /><br />转自 <a >�q�里</a><br /><br />另一��?<a >详解Bash命��o行处�?/a><br /><br />bash�~�程教学实例<br /><br />
bash�~�程<br /><br />
--------------------------------------------------------------------------------<br />
時間�Q?004/03/02　　　　來源�Q�不�?br /><br />
　　Shell Script(bash)����?br /><br />
　　众所皆知圎ͼ�UNIX上以���工兯���名，利用许多���单的���工��P��来完成原本需要大量��Y体开发的工作�Q�这一点特�Ԍ��使得UNIX成�ؓ许多人心目中理想的系�l���^台。　<br />
　　在众多的���工具中�Q�Shell Script���得上是最基本、最强大、运用最�q�泛的一个。它�q�用围之�q�，不但从系�l�启动、程式编译、定期作业、上�|�连�U�，甚至安装整个Linux�pȝ���Q�都可以用它来完成。　<br /><br />
　　因�ؓShell
Script是利用您�q�x��在��用的一些指令，���之�l�合��h���Q�成��Z���?�E�式"。如果您�q�x��某些序列的指令下得特别频�J�，便可以将�q�些指��o�l�合��h���Q�成为另
一个新的指令。这��P��不但可以���化�ƈ加速操作速度�Q�甚臌���可以�q�脆自动定期执行�Q�大大简化系�l�管理工作。　<br /><br />
　　*************************<br />
　　Bash(GNU Bourne-Again
SHell)是许多Linux�q�_��的内定Shell�Q�事实上�Q�还有许多传�l�UNIX上用的Shell�Q�像tcsh、csh、ash、bsh、ksh�{�等�Q?
Shell Script大致都类同，当您学会一�U�Shell以后�Q�其它的Shell会很快就上手�Q�大多数的时候，一个Shell
Script通常可以在很多种Shell上��用。　<br />
　　�q�里我介�l�您bash的��用方法。事实上�Q�当�?man
bash"�Ӟ�����可以看到bash的说明书�Q�不�q�对许多人来��_���q�䆾说明书犹�?无字天书"一样难懂。这份文�Ӟ��主要资料来源�?man
bash"�Q�我加上一些实际日常的应用例来说明。希望这栯���让那些始�l�不得其门而入的�h们，多多���少能有�Ҏ����c��　<br /><br /><br />
　　教学例子<br /><br />
　　"Hello world" Shell Script　<br />
　　照传�l�程式教学例�Q�这一节介�l�Shell Script�?Hello World"如何撰写。　<br /><br />
　　*************************<br /><br />
　　#!/bin/sh　<br />
　　# Filename : hello　<br />
　　echo "Hello world!"　<br /><br />
　　*************************<br /><br />
　　大家应该会注意到�W�一行的"#!/bin/sh"。在UNIX下，所有的可执行Script�Q�不���是那一�U�语�a��Q�其开头都�?#!"�Q�例如Perl�?
"#!/usr/bin/perl"�Q�tcl/tk�?#!/usr/bin/wish"�Q�看您要执行的Script�E�式位置在那里。您也可以用"#!
/bin/bash"�?#!/bin/tcsh"�{�等�Q�来指定使用特定的Shell。　<br />
　　echo是个bash的内建指令。　<br /><br />
　　*************************<br /><br />
　　接下来，执行hello�q�个script:　<br />
　　要执行一个Script的方式有很多�U�。　<br /><br />
　　*************************<br /><br />
　　�W�一�U?: ���hello�q�个档案的权限设定�ؓ可执行。　<br />
　　[foxman@foxman bash]# chmod 755 hello　<br />
　　执行　<br />
　　[foxman@foxman bash]# ./hello　<br />
　　hello world　<br /><br />
　　*************************<br /><br />
　　�W�二�U?: 使用bash内徏指��o"source"�?."。　<br />
　　[foxman@foxman bash]# source hello　<br />
　　hello world　<br />
　　或　<br />
　　[foxman@foxman bash]# . hello　<br />
　　hello world　<br /><br />
　　*************************<br /><br />
　　�W�三�U?: 直接使用sh/bash/tcsh指��o来执行。　<br />
　　[foxman@foxman bash]# sh hello　<br />
　　hello world　<br />
　　或　<br />
　　[foxman@foxman bash]# bash hello　<br />
　　hello world　<br /><br />
　　*************************<br /><br />
　　Bash执行选项　<br /><br />
　　*************************<br /><br />
　　-c string : ��d��string来当命��o。　<br />
　　-i : 互动介面。　<br />
　　-s : 由stdin��d��命��o。　<br />
　　- : 取消往后选项的读取。　<br />
　　-norc : 不要读~/.bashrc来执行。　<br />
　　-noprofile : 不要�?etc/profile、~/.bash_profile、~/.bash_login、~/.profile�{�等来执行。　<br />
　　-rcfile filename : 执行filename�Q�而非~/.bashrc　<br />
　　-version : 昄���版本。　<br />
　　-quiet : 启动时不要哩唆。　<br />
　　-login : ���保bash是个login shell。　<br />
　　-nobraceexpansion : 不要用curly brace expansion({}�W�号展开)。　<br />
　　-nolineediting : 不用readline来读取命令列。　<br />
　　-posix : 攚w��Posix 1003.2标准。　<br /><br /><br />
　　用于自动备䆾的Shell Script<br /><br /><br />
　　一个用于自动备份的Shell Script<br />
　　我们先前提到�Q�可利用Shell Script搭配crond来作定期的工作。要作定期性的工作�Q�在UNIX上，���是与crond的搭配运用。　<br /><br />
　　*************************<br /><br />
　　首先我们先来研究如何对系�l�进行备份。　<br />
　　要对�pȝ���q�行备䆾�Q�不外乎便是利用一些压�~�工兗���在许多UNIX�pȝ��上，tar及gzip是de
facto的资料交换标准。我们经常可以看见一些tar.gz或tgz档，�q�些档案�Q�被�U�Cؓtarball。当然了�Q�您也可以用bzip2、zip�{�等�?
�~�工��h���q�行压羃�Q�不必限定于gzip。但tar配合gzip是最普遍的，也是最方便的方式。　<br /><br />
　　要将我们惌���的资料压�~��v来，�q�行备䆾�Q�可以结合tar及gzip一赯���行。方式有很多�U�，最常用的指令是以下�q�一�U?　<br /><br />
　　tar -c file/dir ... | gzip -9 &gt; xxxx.tar.gz　<br /><br />
　　您也可以分开来做:　<br /><br />
　　tar -r file/dir ... -f xxxx.tar　<br />
　　gzip -9 xxxx.tar　<br /><br />
　　或　<br /><br />
　　tar -r file/dir ... -f xxxx.tar　<br />
　　gzip -9 &lt; xxxx.tar &gt; xxxx.tar.gz　<br /><br />
　　*************************<br /><br />
　　在解�q�Linux下档案备份的基本知识后，我们来写一个将档案备䆾的Script。　<br />
　　#!/bin/sh　<br />
　　# Filename : backup　<br /><br />
　　DIRS="/etc /var /your_directories_or_files"　<br />
　　BACKUP="/tmp/backup.tgz"　<br /><br />
　　tar -c $DIRS | gzip -9 &gt; $BACKUP　<br /><br />
　　其中DIRS攄���是您要备份的档案及目录，BACKUP是您的备份档。可不要��?tmp放进DIRS中，那样做，您是在做备䆾的备份，可能���您的硬���塞爆。　<br /><br /><br />
　　*************************<br /><br />
　　接下来测试　<br />
　　[foxman@foxman bash]# chmod 755 backup　<br />
　　[foxman@foxman bash]# ./backup　<br /><br />
　　执行完成后在/tmp��׃��有一个backup.tgz�Q�里面储存了您重要的资料。您可用　<br /><br />
　　gzip -dc /tmp/backup.tgz | tar -vt　<br />
　　或　<br />
　　tar vtfz /tmp/backup.tgz　<br /><br />
　　来看看里面的档案列表。　<br /><br />
　　要解开�Ӟ��可用以下指��o来完成复�?　<br /><br />
　　gzip -dc /tmp/backup.tgz | tar -xv　<br />
　　或　<br />
　　tar xvfz /tmp/backup.tgz　<br /><br />
　　备䆾通常是仅备䆾�pȝ��通常最重要的部份，/etc可说是不可缺���的一部䆾。另外，看您�pȝ��中有那些重要的资料需要备份。通常来说�Q�您没有必要备䆾
/bin�?sbin�?usr/bin�?usr/sbin�?usr/X11R6/bin�{�等�q�些执行档目录。只要备份您重要的档案即可，别把整个��?
���备份，那是蛮呆的动作。　<br /><br />
　　*************************<br /><br />
　　如果您有许多台机器，可利用其中一��C�Q务较�ȝ��内部�|��\��L���Q�做��Z��要备份主机。将所有机器都自动执行备䆾�Q�然后利用NFS/Coda/Samba�{�网路档案系�l�，���备份的资料攑ֈ�该备份机器中�Q�该机器则定时收取备份资料，然后您再��p��机器中进行一�ơ备份。　<br />
　　�q�里是整个系�l�备份方案的囄���。　<br /><br />
　　在您�q�行之前�Q�先解一下，�pȝ��中那些是要备份的�Q�那些是不需要的。　<br /><br />
　　*************************<br /><br />
　　新的backup<br />
　　#!/bin/sh　<br />
　　HOSTNAME=`hostname`　<br />
　　DIRS="/etc /var /your_important_directory"　<br />
　　BACKUP="/tmp/$HOSTNAME.tgz"　<br />
　　NFS="/mnt/nfs"　<br /><br />
　　tar -c $DIRS | gzip -9 &gt; $BACKUP　<br />
　　mv -f $BACKUP $NFS　<br /><br /><br />
　　*************************<br /><br />
　　备䆾��L��内的Script : collect_backup<br />
　　#!/bin/sh　<br />
　　NFS="/mnt/nfs"　<br />
　　BACKUP="/backup"　<br /><br />
　　mv -f $NFS/*.tgz $BACKUP　<br /><br /><br />
　　在此�Q�您不能够将所有备份都直接攑֜�/mnt/nfs�Q�这是危险的。万一��M��台机器不���心��?mnt/nfs所有内容删除，那么备䆾��׃��消失。因此，您需要将/mnt/nfs�U�d��一个只有该备䆾��L��可存取的目录中。　<br /><br /><br />
　　*************************<br /><br />
　　当这些个别的Script都测试好以后�Q�接下来我们���他们放到crontab里面。找到您的crontab�Q�它的位�|�可能在/var/spool/cron/crontabs/root�?etc/crontab�?var/cron/tabs/root。　<br />
　　在crontab中选择以下之一加入(看您定期的时�?:　<br /><br />
　　Slackware : /var/spool/cron/crontabs/root<br />
　　01 * * * *　/full_backup_script_path/backup 1&gt; /dev/null 2&gt; /dev/null # 每小�?太过火一�?　<br />
　　30 16 * * *　/full_backup_script_path/backup 1&gt; /dev/null 2&gt; /dev/null # 每日16:30�Q�下班前备䆾　<br />
　　30 16 * * 0　/full_backup_script_path/backup 1&gt; /dev/null 2&gt; /dev/null # 每周一16:30　<br />
　　0 5 1 * *　/full_backup_script_path/backup 1&gt; /dev/null 2&gt; /dev/null # 每月一�?:0　<br />
　　RedHat/Debian : /etc/crontab<br />
　　RedHat可直接将backup攑օ�/etc/cron.hourly, /etc/cron.daily, /etc/cron.weekly, /etc/cron.monthly。或采用如上加入/etc/crontab的方�?　<br />
　　有关crontab的用法，可查"man 5 crontab"�Q�在此不详述。　<br /><br />
　　备䆾��L��的设定类同。　<br /><br />
　　注意: 所有机器不要同时进行备份，否则�|��\会大塞�R。备份主机收取备份的旉���要设为最后，否则会收不到备䆾资料。您可以在实作后�Q�将旉���间隔调整一下。　<br /><br /><br />
　　*************************<br /><br />
　　看看�Q�两个小���不��C��行的Shell Script�Q�配合cron�q�个定时工具。可以让原本需要耗时多个���时的�h工备份工作，���化到不到十分钟。善用您的想像力�Q�多加一点变化，可你让您的生�z�d��得轻村ּ�常，快乐悠哉�?br /><br /><br />
　　档案�pȝ������?br /><br />
　　�pȝ��安全一向是大多数电脑用户关心的事，在UNIX�pȝ��中，最重视的事�Q�即�pȝ��中有没有"木马"(Trojan horse)。不���Trojan
horse如何放进来的�Q�有一点始�l�会不变�Q�即被放�|�木马的档案�Q�其档案日期一定会被改变，甚至会有其它的状态改变。此外，许多状况下，�pȝ��会多��Z��些不
知名的档案。因此，�q�x�����查整个档案系�l�的状态是否有被改变，���所有状态有改变的档案，以及目前有那些程式正在执行，自动报告�l�系�l�管理员�Q�是个避免坐�?
"木马"的良斏V��　<br /><br />
　　*************************<br /><br />
　　#!/bin/sh　<br />
　　# Filename : whatever_you_name_it　<br />
　　DIRS="/etc /home /bin /sbin /usr/bin /usr/sbin /usr/local /var /your_directory"　<br />
　　ADMIN="email@your.domain.com"　<br />
　　FROM="admin@your.domain.com"　<br />
　　# 写入Sendmail的标头　<br />
　　echo "Subject: $HOSTNAME filesystem check" &gt; /tmp/today.mail　<br />
　　echo "From: $FROM" &gt;&gt; /tmp/today.mail　<br />
　　echo "To: $ADMIN" &gt;&gt; /tmp/today.mail　<br />
　　echo "This is filesystem report comes from $HOSTNAME" &gt;&gt; /tmp/today.mail　<br />
　　# 报告目前正在执行的程式　<br />
　　ps axf &gt;&gt; /tmp/today.mail　<br />
　　# 档案�pȝ�����查　<br />
　　echo "File System Check" &gt;&gt; /tmp/today.mail　<br />
　　ls -alR $DIRS | gzip -9 &gt; /tmp/today.gz　<br />
　　zdiff /tmp/today.gz /tmp/yesterday.gz &gt;&gt; /tmp/today.mail　<br />
　　mv -f /tmp/today.gz /tmp/yesterday.gz　<br />
　　# 寄出信�g　<br />
　　sendmail -t &lt; /tmp/today.mail　<br /><br />
　　然后把它攑ֈ�一个不昄���的地方去�Q�让别�h找不到。　<br /><br />
　　把它加入crontab中。　<br /><br />
　　30 7 * * *　/full_check_script_path/whatever_you_name_it 1&gt; /dev/null 2&gt; /dev/null #上班前检查　<br /><br />
　　有些档案是固定会更动的，�?var/log/messages�?var/log/syslog�?dev/ttyX�{�等�Q�不要太大惊���怪�?br /><br /><br />
　　控制圈for<br /><br />
　　演示了几个简单的Shell Script�Q�相信您应该对Shell Script有点概念了。现在我们开始来仔细研究一些较高等的Shell
Script写作。一些进一步的说明�Q�例�?$"�?&gt;"�?&lt;"�?&gt;&gt;"�?1&gt;"�?2&gt;"�W�号的��用，会在
�E�后解释。　<br /><br />
　　*************************<br /><br />
　　for name [ in word; ] do list ; done<br />
　　控制圈。　<br />
　　word是一序列的字�Q�for会将word中的个别字展开�Q�然后设定到name上面。list是一序列的工作。如果[in word;]省略掉，那么name���会被设定�ؓScript后面所加的参数。　<br /><br /><br />
　　*************************<br /><br />
　　例一:　<br />
　　#!/bin/sh　<br /><br />
　　for i in a b c d e f ; do　<br />
　　echo $i　<br />
　　done　<br /><br />
　　它将会显�C�出a到f。　<br /><br /><br />
　　*************************<br /><br />
　　例二: 另一�U�用法，A-Z<br />
　　#!/bin/sh　<br />
　　WORD="a b c d e f g h i j l m n o p q r s t u v w x y z"　<br /><br />
　　for i in $WORD ; do　<br />
　　echo $i　<br />
　　done　<br /><br />
　　�q�个Script���会昄���a到z。　<br /><br /><br />
　　*************************<br /><br />
　　例三 : 修改副档�?br />
　　如果您有许多�?txt档想要改名成.doc档，您不需要一个一个来。　<br />
　　#!/bin/sh　<br /><br />
　　FILES=`ls /txt/*.txt`　<br /><br />
　　for txt in $FILES ; do　<br />
　　doc=`echo $txt | sed "s/.txt/.doc/"`　<br />
　　mv $txt $doc　<br />
　　done　<br /><br />
　　�q�样可以��?.txt档修�Ҏ��*.doc档。　<br /><br /><br />
　　*************************<br /><br />
　　例四 : meow<br />
　　#!/bin/sh　<br />
　　# Filename : meow　<br />
　　for i ; do　<br />
　　cat $i　<br />
　　done　<br /><br />
　　当您输入"meow file1 file2 ..."�Ӟ��其作用就�?cat file1 file2 ..."一栗���　<br /><br /><br />
　　*************************<br /><br />
　　例五 : listbin　<br />
　　#!/bin/sh　<br />
　　# Filename : listbin　<br /><br />
　　for i in /bin/* ; do　<br />
　　echo $i　<br />
　　done　<br /><br />
　　当您输入"listbin"�Ӟ��其作用就�?ls /bin/*"一栗���　<br /><br /><br />
　　*************************<br /><br />
　　例六 : /etc/rc.d/rc　<br />
　　拿一个实际的例来��_��Red Hat�?etc/rc.d/rc的启动程式中的一个片断。　<br /><br />
　　for i in /etc/rc.d/rc$runlevel.d/S*; do　<br />
　　# Check if the script is there.　<br />
　　[ ! -f $i ] &amp;&amp; continue　<br /><br />
　　# Check if the subsystem is already up.　<br />
　　subsys=${i#/etc/rc.d/rc$runlevel.d/S??}　<br />
　　[ -f /var/lock/subsys/$subsys ] || \　<br />
　　[ -f /var/lock/subsys/${subsys}.init ] &amp;&amp; continue　<br /><br />
　　# Bring the subsystem up.　<br />
　　$i start　<br />
　　done　<br /><br />
　　�q�个例中�Q�它扑և�/etc/rc.d/rcX.d/S*所有档案，���查它是否存在�Q�然后一一执行。　<br /><br /><br />
　　���程控制case<br /><br />
　　case word in [ pattern [ | pattern ] ... ) list ;; ] ... esac<br />
　　case/esac的标准用法大致如�?　<br />
case $arg in　<br />
　　pattern | sample) # arg in pattern or sample　<br />
　　;;　<br />
　　pattern1) # arg in pattern1　<br />
　　;;　<br />
　　*) #default　<br />
　　;;　<br />
esac　<br />
　　arg是您所引入的参敎ͼ�如果arg内容�W�合pattern��目的话�Q�那么便会执行pattern以下的程式码�Q�而该�D늨�式码则以两个分号";;"做结���。　<br /><br />
　　可以注意�?case"�?esac"是对�U�的�Q�如果记不�v来的话，�?case"颠倒过来即可。　<br /><br /><br />
*************************<br /><br />
　　例一 : paranoia<br />
#!/bin/sh　<br />
case $1 in　<br />
　　　　start | begin)　<br />
　　　　　echo "start something"　<br />
　　　　;;　<br />
　　　　stop | end)　<br />
　　　　　echo "stop something"　<br />
　　　　;;　<br />
　　　　*)　<br />
　　　　　echo "Ignorant"　<br />
　　　　;;　<br />
esac　<br /><br />
　　执行<br />
　　[foxman@foxman bash]# chmod 755 paranoia　<br />
　　[foxman@foxman bash]# ./paranoia　<br />
　　Ignorant　<br />
　　[foxman@foxman bash]# ./paranoia start　<br />
　　start something　<br />
　　[foxman@foxman bash]# ./paranoia begin　<br />
　　start something　<br />
　　[foxman@foxman bash]# ./paranoia stop　<br />
　　stop something　<br />
　　[foxman@foxman bash]# ./paranoia end　<br />
　　stop something　<br /><br />
*************************<br /><br />
　　例二 : inetpanel<br />
　　许多的daemon都会附上一个管理用的Shell Script�Q�像BIND���附上ndc�Q�Apache���附上apachectl。这些管理程式都是用shell script来写的，以下�C�Z��个管理inetd的shell script。　<br />
#!/bin/sh　<br /><br />
case $1 in　<br />
　　start | begin | commence)　<br />
　　　 /usr/sbin/inetd　<br />
　　;;　<br />
　　stop | end | destroy)　<br />
　　　 killall inetd　<br />
　　;;　<br />
　　restart | again)　<br />
　　　 killall -HUP inetd　<br />
　　;;　<br />
　　*)　<br />
　　　 echo "usage: inetpanel [start | begin | commence | stop | end | destory | restart | again]"　<br />
　　;;　<br />
esac　<br /><br /><br />
*************************<br /><br />
　　例三 : 判断�pȝ��<br />
　　有时候，您所写的Script可能会跨���好几种�q�_���Q�如Linux、FreeBSD、Solaris�{�等�Q�而各�q�_��之间�Q�多多少���都有不同之处，有时候需要判断目前正在那一�U���^��C��执行。此�Ӟ��我们可以利用uname来找出系�l�资讯。　<br />
#!/bin/sh　<br /><br />
SYSTEM=`uname -s`　<br /><br />
case $SYSTEM in　<br />
　　Linux)　<br />
　　　　echo "My system is Linux"　<br />
　　　　echo "Do Linux stuff here..."　<br />
　　;;　<br />
　　FreeBSD)　<br />
　　　　echo "My system is FreeBSD"　<br />
　　　　echo "Do FreeBSD stuff here..."　<br />
　　;;　<br />
　　*)　<br />
　　　　echo "Unknown system : $SYSTEM"　<br />
　　　　echo "I don't what to do..."　<br />
　　;;　<br />
esac　<br /><br /><br />
　　���程控制select<br /><br />
　　select name [ in word; ] do list ; done<br />
　　select��֐�思义���是在word中选择一��V��与for相同�Q�如果[in word;]省略�Q�将会��用Script后面所加的参数。　<br />
　　�?<br />
#!/bin/sh　<br />
WORD="a b c"　<br /><br />
select i in $WORD ; do　<br />
　case $i in　<br />
　　a)　<br />
　　　echo "I am A"　<br />
　　;;　<br />
　　b)　<br />
　　　echo "I am B"　<br />
　　;;　<br />
　　c)　<br />
　　　echo "I am C"　<br />
　　;;　<br />
　　*)　<br />
　　　break;　<br />
　　;;　<br />
　esac　<br />
done　<br /><br />
　　执行�l�果<br />
　　[foxman@foxman bash]# ./select_demo　<br />
1) a　<br />
2) b　<br />
3) c　<br />
#? 1　<br />
I am A　<br />
1) a　<br />
2) b　<br />
3) c　<br />
#? 2　<br />
I am B　<br />
1) a　<br />
2) b　<br />
3) c　<br />
#? 3　<br />
I am C　<br />
1) a　<br />
2) b　<br />
3) c　<br />
#? 4　<br /><br /><br />
　　�q�回状态Exit<br /><br />
　　在���l�下��M��前，我们必须要切入另一个话题，卌���回状态�?- Exit Status。因为if/while/until都迁涉到了��用Exit Status来控制程式流�E�的问题。　<br /><br />
　　*************************<br /><br />
　　许多人都知道�Q�在许多语言�?C/C++/Perl....)�Q�都有一个exit的函敎ͼ�甚至�q�Bash自己都有个exit的内建命令。而exit后面所带的数字�Q�便是返回状态�?- Exit Status。　<br />
　　�q�回状态值可以��得程式与�E�式之间�Q�利用Shell script来结合的可能性大增，利用���程式，透过Shell script�Q�来完成很杂的工作。　<br /><br />
　　在shell中，�q�回��gؓ零表�C�成�?True)�Q�非零��gؓ��p�|(False)。　<br /><br /><br />
　　*************************<br /><br />
　　举例来说�Q�以下这个两个小�E�式yes/no分别会返�?/1(成功/��p�|):　<br />
　　/* yes.c */　<br />
　　void main(void) { exit(0); }　<br />
　　/* no.c */　<br />
　　void main(void) { exit(1); }　<br />
　　那么以下�q�个"YES"的shell script便会昄���"YES"。　<br />
　　#!/bin/sh　<br />
　　# YES　<br />
　　if yes ; then　<br />
　　echo "YES"　<br />
　　fi　<br />
　　�?NO"不会昄�����M��东西。　<br />
　　#!/bin/sh　<br />
　　# NO　<br />
　　if no ; then　<br />
　　echo "YES"　<br />
　　fi　<br /><br />
　　*************************<br /><br />
　　test express　<br />
　　[ express ]　<br />
　　在Shell script中，test express/[ express
]�q�个语法被大量地使用�Q�它是个非常实用的指令。由于它的返回值即Exit
Status�Q�经常被�q�用在if/while/until的场合中。而在后面�Q�我们也会大量运用到�Q�在�q�入介绍if/while/until之前�Q�有必要
先解一下。　<br /><br />
　　其返回��gؓ0(True)�?(False)�Q�要看表�q?express)的结果�ؓ何。　<br /><br />
　　express格式　<br /><br />
　　-b file : 当档案存在�ƈ且属性是Block special(通常�?dev/xxx)�Ӟ���q�回True。　<br />
　　-c file : 当档案存在�ƈ且属性是character special(通常�?dev/xxx)�Ӟ���q�回True。　<br />
　　-d file : 当档案存在�ƈ且属性是目录�Ӟ���q�回True。　<br />
　　-e file : 当档案存在时�Q�返回True。　<br />
　　-f file :　当档案存在�ƈ且是正常档案�Ӟ���q�回True。　<br />
　　-g file :　当档案存在�ƈ且是set-group-id�Ӟ���q�回True。　<br />
　　-k file :　当档案存在�ƈ且有"sticky" bit被设定时�Q�返回True。　<br />
　　-L file :　当档案存在�ƈ且是symbolic link�Ӟ���q�回True。　<br />
　　-p file :　当档案存在�ƈ且是name pipe�Ӟ���q�回True。　<br />
　　-r file :　当档案存在�ƈ且可��d���Ӟ���q�回True。　<br />
　　-s file :　当档案存在�ƈ且档案大���大于零�Ӟ���q�回True。　<br />
　　-S file : 当档案存在�ƈ且是socket�Ӟ���q�回True。　<br />
　　-t fd : 当fd被开启�ؓterminal�Ӟ���q�回True。　<br />
　　-u file : 当档案存在�ƈ且set-user-id bit被设定时�Q�返回True。　<br />
　　-w file : 当档案存在�ƈ且可写入�Ӟ���q�回True。　<br />
　　-x file : 当档案存在�ƈ且可执行�Ӟ���q�回True。　<br />
　　-O file : 当档案存在�ƈ且是被执行的user id所拥有�Ӟ���q�回True。　<br />
　　-G file : 当档案存在�ƈ且是被执行的group id所拥有�Ӟ���q�回True。　<br />
　　file1 -nt file2 : 当file1比file2新时(�Ҏ��修改旉���)�Q�返回True。　<br />
　　file1 -ot file2 : 当file1比file2旧时(�Ҏ��修改旉���)�Q�返回True。　<br />
　　file1 -ef file2 : 当file1与file2有相同的device及inode number�Ӟ���q�回True。　<br />
　　-z string : 当string的长度�ؓ零时�Q�返回True。　<br />
　　-n string : 当string的长度不为零�Ӟ���q�回True。　<br />
　　string1 = string2 : string1与string2相等�Ӟ���q�回True。　<br />
　　string1 != string2 : string1与string2不相�{�时�Q�返回True。　<br />
　　! express : express为False�Ӟ���q�回True。　<br />
　　expr1 -a expr2 : expr1及expr2为True。　<br />
　　expr1 -o expr2 : expr1或expr2其中之一为True。　<br />
　　arg1 OP arg2 :
OP�?eq[equal]�?ne[not-equal]�?lt[less-than]�?le[less-than-or-equal]�?gt
[greater-than]�?ge[greater-than-or-equal]的其中之一。　<br /><br /><br /><br />
　　*************************<br /><br />
　　在Bash中，当错误发生在致命信号�Ӟ��bash会返�?28+signal
number做�ؓ�q�回倹{��如果找不到命��o�Q�将会返�?27。如果命令找��C���Q�但该命令是不可执行的，���返�?26。除此以外，Bash本��n会返回最后一�?
指��o的返回倹{��若是执行中发生错误�Q�将会返回一个非零的倹{��　<br />
　　Fatal Signal : 128 + signo　<br />
　　Can't not find command : 127　<br />
　　Can't not execute : 126　<br />
　　Shell script successfully executed : return the last command exit status　<br />
　　Fatal during execution : return non-zero<br /><br />
　　���程控制if<br /><br />
　　if list then list [ elif list then list ] ... [ else list ] fi<br />
　　几种可能的写法　<br /><br />
*************************<br /><br />
�W�一�U�　<br />
if list then　<br />
　do something here　<br />
fi　<br />
当list表述�q�回��gؓTrue(0)�Ӟ�����会执行"do something here"。　<br /><br />
例一 : 当我们要执行一个命令或�E�式之前�Q�有时候需要检查该命��o是否存在�Q�然后才执行。　<br />
if [ -x /sbin/quotaon ] ; then　<br />
　　echo "Turning on Quota for root filesystem"　<br />
　　/sbin/quotaon /　<br />
fi　<br /><br />
例二 : 当我们将某个档案做�ؓ讑֮�档时�Q�可先检查是否存在，然后���该档案讑֮���D��入。　<br />
# Filename : /etc/ppp/settings　<br />
PHONE=1-800-COLLECT　<br /><br />
#!/bin/sh　<br />
# Filename : phonebill　<br />
if [ -f /etc/ppp/settings ] ; then　<br />
　　source /etc/ppp/settings　<br />
　　echo $PHONE　<br />
fi　<br />
执行　<br />
[foxman@foxman ppp]# ./phonebill　<br />
1-800-COLLECT　<br /><br /><br />
*************************<br /><br />
�W�二�U�　<br />
if list then　<br />
　do something here　<br />
else　<br />
　do something else here　<br />
fi　<br />
例三 : Hostname　<br />
#!/bin/sh　<br />
if [ -f /etc/HOSTNAME ] ; then　<br />
　　HOSTNAME=`cat /etc/HOSTNAME`　<br />
else　<br />
　　HOSTNAME=localhost　<br />
fi　<br /><br /><br />
*************************<br /><br />
�W�三�U�　<br />
if list then　<br />
　do something here　<br />
elif list then　<br />
　do another thing here　<br />
fi　<br />
例四 : 如果某个讑֮�档允许有好几个位�|�的话，例如crontab�Q�可利用if then elif fi来找寅R��　<br />
#!/bin/sh　<br /><br />
if [ -f /etc/crontab ] ; then　<br />
　　CRONTAB="/etc/crontab"　<br />
elif [ -f /var/spool/cron/crontabs/root ] ; then　<br />
　　CRONTAB="/var/spool/cron/crontabs/root"　<br />
elif [ -f /var/cron/tabs/root ] ; then　<br />
　　CRONTAB="/var/cron/tabs/root"　<br />
fi　<br />
export CRONTAB　<br /><br /><br />
*************************<br /><br />
�W�四�U�　<br />
if list then　<br />
　do something here　<br />
elif list then　<br />
　do another thing here　<br />
else　<br />
　do something else here　<br />
fi　<br />
例五 : 我们可利用uname来判断目前系�l�，�q�分别做各系�l�状况不同的事。　<br />
#!/bin/sh　<br /><br />
SYSTEM=`uname -s`　<br /><br />
if [ $SYSTEM = "Linux" ] ; then　<br />
　echo "Linux"　<br />
elif [ $SYSTEM = "FreeBSD" ] ; then　<br />
　echo "FreeBSD"　<br />
elif [ $SYSTEM = "Solaris" ] ; then　<br />
　echo "Solaris"　<br />
else　<br />
　echo "What?"　<br />
fi　<br /><br />
控制圈while/until<br /><br />
while list do list done<br />
当list为True�Ӟ��该圈会不停地执行。　<br />
例一 : 无限回圈写法　<br />
#!/bin/sh　<br /><br />
while : ; do　<br />
　echo "do something forever here"　<br />
　sleep 5　<br />
done　<br /><br />
例二 : �����把pppd杀掉。　<br />
#!/bin/sh　<br /><br />
while [ -f /var/run/ppp0.pid ] ; do　<br />
　　killall pppd　<br />
done　<br /><br /><br />
*************************<br /><br />
until list do list done<br />
当list为False(non-zero)�Ӟ��该圈会不停地执行。　<br />
例一 : �{�待pppd上线。　<br />
#!/bin/sh　<br />
until [ -f /var/run/ppp0.pid ] ; do　<br />
　　sleep 1　<br />
done　<br /><br /><br />
　　参数与变�?br /><br />
　　在���l�下��M���l�function之前�Q�我们必���d��下来介绍"参数与变�?。　<br /><br />
　　*************************<br /><br />
　　参数(Parameters)是用来储�?�?的资料型态，有点像是一般语�a�中的变数。它可以是个名称(name)、数�?number)、或者是以下所列出来一些特�D�符�?Special Parameters)。　<br />
　　在shell中，变数是由name形式的参数所构成的。　<br /><br /><br />
　　*************************<br /><br />
　　在前面的许多例中�Q�我们事实上已经看到许多参数的运用。要讑֮�一个Parameter实际很简�?　<br />
　　name=value　<br /><br />
　　例如�?　<br /><br />
　　MYHOST="foxman"　<br /><br />
　　而要使用它时�Q�则是加�?$"�W�号。　<br /><br />
　　echo $MYHOST　<br /><br />
　　*************************<br /><br />
　　位置参数(Positional Parameters)　<br /><br />
　　*************************<br /><br />
　　所谓的位置参数便是0,1,2,3,4,5,6,7,8,9...。��用时�Q�用$0,$1,$2...。　<br />
　　位置参数是当script被蝲入时�Q�后面所附加的参数�?0是本�w�，$1则�ؓ�W�一个参敎ͼ�$2为第二个�Q�依此类推。而当Positional Parameters被function所使用�Ӟ��它们会被暂时取代(下一节会介绍function)。　<br /><br />
　　例如以下�q�个script:　<br />
　　#!/bin/sh　<br />
　　# Filename : position　<br />
　　echo $0　<br />
　　echo $1　<br /><br />
　　执行�?　<br />
　　[foxman@foxman bash]# ./position abc　<br />
　　./position　<br />
　　abc　<br /><br />
　　当位�|�参数超�q�两位数�Ӟ��有特别的�Ҏ��来展开�Q�称为Expansion。　<br /><br />
　　*************************<br /><br />
　　�Ҏ��参数(Speical Parameters)　<br />
　　�q�些�W�号�Q�非�怸�人性，�Ҏ��手来说很困扰。但上手后，会觉得方便无比，有些如果您看不懂的话�Q�就--���了�Q�不用浪费太多时间在上面。　<br /><br />
　　*************************<br /><br />
　　* 星号　<br />
　　���Positional Parameters合成一个参敎ͼ�光���隔�ؓIFS内定参数的第一个字�?见内建变��C���?。　<br />
　　�?　<br />
　　#!/bin/sh　<br />
　　# starsig　<br />
　　echo $*　<br /><br />
　　执行:　<br />
　　[foxman@foxman bash]# starsig a b c d e f g　<br />
　　a b c d e f g　<br /><br />
　　*************************<br /><br />
　　@ at�W�号　<br />
　　�?星号�c�d��。不同之处在于不参照IFS。　<br /><br />
　　�?　<br />
　　#!/bin/sh　<br />
　　# atsig　<br />
　　echo $@　<br /><br />
　　执行:　<br />
　　[foxman@foxman bash]# atsig a b c d e f g　<br />
　　a b c d e f g　<br /><br /><br />
　　*************************<br /><br />
　　# 井字受���<br />
　　展开Positional parameters的数量。　<br /><br />
　　�?　<br />
　　#!/bin/sh　<br />
　　# poundsig　<br />
　　echo $#　<br /><br />
　　执行　<br />
　　[foxman@foxman bash]# poundsig a b c d e f g　<br />
　　7　<br /><br />
　　*************************<br /><br />
　　? 问号　<br />
　　最�q�执行的foreground pipeline的状态。　<br /><br /><br />
　　*************************<br /><br />
　　- 减号　<br />
　　最�q�执行的foreground pipeline的选项参数。　<br /><br />
　　*************************<br /><br />
　　$ 钱钱钱　<br />
　　本��n的Process ID。　<br /><br />
　　[foxman@foxman bash]# ps ax | grep bash　<br />
　　1635　p1 S　　0:00 /bin/bash　<br /><br />
　　[foxman@foxman bash]# echo $$　<br />
　　1635　<br /><br />
　　*************************<br /><br />
　　! 惊号　<br />
　　最�q�执行背景命令的Process ID。　<br /><br />
　　*************************<br /><br />
　　0 零　<br />
　　在Positional Parameters一部䆾已经说明�q�了�Q�是执行的shell script本��n。但如果是用"bash -c"�Q�则$0被设为第一个参数。　<br /><br />
　　[foxman@foxman bash]# echo $0　<br />
　　/bin/bash　<br /><br />
　　*************************<br /><br />
　　_ 底线�W�号　<br />
　　昄���出最后一个执行的命��o。　<br /><br />
　　[foxman@foxman bash]# echo $_　<br />
　　bash　<br /><br /><br />
　　*************************<br /><br />
　　内徏变数(Shell Variables)　<br />
　　Bash有许多内建变敎ͼ�像PATH、HOME、ENV......�{�等。这些内建变数将在另一节中�Q�专门一一说明�?br /><br />
　　函数function<br /><br />
　　[ function ] name () { list; }<br />
　　function的参数是Positional Paraments。　<br /><br />
　　例　<br />
#!/bin/sh　<br /><br />
function func() {　<br />
　echo $1　<br />
　echo $2　<br />
　return 1　<br />
}　<br /><br />
func "Hello" "function"　<br /><br />
　　局部变数可用local来宣告。　<br /><br />
　　函数可export�Q���用下一层的shell可以使用。　<br /><br />
　　函数可递，没有递层数的限制�?br /><br />
　　Bash内徏指��o集　<br /><br />
　　以下的命令，大部份都没有使用例，您可能会看不出所以然�Q�摸不著头脑。在我加入例说明前，������?man bash"�Q�然后自己实际操作一�ơ。　<br /><br />
　　*************************<br />
　　: [arguments]　<br />
　　不做��M��事，除了[arguments]一些参数展开及一些特定重导向的作业外。　<br /><br />
　　永远�q�回零。它的用法跟true一栗���　<br /><br />
　　*************************<br />
　　.　filename [arguments]　<br />
　　source filename [arguments]　<br />
　　由filename中读取命令，�q�执行。　<br />
　　您会�?etc/rc.d/*中发现很多　<br />
　　. /xxxx　<br />
　　的指令，而xxxx的permission都不是可执行的。事实上�Q�在tcsh中，需要用　<br />
　　source /xxxx　<br />
　　来做同样的指令。　<br />
　　注意�?."的后面是有空格的(比较一�?. /"�?./"�Q�不一�?。filename是内含指令的�U�文字档卛_���Q�无��chmod 755 filename。　<br /><br />
　　�?br />
　　filename : my_source　<br />
　　DEV=lo　<br />
　　IP=127.0.0.1　<br />
　　NETMASK=255.0.0.0　<br />
　　BROADCAST=127.255.255.255　<br /><br />
　　ifconfig $IP netmask $NETMASK broadcast $BROADCAST dev $DEV　<br /><br />
　　接下来　<br />
　　. my_source　<br />
　　或　<br />
　　source my_source　<br /><br />
　　便可执行该script�Q�而不需�?chmod 755 my_source"　<br /><br />
　　*************************<br />
　　alias [name[=value] ...]　<br />
　　�늧�命��o　<br />
　　例如您如果来自DOS的世界，对UNIX的指令不习惯�Q�可用alias来修改，以符合您的习惯。　<br /><br />
　　�?br />
　　alias ls="ls --color"　<br />
　　alias dir="ls"　<br />
　　alias cd..="cd .."　<br />
　　alias copy="cp -f" # dangerous, recommend, "cp -i"　<br />
　　alias del="rm -f" # dangerous, recommend, "rm -i"　<br />
　　alias move="mv -f" # dangerous, recommend, "mv -i"　<br />
　　alias md="mkdir"　<br />
　　alias rd="rmdir"　<br /><br />
　　*************************<br />
　　unalias [-a] [name ...]　<br />
　　unalias取消alias的设定�?unalias -a"���全部alias取消。　<br /><br />
　　�?br />
　　unalias copy　<br /><br />
　　*************************<br />
　　bg [jobspec]　<br />
　　���指定�Q务放到背景中�Q�如果jobspec未指定，内定为目前的。　<br /><br />
　　*************************<br />
　　fg [jobspec]　<br />
　　���指定�Q务放到前景中�Q�如果jobsepc没有指定�Q�那么内定�ؓ目前的。　<br /><br />
　　*************************<br />
　　jobs [-lnp] [ jobspec ... ]　<br />
　　�W�一�U��Ş式列出目前正在工作的��d��。　<br />
　　-l : 除了列出一般资讯外�Q�还列出Process IDs。　<br />
　　-p : 仅列�����工作��?首脑"(Process group leader)的Process ID.　<br />
　　-n : 则仅列出有改变的jobs的状态。　<br />
　　如果�l�定jobspec�Q�输�����讯则只有该jobspec。　<br /><br />
　　�q�回��gؓ�Ӟ��除非有非法的选项发生。　<br /><br />
　　jobs -x command [ args ... ]　<br /><br />
　　如果使用�W�二�U��Ş�?-x)�Q�jobs取代指定的command及args�Q��ƈ执行�q�回其Exit Status。　<br /><br />
　　*************************<br />
　　kill [-s sigspec | -sigspec] [pid | jobspec] ...　<br />
　　���sigspec的信号送到pid或jobspec。　<br />
　　sigspec可以是SIGKILL/KILL�q�种形式或是信号��L��。如果sigspec是signal name�Q�则大小写无养I��而且可以没有SIG。　<br />
　　kill -l [signum]　<br />
　　列出信号名称。　<br /><br />
　　[foxman@foxman bash]# kill -l　<br />
　　1) SIGHUP　　　 2) SIGINT　　　 3) SIGQUIT　　　4) SIGILL　<br />
　　5) SIGTRAP　　　6) SIGIOT　　　 7) SIGBUS　　　 8) SIGFPE　<br />
　　9) SIGKILL　　 10) SIGUSR1　　 11) SIGSEGV　　 12) SIGUSR2　<br />
　　13) SIGPIPE　　 14) SIGALRM　　 15) SIGTERM　　 17) SIGCHLD　<br />
　　18) SIGCONT　　 19) SIGSTOP　　 20) SIGTSTP　　 21) SIGTTIN　<br />
　　22) SIGTTOU　　 23) SIGURG　　　24) SIGXCPU　　 25) SIGXFSZ　<br />
　　26) SIGVTALRM　 27) SIGPROF　　 28) SIGWINCH　　29) SIGIO　<br />
　　30) SIGPWR　<br /><br />
　　*************************<br />
　　wait [n]　<br />
　　�{�待指定的行�E�，�q�返回其�l�束状态。n可以是个jobspec或Process
ID。如果n未指定，则等待所有的子行�E�，及返回��gؓ零。若n��Z��存在的job或process�Q�则�q�回127。否则，�q�回��gؓ最后一�?
job/process的Exit Status。　<br /><br />
　　*************************<br />
　　bind [-m keymap] [-lvd] [-q name]　<br />
　　bind [-m keymap] -f filename　<br />
　　bind [-m keymap] keyseq:function-name　<br />
　　昄���出目前readline的按键及铄���函数讑֮�或是巨集。　<br /><br />
　　-m keymap : 讑֮�keymap binding。　<br />
　　-l : 昄���出所有readline function的名�U�。　<br />
　　-v : 昄���出目前的function name及bindings。　<br />
　　-d : 昄���出function name及bindings。　<br />
　　-f filename : 从filename��d��key bindings。　<br />
　　-q function : 询问那个按键触发function。　<br /><br />
　　*************************<br />
　　break [n]　<br />
　　跛_��控制回圈for/while/until中��用。如果有指定n�Q�则跛_��n层。n必须是大于等�?。若n大于巢状圈数�Q�则所有的圈都会蟩���R��返回值回零。　<br /><br />
　　*************************<br />
　　continue [n]　<br />
　　�q�原控制回圈for/while/until中��用。如果有指定n�Q�则�q�回n层。n必须是大于等�?。若n大于巢状圈数�Q�则�q�原到最上层。返回值回零。　<br /><br />
　　*************************<br />
　　exit [n]　<br />
　　���d���E�式。n是Exit Status。　<br /><br />
　　*************************<br />
　　return [n]　<br />
　　在function中��用。n�����回��|��其作用与Exit Status一栗���　<br /><br />
　　*************************<br />
　　builtin shell-builtin [arguments]　<br />
　　执行内徏函数。当您定义了与内建函数相同的指��o�Ӟ��可用此命令来执行内徏函数。　<br /><br />
　　*************************<br />
　　cd [dir]　<br />
　　更换目录到dir。如果没有指定，内定为HOME所指定的目录。　<br /><br />
　　*************************<br />
　　command [-pVv] command [arg ...]　<br />
　　用command指定可取消正常的shell function��L��。只有内建命令及在PATH中找得到的才会被执行�?-p"选项�Q�搜��d��令的方式是用PATH来找�?-V"�?-v"选项�Q�会昄��������命��o的一些简�U�描�q�。　<br /><br />
　　*************************<br />
　　declare [-frxi] [name[=value]]　<br />
　　typeset [-frxi] [name[=value]]　<br />
　　宣告参数�q�给它们讑֮�属性。如果没有给定名�U�ͼ����会昄���各参数倹{��　<br /><br />
　　-f : 仅��用函数名�U�。　<br />
　　-r : ���name设�ؓreadonly。　<br />
　　-x : ���name输出�l�后�l�环境��用。　<br />
　　-i : 该参数被设�ؓinteger来��用，可用于算术表�q�。　<br /><br />
　　�?+"�Ӟ��关闭该属性。　<br /><br />
　　*************************<br />
　　dirs [-l] [+/-n]　<br />
　　昄���目前记忆的目录。目录可透过pushd/popd来操作。　<br /><br />
　　+n : 昄���开始的记录n个。　<br />
　　-n : 昄����l�尾的记录n个。　<br />
　　-l : 昄���较多的资讯。　<br /><br />
　　*************************<br />
　　echo [-neE] [arg ...]　<br />
　　输出昄���args�Q�由�I�白分隔。返回值永为零。　<br /><br />
　　-n : 不蟩行。　<br />
　　-e : 启动"\"�W�号的解译。　<br />
　　-E : ���ESC解译功能取消。　<br /><br />
　　"\a" : alert(bell)�Q�发出声响。　<br />
　　"\b" : backspace�Q�倒退。　<br />
　　"\c" : suppress trailing newline�Q�不跌���。　<br />
　　"\f" : form feed�Q�蟩行蟩根{��　<br />
　　"\n" : new line�Q�新行。　<br />
　　"\r" : carriage return�Q�回到行��L��。　<br />
　　"\t" : horizontal tab�Q�水�q����位。　<br />
　　"\v" : vertical tab�Q�垂直蟩位。　<br />
　　"\\" : 输出"\"。　<br />
　　"\nnn" : 输出ASCII Code��L��nnn(八进�?。　<br /><br />
　　*************************<br />
　　enable [-n] [-all] [name ...]　<br />
　　启动或关闭内建函数命令。���?-n"���所有指定命令皆关闭�Q�否则都是启动的。如果只�?-n"参数�Q�它���会昄���所有关闭的函数。如果只�?-all"�Q�它���会昄���所有内建命令。　<br /><br />
　　*************************<br />
　　eval [arg ...]　<br />
　　��d��args�Q��ƈ���args合�ؓ一个命令，然后执行。其�q�回值成为eval的返回倹{��如果没有参敎ͼ�eval�q�回True。　<br /><br />
　　*************************<br />
　　exec [[-] command [arguments]]　<br />
　　当命令执行时�Q�该命��o取代shell�Q�没有新的process产生。如果第一个参数是"-"�Q�shell会将"-"攑օ��W�零个参敎ͼ�传给command。　<br /><br />
　　*************************<br />
　　export [-nf] [name[=word]] ...　<br />
　　export -p　<br />
　　���name输出�l�环境，�l�往后的命��o使用�?-f"选项表示name是函数�?-p"昄���出所有export的名�U��?-n"�U�除name。　<br /><br />
　　*************************<br />
　　set [--abefhkmnptuvxldCHP] [-o option] [arg ...]　<br />
　　-a : 自动���变数标��Cؓ可让后面环境所使用。　<br />
　　-b : 立即报告被终�l�的背景�E�式状态。　<br />
　　-e : 当命�?simple-command�Q�见后面)�q�回非零值时�Q�立卌���出。　<br />
　　-f : 取消pathname expansion。　<br />
　　-h : 扑և�所记忆的函数命令位�|�。　<br />
　　-k : 所有keyword参数都放到环境中。　<br />
　　-m : 监督模式。　<br />
　　-n : ��d��命��o�Q�但不要执行。可用于语法���查。　<br />
　　-p : 打开privileged模式。　<br />
　　-t : 当读取一个命令�ƈ执行后，立即���d��。　<br />
　　-u : 当参数展开�Ӟ��把unset参数当成是错误。　<br />
　　-v : 列出shell input lines。　<br />
　　-x : 在展开每个simple-command后，bash昄���展开值在PS4上。　<br />
　　-l : 储存�q�还原name binding在for语法中。　<br />
　　-d : 关闭hasing command搜寻。　<br />
　　-C : 跟`noclobber=`一栗���请见内定参��C��节。　<br />
　　-H : 启动! style history substitution。　<br />
　　-P : 在��用像cd�q�种指��o�Ӟ��不要跟随symbolic links。　<br />
　　-- : "--"之后�Q�没有参数跟在后面。　<br />
　　- : 指定���所有后面的参数当成是位�|�参数。　<br />
　　-o option-name : option-name可以是以下之一　<br />
　　allexport : �?-a"相同。　<br />
　　braceexpand : 启动Brace Expansion。这是内定设定。　<br />
　　emacs : 使用emacs-style命��o列编辑界面。　<br />
　　errexit : �?-e"相同。　<br />
　　histexpand : �?-H"相同。　<br />
　　ignoreeof : 效果跟`IGNOREEOF=10`一栗���　<br />
　　interactive-commands : 允许#做�ؓ解。　<br />
　　monitor : �?-m"相同。　<br />
　　noclobber : �?-C"相同。　<br />
　　noexec : �?-n"相同。　<br />
　　noglob : �?-f"相同。　<br />
　　nohash : �?-d"相同。　<br />
　　notify : �?-b"相同。　<br />
　　nounset : �?-u"相同。　<br />
　　physical : �?-P"相同。　<br />
　　posix : Bash行�ؓ修改为Posix 1003.2标准。　<br />
　　privileged : �?-p"相同。　<br />
　　verbose : �?-v"相同。　<br />
　　vi : 使用vi-style命��o列编辑程式。　<br />
　　xtrace : �?-x"相同。　<br /><br />
　　*************************<br />
　　unset [-fv] [name ...]　<br />
　　�U�除�Ҏ��于name的参数。要注意PATH、IFS、PPID、PS1、PS2、UID、EUID不能unset。若RANDOM、SECONDS�?
LINENO、HISTCMD被unset�Q�它们会丧失原有意义�Q�既始它们后来被重设也一栗���返回��gؓTrue�Q�除非name是不能被unset的。　<br /><br />
　　*************************<br />
　　fc [-e ename] [-nlr] [first] [last]　<br />
　　fc -s [pat=rep] [cmd]　<br />
　　修正命��o。　<br /><br />
　　*************************<br />
　　getopts optstring name [args]　<br />
　　解析位置参数。　<br /><br />
　　*************************<br />
　　help [pattern]　<br />
　　昄���协助资讯。　<br /><br />
　　*************************<br />
　　history [n]　<br />
　　history -rwan [filename]　<br />
　　没有参数�Ӟ��会显�C�所下命令的历史记录。带有参�?n"则显�C�最后n个。　<br /><br />
　　其它参数如下:　<br />
　　-a : 新增"新历�?到历史档中。　<br />
　　-n : ��d�����未��d��历史中的记录。　<br />
　　-r : ��d��filename做�ؓ历史档，�q�用它�ؓ目前历史记录。　<br />
　　-w : ���现有历史记录写到filename中。　<br /><br />
　　*************************<br />
　　let arg [arg ...]　<br />
　　���术表述。请参考算术表�q�C��节。　<br /><br />
　　*************************<br />
　　local [name[=value] ...]　<br />
　　产生一个局部参数。如果用于function�Q�则其作用围在function内及其子函数。　<br /><br />
　　*************************<br />
　　logout　<br />
　　���d��login shell。　<br /><br />
　　*************************<br />
　　popd [+/-n]　<br />
　　�U�除目录堆叠�?+n"�U�除上面n个，"-n"�U�除下面n个。　<br /><br /><br />
　　*************************<br />
　　pushd [dir]　<br />
　　pushd +/-n　<br />
　　���目录新增到目录堆叠的最上面�?+n"旋�{该堆叠，使第n个目录变成最上面�?-n"旋�{该堆叠，使倒数�W�n个目录变成最上面。　<br /><br />
　　*************************<br />
　　pwd　<br />
　　列出目前工作目录的绝对�\径。　<br /><br />
　　*************************<br />
　　read [-r] [name ...]　<br />
　　读进一行，然后�W�一个字讑ֈ��W�一个name�Q�第二个讑ֈ��W�二个name�Q�依此类推。如果没有name在参��C���Q�则read会将��D��到REPLY。返回��gؓ�Ӟ��除非遇到End-Of-File。若�?-r"选项�Q�则"\n"被考虑�����行的一部䆾。　<br /><br />
　　*************************<br />
　　readonly [-f] [name ...]　<br />
　　readonly -p　<br />
　　���给定的name标记为readonly。如果是"-f"选项�Q�则函数也一栯���标记为readonly�?-p"会列出所有readonly的name�?--"取消���查剩余的参数。　<br /><br />
　　*************************<br />
　　shift [n]　<br />
　　Positional Parameters从n+1...开始，会被改�ؓ$1...。n若�ؓ�Ӟ��则没有改变。n若未�l�定�Q�则内定�?。n必须是非负数�Q��ƈ且小于或�{�于$#。若n大于$#�Q�则没有改变。返回��gؓ�Ӟ��除非n大于$#或小于零。　<br /><br />
　　*************************<br />
　　suspend [-f]　<br />
　　暂停�q�个shell的执行，直到它收到SIGCONT信号�?-f"选项则是叫login shell不要抱怨，不过�q�是一��h��停。返回状态零�Q�除非该shell是个login shell�Q�而且没有"-f"选项。　<br /><br />
　　*************************<br />
　　test expr　<br />
　　[ expr ]　<br />
　　我们在Exit Status的部份已�l�说�q�了�Q�不再重。　<br /><br />
　　*************************<br />
　　times　<br />
　　列出该shell的篏�U�的使用者及�pȝ��旉���及从shell执行的process旉����Q�返回��gؓ零。　<br /><br />
　　------------------------------------------------------------------------------<br />
　　trap [-l] [arg] [sigspec]　<br />
　　当收到sigspec信号�Ӟ��执行arg命��o�?-l"昄�����Z��号名�U�及��L��。　<br /><br />
　　*************************<br />
　　type [-all] [-type | -path] name [name ...]　<br />
　　没有参数的状况下�Q�它会显�C�出shell如何解译name做�ؓ命��o。如果有"-type"�Q�它���会昄���alias、keyword�?
function、builtin或file。如果有"-path"的参敎ͼ�它将会显�C����命��o的�\径，找不到的话，不显�C�Z�Q何东�ѝ��如果有"-all"�?
参数�Q�它���会昄���所有可执行name的可能�\径。type接受"-a"�?-t"�?-p"做�ؓ�~�写。　<br /><br />
　　*************************<br />
　　ulimit [-SHacdfmstpnuv [limit]]　<br />
　　ulimit提供了对shell的可获取资源控制的功能。　<br /><br />
　　-a : 报告目前所有限制。　<br />
　　-c : 讑֮�最大可产生的core档案。　<br />
　　-d : 行程资料�D?process's data segment)最大倹{��　<br />
　　-f : 可被�q�个shell产生的最大档案。　<br />
　　-m : resident set size最大倹{��　<br />
　　-s : 堆叠最大倹{��　<br />
　　-t : CPU TIME最大�?以秒计算)。　<br />
　　-p : pipe size in 512-byte blocks的最大倹{��　<br />
　　-n : 可开启的file descriptors最大倹{��　<br />
　　-u : 单一使用者可使用的最大process数。　<br />
　　-v : 该shell最大虚拟记忆体可用倹{��　<br /><br />
　　所有项目是�?024做�ؓ单位。　<br /><br />
　　*************************<br />
　　umask [-S] [mode]　<br />
　　�����用者的file-creation mask设�ؓmode�?-S"选项���mask印成�W�号形式�?br /><br /><br />
　　Bash内徏参数<br /><br />
　　PPID : 该bash的呼叫者process ID.　<br /><br />
　　PWD : 目前的工作目录。　<br /><br />
　　OLDPWD : 上一个工作目录。　<br /><br />
　　REPLY : 当read命��o没有参数�Ӟ��直接讑֜�REPLY上。　<br /><br />
　　UID : User ID。　<br /><br />
　　EUID : Effective User ID。　<br /><br />
　　BASH : Bash的完整�\径。　<br /><br />
　　BASH_VERSION : Bash版本。　<br /><br />
　　SHLVL : 每次有Bash执行�Ӟ��数字加一。　<br /><br />
　　RANDOM : 每次�q�个参数被用到时�Q�就会��生一个�ؕ数在RANDOM上。　<br /><br />
　　SECONDS : 从这个Shell一开始启动后的时间。　<br /><br />
　　LINENO : Script的行数。　<br /><br />
　　HISTCMD : 历史记录数。　<br /><br />
　　OPTARG : getopts处理的最后一个选项参数。　<br /><br />
　　OPTIND : 下一个要由getopts所处理的参数号码。　<br /><br />
　　HOSTTYPE : 机器�U�类。　<br /><br />
　　OSTYPE : 作业�pȝ��名称。　<br /><br />
　　IFS : Internal Field Separator。　<br /><br />
　　PATH : 命��o搜寻路径。　<br />
　　PATH="/usr/gnu/bin:/usr/local/bin:/usr/ucb:/bin:/usr/bin:."　<br /><br />
　　HOME : 目前使用者的home directory;　<br /><br />
　　CDPATH : cd命��o的搜寻�\径。　<br /><br />
　　ENV : 如果�q�个参数被设定，每次有shell script被执行时�Q�将会执行它所讑֮�的档名做为环境设定。　<br /><br />
　　MAIL : 如果�q�个参数被设定，而且MAILPATH没有被设定，那么有信件进来时�Q�bash会通知使用者。　<br /><br />
　　MAILCHECK : 讑֮�多久旉������查邮件一�ơ。　<br /><br />
　　MAILPATH : 一串的邮�g���查�\径。　<br /><br />
　　MAIL_WARNING : 如果有设定的话，邮�g被读取后�Q�将会显�C����息。　<br /><br />
　　PS1 : 提示讯息讑֮��Q�内定�ؓ"bash\$ "�?误���见提�C����息一节�?　<br /><br />
　　PS2 : �W�二提示讯息讑֮��Q�内定�ؓ"&gt; "。　<br /><br />
　　PS3 : select命��o所使用的提�C����息。　<br /><br />
　　PS4 : 执行�q�踪时用的提�C����息设定，内定�?+ "。　<br /><br />
　　HISTSIZE : 命��o历史记录量，内定�?00。　<br /><br />
　　HISTFILE : 历史记录档，内定~/.bash_history。　<br /><br />
　　HISTFILESIZE : 历史记录档行数最大��|��内定500。　<br /><br />
　　OPTERR : 如果设�ؓ1�Q�bash会显�C�getopts的错误。　<br /><br />
　　PROMPT_COMMAND : 如果讑֮�的话�Q�该��g��在每�ơ执行命令前都显�C�。　<br /><br />
　　IGNOREEOF : ���EOF值当成输入，内定�?0。　<br /><br />
　　TMOUT : 如果设�ؓ大于�Ӟ��该��D��解译�����入等待秒数。若无输入，当成没有输入。　<br /><br />
　　FCEDIT : fc命��o的内定编辑器。　<br /><br />
　　FIGNORE : 误���见READLINE。　<br /><br />
　　INPUTRC : readline的startup file�Q�内定~/.inputrc　<br /><br />
　　notify : 如果讑֮�了，bash立即报告被终�l�的背景�E�式。　<br /><br />
　　history_control, HISTCONTROL : history使用。　<br /><br />
　　command_oriented_history : 存入多行指��o。　<br /><br />
　　glob_dot_filenames : 如果讑֮�了，bash���会�?."包含入档案�\径中。　<br /><br />
　　allow_null_glob_expansion : 如果讑֮�了，bash允许路径明称为null string。　<br /><br />
　　histchars : history使用。　<br /><br />
　　nolinks : 如果讑֮�了，执行指��o�Ӟ��不会跟随symbolic links。　<br /><br />
　　hostname_completion_file, HOSTFILE : 包含�?etc/hosts相同格式的档名。　<br /><br />
　　noclobber : 如果讑֮�了，Bash不会覆写��M���?&gt;"�?&gt;&amp;"�?&lt;&gt;"所操作的档案。　<br /><br />
　　auto_resume : 误�����d��控制一节。　<br /><br />
　　no_exit_on_failed_exec : 如果该值存在，非互动的shell不会因�ؓexec��p�|而蟩出。　<br /><br />
　　cdable_vars : 如果启动�Q�而cd命��o找不到目录，可切换到参数形态指定的目录下�?br /><br /><br />
　　提示�W�号<br /><br />
　　Bash使用PS1~PS4来显�C�提�C�符��P��其格式如�?　<br /><br />
　　*************************<br /><br />
　　\t : 现在旉���。　<br />
　　\d : 现在日期。　<br />
　　\n : 新行。　<br />
　　\s : shell的名�U�。　<br />
　　\w : 目前工作目录。　<br />
　　\W : 目前工作目录完整路径。　<br />
　　\u : 使用者名�U�。　<br />
　　\h : Hostname。　<br />
　　\# : �q�个命��o的号码。　<br />
　　\! : 历史��L��。　<br />
　　\$ : 如果EUID�?�Q�则#�Q�否则�ؓ$。　<br />
　　\nnn : 八进位的字元。　<br />
　　\\ : "\"�W�号。　<br />
　　\[ : 开始一序列不可列印的字元。　<br />
　　\] : �l�束一序列不可列印的字元�?br /><br /><br />
　　���术表述<br /><br />
　　- +　<br />
　　! ~　<br />
　　* / %　<br />
　　+ -　<br />
　　&lt;&lt; &gt;&gt;　<br />
　　&lt;= &gt;= &lt; &gt;　<br />
　　== !=　<br />
　　&amp;　<br />
　　^　<br />
　　|　<br />
　　&amp;&amp;　<br />
　　||　<br />
　　= *= /= %= += -= &lt;&lt;= &gt;&gt;= &amp;= ^= |=　<br /><br />
　　重导Redirection<br /><br />
　　&gt;　<br />
　　&gt;&gt;　<br />
　　1&gt;　<br />
　　.　<br />
　　.　<br /><br /><br />
　　语法<br /><br />
　　Simple Command　<br /><br /><br />
　　Pipelines　<br /><br /><br />
　　Lists　<br /><br />
　　(list)　<br />
　　{ list; }<img src ="http://m.tkk7.com/alex/aggbug/53293.html" width = "1" height = "1" /><br><br><div align=right><a style="text-decoration:none;" href="http://m.tkk7.com/alex/" target="_blank">Alex</a> 2006-06-16 14:20 <a href="http://m.tkk7.com/alex/archive/2006/06/16/53293.html#Feedback" target="_blank" style="text-decoration:none;">发表评论</a></div>]]></description></item><item><title>[转]iptables使用实例</title><link>http://m.tkk7.com/alex/archive/2006/06/06/50815.html</link><dc:creator>Alex</dc:creator><author>Alex</author><pubDate>Tue, 06 Jun 2006 09:05:00 GMT</pubDate><guid>http://m.tkk7.com/alex/archive/2006/06/06/50815.html</guid><wfw:comment>http://m.tkk7.com/alex/comments/50815.html</wfw:comment><comments>http://m.tkk7.com/alex/archive/2006/06/06/50815.html#Feedback</comments><slash:comments>0</slash:comments><wfw:commentRss>http://m.tkk7.com/alex/comments/commentRss/50815.html</wfw:commentRss><trackback:ping>http://m.tkk7.com/alex/services/trackbacks/50815.html</trackback:ping><description><![CDATA[首先让我们看一下服务器/客户机的交互原理。服务器提供某特定功能的服务��L����q��定的后台�E�序提供的。在TCP/IP�|�络中，常常把这个特定的服务�l�定�?
特定的TCP或UDP端口。之后，该后台程序就不断地监听（listen)该端口，一旦接收到�W�合条�g的客��L����h���Q�该服务�q�行TCP握手后就同客��L���?
立一个连接，响应客户��h��。与此同�Ӟ��再��生一个该�l�定的拷贝，�l�箋监听客户端的��h���?<br /><br />举一个具体的例子�Q�假讄����l�中有一台服务器A
(IP地址�?.1.1.1)提供WWW服务�Q�另有客��h��B(2.2.2.2)、C(3.3.3.3)。首先，服务器A�q�行提供WWW服务的后台程序（�?
如Apache�Q��ƈ且把该服务绑定到端口80�Q�也���是��_��在端�?0�q�行监听。当B发�v一个连接请求时,B���打开一个大�?024的连接端�?1024�?
为已定义端口),假设�?037。A在接收到��h��后，�?0端口与B建立�q�接以响应B的请求，同时产生一�?0端口�l�定的拷贝，�l�箋监听客户端的��h��。假
如A又接收到C的连接请求（设连接请求端口�ؓ1071�Q�，则A在与C建立�q�接的同时又产生一�?0端口�l�定的拷贝���l�监听客��L��的请求。如下所�C�，因�ؓ�p?
�l�是以源地址、源端口、目的地址、目的端口来标识一个连接的�Q�所以在�q�里每个�q�接都是唯一的�?<br /><br />服务�?客户�?<br />�q�接1�Q�a.b.c.1:80 &lt;=&gt; a.b.c.4:1037 <br />�q�接2�Q�a.b.c.1:80 &lt;=&gt; a.b.c.7:1071 <br /><br />�?
一�U�特定的服务都有自己特定的端口，一般说来小�?024的端口多��Z��留端口，或者说是已定义端口�Q�低端口分配�l�众所周知的服务（如WWW、FTP�{?
�{�）�Q�从512�?024的端口通常保留�l�特�D�的UNIX TCP/IP应用�E�序�Q�具体情况请参�?etc/services文�g或RFC1700�?<br /><br />假设�|�络环境如下�Q�某一单位�Q�租用DDN专线上网�Q�网�l�拓扑如下： <br /><br />+--------------+ <br />| 内部�|�段 | eth1+--------+eth0 DDN <br />| +------------|firewall|&lt;===============&gt;Internet <br />| 198.168.80.0 | +--------+ <br />+--------------+ <br />eth0: 198.199.37.254 <br />eth1: 198.168.80.254 <br /><br />以上的IP地址都是Internet上真实的IP�Q�故没有用到IP�ƺ骗。�ƈ且，我们假设在内部网中存在以下服务器�Q?<br />www服务器：www.yourdomain.com 198.168.80.11 <br />ftp服务器：ftp.yourdomain.com 198.168.80.12 <br />email服务器：mail.yourdomain.com 198.168.80.13 <br /><br />下面我们���用iptables一步一步地来徏立我们的包过滤防火墙�Q�需要说明的是，在这个例子中�Q�我们主要是对内部的各种服务器提供保护�?<br /><br />1.
�?etc/rc.d/目录下用touch命��o建立firewall文�g�Q�执行chmod u+x firewll以更�Ҏ��件属�?
�Q�编�?etc/rc.d/rc.local文�g�Q�在末尾加上 /etc/rc.d/firewall 以确保开机时能自动执行该脚本�?<br /><br />2. ��h��所有的铄���规则 <br />#!/bin/sh <br /><br />echo "Starting iptables rules..." <br /><br />#Refresh all chains <br /><br />/sbin/iptables -F <br /><br />3. 我们���首先禁止�{发�Q何包�Q�然后再一步步讄���允许通过的包�?<br />所以首先设�|�防火墙FORWARD铄����{�略为DROP�Q?<br /><br />/sbin/iptables -P FORWARD DROP <br /><br />4.讄���关于服务器的包过虑规则： <br /><br />在这里需要注意的是，服务�?客户��Z��互是有来有往的，也就是说是双向的�Q�所以我们不仅仅要设�|�数据包出去的规则，�q�要讄���数据包返回的规则�Q�我们先建立针对来自Internet数据包的�q�虑规则�?<br /><br />WWW服务�Q�服务端口�ؓ80�Q�采用tcp或udp协议。规则�ؓ�Q�eth0=&gt;允许目的为内部网WWW服务器的包�?<br /><br />###########################Define HTTP packets#################################### <br /><br />#Allow www request packets from Internet clients to www servers <br />/sbin/iptables -A FORWARD -p tcp -d 198.168.80.11 --dport www -i eth0 -j ACCEPT <br /><br />FTP
服务�Q�FTP服务有点特别�Q�因为需要两个端口，因�ؓFTP有命令通道和数据通道。其中命令端口�ؓ21�Q�数据端口�ؓ20�Q��ƈ且有��d��和消极两�U�服务模式，�?
消极模式�q�接�q�程为：FTP客户端首先向FTP服务器发赯���接请求，三步握手后徏立命令通道�Q�然后由FTP服务器请求徏立数据通道�Q�成功后开始传输数据，
现在大多数FTP客户端均支持消极模式�Q�因������U�模式可以提高安全性。FTP服务采用tcp协议。规则�ؓ�Q�eth0=&gt;仅允许目的�ؓ内部�|�ftp�?
务器的包�?<br /><br />############################Define FTP packets##################################### <br /><br />#Allow ftp request packets from Internet clients to Intranet ftp server <br />/sbin/iptables -A FORWARD -p tcp -d 198.168.80.12 --dport ftp -i eth0 -j ACCEPT <br /><br /><br />EMAIL服务�Q�包含两个协议，一是smtp�Q�一是pop3。出于安全性考虑�Q�通常只提供对内的pop3服务�Q�所以在�q�里我们只考虑针对smtp的安全性问题。smtp端口�?1�Q�采用tcp协议。eth0=&gt;仅允许目的�ؓemail服务器的smtp��h���?<br /><br />###########################Define smtp packets#################################### <br />/sbin/iptables -A FORWARD -p tcp -d 198.168.80.13 --dport smtp -i eth0 -j ACCEPT <br /><br />5. 讄���针对Intranet客户的过虑规则： <br /><br />�?
本例中我们的防火墙位于网关的位置�Q�所以我们主要是防止来自Internet的攻击，不能防止来自Intranet的攻凅R��假如我们的服务器都是基�?
linux的，也可以在每一部服务器上设�|�相关的�q�虑规则来防止来自Intranet的攻凅R��对于Internet对Intranet客户的返回包�Q�我�?
定义如下规则�?<br /><br />#############Define packets from Internet server to Intranet####################### <br />/sbin/iptables -A FORWARD -p tcp -s 0/0 --sport ftp-data -d 198.168.80.0/24 -i eth0 -j ACCEPT <br />/sbin/iptables -A FORWARD -p tcp -d 198.168.80.0/24 ! -syn -i eth0 -j ACCEPT <br />/sbin/iptables -A FORWARD -p udp -d 198.168.80.0/24 -i eth0 -j ACCEPT <br /><br />说明�Q�第一条允许Intranet客户采用消极模式讉K��Internet的FTP服务器；�W�二条接收来自Internet的非�q�接��h��tcp包；最后一条接收所有udp包，主要是针对oicq�{���用udp的服务�?<br /><br />6. 接受来自整个Intranet的数据包�q�虑�Q�我们定义如下规则： <br /><br />#############Define packets from Internet server to Intranet server############### <br />/sbin/iptables -A FORWARD -s 198.168.80.0/24 -i eth1 -j ACCEPT <br /><br />7. 处理ip���片 <br /><br />我们接受所有的ip���片�Q�但采用limit匚w��扩展对其单位旉���可以通过的ip���片数量�q�行限制�Q�以防止ip���片��d���?<br /><br />#################################Define fregment rule################################## <br />/sbin/iptables -A FORWARD -f -m limit --limit 100/s --limit-burst 100 -j ACCEPT <br /><br />说明�Q�对不管来自哪里的ip���片都进行限�Ӟ��允许每秒通过100个ip���片�Q�该限制触发的条件是100个ip���片�?<br /><br />8. 讄���icmp包过�?<br /><br />icmp包通常用于�|�络���试�{�，故允许所有的icmp包通过。但是黑客常帔R��用icmp�q�行��d���Q�如ping of death�{�，所以我们采用limit匚w��扩展加以限制�Q?<br /><br />#################################Define icmp rule################################## <br />/sbin/iptables -A FORWARD -p icmp -m limit --limit 1/s --limit-burst 10 -j ACCEPT <br /><br />说明�Q�对不管来自哪里的icmp包都�q�行限制�Q�允许每�U�通过一个包�Q�该限制触发的条件是10个包�?<br /><br /><br />�?
�q�以上个步骤�Q�我们徏立了一个相对完整的防火墙。只对外开放了有限的几个端口，同时提供了客户对Internet的无�~�访问，�q�且对ip���片��d���?
icmp的ping of death提供了有效的防护手段。以下是完整的脚本文件内容，希望通过�q�个实例能是对iptables的用法有所了解�Q?<br /><br />#!/bin/sh <br /><br />echo "Starting iptables rules..." <br /><br />#Refresh all chains <br /><br />/sbin/iptables -F <br /><br />###########################Define HTTP packets#################################### <br /><br />#Allow www request packets from Internet clients to www servers <br />/sbin/iptables -A FORWARD -p tcp -d 198.168.80.11 --dport www -i eth0 -j ACCEPT <br /><br />############################Define FTP packets##################################### <br /><br />#Allow ftp request packets from Internet clients to Intranet ftp server <br />/sbin/iptables -A FORWARD -p tcp -d 198.168.80.12 --dport ftp -i eth0 -j ACCEPT <br /><br />###########################Define smtp packets#################################### <br />/sbin/iptables -A FORWARD -p tcp -d 198.168.80.13 --dport smtp -i eth0 -j ACCEPT <br /><br />#############Define packets from Internet server to Intranet####################### <br />/sbin/iptables -A FORWARD -p tcp -s 0/0 --sport ftp-data -d 198.168.80.0/24 -i eth0 -j ACCEPT <br />/sbin/iptables -A FORWARD -p tcp -d 198.168.80.0/24 ! -syn -i eth0 -j ACCEPT <br />/sbin/iptables -A FORWARD -p udp -d 198.168.80.0/24 -i eth0 -j ACCEPT <br /><br />#############Define packets from Intranet to Internet############### <br />/sbin/iptables -A FORWARD -s 198.168.80.0/24 -i eth1 -j ACCEPT <br /><br />#################################Define fregment rule################################## <br />/sbin/iptables -A FORWARD -f -m limit --limit 100/s --limit-burst 100 -j ACCEPT <br /><br />#################################Define icmp rule################################## <br />/sbin/iptables -A FORWARD -p icmp -m limit --limit 1/s --limit-burst 10 -j ACCEPT<img src ="http://m.tkk7.com/alex/aggbug/50815.html" width = "1" height = "1" /><br><br><div align=right><a style="text-decoration:none;" href="http://m.tkk7.com/alex/" target="_blank">Alex</a> 2006-06-06 17:05 <a href="http://m.tkk7.com/alex/archive/2006/06/06/50815.html#Feedback" target="_blank" style="text-decoration:none;">发表评论</a></div>]]></description></item><item><title>[转]iptables基础</title><link>http://m.tkk7.com/alex/archive/2006/06/06/50813.html</link><dc:creator>Alex</dc:creator><author>Alex</author><pubDate>Tue, 06 Jun 2006 08:58:00 GMT</pubDate><guid>http://m.tkk7.com/alex/archive/2006/06/06/50813.html</guid><wfw:comment>http://m.tkk7.com/alex/comments/50813.html</wfw:comment><comments>http://m.tkk7.com/alex/archive/2006/06/06/50813.html#Feedback</comments><slash:comments>0</slash:comments><wfw:commentRss>http://m.tkk7.com/alex/comments/commentRss/50813.html</wfw:commentRss><trackback:ping>http://m.tkk7.com/alex/services/trackbacks/50813.html</trackback:ping><description><![CDATA[key words: iptables linux防火�?防火墙设�|?br /><br /><br />
�Q�M��者序�Q�：本来是要���译<a  target="_blank">http://www.justlinux.com/nhf/Security/IPtables_Basics.html</a>�q�篇文章的，可惜当年实在是没有学好语法，许多句子按照原文���译�Q�如何也理不通顺。只好按照自��q��理解重新�l�织了，但愿不会有太大的偏差。好在，无论如何�Q�现在读��h���Q�基本通顺了�?img src="http://bbs.linuxsky.net/images/smilies/icon_mrgreen.gif" align="absmiddle" border="0" /><br /><br />
Iptables用三�U�链来管理放出、进入或�l�过你计���机的（数据�Q�包。INPUT铄���理进入你计算机的包，OUTPUT铄���理你计算机放出的包，FORWARD铄���理经�q�你的计���机转送到另一台计���机的包�?br /><br />
所以，讄���iptables的过�E�事实上���是定义一些规则来军_��如何处理�q�三�U�包的过�E��?br /><br />
例如�Q�如果你讉K��http://www.yahoo.com�Q�你的计���机���放��Z��个包向Yahoo!��h��。这个包���p���l�过OUTPUT铄���审核。内�怼����览OUTPUT链，看看是否有某条规则不允许攑և��q�个包，如果有的话，���拒�l�放出�?br /><br />
现在让我们来处理一些实际问题。比如你想阻塞所有来�?00.200.200.1的包。首先你需要用-s选项来指明源IP地址或DNS�Q?br /><center><table style="width: 680px; height: 36px;" border="0" cellpadding="0" cellspacing="0"><tbody><tr><td><div   id="jdv7n3b"   class="codetop">CODE:</div><div   id="vffphx9"   class="codemain">iptables -s 200.200.200.1</div></td></tr></tbody></table></center><br />然后可以�?j选项来说明如何处理这个包。最常用的处理方式有三种�Q�ACCEPT、DENY和DROP。ACCEPT��֐�思义表示接受包，DENY不接受同时回送一条拒�l�信息，而DROP则根本对包不予理睬。如果确信某个IP可疑�Q�那么最好选择DROP而不是DENY�Q?br /><center><table border="0" cellpadding="0" cellspacing="0" width="90%"><tbody><tr><td><div   id="rhjlb7h"   class="codetop">CODE:</div><div   id="x7rlfvx"   class="codemain">iptables -s 200.200.200.1 -j DROP</div></td></tr></tbody></table></center><br />但是仅仅使用上面�q�条命��o�Q�我们的计算��Z��无所适从�Q�因为它不知道该用哪条链来处理这��规则。这���p��用到-A选项�Q�它表示把某条规则追加到某个铄���末尾。我们打���拒�l�所有来�?00.200.200.1的包�Q�所以��用：<br /><center><table border="0" cellpadding="0" cellspacing="0" width="90%"><tbody><tr><td><div   id="799fprh"   class="codetop">CODE:</div><div   id="rjbbvlv"   class="codemain">iptables -A INPUT -s 200.200.200.1 -j DROP</div></td></tr></tbody></table></center><br />选项的顺序不会媄响最�l�的处理�l�果�Q?j DROP也可以放�?s 200.200.200.1的前面，只不�q�放在后面似乎更�Ҏ��理解�?br />
现在扩展一下，假设我们不想发送�Q何包�l?00.200.200.1该如何做呢？很简单，只要把INPUT换成OUTPUT�Q�同时用-d替换-s���可以了�Q?br /><center><table border="0" cellpadding="0" cellspacing="0" width="90%"><tbody><tr><td><div   id="bjbnlpf"   class="codetop">CODE:</div><div   id="7xx3dvb"   class="codemain">iptables -A OUTPUT -d 200.200.200.1 -j DROP</div></td></tr></tbody></table></center><br />�?
么，如果我们打算忽略来自�q�台机器的telnet��h��该怎么办呢�Q�你可能知道telnet使用的是23端口�Q�但是如果你愿意�Q�你也可以在iptables
中��用telnet关键字而不是端口号。Telnet�Q�像大多数服务一��P���q�行于TCP协议之上。我们可以���?p选项来指明所用的协议。但是只指明协议
不会有�Q何作用，�q�需要��用—destination-port来指出我们要为哪个目标端口指定规则。与之相对应�Q?-source-prot用来指明�?
端口�Q�确信别把二者弄混了。所以我们可以这��h���l�某台机器的telnet��h���Q?br /><center><table border="0" cellpadding="0" cellspacing="0" width="90%"><tbody><tr><td><div   id="nhpht3b"   class="codetop">CODE:</div><div   id="vvxh7xp"   class="codemain">iptables -A INPUT -s 200.200.200.1 -p tcp --destination-port telnet -j DROP</div></td></tr></tbody></table></center><br />扩展一下，如果你想拒绝一个网�D늚�telnet��h���Q�可以���?00.200.200.0/24来代替上面的200.200.200.1�Q�它匚w����M��200.200.200.*�q�样的IP地址�?br /><br />
再复杂一些。假设我们同时可以连接到本地局域网和internet�Q�eth0�|�卡用来�q�接本地局域网�Q�ppp0用来拨号到internet。我们可能只�?
为本地局域网提供telnet服务而不想�ؓ不安全的internet提供此项服务。有两种选择�Q�在OUTPUT链上�?o选项��d��讑֤�输出数据�Q�但更好�?
是在INPUT链上�?i选项��d��讑֤�输入数据。因此，�q�条规则可以�q�样讄����Q?br /><center><table border="0" cellpadding="0" cellspacing="0" width="90%"><tbody><tr><td><div   id="zzj9h7r"   class="codetop">CODE:</div><div   id="9jbbfx3"   class="codemain">iptables -A INPUT -p tcp --destination-port telnet -i ppp0 -j DROP</div></td></tr></tbody></table></center><br />�q�将关闭一切来自internet的telnet��h��但是开攑ֱ�域网同样的请求�?br /><br />
规则可以使用-A选项来追加在规则列表之后
�Q�也可以使用-I选项插入在某条规则之前。例如，如果我们��x��一条规则放在INPUT铄���最前面�Q�我们可以��用�?I INPUT
1”。其中的1代表规则列表的第一行，你也可以把它换成其它的数字。除此之外，我们�q�可以���?R选项来替换某条规则（它将删除原来的规则）�Q?D选项�?
删除某条规则�Q?L选项来列出所有已�l�设�|�的规则�Q?F选项来初始化所有规则�?br /><br />
现在�Q�再深入一步。网�l�中的数据包通常使用某种协议�Q�如果这�U�协议是TCP�Q�它�q�会使用某个端口。你可能惛_��脆关闭所有端口拒�l�进来的包，但是记着�Q�如�?
你的计算机同另一台计���机会话�Q�另一台计���机肯定会发送反馈信息。如果你关闭了所有进来的端口�Q�那本质上就表示你的�q�接���没有用了。而且对于大多数非服务
�E�序来说�Q�你无法预知它们使用哪个端口�q�行会话。但是仍然有一�U�办法。当两台计算机在TCP�q�接上进行会话时�Q�连接一定会首先被初始化。完成这���Q务的�?
叫作SYN。一个SYN包简单的表明另一台计���机已经做好了会话的准备。只有发出服务请求的计算机才发送SYN包。所以如果你仅拒�l�进来的SYN包，它将
�l�止其它计算机打开你计���机上的服务�Q�但是不会终止你使用其它计算��Z��的服务，如果它没有拒�l�你发送的SYN包的话。这是一�U�折��L��办法�Q�但是可以完成许
多我们想完成的�Q务。这个选项�?-syn�Q�用在你指明的TCP协议之后。所以制定一条规则阻塞所有来自internet的连接会是这��P��<br /><center><table border="0" cellpadding="0" cellspacing="0" width="90%"><tbody><tr><td><div   id="tvdxzpj"   class="codetop">CODE:</div><div   id="b331xzj"   class="codemain">iptables -A INPUT -i ppp0 -p tcp --syn -j DROP</div></td></tr></tbody></table></center><br />�q�是一条非常有用的规则除非你的计算�����行有web服务。如果你仅打���开放一个端口，比如�?0�Q�HTTP�Q�，有种���单的办法。和许多�~�程语言一��P��可以用一个惊叹号表示“非”。例如，你打���阻塞所�?0端口以外的SYN包，我想会是�q�样�Q?br /><center><table border="0" cellpadding="0" cellspacing="0" width="90%"><tbody><tr><td><div   id="vh7jdvp"   class="codetop">CODE:</div><div   id="7ln9nvv"   class="codemain">iptables -A INPUT -i ppp0 -p tcp --syn --destination-port ! 80 -j DROP</div></td></tr></tbody></table></center><br />�q�稍微有点复杂但�q�不隄���解�?br /><br />
最后，如何改变铄���现有规则呢？INPUT铑֒�OUTPUT��N��常默认被设�|��ؓACCEPT而FORWARD��N��认则被设�|��ؓDENY。如果你打算把一�?
计算��Z������\由器�Q�你可能要设�|�FORWARD规则为ACCEPT。如何做�q�个�Q�事实上很简单。只要���?P选项�Q�在它后面跟上链的名字和你制定的新规�?
���可以了。例如，把FORWARD链改为ACCEPT规则�Q�我们这样做�Q?br /><center><table border="0" cellpadding="0" cellspacing="0" width="90%"><tbody><tr><td><div   id="rv3prbr"   class="codetop">CODE:</div><div   id="fnxzzbb"   class="codemain">iptables -P FORWARD ACCEPT</div></td></tr></tbody></table></center><img src ="http://m.tkk7.com/alex/aggbug/50813.html" width = "1" height = "1" /><br><br><div align=right><a style="text-decoration:none;" href="http://m.tkk7.com/alex/" target="_blank">Alex</a> 2006-06-06 16:58 <a href="http://m.tkk7.com/alex/archive/2006/06/06/50813.html#Feedback" target="_blank" style="text-decoration:none;">发表评论</a></div>]]></description></item><item><title>[转]RHEL AS 3 安装及启�?Oracle10g 指南</title><link>http://m.tkk7.com/alex/archive/2006/05/09/45191.html</link><dc:creator>Alex</dc:creator><author>Alex</author><pubDate>Tue, 09 May 2006 05:12:00 GMT</pubDate><guid>http://m.tkk7.com/alex/archive/2006/05/09/45191.html</guid><wfw:comment>http://m.tkk7.com/alex/comments/45191.html</wfw:comment><comments>http://m.tkk7.com/alex/archive/2006/05/09/45191.html#Feedback</comments><slash:comments>5</slash:comments><wfw:commentRss>http://m.tkk7.com/alex/comments/commentRss/45191.html</wfw:commentRss><trackback:ping>http://m.tkk7.com/alex/services/trackbacks/45191.html</trackback:ping><description><![CDATA[
		<p>
				<font size="4">
						<strong>转自: <a >�q�里</a><br /></strong>
				</font>
		</p>
		<p>
				<font size="4">
						<strong>1. 配置RedHat AS 3</strong>
				</font>
		</p>
		<p>
				<font size="3">操作�pȝ��版本�Q?<br />Red Hat Enterprise Linux AS release 3 (Taroon)<br />Kernel 2.4.21-4.EL on an i686 <br />按照常规来安装操作系�l?记得要安装开发工�?gcc�{�必要工�?. </font>
		</p>
		<p>
				<font size="4">
						<strong>1.1 ���查必要的����g信息</strong>
				</font>
		</p>
		<p>
				<font size="3">
						<table>
								<tbody>
										<tr>
												<td>
														<strong>
																<font size="3">���查内�?/font>
														</strong>
												</td>
												<td>
														<strong>
																<font size="3">最����?/font>
														</strong>
												</td>
												<td>
														<strong>
																<font size="3">���查命令参�?/font>
														</strong>
												</td>
										</tr>
										<tr>
												<td>
														<font size="3">物理内存</font>
												</td>
												<td>
														<font size="3">512M</font>
												</td>
												<td>
														<font size="3"># grep MemTotal /proc/meminfo </font>
												</td>
										</tr>
										<tr>
												<td>
														<font size="3">交换�I�间</font>
												</td>
												<td>
														<font size="3">1.0 GB或�?倍内存大��?/font>
												</td>
												<td>
														<font size="3"># grep SwapTotal /proc/meminfo </font>
												</td>
										</tr>
										<tr>
												<td>
														<font size="3">/tmp �I�间</font>
												</td>
												<td>
														<font size="3">400 MB </font>
												</td>
												<td>
														<font size="3"># df -k /tmp </font>
												</td>
										</tr>
										<tr>
												<td>
														<font size="3">软�g所需�I�间</font>
												</td>
												<td>
														<font size="3">2.5 GB </font>
												</td>
												<td>
														<font size="3"># df -k (�I�间���大���好,如果是正式系�l?应该�q�行详尽的规�? </font>
												</td>
										</tr>
										<tr>
												<td>
														<font size="3">数据库文�?/font>
												</td>
												<td>
														<font size="3">1.2 GB </font>
												</td>
												<td>
														<font size="3"># df -k (�I�间���大���好,如果是正式系�l?应该�q�行详尽的规�? </font>
												</td>
										</tr>
								</tbody>
						</table>
				</font>
				<font size="3">���查完如上各项之后, 应该修改核心参数.执行如下命��o:</font>
		</p>
		<p>
				<font color="#0000ff" size="3">#vi /etc/sysctl.conf</font>
		</p>
		<p>
				<font size="3">#注释:<br />#表示使用root用户操作,$表示使用oracle 用户�q�行操作.提示�W�后面的蓝色部分表示需要输入的命��o�Q�以下同�Q?</font>
		</p>
		<p>
				<font size="3">在该文�g末尾加入如下内容: <br /><font color="#000080">kernel.shmall = 2097152 <br />kernel.shmmax = 2147483648 <br />kernel.shmmni = 4096 <br />kernel.sem = 250 32000 100 128 <br />fs.file-max = 65536 <br />net.ipv4.ip_local_port_range = 1024 65000</font></font>
		</p>
		<p>
				<font size="3">�~�辑完之�?保存,执行 <font color="#0000ff"># /sbin/sysctl -p</font> 命��o操作来��我们所做的变更生效. <br />�?上面kernel.shmmax/kernel.sem�{�是典型的核心参数配�|?您可能需要根据您的实际环境进行适当的变�? </font>
		</p>
		<p>
				<font size="3">关于�q�些核心参数的说明在Oracle�?Oracle9i Installation Guide Release 2 (9.2.0.1.0) for UNIX Systems 中有很详�l�的说明.( </font>
				<a >
						<font size="3">http://download-west.oracle.com/docs/html/A96167_01/toc.htm</font>
				</a>
				<font size="3"> ) </font>
		</p>
		<p>
				<font size="3">然后,应该���查一下上面的操作是否正确: <br /><font color="#0000ff"># /sbin/sysctl -a | grep sem <br /># /sbin/sysctl -a | grep shm<br /># /sbin/sysctl -a | grep file-max<br /># /sbin/sysctl -a | grep ip_local_port_range</font></font>
		</p>
		<p>
				<font size="3">为Oracle用户讑֮�Shell的限�?br />一般来��_����Z��性能上的考虑,�q�需要需要进行如下的讑֮��Q�以便改�q�Oracle用户的有�?nofile(可打开的文件描�q�符的最大数)和nproc(单个用户可用的最大进�E�数�?</font>
		</p>
		<p>
				<font size="3">
						<font color="#0000ff"># vi /etc/security/limits.conf</font>
						<br /># ��d��如下的行</font>
		</p>
		<p>
				<font color="#000080" size="3">*               soft    nproc   2047<br />*               hard    nproc   16384<br />*               soft    nofile  1024<br />*               hard    nofile  65536</font>
		</p>
		<p>
				<font size="3">��d��如下的行�?etc/pam.d/login 文�g�Q?<br /><font color="#000080">session    required     /lib/security/pam_limits.so</font></font>
		</p>
		<p>
				<font size="3">�~�辑 /etc/profile 文�g,��d��如下部分�Q?<br /><font color="#000080">if [ $USER = "oracle" ]; then  <br />        if [ $SHELL = "/bin/ksh" ]; then  <br />                ulimit -p 16384  <br />                ulimit -n 65536  <br />        else  <br />                ulimit -u 16384 -n 65536  <br />        fi  <br />fi<br /></font>之后�Q�执�?font color="#0000ff">$ ulimit</font> 验证一�?</font>
		</p>
		<p>
				<font size="3">
						<font size="4">
								<strong>1.2 ���查�ƈ安装相关补丁</strong>
						</font>
						<br />在这个版本的RHEL上安装Oracle,必须要有几个软�g�? ���认以下 rpm包都已经安装: </font>
		</p>
		<p>
				<font size="3">make-3.79<br />binutils-2.11<br />openmotif-2.2.2-16<br />setarch-1.3-1 <br />compat-db-4.0.14.5<br />compat-gcc-7.3-2.96.122<br />compat-gcc-c++-7.3-2.96.122<br />compat-libstdc++-7.3-2.96.122<br />compat-libstdc++-devel-7.3-2.96.122</font>
		</p>
		<p>
				<font size="3">
						<font color="#0000ff"># rpm -qa | grep compat</font>
						<br /># 在机器上输出如下:</font>
		</p>
		<p>
				<font color="#800080" size="3">compat-gcc-c++-7.3-2.96.122<br />compat-libstdc++-7.3-2.96.122<br />compat-libstdc++-devel-7.3-2.96.122<br />compat-glibc-7.x-2.2.4.32.5<br />compat-db-4.0.14-5<br />compat-gcc-7.3-2.96.122</font>
		</p>
		<p>
				<font size="3">
						<font color="#0000ff"># rpm -qa | grep openmotif</font>
						<br />
						<font color="#800080">openmotif-devel-2.2.2-16<br />openmotif-2.2.2-16</font>
				</font>
		</p>
		<p>
				<font size="3">
						<font color="#0000ff"># rpm -qa | grep setarch</font>
						<br />
						<font color="#800080">setarch-1.3-1</font>
				</font>
		</p>
		<p>
				<br />
				<font size="3">上面昄���的内�Ҏ��在笔者已�l�安装了具体的RPM包之后的�l�果.一般情况下,你的�pȝ��上的输出�l�果和这个不�?如果个别包没有安�?把系�l�安装光盘mount�?扑ֈ�具体的��Y件包(大多数在�W�三张光盘上),然后利用如下的命令来安装相应的包: <br /><font color="#0000ff"># rpm -ivh *.rpm</font></font>
		</p>
		<p>
				<font size="3">要额外注意的�?�q�些软�g包之间是有依赖性的,先后的顺序要扑֥�.否则会报告不能安装的错误. 此外�Q�最好验证一�?gcc和glibc的版�?要求是gcc-3.2.3-2 或者更�?: <br /><font color="#0000ff">#gcc -v <br />#rpm -q glibc</font></font>
		</p>
		<p>
				<font size="3">
						<font size="4">
								<strong>1.3 创徏用户和相关的�l?/strong>
						</font>
						<br />
						<font color="#0000ff"># /usr/sbin/groupadd oinstall<br /># /usr/sbin/groupadd dba<br /># /usr/sbin/useradd -g oinstall -G dba oracle</font>　</font>
		</p>
		<p>
				<font size="3">如果只是���试目的的话�Q�不创徏oinstall�l�也没什�? 不过�q�是规范一�Ҏ��较好.如果oracle 用户和dba�l�等已经存在�Q�作适当的调整即�? </font>
		</p>
		<p>
				<font size="3">
						<font size="4">
								<strong>1.4 ���查�ƈ调整环境变量</strong>
								<br />
						</font>��d��为oracle用户</font>
		</p>
		<p>
				<font color="#0000ff" size="3"># su - oracle<br />$ cd <br />$ vi .bash_profile</font>
		</p>
		<p>
				<font size="3">#��d��如下内容,你的具体值应该不会和�q�个完全相同. <br /><font color="#000080">export ORACLE_BASE=/oracle<br />export ORACLE_HOME=$ORACLE_BASE/product/dbse<br />export ORACLE_SID=orcl<br />export PATH=$PATH:$HOME/bin:$ORACLE_HOME/bin<br />export LD_LIBRARY_PATH=$ORACLE_HOME/lib:/usr/lib<br />export LC_CTYPE=en_US.UTF-8</font></font>
		</p>
		<p>
				<font size="3">然后执行 <br /><font color="#0000ff">$ source .bash_profile</font></font>
		</p>
		<p>
				<font size="3">使环境变量生�? /oracle �{�目录应该徏立好�q�做合适的授权. </font>
		</p>
		<p>
				<font size="3">
						<font size="4">
								<strong>2. 安装Orale10g</strong>
						</font>
						<br />mount安装�?�׃��10g无法以root安装�Q�以前面建的oracle用户��d��.执行:</font>
		</p>
		<p>
				<font size="3">
						<font color="#0000ff">$ ./runInstaller</font>
				</font>
		</p>
		<p>
				<font size="3">按照提示安装卛_���Q�最后还需要以root�q�行两个脚本�?/font>
		</p>
		<p>
				<font size="3">
						<font size="4">
								<strong>3. 配置TNS参数</strong>
						</font>
						<br />�?/oracle/product/dbse/network/admin/ 目录下有 listener.ora �?tnsnames.ora 两个文�g�Q�设�|�如下：</font>
		</p>
		<p>
				<font color="#000080" size="3">#listener.ora<br />SID_LIST_LISTENER =<br />  (SID_LIST =<br />     (SID_DESC =<br />      (GLOBAL_DBNAME = orcl)<br />      (ORACLE_HOME = /oracle/product/dbse)<br />      (SID_NAME = orcl)<br />     )<br />  )</font>
		</p>
		<p>
				<font color="#000080" size="3">LISTENER =<br />  (DESCRIPTION_LIST =<br />    (DESCRIPTION =<br />        (ADDRESS_LIST =<br />      (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC))<br />        )<br />        (ADDRESS_LIST =<br />      (ADDRESS = (PROTOCOL = TCP)(HOST = 192.168.1.100)(PORT = 1521))<br />        )<br />    )<br />  )</font>
		</p>
		<p>
				<font color="#000080" size="3">#tnsnames.ora<br />ORCL =<br />  (DESCRIPTION =<br />    (ADDRESS = (PROTOCOL = TCP)(HOST = 192.168.1.100)(PORT = 1521))<br />    (CONNECT_DATA =<br />      (SERVER = DEDICATED)<br />      (SERVICE_NAME = orcl)<br />    )<br />  )</font>
		</p>
		<p>
				<font color="#000080" size="3">EXTPROC_CONNECTION_DATA =<br />  (DESCRIPTION =<br />      (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC))<br />        (CONNECT_DATA =<br />      (SID = PLSExtProc)<br />      (PRESENTATION = RO)<br />    )<br />  )</font>
		</p>
		<p>
				<font size="3">其中SERVICE_NAME与SID_NAME一定要�?bash_profile中的ORACLE_SID�怸���_��否则无法启动</font>
		</p>
		<p>
				<font size="3">
						<font size="4">
								<strong>4. 启动Oracle</strong>
						</font>
						<br />以oracle用户��d��</font>
		</p>
		<p>
				<font size="3">
						<font size="4">
								<strong>4.1 启动TNS监听�?/strong>
						</font>
						<br />
						<font color="#0000ff">$ lsnrctl start<br /></font>出现如下昄����Q�表�C�监听服务成功开�?br /><font color="#800080">LSNRCTL for Linux: Version 10.2.0.1.0 - Production on 22-FEB-2006 10:24:03</font></font>
		</p>
		<p>
				<font color="#800080" size="3">Copyright (c) 1991, 2005, Oracle.  All rights reserved.</font>
		</p>
		<p>
				<font color="#800080" size="3">Starting /oracle/product/dbse/bin/tnslsnr: please wait...</font>
		</p>
		<p>
				<font color="#800080" size="3">TNSLSNR for Linux: Version 10.2.0.1.0 - Production<br />System parameter file is /oracle/product/dbse/network/admin/listener.ora<br />Log messages written to /oracle/product/dbse/network/log/listener.log<br />Listening on: (DESCRIPTION=(ADDRESS=(PROTOCOL=ipc)(KEY=EXTPROC)))<br />Listening on: (DESCRIPTION=(ADDRESS=(PROTOCOL=tcp)(HOST=192.168.1.100)(PORT=1521)))</font>
		</p>
		<p>
				<font color="#800080" size="3">Connecting to (DESCRIPTION=(ADDRESS=(PROTOCOL=IPC)(KEY=EXTPROC)))<br />STATUS of the LISTENER<br />------------------------<br />Alias                     LISTENER<br />Version                   TNSLSNR for Linux: Version 10.2.0.1.0 - Production<br />Start Date                22-FEB-2006 10:24:03<br />Uptime                    0 days 0 hr. 0 min. 0 sec<br />Trace Level               off<br />Security                  ON: Local OS Authentication<br />SNMP                      OFF<br />Listener Parameter File   /oracle/product/dbse/network/admin/listener.ora<br />Listener Log File         /oracle/product/dbse/network/log/listener.log<br />Listening Endpoints Summary...<br />  (DESCRIPTION=(ADDRESS=(PROTOCOL=ipc)(KEY=EXTPROC)))<br />  (DESCRIPTION=(ADDRESS=(PROTOCOL=tcp)(HOST=192.168.1.100)(PORT=1521)))<br />Services Summary...<br />Service "orcl" has 1 instance(s).<br />  Instance "orcl", status UNKNOWN, has 1 handler(s) for this service...<br />The command completed successfully</font>
		</p>
		<p>
				<br />
				<font size="3">
						<font size="4">
								<strong>4.2启动数据�?/strong>
						</font>
				</font>
				<font size="3">
						<br />9i 之后已经没有 svrmgrl 了，所有的���理工作都通过 sqlplus 来完成： <br /><font color="#0000ff">$ sqlplus /nolog <br />SQL&gt; connect system/change_on_install as sysdba <br />SQL&gt; startup</font></font>
		</p>
		<p>
				<font size="3">出现如下昄����Q�表�C�Oracle已经成功启动<br /><font color="#800080">ORACLE instance started.</font></font>
		</p>
		<p>
				<font color="#800080" size="3">Total System Global Area  285212672 bytes<br />Fixed Size                  1218968 bytes<br />Variable Size              88082024 bytes<br />Database Buffers          188743680 bytes<br />Redo Buffers                7168000 bytes<br />Database mounted.<br />Database opened.</font>
		</p>
		<p>
				<font color="#000000" size="3">
						<strong>4.3 自动启动与关�?/strong>
				</font>
		</p>
		<p>
				<font size="3">�~�辑 /etc/oratab �Q�把所有的 instance 的重启动标志讄����?'Y'�Q�如: <br /><font color="#000080">orcl:/oracle/product/dbse:Y</font><br /><br />做一个启动脚�?/etc/init.d/dbora �Q�如下所�C? <br /><br /><font color="#000080">#!/bin/sh <br /># description: Oracle auto start-stop script. <br /># chkconfig: - 20 80 <br /># <br /># Set ORA_HOME to be equivalent to the $ORACLE_HOME <br /># from which you wish to execute dbstart and dbshut; <br /># <br /># Set ORA_OWNER to the user id of the owner of the <br /># Oracle database in ORA_HOME. <br /><br />ORA_HOME=/oracle/product/dbse <br />ORA_OWNER=oracle <br />if [ ! -f $ORA_HOME/bin/dbstart ] <br />then <br />echo "Oracle startup: cannot start" <br />exit <br />fi <br />case "$1" in <br />'start') <br /><br /># Start the Oracle databases: <br /># The following command assumes that the oracle login <br /># will not prompt the user for any values <br /><br />su - $ORA_OWNER -c $ORA_HOME/bin/dbstart <br />su - $ORA_OWNER -c "$ORA_HOME/bin/lsnrctl start" <br />;; <br />'stop') <br /><br /># Stop the Oracle databases: <br /># The following command assumes that the oracle login <br /># will not prompt the user for any values <br /><br />su - $ORA_OWNER -c "$ORA_HOME/bin/lsnrctl stop" <br />su - $ORA_OWNER -c $ORA_HOME/bin/dbshut <br />;; <br />'restart') <br />$0 stop <br />$0 start <br />;; <br />esac <br /></font><br />赋予执行权限 <br /><font color="#0000ff">chmod 750 /etc/init.d/dbora</font><br /><br />作成以下链接: <br /><font color="#0000ff">ln -s /etc/init.d/dbora /etc/rc0.d/K10dbora <br />ln -s /etc/init.d/dbora /etc/rc3.d/S99dbora</font><br /><br />执行以下命��o: <br /><font color="#0000ff">chkconfig --level 345 dbora on</font><br /><br />�q�样���OK了。下�ơ开��x��的时候，Oracle也会随之启动/停止�?/font>
		</p>
		<p>
				<font size="3">参考信�?/font>
		</p>
		<p>
				<font size="3">http://www.dbanotes.net</font>
		</p>
<img src ="http://m.tkk7.com/alex/aggbug/45191.html" width = "1" height = "1" /><br><br><div align=right><a style="text-decoration:none;" href="http://m.tkk7.com/alex/" target="_blank">Alex</a> 2006-05-09 13:12 <a href="http://m.tkk7.com/alex/archive/2006/05/09/45191.html#Feedback" target="_blank" style="text-decoration:none;">发表评论</a></div>]]></description></item></channel></rss>                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                       <footer>
<div class="friendship-link">
<p>��л���������ǵ���վ�������ܻ���������Դ����Ȥ��</p>
<a href="http://m.tkk7.com/" title="&#20122;&#27954;&#97;&#118;&#25104;&#20154;&#29255;&#22312;&#32447;&#35266;&#30475;">&#20122;&#27954;&#97;&#118;&#25104;&#20154;&#29255;&#22312;&#32447;&#35266;&#30475;</a>

<div class="friend-links">


</div>
</div>

</footer>

��վ֩���ģ�壺
<a href="http://922eee.com" target="_blank">�þù�����Ʒ�����վ</a>|
<a href="http://zbvip888.com" target="_blank">���޾�Ʒ��վ���߹ۿ������޹��</a>|
<a href="http://gxshenquan.com" target="_blank">������Ѿþ���ҹ��Ʒ
</a>|
<a href="http://sznsfe.com" target="_blank">���� �պ� ɫ ͼ��վ</a>|
<a href="http://tzntrip.com" target="_blank">���޾�Ʒ����Av�����߹ۿ�����
</a>|
<a href="http://992fanli.com" target="_blank">����������Ƶ���߹ۿ�</a>|
<a href="http://billtsssrvp.com" target="_blank">������Ļ��������</a>|
<a href="http://77663499.com" target="_blank">�������¸߳�60���������Ƶ</a>|
<a href="http://mosason.com" target="_blank">���߹ۿ����������Ƶ����</a>|
<a href="http://222mp3.com" target="_blank">�������һ������������Ѳ���</a>|
<a href="http://51cga.com" target="_blank">һ���˿���www��Ѹ���</a>|
<a href="http://786087.com" target="_blank">�þþþþþþ����뾫Ʒ�����պ�</a>|
<a href="http://6609929.com" target="_blank">����һ��������������</a>|
<a href="http://www1688mz.com" target="_blank">���޾�Ʒ������ѿ�</a>|
<a href="http://yy1288.com" target="_blank">���޳��������߹ۿ�</a>|
<a href="http://chowngroup.com" target="_blank">�����պ�һҳ��Ʒ����</a>|
<a href="http://xin-matai.com" target="_blank">��������������Ļ�ۺ�234</a>|
<a href="http://cykj-tech.com" target="_blank">�ձ����������վ</a>|
<a href="http://guilinsix.com" target="_blank">Ů��18ëƬˮ�����ѹۿ�</a>|
<a href="http://53ggk.com" target="_blank">�Ļ�������Ʒ��Ѿþ�</a>|
<a href="http://jmdehong.com" target="_blank">�ֻ���ˬ�ֳ��������Ƶ</a>|
<a href="http://qestest.com" target="_blank">�������һ����Ƶ</a>|
<a href="http://554ka.com" target="_blank">777��ӰƬ��ѹۿ�</a>|
<a href="http://www961dd.com" target="_blank">69ӰԺëƬ��ѹۿ���Ƶ����</a>|
<a href="http://626632.com" target="_blank">��ѹ������˦�Ƭ</a>|
<a href="http://555yyyy.com" target="_blank">�þ���ѹ�����Ƶ</a>|
<a href="http://badabg.com" target="_blank">99�þþù�����Ʒ���ţţ�Ĵ�</a>|
<a href="http://zz4466.com" target="_blank">���߿�Ƭ����˳���Ƶ����</a>|
<a href="http://778002.com" target="_blank">��99RE�þþ�Ʒ���ﶼ�Ǿ�Ʒ���
</a>|
<a href="http://3fsf.com" target="_blank">�����ۺ����������߹ۿ�</a>|
<a href="http://sdtuoliuta.com" target="_blank">������Ʒ�����������߹ۿ�</a>|
<a href="http://imqun.com" target="_blank">����һ������������������ŷ��</a>|
<a href="http://8hnbuk14.com" target="_blank">����av��������ٺٺ�</a>|
<a href="http://69xjk.com" target="_blank">����av�������뾫Ʒ���þþ�</a>|
<a href="http://sxwlhg.com" target="_blank">�����ۺ�����ɫ��������</a>|
<a href="http://gzbaida.com" target="_blank">����va��Ʒ������Ļ</a>|
<a href="http://xdxdl.com" target="_blank">�����˳�ɫ77777���߹ۿ�</a>|
<a href="http://cjfuli.com" target="_blank">����av�����������������߹ۿ�
</a>|
<a href="http://avqq222.com" target="_blank">�鶹���¹�������AVԭ�����
</a>|
<a href="http://wwwfac286.com" target="_blank">����������av����</a>|
<a href="http://93qsgy.com" target="_blank">����һ�������������߹ۿ�����</a>|
<script>
(function(){
    var bp = document.createElement('script');
    var curProtocol = window.location.protocol.split(':')[0];
    if (curProtocol === 'https') {
        bp.src = 'https://zz.bdstatic.com/linksubmit/push.js';
    }
    else {
        bp.src = 'http://push.zhanzhang.baidu.com/push.js';
    }
    var s = document.getElementsByTagName("script")[0];
    s.parentNode.insertBefore(bp, s);
})();
</script>
</body>