net06

Hexo 发布流程测试

2026-08-12T02:00:00.000Z

发布流程测试

这篇文章用于验证博客从 Markdown 源文件到 GitHub Pages 的完整发布流程。

本地图片

图片保存在与文章同名的资源目录中，并通过相对路径引用。

检查项

Front Matter：标题、日期、标签和分类。
Markdown：标题、列表、表格、引用和链接。
代码块：Shell 命令高亮与复制按钮。
本地图片：文章资源目录中的 SVG 文件。
发布：生成静态页面并推送到 GitHub Pages。

这是一次发布链路验证文章，可在确认结果后由站点维护者决定是否保留。

常用命令

1 2	`npm run build npm run deploy`

阶段	预期结果
构建	在 `public/` 中生成文章及本地图片资源
部署	将生成结果推送至 GitHub Pages 仓库的 `main` 分支

CentOS 7搭建Apache(httpd) web 服务器-静态

2026-02-04T16:00:00.000Z

一、Apache 概述

Apache 核心特性

跨平台：支持 Linux、Windows、BSD 等，CentOS 7 中默认以 httpd 服务运行；
虚拟主机：支持基于域名、IP、端口的多站点部署，一台服务器可托管多个网站；
模块扩展：通过动态模块（如 mod_rewrite 重写、mod_ssl 加密）扩展功能；
安全稳定：运行于低权限 apache 用户，支持 SELinux 权限控制，减少系统风险。

二、安装 Apache（httpd）

CentOS 7 的官方软件仓库已包含 httpd，通过 yum 可一键安装，自动处理依赖关系。

1. 安装 httpd 包

# 1. 更新本地软件包索引（可选，确保安装最新版本）
sudo yum update -y httpd

# 2. 安装 httpd 及依赖（包含 Apache 核心服务）
sudo yum install -y httpd

2. 验证安装结果

# 查看 httpd 版本
httpd -v
# 输出示例：Server version: Apache/2.4.6 (CentOS)

# 查看 Apache 运行用户与组（安装后自动创建 `apache` 用户/组）
grep apache /etc/passwd  # 输出：apache:x:48:48:Apache:/usr/share/httpd:/sbin/nologin
grep apache /etc/group   # 输出：apache:x:48:

apache 用户的 shell 为 /sbin/nologin，仅用于运行服务，无法登录系统，提升安全性。

三、Apache 服务管理

通过 systemctl 命令管理 httpd 服务，核心操作包括启动、停止、重启、设置开机自启等，需区分“重启”与“重载”的差异（重载不中断现有连接）。

1. 基础服务命令

功能描述	命令	说明
启动服务	`sudo systemctl start httpd`	首次启动或服务停止后启动
停止服务	`sudo systemctl stop httpd`	停止服务，中断所有连接
重启服务	`sudo systemctl restart httpd`	停止后重新启动，会中断现有连接（配置文件重大修改时使用）
重载配置	`sudo systemctl reload httpd`	不中断连接，仅加载新配置（如虚拟主机、日志路径修改，推荐优先使用）
开机自启	`sudo systemctl enable httpd --now`	`--now` 表示立即启动并设置开机自启
禁止开机自启	`sudo systemctl disable httpd`	取消开机自启，需手动启动服务
查看服务状态	`sudo systemctl status httpd`	查看是否运行（`active (running)` 为正常）、PID、启动日志

2. 测试配置语法（关键！）

修改任何配置文件后，必须先测试语法，避免错误导致服务启动失败：

1
2
3

# 测试 Apache 配置语法
sudo apachectl configtest
# 输出 `Syntax OK` 表示配置无错；若报错，按提示修改对应文件（如行号、指令错误）

四、Apache 核心配置文件详解

Apache 的配置文件采用“主配置+分文件”结构，核心目录与文件如下：

路径	作用描述
`/etc/httpd/conf/httpd.conf`	主配置文件，定义全局参数（如监听端口、运行用户、默认根目录）
`/etc/httpd/conf.d/`	额外配置目录，存放虚拟主机、模块加载等 `.conf` 文件（自动加载所有 `.conf`）
`/etc/httpd/conf.modules.d/`	模块配置目录，定义加载的 Apache 模块（如 `mod_php`、`mod_ssl`）
`/var/www/html/`	默认网站根目录（DocumentRoot），存放静态页面（如 `index.html`）
`/var/log/httpd/`	日志目录，包含 `access_log`（访问日志）和 `error_log`（错误日志）

1. 主配置文件 `httpd.conf` 核心指令

先备份默认配置文件，避免修改错误后无法恢复：

1	`sudo cp /etc/httpd/conf/httpd.conf /etc/httpd/conf/httpd.conf.bak`

编辑主配置文件 sudo vi /etc/httpd/conf/httpd.conf，关键指令及解释如下：

# -------------------------- 1. 全局基础配置 --------------------------
# Apache 安装根目录（所有配置文件的相对路径基于此）
ServerRoot "/etc/httpd"

# 监听端口（默认 80，HTTP 协议；HTTPS 需后续配置 443 端口）
Listen 80

# Apache 运行的用户与组（低权限用户，避免系统风险）
User apache
Group apache

# 管理员邮箱（错误页面会显示此邮箱，便于用户反馈）
ServerAdmin webmaster@example.com

# 服务器名称（消除启动时的“无法确定域名”警告，填写域名或服务器 IP）
ServerName www.example.com:80  # 若无域名，可填服务器 IP:80（如 192.168.1.100:80）


# -------------------------- 2. 目录权限控制（ 块） --------------------------
# 根目录（/）权限：拒绝所有访问，防止 Apache 泄露系统文件

    AllowOverride None  # 不允许 .htaccess 文件覆盖配置（安全）
    Require all denied  # 拒绝所有用户访问


# 默认网站根目录（/var/www）权限：允许所有访问
"/var/www">
    AllowOverride None  # 不启用 .htaccess
    Require all granted  # 允许所有用户访问


# 具体网站根目录（/var/www/html）权限：支持目录索引和符号链接
"/var/www/html">
    # Options：目录行为控制
    # Indexes：若目录无 index.html，显示文件列表；
    # FollowSymLinks：允许 Apache 跟随目录内的符号链接
    Options Indexes FollowSymLinks
    
    AllowOverride None  # 后续若需 .htaccess，可改为 All（需配合 mod_rewrite）
    Require all granted  # 允许所有访问



# -------------------------- 3. 网站根目录与默认页面 --------------------------
# 网站根目录（默认存放静态页面的路径）
DocumentRoot "/var/www/html"

# 默认首页（访问目录时优先加载的文件，顺序从左到右）

    DirectoryIndex index.html index.php  # 先找 index.html，再找 index.php（动态页面后续添加）



# -------------------------- 4. 日志配置 --------------------------
# 错误日志路径（记录服务错误，如启动失败、访问不存在的页面）
ErrorLog "logs/error_log"  # 相对路径，实际为 /var/log/httpd/error_log

# 日志级别（warn：警告及以上错误；debug：调试信息，生产环境不推荐）
LogLevel warn

# 访问日志配置（记录所有客户端访问，格式为 "combined"）
# combined 格式包含：客户端 IP、访问时间、请求方法、状态码、Referer、User-Agent 等
CustomLog "logs/access_log" combined  # 实际路径 /var/log/httpd/access_log


# -------------------------- 5. 加载额外配置文件 --------------------------
# 加载模块配置（如 PHP 模块、SSL 模块）
Include conf.modules.d/*.conf

# 加载额外配置（如虚拟主机配置，存于 /etc/httpd/conf.d/ 目录）
IncludeOptional conf.d/*.conf  # IncludeOptional：文件不存在时不报错

2. 验证默认站点

启动 httpd 服务后，访问默认网站根目录 /var/www/html，验证基础功能：

# 1. 启动 httpd 服务
sudo systemctl start httpd

# 2. 在默认目录创建测试页面
echo "Apache Default Page (CentOS 7)
" | sudo tee /var/www/html/index.html

# 3. 本地测试（服务器上执行，或客户端浏览器访问服务器 IP）
curl http://localhost  # 输出：Apache Default Page (CentOS 7)

客户端浏览器输入 http://服务器IP（如 http://192.168.1.100），应显示测试页面，说明 Apache 基础功能正常。

五、防火墙与 SELinux 配置（关键！避免访问被拦截）

CentOS 7 默认启用 firewalld 防火墙和 SELinux 安全机制，若不配置，客户端将无法访问 Apache 服务。

1. 防火墙配置（开放 HTTP/HTTPS 端口）

HTTP 协议默认使用 80 端口，HTTPS 用 443 端口，通过 firewalld 永久开放：

# 1. 永久开放 HTTP（80）和 HTTPS（443）服务
sudo firewall-cmd --permanent --zone=public --add-service=http
sudo firewall-cmd --permanent --zone=public --add-service=https

# 2. 重新加载防火墙规则，使配置生效
sudo firewall-cmd --reload

# 3. 验证开放的服务（输出应包含 http 和 https）
sudo firewall-cmd --list-services

2. SELinux 配置（允许 Apache 访问目录和日志）

SELinux 是 CentOS 7 的强制访问控制机制，默认会拦截 Apache 对自定义目录（如虚拟主机目录）的访问，需通过 semanage 和 restorecon 配置安全上下文。

（1）SELinux 状态查看与临时调整

# 查看 SELinux 状态（Enforcing：启用；Permissive：宽容模式；Disabled：关闭）
getenforce  # 默认输出 Enforcing

# 临时切换为宽容模式（测试用，重启后失效）
sudo setenforce 0  # 输出 Permissive

不推荐永久关闭 SELinux（会降低系统安全性），建议通过上下文配置解决权限问题。

（2）目录安全上下文配置（以虚拟主机目录为例）

若后续创建虚拟主机目录 /var/www/example.com/html 和日志目录 /var/www/example.com/log，需设置 SELinux 上下文：

httpd_sys_content_t：Apache 可读取的静态文件目录上下文；
httpd_log_t：Apache 可写入的日志目录上下文。

配置命令：

# 1. 为网站根目录设置 httpd_sys_content_t 上下文（允许读取）
sudo semanage fcontext -a -t httpd_sys_content_t "/var/www/example.com/html(/.*)?"

# 2. 为日志目录设置 httpd_log_t 上下文（允许写入）
sudo semanage fcontext -a -t httpd_log_t "/var/www/example.com/log(/.*)?"

# 3. 应用上下文配置（-R：递归处理子目录；-v：显示修改过程）
sudo restorecon -Rv /var/www/example.com/html
sudo restorecon -Rv /var/www/example.com/log

# 4. 验证上下文（输出应包含 httpd_sys_content_t 或 httpd_log_t）
ls -dZ /var/www/example.com/html
ls -dZ /var/www/example.com/log

（3）全局 SELinux 布尔值（可选，简化配置）

若需快速允许 Apache 访问所有目录（适合测试环境，生产环境不推荐），可设置 httpd_unified 布尔值：

1 2	`# 永久允许 Apache 统一权限（-P：重启后生效） sudo setsebool -P httpd_unified 1`

六、虚拟主机配置（多站点部署核心）

虚拟主机（Virtual Host）允许一台服务器托管多个网站，通过 ServerName（域名）区分不同站点。CentOS 7 推荐两种配置方式：conf.d 目录直接创建配置文件（简单），或 sites-available/sites-enabled 软链接（规范，便于管理）。

1. 方案 1：`conf.d` 目录直接配置

以部署两个站点为例：

站点 1：www.example.com（默认站点，公网访问）；
站点 2：slackware.local（本地测试站点，仅局域网访问）。

（1）创建站点目录与测试页面

# 1. 站点 1：www.example.com（公网）
sudo mkdir -p /var/www/example.com/{html,log}  # html：页面目录；log：日志目录
sudo echo "Welcome to www.example.com (Public Site)
" | sudo tee /var/www/example.com/html/index.html

# 2. 站点 2：slackware.local（本地）
sudo mkdir -p /var/www/slackware.local/{html,log}
sudo echo "Welcome to slackware.local (Local Site)
" | sudo tee /var/www/slackware.local/html/index.html

# 3. 设置目录权限（非 root 用户可管理页面，Apache 有读写权限）
sudo chown -R your_username:your_username /var/www/example.com /var/www/slackware.local
sudo chmod -R 755 /var/www/  # 目录权限 755（用户读写执行，其他只读执行）
sudo chmod -R 644 /var/www/*/html/*  # 文件权限 644（用户读写，其他只读）

替换 your_username 为你的 sudo 用户名（如 centos）。

（2）创建虚拟主机配置文件

配置站点 1：`www.example.com`（公网）

1	`sudo vi /etc/httpd/conf.d/example.com.conf`

添加以下内容（带详细解释）：

# 虚拟主机监听所有 IP 的 80 端口（*:80 表示不限制 IP）
:80>
    # 主域名（必须与 DNS 解析一致，如 www.example.com）
    ServerName www.example.com
    # 域名别名（如 example.com，用户访问 example.com 也会指向此站点）
    ServerAlias example.com
    # 网站根目录（页面存放路径）
    DocumentRoot "/var/www/example.com/html"
    # 管理员邮箱（错误页面显示）
    ServerAdmin webmaster@example.com
    
    # 错误日志路径（记录此站点的错误，如 404 页面不存在）
    ErrorLog "/var/www/example.com/log/error.log"
    # 访问日志路径（记录此站点的所有访问，格式为 combined）
    CustomLog "/var/www/example.com/log/access.log" combined
    
    # 目录权限控制（针对 DocumentRoot）
    "/var/www/example.com/html">
        Options Indexes FollowSymLinks  # 允许目录索引、跟随符号链接
        AllowOverride None  # 不启用 .htaccess（如需 URL 重写，后续改为 All）
        Require all granted  # 允许所有用户访问（公网站点需开放）

配置站点 2：`slackware.local`（本地）

1	`sudo vi /etc/httpd/conf.d/slackware.local.conf`

添加以下内容：

:80>
    ServerName slackware.local  # 本地域名（无需公网解析）
    ServerAlias slackware  # 别名（简化访问）
    DocumentRoot "/var/www/slackware.local/html"
    ServerAdmin webmaster@local
    
    ErrorLog "/var/www/slackware.local/log/error.log"
    CustomLog "/var/www/slackware.local/log/access.log" common  # common 格式：仅基础访问信息
    
    "/var/www/slackware.local/html">
        Options Indexes FollowSymLinks
        AllowOverride None
        Require all granted  # 允许局域网用户访问

（3）本地测试站点的域名解析（关键！）

本地站点 slackware.local 无公网 DNS 解析，需在客户端电脑的 hosts 文件中添加映射（服务器 IP + 本地域名）：

Windows：编辑 C:\Windows\System32\drivers\etc\hosts，添加：

1	`192.168.1.100 slackware.local # 替换为你的服务器内网 IP`

Linux/macOS：编辑 /etc/hosts，添加同上内容。

（4）生效配置并测试

# 1. 测试配置语法
sudo apachectl configtest  # 输出 Syntax OK

# 2. 重载 Apache 服务（不中断连接）
sudo systemctl reload httpd

# 3. 测试访问（服务器本地或客户端）
curl http://www.example.com  # 输出公网站点页面
curl http://slackware.local  # 输出本地站点页面

2. 方案 2：`sites-available/sites-enabled` 软链接（规范方案）

此方案将“待启用”和“已启用”的虚拟主机分离，便于管理（如临时禁用站点只需删除软链接），步骤如下：

# 1. 创建 sites-available 和 sites-enabled 目录
sudo mkdir -p /etc/httpd/{sites-available,sites-enabled}

# 2. 在主配置文件中添加加载 sites-enabled 目录的指令
sudo echo "IncludeOptional sites-enabled/*.conf" >> /etc/httpd/conf/httpd.conf

# 3. 将虚拟主机配置文件放入 sites-available（以 example.com 为例）
sudo mv /etc/httpd/conf.d/example.com.conf /etc/httpd/sites-available/

# 4. 创建软链接，启用站点（sites-enabled 中的文件为软链接）
sudo ln -s /etc/httpd/sites-available/example.com.conf /etc/httpd/sites-enabled/

# 5. 重载服务生效
sudo systemctl reload httpd

# 禁用站点：删除软链接即可（不删除原配置文件）
# sudo rm /etc/httpd/sites-enabled/example.com.conf

3. 基于IP的虚拟主机配置

当服务器有多个IP地址时，可以为每个IP地址分配不同的网站。

（1）查看服务器IP地址

# 查看所有网络接口和IP
ip addr show
# 或使用
ifconfig

假设服务器有两个IP：

192.168.1.100 - 主IP
192.168.1.101 - 附加IP

（2）创建站点目录和测试页面

1
2
3

# 为 IP 192.168.1.101 创建站点
sudo mkdir -p /var/www/ip-site/{html,log}
sudo echo "Welcome to IP-based Site (192.168.1.101)
" | sudo tee /var/www/ip-site/html/index.html

（3）基于IP的虚拟主机配置

1	`sudo vi /etc/httpd/conf.d/ip-based.conf`

# 基于IP的虚拟主机配置
192.168.1.101:80>
    # 服务器名称（可省略或使用任意名称）
    ServerName ip-based-site
    # 网站根目录
    DocumentRoot "/var/www/ip-site/html"
    # 管理员邮箱
    ServerAdmin admin@ip-site.com
    
    # 错误日志和访问日志
    ErrorLog "/var/www/ip-site/log/error.log"
    CustomLog "/var/www/ip-site/log/access.log" combined
    
    # 目录权限控制
    "/var/www/ip-site/html">
        Options -Indexes +FollowSymLinks  # 禁用目录索引，启用符号链接
        AllowOverride None
        Require all granted

（4）SELinux上下文设置

# 设置目录安全上下文
sudo semanage fcontext -a -t httpd_sys_content_t "/var/www/ip-site/html(/.*)?"
sudo semanage fcontext -a -t httpd_log_t "/var/www/ip-site/log(/.*)?"
sudo restorecon -Rv /var/www/ip-site/

（5）测试访问

# 测试配置语法
sudo apachectl configtest

# 重载服务
sudo systemctl reload httpd

# 测试访问（从其他机器）
curl http://192.168.1.101

4. 基于端口的虚拟主机配置

在同一IP上使用不同端口提供不同网站服务，适合测试环境或内部服务。

（1）创建不同端口的站点目录

# 创建端口8080的站点
sudo mkdir -p /var/www/port-8080/{html,log}
sudo echo "Welcome to Port 8080 Site
" | sudo tee /var/www/port-8080/html/index.html

# 创建端口8081的站点  
sudo mkdir -p /var/www/port-8081/{html,log}
sudo echo "Welcome to Port 8081 Site
" | sudo tee /var/www/port-8081/html/index.html

（2）修改主配置文件监听额外端口

1	`sudo vi /etc/httpd/conf/httpd.conf`

找到 Listen 指令部分，添加：

# 默认HTTP端口
Listen 80

# 添加额外监听端口
Listen 8080
Listen 8081

（3）创建基于端口的虚拟主机配置

1	`sudo vi /etc/httpd/conf.d/port-based.conf`

# 端口8080的虚拟主机
:8080>
    ServerName server.local:8080
    DocumentRoot "/var/www/port-8080/html"
    ServerAdmin admin@port8080.com
    
    ErrorLog "/var/www/port-8080/log/error.log"
    CustomLog "/var/www/port-8080/log/access.log" combined
    
    "/var/www/port-8080/html">
        Options -Indexes +FollowSymLinks
        AllowOverride None
        Require all granted
    


# 端口8081的虚拟主机
:8081>
    ServerName server.local:8081
    DocumentRoot "/var/www/port-8081/html"
    ServerAdmin admin@port8081.com
    
    ErrorLog "/var/www/port-8081/log/error.log"
    CustomLog "/var/www/port-8081/log/access.log" combined
    
    "/var/www/port-8081/html">
        Options -Indexes +FollowSymLinks
        AllowOverride None
        Require all granted

（4）防火墙开放额外端口

# 永久开放8080和8081端口
sudo firewall-cmd --permanent --add-port=8080/tcp
sudo firewall-cmd --permanent --add-port=8081/tcp
sudo firewall-cmd --reload

# 验证端口开放
sudo firewall-cmd --list-ports

（5）SELinux上下文设置

# 设置端口站点目录的安全上下文
sudo semanage fcontext -a -t httpd_sys_content_t "/var/www/port-8080/html(/.*)?"
sudo semanage fcontext -a -t httpd_sys_content_t "/var/www/port-8081/html(/.*)?"
sudo semanage fcontext -a -t httpd_log_t "/var/www/port-8080/log(/.*)?"
sudo semanage fcontext -a -t httpd_log_t "/var/www/port-8081/log(/.*)?"
sudo restorecon -Rv /var/www/port-8080/ /var/www/port-8081/

（6）测试访问

# 测试配置语法
sudo apachectl configtest

# 重载服务
sudo systemctl reload httpd

# 测试不同端口的访问
curl http://localhost:8080
curl http://localhost:8081
# 或从客户端访问
curl http://服务器IP:8080
curl http://服务器IP:8081

5. 混合配置示例（IP+端口+域名）

实际环境中经常需要混合使用多种虚拟主机类型：

场景描述：

192.168.1.100:80 - 主网站（域名：www.example.com）
192.168.1.100:8080 - 测试环境（域名：test.example.com）
192.168.1.101:80 - 内部管理站点（域名：admin.internal.com）

混合配置示例：

1	`sudo vi /etc/httpd/conf.d/mixed-hosts.conf`

# 主网站 - 基于域名（默认端口80）
192.168.1.100:80>
    ServerName www.example.com
    ServerAlias example.com
    DocumentRoot "/var/www/example.com/html"
    
    ErrorLog "/var/www/example.com/log/error.log"
    CustomLog "/var/www/example.com/log/access.log" combined
    
    "/var/www/example.com/html">
        Options -Indexes +FollowSymLinks
        AllowOverride None
        Require all granted
    


# 测试环境 - 基于端口和域名
192.168.1.100:8080>
    ServerName test.example.com
    DocumentRoot "/var/www/test-env/html"
    
    ErrorLog "/var/www/test-env/log/error.log"
    CustomLog "/var/www/test-env/log/access.log" combined
    
    "/var/www/test-env/html">
        Options -Indexes +FollowSymLinks
        AllowOverride All  # 允许.htaccess用于测试
        Require all granted
    


# 内部管理 - 基于IP和域名
192.168.1.101:80>
    ServerName admin.internal.com
    DocumentRoot "/var/www/admin/html"
    
    ErrorLog "/var/www/admin/log/error.log"
    CustomLog "/var/www/admin/log/access.log" combined
    
    # 限制访问来源（仅允许内网IP段）
    "/var/www/admin/html">
        Options -Indexes +FollowSymLinks
        AllowOverride None
        Require ip 192.168.1.0/24  # 仅允许192.168.1.x网段访问

防火墙配置：

# 开放必要的端口和服务
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --permanent --add-port=8080/tcp
sudo firewall-cmd --reload

6. 虚拟主机匹配优先级

当多个虚拟主机配置可能匹配同一个请求时，Apache按以下顺序匹配：

精确IP+端口+ServerName匹配
IP+端口+第一个定义的虚拟主机（作为默认或回退）
第一个定义的虚拟主机（当没有匹配时）

设置默认虚拟主机：

# 第一个定义的VirtualHost会成为默认主机
:80>
    DocumentRoot "/var/www/default"
    # 捕获所有未匹配的请求

或者明确指定：

:80>
    ServerName default
    DocumentRoot "/var/www/default"
    # 这个会处理所有未匹配到其他虚拟主机的请求

七、Apache认证配置

Apache支持多种认证方式，包括基本认证（Basic Authentication）和摘要认证（Digest Authentication），用于保护特定目录或文件的访问。

1. 基本认证（Basic Authentication）配置

基本认证是最常用的认证方式，浏览器会弹出用户名/密码输入框。

（1）创建密码文件

# 创建认证目录（建议放在/etc/httpd/目录下）
sudo mkdir -p /etc/httpd/auth

# 创建密码文件并添加第一个用户（-c 选项创建新文件）
sudo htpasswd -c /etc/httpd/auth/.htpasswd user1
# 按提示输入密码

# 添加第二个用户（不使用 -c 选项，避免覆盖）
sudo htpasswd /etc/httpd/auth/.htpasswd user2

# 查看密码文件内容
sudo cat /etc/httpd/auth/.htpasswd
# 输出示例：user1:$apr1$xxxxxxxx$yyyyyyyyyyyyyyyyyyyyyy
#         user2:$apr1$zzzzzzzz$wwwwwwwwwwwwwwwwwwwwww

（2）为目录配置基本认证

假设我们要保护 /var/www/example.com/html/secure 目录：

1
2
3

# 创建安全目录
sudo mkdir -p /var/www/example.com/html/secure
sudo echo "Secure Area - Authentication Required
" | sudo tee /var/www/example.com/html/secure/index.html

在虚拟主机配置中添加认证设置：

:80>
    ServerName www.example.com
    DocumentRoot "/var/www/example.com/html"
    
    # ... 其他配置 ...

    # 保护特定目录
    "/var/www/example.com/html/secure">
        # 认证类型
        AuthType Basic
        # 认证领域名称（显示在登录框中）
        AuthName "Restricted Area - Please Login"
        # 密码文件路径
        AuthUserFile /etc/httpd/auth/.htpasswd
        # 允许认证用户访问
        Require valid-user
        
        # 可选：允许特定用户访问
        # Require user user1 user2
        
        # 目录权限设置
        Options -Indexes +FollowSymLinks
        AllowOverride None

（3）测试认证配置

# 测试配置语法
sudo apachectl configtest

# 重载服务
sudo systemctl reload httpd

# 测试访问（会返回401状态码）
curl -I http://www.example.com/secure/
# 输出：HTTP/1.1 401 Unauthorized

在浏览器中访问 http://www.example.com/secure/，会弹出登录框要求输入用户名和密码。

2. 基于用户组的认证

对于更复杂的权限管理，可以使用用户组。

（1）创建组文件

1 2	`# 创建组文件 sudo vi /etc/httpd/auth/.htgroups`

添加组和用户关系：

# 格式：组名: 用户1 用户2 用户3
admins: user1 user2
users: user3 user4
readonly: user5

（2）配置组认证

"/var/www/example.com/html/admin">
    AuthType Basic
    AuthName "Admin Area"
    AuthUserFile /etc/httpd/auth/.htpasswd
    AuthGroupFile /etc/httpd/auth/.htgroups
    
    # 仅允许admins组访问
    Require group admins
    
    Options -Indexes +FollowSymLinks
    AllowOverride None

3. 摘要认证（Digest Authentication）

摘要认证比基本认证更安全，密码不会以明文形式传输。

（1）创建摘要认证密码文件

# 创建摘要认证密码文件
sudo htdigest -c /etc/httpd/auth/.htdigest "Restricted Area" user1
# 按提示输入密码

# 添加第二个用户
sudo htdigest /etc/httpd/auth/.htdigest "Restricted Area" user2

（2）配置摘要认证

"/var/www/example.com/html/secure-digest">
    # 使用摘要认证
    AuthType Digest
    AuthName "Restricted Area"
    AuthDigestDomain /secure-digest/
    
    # 摘要认证密码文件
    AuthDigestProvider file
    AuthUserFile /etc/httpd/auth/.htdigest
    
    # 允许认证用户访问
    Require valid-user
    
    Options -Indexes +FollowSymLinks
    AllowOverride None

4. IP地址限制与认证结合

可以结合IP限制和认证，提供更灵活的安全策略。

（1）IP白名单 + 认证

"/var/www/example.com/html/secure-ip">
    AuthType Basic
    AuthName "Restricted Area"
    AuthUserFile /etc/httpd/auth/.htpasswd
    
    # 访问控制配置
    Order deny,allow
    Deny from all
    
    # 允许本地网络无需认证
    Allow from 192.168.1.0/24
    # 其他IP需要认证
    Require valid-user
    Satisfy any

（2）分时段访问控制

"/var/www/example.com/html/office-hours">
    AuthType Basic
    AuthName "Office Hours Only"
    AuthUserFile /etc/httpd/auth/.htpasswd
    
    # 定义办公时间（9:00-18:00）
    
        Require valid-user
        # 仅允许在工作时间访问
        Require expr %{TIME_HOUR} >= 9 && %{TIME_HOUR} < 18

5. .htaccess 文件认证配置

如果主配置中允许 .htaccess 覆盖，可以在目录中创建 .htaccess 文件进行认证配置。

（1）启用 .htaccess 覆盖

在主配置或虚拟主机配置中：

"/var/www/example.com/html">
    AllowOverride AuthConfig  # 允许认证配置覆盖
    # 或者允许所有覆盖
    # AllowOverride All

（2）创建 .htaccess 文件

1	`sudo vi /var/www/example.com/html/secure/.htaccess`

内容：

AuthType Basic
AuthName "Protected Directory"
AuthUserFile /etc/httpd/auth/.htpasswd
Require valid-user

# 其他.htaccess指令
Options -Indexes

6. 认证与SSL/TLS结合

对于生产环境，认证应该与HTTPS结合使用，避免密码明文传输。

# 强制使用HTTPS进行认证
:443>
    ServerName www.example.com
    DocumentRoot "/var/www/example.com/html"
    
    # SSL配置
    SSLEngine on
    SSLCertificateFile /etc/ssl/certs/example.com.crt
    SSLCertificateKeyFile /etc/ssl/private/example.com.key
    
    # 安全目录配置
    "/var/www/example.com/html/secure">
        AuthType Basic
        AuthName "Secure Login"
        AuthUserFile /etc/httpd/auth/.htpasswd
        Require valid-user
    


# 重定向HTTP到HTTPS
:80>
    ServerName www.example.com
    Redirect permanent / https://www.example.com/

7. 认证配置最佳实践

（1）安全建议

# 设置密码文件权限
sudo chown root:apache /etc/httpd/auth/.htpasswd
sudo chmod 640 /etc/httpd/auth/.htpasswd

# 定期更改密码
sudo htpasswd /etc/httpd/auth/.htpasswd user1

（2）性能优化

对于大量用户的场景，考虑使用数据库认证：

# 使用数据库认证（需要mod_authn_dbd）
AuthType Basic
AuthName "Members Area"
AuthBasicProvider dbd
AuthDBDUserPWQuery "SELECT password FROM users WHERE username = %s"
Require valid-user

（3）错误页面定制

1
2
3

# 自定义认证错误页面
ErrorDocument 401 /error/401.html
ErrorDocument 403 /error/403.html

8. 测试认证功能

（1）命令行测试

# 测试认证（会返回401）
curl -I http://www.example.com/secure/

# 带认证测试
curl -u user1:password http://www.example.com/secure/

# 或分步操作
curl -u user1 http://www.example.com/secure/
# 会提示输入密码

（2）浏览器测试

访问受保护URL
确认弹出登录框
输入正确用户名密码后能正常访问
测试错误密码时的拒绝访问

9. 常见问题解决

（1）认证失败

检查密码文件路径：确保 AuthUserFile 路径正确
检查文件权限：Apache用户需要能读取密码文件
验证密码：使用 htpasswd -v 验证密码

（2）性能问题

对于高流量站点，考虑使用数据库或缓存认证
启用 mod_authn_socache 模块缓存认证结果

（3）SELinux问题

如果认证目录在非标准位置，可能需要设置SELinux上下文：

1 2	`sudo semanage fcontext -a -t httpd_sys_content_t "/custom/auth/path(/.*)?" sudo restorecon -Rv /custom/auth/path`

八、常见问题与解决方案

1. Apache 启动失败：`Job for httpd.service failed`

原因 1：配置文件语法错误；
解决：执行 sudo apachectl configtest 查看错误位置（如行号、指令拼写错误），修改后重试。
原因 2：80 端口被占用（如 Nginx 服务）；
解决：查找占用进程 sudo ss -tulpn | grep :80，停止占用服务（如 sudo systemctl stop nginx）。
原因 3：SELinux 拦截目录访问；
解决：按步骤五设置目录的 SELinux 上下文（如 httpd_log_t 用于日志目录）。

2. 访问页面显示 403 Forbidden（禁止访问）

原因 1：目录权限不足（Apache 无读取权限）；
解决：设置目录权限 sudo chmod -R 755 /var/www/your_site，文件权限 sudo chmod -R 644 /var/www/your_site/html/*。
原因 2：Require all denied 配置错误；
解决：检查块中的 Require 指令，确保为 Require all granted。

3. PHP 页面显示源码而非解析

原因：未安装 mod_php 模块或未重启 Apache；
解决：安装 sudo yum install -y php，重启 Apache sudo systemctl restart httpd。

CentOS 7搭建vsftpd服务器

2026-02-04T16:00:00.000Z

一、vsftpd 概述

vsftpd（Very Secure FTP Daemon）是 Linux 系统中主流的 FTP 服务器软件，核心优势在于高安全性与轻量高效，支持匿名用户、本地用户、虚拟用户三种认证方式，具备以下特点：

以低权限用户运行，降低对系统的潜在危害；
利用 chroot() 函数限制用户目录，防止越权访问系统文件；
高权限操作（如登录、文件权限修改）由特殊上层程序控制，需严格身份验证；
支持 IPv6、带宽限制、日志审计、虚拟主机、被动模式等功能；
完全开源免费，兼容 CentOS、Ubuntu、BSD 等 UNIX 类系统。

二、安装前准备

搭建前需处理防火墙与 SELinux 限制（避免端口或权限拦截），建议先测试环境临时关闭，正式环境按需配置规则。

1. 防火墙配置

（1）临时关闭防火墙（测试用）

# 停止防火墙服务
systemctl stop firewalld
# 禁止防火墙开机自启
systemctl disable firewalld

（2）正式环境：开放 FTP 相关端口

vsftpd 需开放控制端口（默认 21，可自定义）和被动模式端口范围（数据传输用），示例如下：

# 开放控制端口（如默认21，或自定义60021）
firewall-cmd --permanent --zone=public --add-port=21/tcp
# 开放主动模式数据端口（20，仅主动模式需开放）
firewall-cmd --permanent --zone=public --add-port=20/tcp
# 开放被动模式端口范围（示例：64000-65000，可自定义）
firewall-cmd --permanent --zone=public --add-port=64000-65000/tcp
# 重新加载规则
firewall-cmd --reload
# 验证开放端口
firewall-cmd --list-ports

2. SELinux 配置

SELinux 可能拦截 FTP 访问，需临时关闭或永久配置权限：

（1）临时关闭（测试用）

1
2
3

setenforce 0
# 验证状态（输出 Permissive 表示临时关闭）
getenforce

（2）永久关闭（或配置权限）

# 编辑 SELinux 配置文件
vim /etc/selinux/config
# 将 SELINUX=enforcing 改为 SELINUX=disabled
SELINUX=disabled
# 保存后重启系统生效（或临时生效用 setenforce 0）

# 若不关闭 SELINUX，可允许 FTP 全权限（推荐）
setsebool -P ftpd_full_access on

三、vsftpd 安装与基础运维

1. 检查是否已安装

# 方法1：查看已安装的 vsftpd 包
rpm -qa | grep vsftpd
# 方法2：查看 vsftpd 版本
vsftpd -v

2. 安装 vsftpd

通过 yum 一键安装（CentOS 官方源默认包含）：

1	`yum install -y vsftpd`

3. 服务运维命令

功能	命令
启动服务	`systemctl start vsftpd.service`
停止服务	`systemctl stop vsftpd.service`
重启服务（配置生效）	`systemctl restart vsftpd.service`
查看服务状态	`systemctl status vsftpd.service`
开机自启	`systemctl enable vsftpd.service`
禁止开机自启	`systemctl disable vsftpd.service`

四、核心配置（vsftpd.conf）

vsftpd 主配置文件路径：/etc/vsftpd/vsftpd.conf，建议先备份原配置：

1	`cp /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf.backup`

#是否允许匿名，默认no
anonymous_enable=NO

#这个设定值必须要为YES 时，在/etc/passwd内的账号才能以实体用户的方式登入我们的vsftpd主机
local_enable=YES

#具有写权限
write_enable=YES

#本地用户创建文件或目录的掩码
local_umask=022

#当dirmessage_enable=YES时，可以设定这个项目来让vsftpd寻找该档案来显示讯息！您也可以设定其它档名！
dirmessage_enable=YES

#当设定为YES时，使用者上传与下载日志都会被纪录起来。记录日志与下一个xferlog_file设定选项有关
xferlog_enable=YESxferlog_std_format=YES

#上传与下载日志存放路径
xferlog_file=/var/log/xferlog 

#开启20端口
connect_from_port_20=YES

#关于系统安全的设定值：
#ascii_download_enable=YES(NO)
#如果设定为YES ，那么 client 就可以使用 ASCII 格式下载档案。
#一般来说，由于启动了这个设定项目可能会导致DoS 的攻击，因此预设是NO。
#ascii_upload_enable=YES(NO)
#与上一个设定类似的，只是这个设定针对上传而言！预设是NO。
ascii_upload_enable=NO
ascii_download_enable=NO
#通过搭配能实现以下几种效果： 
#①当chroot_list_enable=YES，chroot_local_user=YES时，在/etc/vsftpd.chroot_list文件中列出的用户，可以切换到其他目录；未在文件中列出的用户，不能切换到其他目录。 
#②当chroot_list_enable=YES，chroot_local_user=NO时，在/etc/vsftpd.chroot_list文件中列出的用户，不能切换到其他目录；未在文件中列出的用户，可以切换到其他目录。 
#③当chroot_list_enable=NO，chroot_local_user=YES时，所有的用户均不能切换到其他目录。 
#④当chroot_list_enable=NO，chroot_local_user=NO时，所有的用户均可以切换到其他目录。

chroot_local_user=YES
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd/chroot_list

#这个是pam模块的名称，我们放置在/etc/pam.d/vsftpd
pam_service_name=vsftpd

#当然我们都习惯支持TCP Wrappers的啦！
tcp_wrappers=YES

#不添加下面这个会报错：500 OOPS: vsftpd: refusing to run with writable root inside chroot()
allow_writeable_chroot=YES

#ftp的端口号
listen_port=60021
#启动被动式联机(passivemode)
pasv_enable=YES
#上面两个是与passive mode 使用的 port number 有关，如果您想要使用65400到65410 这 11 个 port 来进行被动式资料的连接，可以这样设定
pasv_min_port=65400
pasv_max_port=65410

#FTP访问目录
local_root=/data/ftp/

以下是核心配置参数，按功能分类：

1. 基础访问控制

参数	取值	说明
`anonymous_enable`	YES/NO	是否允许匿名用户登录（默认 YES，安全起见设为 NO）
`local_enable`	YES/NO	是否允许本地系统用户（/etc/passwd 中的用户）登录（必须设为 YES）
`write_enable`	YES/NO	是否允许用户写操作（上传、删除、创建目录，需设为 YES 才支持）
`local_umask`	022	本地用户创建文件 / 目录的权限掩码（文件：644=666-022，目录：755=777-022）

2. 目录限制（chroot 配置）

chroot 用于将用户禁锢在指定目录，防止访问系统其他文件，核心参数组合如下：

`chroot_local_user`	`chroot_list_enable`	`chroot_list_file` 作用	效果总结
YES	YES	列出的用户允许切换到其他目录	仅列表内用户可越权，其余用户被禁锢
YES	NO	无效	所有用户均被禁锢在主目录
NO	YES	列出的用户禁止切换到其他目录	仅列表内用户被禁锢，其余用户可越权
NO	NO	无效	所有用户均允许切换到其他目录（不推荐）

必加参数：allow_writeable_chroot=YES → 解决 “500 OOPS: vsftpd: refusing to run with writable root inside chroot ()” 报错（允许被禁锢用户的主目录有写权限）。

3. 被动模式配置

FTP 被动模式更适合客户端在防火墙后（如家庭网络），需指定端口范围：

# 启用被动模式
pasv_enable=YES
# 被动模式最小端口（自定义，如 64000）
pasv_min_port=64000
# 被动模式最大端口（自定义，如 65000）
pasv_max_port=65000
# 自定义控制端口（默认 21，可选，如 60021）
listen_port=60021

4. 日志与安全配置

# 启用上传/下载日志
xferlog_enable=YES
# 日志格式（标准格式）
xferlog_std_format=YES
# 日志路径
xferlog_file=/var/log/xferlog
# 禁止 ASCII 格式上传/下载（防止 DoS 攻击，默认 NO）
ascii_upload_enable=NO
ascii_download_enable=NO
# PAM 认证模块（默认 vsftpd，对应 /etc/pam.d/vsftpd）
pam_service_name=vsftpd
# 支持 TCP Wrappers（增强安全性）
tcp_wrappers=YES
# 本地用户默认访问目录（自定义，如 /data/ftp）
local_root=/data/ftp

五、用户管理

vsftpd 支持本地用户和虚拟用户，虚拟用户与系统用户隔离，安全性更高，以下分两种场景配置：

1. 本地用户配置（单用户 / 简单场景）

（1）创建本地用户

创建仅用于 FTP 登录、禁止 SSH 登录的用户（如 ftpuser）：

# -d：指定主目录（与 local_root 一致，如 /data/ftp）
# -s：指定登录shell（/sbin/nologin 或 /usr/bin/nologin，禁止 SSH 登录）
# -M：不自动创建主目录（已手动创建则加）
useradd -d /data/ftp -s /sbin/nologin ftpuser

# 若提示“shell /sbin/nologin does not exist”，需添加到 /etc/shells
echo "/sbin/nologin" >> /etc/shells

（2）设置用户密码

# 交互设置密码
passwd ftpuser
# 非交互设置密码（如密码 ftppassword）
echo "ftppassword" | passwd --stdin ftpuser

（3）配置目录权限

确保用户对主目录有访问权限：

# 创建主目录（若未创建）
mkdir -p /data/ftp
# 设置目录所有者为 ftpuser
chown -R ftpuser:ftpuser /data/ftp
# 设置目录权限（755：用户可读写执行，其他只读执行）
chmod -R 755 /data/ftp

# （可选）创建上传目录（单独授权写权限）
mkdir -p /data/ftp/upload
chown ftpuser:ftpuser /data/ftp/upload
chmod 755 /data/ftp/upload

2. 虚拟用户配置（多用户 / 高安全场景）

虚拟用户仅存在于 FTP 服务中，与系统用户隔离，适合多用户管理。

（1）创建宿主系统用户

虚拟用户需映射到一个低权限的系统宿主用户（如 vsftpd_guest）：

# 创建宿主用户，禁止 SSH 登录，主目录 /home/vsftpd
useradd -d /home/vsftpd -s /sbin/nologin vsftpd_guest
# 设置目录权限
chown -R vsftpd_guest:vsftpd_guest /home/vsftpd
chmod -R 755 /home/vsftpd

（2）创建虚拟用户列表

创建文本文件存储虚拟用户账号密码（一行账号、一行密码）：

vim /etc/vsftpd/vuser_passwd
# 内容示例（用户 wcj、hss，密码均为 123456）
wcj
123456
hss
123456

（3）生成虚拟用户数据库文件

vsftpd 需读取数据库格式的用户文件，用 db_load 生成：

# -T：转换格式，-t hash：哈希算法，-f：源文件，输出 db 文件
db_load -T -t hash -f /etc/vsftpd/vuser_passwd /etc/vsftpd/vuser_passwd.db
# 设置权限（仅 root 可读，防止密码泄露）
chmod 600 /etc/vsftpd/vuser_passwd.db

（4）配置虚拟用户独立目录

为每个虚拟用户创建独立配置文件，实现目录隔离：

# 创建虚拟用户配置目录
mkdir /etc/vsftpd/vuser_conf

# 为每个用户创建配置文件（如 wcj、hss）
touch /etc/vsftpd/vuser_conf/wcj
touch /etc/vsftpd/vuser_conf/hss

（5）编辑虚拟用户配置

以用户 wcj 为例，配置其独立目录和权限：

vim /etc/vsftpd/vuser_conf/wcj
# 内容如下
local_root=/home/vsftpd/wcj  # wcj 的 FTP 目录
write_enable=YES             # 允许写操作
anon_world_readable_only=NO  # 允许浏览目录
anon_upload_enable=YES       # 允许上传
anon_mkdir_write_enable=YES  # 允许创建目录
anon_other_write_enable=YES  # 允许删除/重命名

（6）创建用户目录并授权

# 为每个虚拟用户创建目录
mkdir -p /home/vsftpd/wcj /home/vsftpd/hss
# 创建上传子目录（解决主目录写权限问题）
mkdir -p /home/vsftpd/wcj/upload /home/vsftpd/hss/upload
# 授权（宿主用户 vsftpd_guest 拥有权限）
chown -R vsftpd_guest:vsftpd_guest /home/vsftpd
chmod -R 755 /home/vsftpd
chmod 777 /home/vsftpd/wcj/upload /home/vsftpd/hss/upload

（7）修改 vsftpd.conf 启用虚拟用户

在 vsftpd.conf 末尾添加：

# 启用虚拟用户功能
guest_enable=YES
# 虚拟用户映射的宿主用户（即 vsftpd_guest）
guest_username=vsftpd_guest
# 虚拟用户配置文件目录
user_config_dir=/etc/vsftpd/vuser_conf
# 虚拟用户权限：YES 与本地用户同权，NO 与匿名用户同权（默认 NO）
virtual_use_local_privs=YES
# 被动模式端口范围（与前文一致）
pasv_min_port=10060
pasv_max_port=10090

六、服务测试

配置完成后重启 vsftpd，通过以下方式测试是否正常运行：

1. 终端测试（ftp/lftp 命令）

（1）ftp 命令

# 连接 FTP 服务器（IP 为服务器地址，端口默认 21，自定义需加端口）
ftp 192.168.10.110 21
# 输入用户名（本地用户 ftpuser 或虚拟用户 wcj）
Name (192.168.10.110:root): ftpuser
# 输入密码
Password:
# 登录成功后，执行操作（示例）
ftp> ls  # 查看目录
ftp> cd upload  # 进入上传目录
ftp> put test.txt  # 上传本地文件 test.txt
ftp> get test.txt  # 下载服务器文件 test.txt
ftp> bye  # 退出连接

（2）lftp 命令（支持非交互登录）

# 格式：lftp 用户名:密码@IP:端口
lftp ftpuser:ftppassword@192.168.10.110:21
# 执行操作
lftp ftpuser@192.168.10.110:/> ls
lftp ftpuser@192.168.10.110:/> cd upload
lftp ftpuser@192.168.10.110:/upload> put test.txt

2. 浏览器测试

在浏览器地址栏输入 ftp://服务器IP:端口，输入用户名密码后，可查看目录和下载文件（浏览器仅支持下载，不支持上传）。

3. 客户端测试（推荐）

使用 FTP 客户端（如 FileZilla、FlashFXP）：

主机：服务器 IP
端口：21（或自定义端口）
用户名 / 密码：本地用户或虚拟用户账号
连接后可上传、下载、管理文件，直观验证功能。

七、常见问题与解决

1. 报错：500 OOPS: could not read chroot list file:/etc/vsftpd/chroot_list

原因：配置了 chroot_list_file=/etc/vsftpd/chroot_list，但该文件不存在。解决：创建空的 chroot_list 文件：

1
2
3

touch /etc/vsftpd/chroot_list
# 若需允许特定用户越权，将用户名添加到文件（一行一个）
echo "ftpuser" >> /etc/vsftpd/chroot_list

2. 报错：500 OOPS: chroot

原因：SELinux 限制了 chroot 操作。解决：临时关闭 SELinux（setenforce 0）或永久关闭（修改 /etc/selinux/config），或设置 SELinux 权限：

1	`setsebool -P ftpd_full_access on`

3. 登录失败：331 Please specify the password. 后报错

原因：

用户不在允许登录列表（user_list）；
用户在禁止登录列表（/etc/vsftpd/ftpusers）；
目录权限不足。
解决：
将用户添加到 /etc/vsftpd/user_list（一行一个）；
确保用户不在 /etc/vsftpd/ftpusers 中；
重新配置目录权限（chown -R 用户名:组 /目录，chmod -R 755 /目录）。

八、进阶配置：FTPS 加密传输

FTP 默认明文传输，通过 FTPS（FTP over SSL/TLS）加密数据，需生成 SSL 证书：

1. 安装 openssl

1	`yum install -y openssl openssl-devel`

2. 生成 CA 私钥与自签证书

# 生成 CA 私钥（2048位，路径 /etc/pki/CA/private/cakey.pem）
openssl genrsa -out /etc/pki/CA/private/cakey.pem 2048
chmod 400 /etc/pki/CA/private/cakey.pem

# 生成 CA 自签证书（有效期 365 天）
openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 365
# 按提示输入信息（Country Name、State 等，可随意填写）

3. 生成 vsftpd 证书与私钥

# 创建证书目录
mkdir -p /etc/vsftpd/.ssl
chmod 400 /etc/vsftpd/.ssl

# 生成 vsftpd 私钥
openssl genrsa -out /etc/vsftpd/.ssl/vsftpd.key 2048
chmod 400 /etc/vsftpd/.ssl/vsftpd.key

# 生成证书请求文件
openssl req -new -key /etc/vsftpd/.ssl/vsftpd.key -out /etc/vsftpd/.ssl/vsftpd.csr

# 签发 vsftpd 证书（需先初始化 CA 索引和序列号）
touch /etc/pki/CA/index.txt
echo 01 > /etc/pki/CA/serial
openssl ca -in /etc/vsftpd/.ssl/vsftpd.csr -out /etc/vsftpd/.ssl/vsftpd.crt -days 365

4. 配置 vsftpd 启用 SSL

在 vsftpd.conf 末尾添加：

# 启用 SSL
ssl_enable=YES
# 强制本地用户登录和数据传输加密
force_local_logins_ssl=YES
force_local_data_ssl=YES
# 禁用 SSL 会话重用
require_ssl_reuse=NO
# 支持的 SSL 版本
ssl_tlsv1=YES
ssl_sslv2=YES
ssl_sslv3=YES
# SSL 密码等级
ssl_ciphers=HIGH
# 证书和私钥路径
rsa_cert_file=/etc/vsftpd/.ssl/vsftpd.crt
rsa_private_key_file=/etc/vsftpd/.ssl/vsftpd.key
# 启用 SSL 调试日志
debug_ssl=YES

5. 重启服务并测试

1 2	`systemctl restart vsftpd # 使用支持 FTPS 的客户端（如 FileZilla），选择“FTP over TLS”连接`

九、常用 FTP 命令

命令	功能说明
`ascii`	以 ASCII 格式传输文件（默认）
`binary`	以二进制格式传输文件（推荐，避免文件损坏）
`get 远程文件 [本地文件]`	下载远程文件到本地
`put 本地文件 [远程文件]`	上传本地文件到远程
`mget 远程文件列表`	批量下载文件（如 `mget *.txt`）
`mput 本地文件列表`	批量上传文件（如 `mput *.txt`）
`ls [远程目录]`	列出远程目录文件
`cd 远程目录`	切换远程目录
`lcd 本地目录`	切换本地目录
`mkdir 目录名`	在远程创建目录
`rmdir 目录名`	删除远程空目录
`delete 文件名`	删除远程文件
`rename 旧名新名`	重命名远程文件
`pwd`	显示当前远程目录
`bye/quit/exit`	退出 FTP 连接

CentOS7 搭建Samba服务器

2026-02-04T16:00:00.000Z

一、安装 Samba 服务

Samba 主要包含三个包：samba（服务端）、samba-client（客户端工具）、samba-common（通用配置文件）。

1. 安装软件包

1 2	`# 安装 Samba 相关组件 sudo yum install -y samba samba-client samba-common`

2. 验证安装结果

1
2
3

# 查看 Samba 版本
smbd --version
# 输出示例：Version 4.10.16

二、Samba 服务基础管理

通过 systemctl 命令管理 Samba 服务（主服务为 smb 和 nmb，nmb 用于 NetBIOS 名称解析）。

功能描述	命令
启动服务	`sudo systemctl start smb nmb`
停止服务	`sudo systemctl stop smb nmb`
重启服务	`sudo systemctl restart smb nmb`
重载配置（不中断连接）	`sudo systemctl reload smb nmb`
开机自启	`sudo systemctl enable smb nmb --now`
查看服务状态	`sudo systemctl status smb nmb`

三、防火墙与 SELinux 配置

默认情况下，防火墙和 SELinux 会拦截 Samba 服务，需手动开放权限。

1. 防火墙配置（开放 Samba 端口）

Samba 依赖 TCP 139、445 和 UDP 137、138 端口，通过 firewalld 开放：

# 1. 永久开放 Samba 服务（firewalld 内置了 samba 服务规则）
sudo firewall-cmd --permanent --zone=public --add-service=samba

# 2. 重新加载防火墙规则
sudo firewall-cmd --reload

# 3. 验证开放的服务（输出应包含 samba）
sudo firewall-cmd --list-services

2. SELinux 配置（允许 Samba 访问目录）

SELinux 需设置特定布尔值和安全上下文，确保 Samba 可读写共享目录：

（1）设置 SELinux 布尔值

1
2
3

# 允许 Samba 共享目录给所有用户（-P 表示永久生效）
sudo setsebool -P samba_enable_home_dirs on  # 允许访问家目录共享
sudo setsebool -P samba_export_all_rw on     # 允许读写共享目录

（2）配置共享目录的 SELinux 上下文

若共享目录为 /data/samba_share，需设置 samba_share_t 上下文：

# 1. 为共享目录设置安全上下文（递归应用子目录）
sudo semanage fcontext -a -t samba_share_t "/data/samba_share(/.*)?"

# 2. 应用上下文配置
sudo restorecon -Rv /data/samba_share

# 3. 验证上下文（输出应包含 samba_share_t）
ls -dZ /data/samba_share

四、创建共享目录与权限配置

1. 创建共享目录

以 /data/samba_share 为例（可自定义路径）：

# 创建共享目录
sudo mkdir -p /data/samba_share

# 创建测试文件（用于验证访问）
sudo echo "Samba Share Test File" > /data/samba_share/test.txt

2. 设置目录权限

确保 Samba 用户对目录有读写权限：

# 1. 设置目录所有者为 root（或自定义用户）
sudo chown -R root:root /data/samba_share

# 2. 设置权限（所有者读写执行，组和其他用户读写）
sudo chmod -R 775 /data/samba_share

# 3. 若需要匿名用户可写，可放宽权限（谨慎使用）
# sudo chmod -R 777 /data/samba_share

五、配置 Samba 共享（核心步骤）

Samba 主配置文件为 /etc/samba/smb.conf，通过修改该文件定义共享规则。

1. 备份默认配置

1	`sudo cp /etc/samba/smb.conf /etc/samba/smb.conf.bak`

2. 编辑配置文件

1	`sudo vi /etc/samba/smb.conf`

（1）全局配置（`[global]` 段）

保留核心配置，删除冗余内容：

[global]
    workgroup = WORKGROUP        # 工作组名称（需与 Windows 客户端一致，默认 WORKGROUP）
    server string = Samba Server %v  # 服务器描述
    netbios name = centos-samba  #  NetBIOS 名称（客户端显示的服务器名）
    security = user              # 认证模式（user：需用户名密码；share：匿名）
    map to guest = Bad User      # 错误用户映射为来宾（匿名）
    dns proxy = no               # 禁用 DNS 代理

（2）添加共享配置（自定义共享名称）

在文件末尾添加共享规则（以 [samba_share] 为例）：

# 共享名称（客户端显示的文件夹名）
[samba_share]
    comment = Public Samba Share  # 共享描述（可选）
    path = /data/samba_share      # 共享目录绝对路径
    browseable = yes              # 是否允许浏览（yes：可见；no：隐藏）
    writable = yes                # 是否允许写入（yes：可读写；no：只读）
    guest ok = no                 # 是否允许匿名访问（no：需认证；yes：匿名）
    valid users = samba_user      # 允许访问的用户（多个用户用逗号分隔）
    create mask = 0664            # 新建文件的权限掩码（664：用户/组读写，其他读）
    directory mask = 0775         # 新建目录的权限掩码（775：用户/组读写执行，其他读执行）

配置项说明：

guest ok = yes：允许匿名访问（无需密码），适合公共共享；
valid users：限制特定用户访问（需先创建 Samba 用户）；
create mask/directory mask：控制新建文件/目录的默认权限。

六、创建 Samba 用户

Samba 用户需基于系统用户（但密码独立），步骤如下：

1. 创建系统用户（若不存在）

1 2	`# 创建系统用户 samba_user（-s /sbin/nologin 禁止 SSH 登录，仅用于 Samba） sudo useradd -s /sbin/nologin samba_user`

2. 添加为 Samba 用户并设置密码

# 添加 samba_user 为 Samba 用户（-a：添加；-s：设置密码）
sudo smbpasswd -a samba_user
# 按提示输入密码（如 samba123），确认密码

# 启用 Samba 用户（默认添加后为启用状态，若禁用可执行）
# sudo smbpasswd -e samba_user

3. 查看 Samba 用户列表

1 2	`sudo pdbedit -L # 列出所有 Samba 用户 # 输出示例：samba_user:1001:`

七、验证配置并重启服务

1. 检查配置文件语法

1 2	`testparm # 验证 smb.conf 语法 # 输出 "Loaded services file OK." 表示配置正确`

2. 重启 Samba 服务

1	`sudo systemctl restart smb nmb`

八、客户端访问测试

1. Windows 客户端访问

打开“文件资源管理器”，在地址栏输入 \\服务器IP（如 \\192.168.1.100）；
弹出认证窗口，输入 Samba 用户名（samba_user）和密码（samba123）；
成功访问后可看到 samba_share 共享文件夹，尝试创建/删除文件验证权限。

2. Linux 客户端访问

使用 smbclient 工具测试：

# 列出服务器共享目录
smbclient -L //192.168.1.100 -U samba_user
# 输入密码后可看到共享列表

# 挂载共享目录到本地（需安装 cifs-utils）
sudo yum install -y cifs-utils
sudo mkdir /mnt/samba
sudo mount -t cifs //192.168.1.100/samba_share /mnt/samba -o username=samba_user,password=samba123

# 验证挂载（查看测试文件）
cat /mnt/samba/test.txt  # 输出：Samba Share Test File

3. macOS 客户端访问

打开“访达”，按 Command + K；
输入 smb://192.168.1.100，点击“连接”；
输入用户名和密码，访问共享目录。

LAMP架构搭建Discuz 论坛网站

2026-02-04T16:00:00.000Z

一、环境概述

架构组成：Linux（CentOS7）+ Apache（httpd）+ MariaDB（MySQL 兼容）+ PHP
核心用途：搭建动态网站（如 Discuz、WordPress）、企业内部系统
适配场景：中小型项目、测试环境、内部业务系统（高并发场景建议优化或换用 LNMP / 容器架构）

二、前置准备

1. 系统初始化

# 1. 更新系统依赖

yum update -y

# 2. 安装基础工具

yum install -y vim wget net-tools

# 3. 防火墙配置（开放80/443/22端口）

firewall-cmd --permanent --add-port=80/tcp

firewall-cmd --permanent --add-port=443/tcp

firewall-cmd --permanent --add-port=22/tcp

firewall-cmd --reload

 #或者停止防火墙服务
 
systemctl stop firewalld
systemctl disable firewalld

# 4. SELinux配置（关键！避免权限拦截）

# 临时关闭（测试用）

setenforce 0

# 永久关闭（编辑配置文件）

vim /etc/selinux/config

# 修改为：SELINUX=disabled（需重启生效）

2. 组件版本说明

组件	推荐版本	兼容范围	安装方式
Apache	2.4.x（系统默认）	CentOS7 自带	yum 安装
MariaDB	5.5.x/10.x	兼容 MySQL 协议	yum 安装
PHP	5.4.x（默认）/7.4.x	5.4 适配老系统，7.4 适配新应用	yum / 第三方源

三、核心组件安装与配置

（一）Apache（httpd）安装配置

1. 安装与启动

# 安装

yum install -y httpd mod_ssl

# 启动并设置开机自启

systemctl start httpd

systemctl enable httpd

# 验证状态（确保active (running)）

systemctl status httpd

2. 关键配置（解决 PHP 解析问题，正常解析可以不用管）

# 编辑PHP解析配置文件

vim /etc/httpd/conf.d/php.conf

# 确保以下配置存在（核心！）

LoadModule php5_module modules/libphp5.so  # PHP5.x版本

# 或 LoadModule php7_module modules/libphp7.so（PHP7.x版本）

AddType application/x-httpd-php .php       # 识别PHP文件



   DirectoryIndex index.php index.html    # 优先加载index.php



# 验证配置语法

httpd -t

# 重启生效

systemctl restart httpd

3. 虚拟主机配置（可选，多网站部署）

# 创建虚拟主机配置文件

vim /etc/httpd/conf.d/vhost.conf

# 配置示例（替换为实际域名/路径）



   ServerName www.example.com

   DocumentRoot /var/www/discuz

   ErrorLog /var/log/httpd/discuz_error.log

   CustomLog /var/log/httpd/discuz_access.log combined

   "/var/www/dsicuz">

       Require all granted  # 允许所有访问

       Options Indexes FollowSymLinks

   



# 创建网站目录并重启

mkdir -p /var/www/discuz

4. 修改httpd主配置文件

#关闭主服务器工作目录，添加默认索引文件 index.php

vi /etc/httpd/conf/httpd.conf 
…… 
#DocumentRoot "/var/www/html" 
…… 
 
 DirectoryIndex index.php index.html 
 
……

systemctl restart httpd

（二）MariaDB 安装配置

1. 安装与初始化

# 安装

yum install -y mariadb-server mariadb

# 启动并设置开机自启

systemctl start mariadb

systemctl enable mariadb

# 安全初始化（设置root密码、禁用匿名用户）

mysql_secure_installation

# 按提示操作：设置root密码→删除匿名用户→禁止root远程登录（按需关闭）→删除测试库

2. 数据库用户与权限配置（应用部署必备）

# 登录数据库

mysql -u root -p

# 创建应用数据库（如WordPress/Discuz）

CREATE DATABASE wordpress_db;

# 创建专用用户并授权（避免使用root）

CREATE USER 'wp_user'@'localhost' IDENTIFIED BY 'StrongPass123!';

GRANT ALL PRIVILEGES ON wordpress_db.* TO 'wp_user'@'localhost';

#或 grant all privileges on *.* to root@'%' identified by "000000"; 

FLUSH PRIVILEGES;

# 退出数据库

EXIT;

（三）PHP 安装与扩展配置

1. 基础安装（PHP5.4.x 默认版本）

# 安装PHP及核心扩展

yum install -y php php-mysql php-gd php-mbstring php-xml php-curl

# 验证版本


php -v  # 输出PHP 5.4.16等版本信息

# 验证扩展加载（创建测试文件）

echo "" > /var/www/html/phpinfo.php

# 浏览器访问：http://服务器IP/phpinfo.php，查看mysql/mysqli扩展是否存在

2. PHP 版本升级（可选，适配新应用）

# 安装Remi源（支持高版本PHP）

yum install -y http://rpms.remirepo.net/enterprise/remi-release-7.rpm

# 启用PHP7.4源

yum-config-manager --enable remi-php74

# 安装PHP7.4及扩展

yum install -y php74 php74-php-fpm php74-php-mysqlnd php74-php-gd php74-php-mbstring

# 重启Apache

systemctl restart httpd

四、网站部署实战

1. 下载与解压

# 进入网站根目录

cd /var/www/discuz

# 下载WordPress安装包

wget https://wordpress.org/latest.tar.gz

# 解压并授权

tar -xzvf latest.tar.gz

mv wordpress/* ./

cp -r upload/* ./

rm -rf wordpress latest.tar.gz

# 设置权限（关键！避免Forbidden错误）

chown -R apache:apache /var/www/discuz

chmod -R 755 /var/www/discuz  # 目录权限

find /var/www/discuz -type f -exec chmod 644 {} \;  # 文件权限

2. 配置与安装

浏览器访问：http://服务器IP，选择语言
填写数据库信息（前面创建的 wordpress_db、wp_user、密码）
设置网站标题、管理员账号密码，完成安装

3. 适配 PHP5.4.x 注意事项

PHP5.4.x 仅支持 WordPress 3.7-4.9.x 版本（新版 WordPress 需 PHP7.3+）
若提示 “缺少 MySQL 扩展”，重新安装扩展：yum install -y php-mysql
插件 / 主题优先选择兼容 PHP5.4 的旧版本

五、HTTPS 配置（双服务器架构：CA+Web）

（一）CA 服务器配置（192.168.227.135）

1. 生成根证书

# 创建CA工作目录（没有的就创建）

mkdir -p /etc/pki/CA/{private,certs,newcerts,crl}

touch /etc/pki/CA/index.txt

echo 01 > /etc/pki/CA/serial

# 生成根私钥（保密！）

openssl genrsa -out /etc/pki/CA/private/cakey.pem 2048

chmod 600 /etc/pki/CA/private/cakey.pem

# 生成根证书（有效期10年）

openssl req -new -x509 -days 3650 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem

# 填写信息：国家(CN)→省份→城市→机构→部门→CA域名→邮箱

（二）Web 服务器配置（192.168.227.134）

1. 生成证书请求（CSR）

# 创建证书目录

mkdir -p /etc/httpd/ssl

# 生成Web服务器私钥

openssl genrsa -out /etc/httpd/ssl/web.key 2048

# 生成CSR（Common Name填写Web服务器IP/域名）

openssl req -new -key /etc/httpd/ssl/web.key -out /etc/httpd/ssl/web.csr

# 上传CSR到CA服务器

scp /etc/httpd/ssl/web.csr root@192.168.227.135:/tmp/

2. CA 签署证书并传回

# CA服务器签署证书（有效期1年）

openssl ca -in /tmp/web.csr -out /etc/pki/CA/certs/web.crt -days 365

# 传回Web服务器

scp /etc/pki/CA/certs/web.crt root@192.168.227.134:/etc/httpd/ssl/

scp /etc/pki/CA/cacert.pem root@192.168.227.134:/etc/httpd/ssl/

3. Apache HTTPS 配置

# 编辑SSL配置文件

vim /etc/httpd/conf.d/ssl.conf

# 修改关键配置

SSLCertificateKeyFile /etc/httpd/ssl/web.key

SSLCertificateFile /etc/httpd/ssl/web.crt

SSLCertificateChainFile /etc/httpd/ssl/cacert.pem

# 重启Apache

systemctl restart httpd

# 测试访问：https://服务器IP（首次提示证书不受信任，内部测试可忽略）

六、常见问题排查

1. 访问 PHP 显示源代码

原因：Apache 未加载 PHP 模块或未配置解析规则
解决：

检查模块：httpd -M | grep php（无输出则重新安装 PHP）
确认 php.conf 配置（AddType/DirectoryIndex）
重启 Apache：systemctl restart httpd

2. 403 Forbidden（禁止访问）

原因：文件权限不足、SELinux 拦截、Apache 配置限制
解决：

修复权限：chown -R apache:apache /var/www/html && chmod -R 755 /var/www/html
SELinux 配置：chcon -R -t httpd_sys_content_t /var/www/html
检查 Apache 配置：块添加Require all granted

3. 缺少 MySQL 扩展

原因：未安装 php-mysql 扩展或版本不匹配
解决：
- PHP5.4：yum install -y php-mysql
- PHP7.x：yum install -y php74-php-mysqlnd
- 重启 Apache：systemctl restart httpd

4. 数据库连接失败

检查项：

MariaDB 服务是否运行：systemctl status mariadb
数据库用户权限：确认wp_user@localhost有权访问目标库
密码正确性：避免特殊字符，确保配置文件中密码无拼写错误

ENSP-FW项目

2026-02-04T16:00:00.000Z

项目规划及拓扑图

项目实施(脚本直接刷)

CORE

#vlan-接口-ip
sys
sysname CORE
vlan batch 2 3 1000
interface Vlanif2
 ip address 192.168.2.254 255.255.255.0
interface Vlanif3
 ip address 192.168.3.254 255.255.255.0
interface Vlanif1000
 ip address 192.168.254.2 255.255.255.252
q
int g0/0/1
 port link-t tr
 port tr al vl 2 3
int g0/0/2
 port link-t tr
 port tr al vl 2 3
int g0/0/3
 port link-t ac 
 port de vlan 1000
 
 #路由
 ospf 1 router-id 11.11.11.2
 area 0
  network 192.168.2.0 0.0.0.255
  network 192.168.3.0 0.0.0.255
  network 192.168.254.0 0.0.0.3

ACC1/ACC2

sys
sys ACC1
vlan bat 2 3 
int g0/0/1
port link-t tr
port tr al vl 2 3
int g0/0/2
port link-t ac 
port de vlan 2
int g0/0/3
port link-t ac 
port de vlan 3

sys
sys ACC2
vlan bat 2 3 
int g0/0/1
port link-t tr
port tr al vl 2 3
int g0/0/2
port link-t ac 
port de vlan 2
int g0/0/3
port link-t ac 
port de vlan 3

ISP

sys
sys ISP
int g0/0/0
ip add 202.1.1.1 29
int g0/0/1
ip add 210.33.44.1 24

FW1

#需要先把防火墙的web开启了，通过web配置后面的
sys
sys FW
firewall zone trust
 add interface GigabitEthernet0/0/0
q
int g0/0/0
service-manage enable
service-manage http per
service-manage https per
service-manage ping per
ip add 192.168.227.20 24

#如果是真机还需要设置一个账号来供web登录
web-manager enable
web-manager security enable port 8443
aaa
 manager-user admin
 service-type web telnet ssh
 level 15
 password cipher Admin@1234

配置接口

配置路由

配置NAT及策略

其他的都差不多，网页端做本来就很简单，后面的就不写了

LNMP架构搭建wordpress博客

2026-02-04T16:00:00.000Z

一、环境概述

架构组成：Linux（CentOS7）+ Nginx（Web 服务器）+ MariaDB（MySQL 兼容数据库）+ PHP（PHP-FPM 进程管理）
核心优势：轻量高效、并发处理能力强，适合中小型网站、博客、企业官网等场景
适配场景：生产环境、测试环境、高并发静态资源服务（动态内容需配合 PHP-FPM）
组件版本参考（默认 / 推荐）：

组件	系统默认版本	推荐版本	安装方式
Nginx	1.12.x	1.20.x+	YUM（EPEL 源）/ 源码编译
MariaDB	5.5.x	10.11.x	YUM / 官方镜像源
PHP	5.4.x	7.4.x/8.3.x	YUM（Remi 源）
PHP-FPM	随 PHP 配套	与 PHP 版本一致	随 PHP 安装

二、前置准备

1. 系统初始化

# 1. 备份并替换阿里云镜像源（加速安装，避免官方源卡顿）

sudo mv /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/CentOS-Base.repo.backup

sudo curl -o /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo

# 2. 安装基础工具

sudo yum install -y vim wget net-tools yum-utils

# 3. 防火墙配置（开放80/443/22端口）

sudo firewall-cmd --permanent --add-service=http

sudo firewall-cmd --permanent --add-service=https

sudo firewall-cmd --permanent --add-port=22/tcp

sudo firewall-cmd --reload

 #或者停止防火墙服务
 
systemctl stop firewalld
systemctl disable firewalld

# 4. SELinux配置（避免权限拦截，核心步骤）

sudo setenforce 0  # 临时关闭（测试环境）

sudo sed -i 's/SELINUX=enforcing/SELINUX=disabled/' /etc/selinux/config  # 永久关闭（需重启）

2. 依赖环境检查

1
2
3

# 检查是否已安装冲突服务（如Apache httpd），如有则卸载

rpm -qa | grep httpd && sudo yum remove -y httpd

三、核心组件安装与配置

（一）Nginx 安装与基础配置

1. 安装 Nginx（通过 EPEL 源，避免报错）

# 安装阿里云EPEL源（解决默认EPEL源无法访问问题）

sudo curl -o /etc/yum.repos.d/epel.repo http://mirrors.aliyun.com/repo/epel-7.repo

sudo yum repolist | grep epel  # 验证仓库是否生效

# 安装Nginx

sudo yum install -y nginx

# 启动并设置开机自启

sudo systemctl start nginx

sudo systemctl enable nginx

# 验证Nginx状态（确保显示 active (running)）

sudo systemctl status nginx

2. 基础配置验证

浏览器访问 http://服务器IP，出现 “Welcome to nginx!” 页面即安装成功
核心配置文件路径：
- 主配置文件：/etc/nginx/nginx.conf
- 虚拟主机配置目录：/etc/nginx/conf.d/（默认配置文件：default.conf）
- 网站根目录（默认）：/usr/share/nginx/html

（二）MariaDB 安装与安全配置

1. 安装与启动

# 安装MariaDB服务器与客户端

sudo yum install -y mariadb-server mariadb

# 启动并设置开机自启

sudo systemctl start mariadb

sudo systemctl enable mariadb

# 安全初始化（必做！设置root密码、禁用匿名用户）

sudo mysql_secure_installation

初始化步骤提示：

无初始密码，直接回车 → 2. 设置 root 强密码 → 3. 全选 Y（删除匿名用户、禁止 root 远程登录、删除测试库、刷新权限）

2. 数据库用户与权限配置

# 登录数据库

mysql -u root -p

# 创建应用数据库

CREATE DATABASE wordpress_db CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci;

# 创建专用数据库用户并授权

CREATE USER 'wp_user'@'localhost' IDENTIFIED BY 'StrongPass@2025';

GRANT ALL PRIVILEGES ON wordpress_db.* TO 'wp_user'@'localhost';


#或：grant all privileges on *.* to root@'%' identified by "000000"; 

FLUSH PRIVILEGES;

# 退出数据库

EXIT;

（三）PHP 与 PHP-FPM 安装配置（核心联动步骤）

1. 安装 PHP 及扩展（以 PHP7.4 为例，兼容主流应用）

# 安装Remi源（支持高版本PHP）

sudo yum install -y http://mirrors.aliyun.com/remi/enterprise/remi-release-7.rpm

# 启用PHP7.4仓库

sudo yum-config-manager --enable remi-php74

# 安装PHP及核心扩展（适配网站运行需求）

sudo yum install -y php php-fpm php-mysqlnd php-gd php-mbstring php-xml php-curl php-zip php-opcache

2. 关键配置（Nginx 与 PHP-FPM 联动）

（1）修改 PHP-FPM 用户组（适配 Nginx 权限）

1	`sudo vim /etc/php-fpm.d/www.conf`

替换以下配置（默认用户为 apache，需改为 nginx）：

user = nginx

group = nginx

listen = 127.0.0.1:9000  # 保持TCP监听（或使用unix:/tmp/php-cgi.sock）

（2）启动 PHP-FPM 并设置自启

sudo systemctl start php-fpm

sudo systemctl enable php-fpm

sudo systemctl status php-fpm  # 验证状态

sudo netstat -nptl #查看工作端口

（3）配置 Nginx 支持 PHP 解析（核心联动）

1	`sudo vim /etc/nginx/conf.d/default.conf`

替换 server 区块内容（确保 PHP 脚本能被正确解析）：

server {

   listen 80;

   server_name 服务器IP/域名;  # 替换为实际IP或域名

   location / {
      
       root /usr/share/nginx/html;  # 网站根目录

       index index.php index.html index.htm;  # 优先加载index.php

       try_files $uri $uri/ =404;  # 防止路径遍历
       
   }

   # PHP脚本处理规则（关键配置）

   location ~ \.php$ {

       fastcgi_pass 127.0.0.1:9000;  # 与PHP-FPM监听地址一致

       fastcgi_index index.php;

       fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;  # 脚本路径拼接

       include fastcgi_params;  # 加载FastCGI参数

   }

   # 静态资源缓存优化（补充配置）

   location ~ .*\.(gif|jpg|jpeg|png|bmp|swf)$ {

       expires 30d;  # 图片缓存30天

   }

   location ~ .*\.(js|css)?$ {

       expires 12h;  # 脚本样式缓存12小时

   }

}

（4）验证 Nginx 配置并重启

1
2
3

sudo nginx -t  # 检查配置语法（无错误提示则正常）

sudo systemctl restart nginx  # 重启生效

3. 环境验证

1
2
3

# 创建PHP信息测试文件

echo "" | sudo tee /usr/share/nginx/html/info.php

浏览器访问 http://服务器IP/info.php，显示 PHP 版本及扩展信息即配置成功

（四）虚拟主机配置（多网站部署，补充内容）

1
2
3

# 创建虚拟主机配置文件

sudo vim /etc/nginx/conf.d/example.conf

配置示例：

server {

   listen 80;

   server_name www.example.com example.com;  # 绑定域名

   

   location / {
   
       root  /usr/share/nginx/html;   # 自定义网站目录

       index index.php index.html;
       
       try_files $uri $uri/ =404;

   }

   location ~\.php$ {

       fastcgi_pass 127.0.0.1:9000;
       
       root /usr/share/nginx/html; 

       fastcgi_index index.php;

       fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;

       include fastcgi_params;

   }

   access_log /var/log/nginx/example_access.log;  # 访问日志

   error_log /var/log/nginx/example_error.log;    # 错误日志

}

sudo mkdir -p  /usr/share/nginx/html

sudo chown -R nginx:nginx /usr/share/nginx/html

sudo chmod -R 755 /usr/share/nginx/html

sudo nginx -t && sudo systemctl restart nginx
#或重新加载 nginx 使配置文件生效：nginx -s reload

四、应用部署实战（以 WordPress 为例）

1. 下载与解压

# 进入网站根目录（以默认目录为例）

cd /usr/share/nginx/html

# 下载WordPress安装包

wget https://wordpress.org/latest.tar.gz

# 解压并授权

tar -xzvf latest.tar.gz

mv wordpress/* ./

rm -rf wordpress latest.tar.gz

# 设置权限（关键！避免访问报错）

sudo chown -R nginx:nginx /usr/share/nginx/html

sudo find /usr/share/nginx/html -type d -exec chmod 755 {} \;

sudo find /usr/share/nginx/html -type f -exec chmod 644 {} \;

2. 修改数据库相关配置

#复制模板配置

cp wp-config_sample.conf wp-config.conf 

vi wp-config.conf

... 
/** WordPress 数据库的名称 */ 
define('DB_NAME', 'wordpress'); 

/** MySQL 数据库用户名 */ 
define('DB_USER', 'root'); 

/** MySQL 数据库密码 */ 
define('DB_PASSWORD', '000000'); 

/** MySQL 主机 */ 
define('DB_HOST', 'localhost'); 

/** 创建数据表时默认的文字编码 */ 
define('DB_CHARSET', 'utf8'); 

/** 数据库整理类型。如不确定请勿更改 */ 
define('DB_COLLATE', ''); 
...

3. 安装流程

浏览器访问 http://服务器IP，点击 “现在就开始”
输入数据库信息（前面创建的 wordpress_db、wp_user、密码）
填写网站标题、管理员账号密码 → 完成安装

4. 适配注意事项

PHP5.4.x 仅支持 WordPress 3.7-4.9.x（需升级 PHP 版本以适配新版 WordPress）
若提示 “缺少 MySQL 扩展”，重新安装扩展：sudo yum install -y php-mysqlnd

五、HTTPS 配置（双服务器架构：CA+Web，补充内容）

（一）CA 服务器配置（参考 LAMP 架构 CA 配置，适配 LNMP）

生成根证书（同 LAMP 步骤，路径不变）
签署 Web 服务器证书（流程一致）

（二）Web 服务器（Nginx）HTTPS 配置

1
2
3

# 编辑Nginx SSL配置文件

sudo vim /etc/nginx/conf.d/ssl.conf

配置示例：

server {

   listen 443 ssl;

   server_name 服务器IP/域名;

   # 证书路径（替换为实际路径）

   ssl_certificate /etc/nginx/ssl/web.crt;  # CA签署的服务器证书

   ssl_certificate_key /etc/nginx/ssl/web.key;  # Web服务器私钥

   ssl_trusted_certificate /etc/nginx/ssl/cacert.pem;  # CA根证书

   # SSL优化配置（补充）

   ssl_protocols TLSv1.2 TLSv1.3;

   ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384;

   ssl_prefer_server_ciphers on;

   root /usr/share/nginx/html;

   index index.php index.html;

   location ~ \.php$ {

       fastcgi_pass 127.0.0.1:9000;

       fastcgi_index index.php;

       fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;

       include fastcgi_params;

   }

}

重启 Nginx：sudo systemctl restart nginx
测试访问：https://服务器IP（自签名证书首次访问需忽略信任警告）

WLAN集中式转发

2026-02-04T16:00:00.000Z

WLAN知识点

一、核心拓扑

1
2
3

[DHCP服务器] → [交换机] ←→ [AC]  
                   ↓  
               [FIT AP] → 无线终端（手机/电脑）

AP需通过有线连接到网络，与AC建立CAPWAP隧道。

二、配置关键步骤

AC基础配置

配置管理IP（如Vlanif接口）、启用CAPWAP。

1	`[AC] capwap source interface Vlanif 100 # 指定AC的CAPWAP源接口`

下发AP的DHCP中的option 43

1 2	`option 43 hex 030A31302E31302E31302E31 option 43 sub-option 3 ascii 10.10.10.1`

AP上线
- AP通过DHCP获取IP，通过DHCP Option43或静态配置发现AC。
- AC上注册AP（手动添加AP的MAC或序列号）。
1
2
3
[AC] wlan [AC-wlan] ap auth-mode mac-auth # 按MAC认证AP [AC-wlan] ap-id 1 ap-mac 00e0-fc12-3456 # 注册AP

WLAN业务配置

创建SSID（无线名称）、安全模板（如WPA2-PSK密码）。
创建VAP模板（绑定SSID、安全模板、VLAN），下发到AP。

[AC-wlan] ssid-profile name office-ssid  # 创建SSID
[AC-wlan-ssid-office-ssid] ssid Office  # 设置无线名称

[AC-wlan] security-profile name office-sec  # 创建安全模板
[AC-wlan-security-office-sec] security wpa2 psk pass-phrase 12345678 aes  # 配置密码

[AC-wlan] vap-profile name office-vap  # 创建VAP模板
[AC-wlan-vap-office-vap] ssid-profile office-ssid  # 绑定SSID
[AC-wlan-vap-office-vap] security-profile office-sec  # 绑定安全模板
[AC-wlan-vap-office-vap] vlan 10  # 绑定VLAN

# 单个ap下发配置
[AC-wlan] ap-id 1  # 进入AP视图
[AC-wlan-ap-1] vap-profile office-vap wlan 1  # 给AP下发VAP

# 多个ap下发配置
[AC-wlan] ap-gruop name rjdl # 创建rjdl组
[AC-wlan] ap-id 1  # 进入AP视图
[AC-wlan-ap-1]ap-group rjdl #将AP1加入rjdl组
[AC-wlan-ap-1]ap-name 801-ap ap名称

[AC-wlan] ap-group name rjdl  # 进入组
[AC-wlan-ap-group-rjdl] vap-profile office-vap wlan 1 radio all 
# 下发VAP模板（如office-vap），分配WLAN ID 1，所有射频（2.4G/5G）生效

三、CAPWAP隧道

AC与AP的通信通道，分控制隧道（UDP 5246，传配置）和数据隧道（UDP 5247，传用户流量）。
需确保AC与AP网络连通，防火墙放通对应端口。

四、常用排错命令

查看AP状态：display ap all（AP状态为“nor”表示正常）。
查看CAPWAP隧道：display capwap ap all。
查看SSID和VAP：display wlan ssid-profile、display wlan vap-profile。

案例

实验拓扑

基础配置

AR1

sysname AR1
interface GigabitEthernet0/0/0
 ip address 192.168.254.1 255.255.255.252 
interface LoopBack0
 ip address 201.1.1.1 255.255.255.0 
q
ip route-static 192.168.2.0 255.255.255.0 192.168.254.2
ip route-static 192.168.3.0 255.255.255.0 192.168.254.2
ip route-static 192.168.99.0 255.255.255.0 192.168.254.2
ip route-static 192.168.100.0 255.255.255.0 192.168.254.2
ip route-static 192.168.200.0 255.255.255.0 192.168.254.2

CORE

sysname CORE
vlan 99
 description ap-vlan
vlan 100
 description to-poe-acc1
vlan 200
 description to-ac1
vlan 1000
 description to-ar1

interface Vlanif99
 ip address 192.168.99.254 255.255.255.0
interface Vlanif100
 ip address 192.168.100.254 255.255.255.0
interface Vlanif200
 ip address 192.168.200.2 255.255.255.0
interface Vlanif1000
 ip address 192.168.254.2 255.255.255.252
q
interface GigabitEthernet0/0/1
 port link-type trunk
 port trunk allow-pass vlan 99 to 100

interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 1000

interface GigabitEthernet0/0/3
 port link-type trunk
 port trunk allow-pass vlan 200
q
dhcp enable
interface Vlanif99
 dhcp select global

ip pool manage-ap
 gateway-list 192.168.99.254
 network 192.168.99.0 mask 255.255.255.0
 option 43 sub-option 3 ascii 192.168.200.1
 
q
ip route-static 0.0.0.0 0.0.0.0 192.168.254.1
ip route-static 192.168.2.0 255.255.255.0 192.168.200.1
ip route-static 192.168.3.0 255.255.255.0 192.168.200.1

AC1

sysname AC1
vlan 2
 description sta-vlan2
vlan 3
 description sta-vlan3
vlan 200
 description to-core
 
interface Vlanif2
 ip address 192.168.2.254 255.255.255.0
 dhcp select global
interface Vlanif3
 ip address 192.168.3.254 255.255.255.0
 dhcp select global
interface Vlanif200
 ip address 192.168.200.1 255.255.255.0
 
 interface GigabitEthernet0/0/1
 port link-type trunk
 port trunk allow-pass vlan 2 to 3 200

dhcp enable
ip pool sta-vlan2
 gateway-list 192.168.2.254 
 network 192.168.2.0 mask 255.255.255.0 
ip pool sta-vlan3
 gateway-list 192.168.3.254 
 network 192.168.3.0 mask 255.255.255.0 
 
ip route-static 0.0.0.0 0.0.0.0 192.168.200.2

POC-ACC1

sysname POE-ACC1
vlan batch 99 to 100
interface Vlanif100
 ip address 192.168.100.1 255.255.255.0
 
interface GigabitEthernet0/0/1
 port link-type trunk
 port trunk allow-pass vlan 99 to 100

port-group 1
group-member GigabitEthernet 0/0/3 to GigabitEthernet 0/0/4
port link-type access
port default vlan 99

ip route-static 0.0.0.0 0.0.0.0 192.168.100.254

核心配置

AC1

# CAPWAP配置：指定源接口
capwap source interface Vlanif200

# ap上线
wlan
 ap-group name rjdl #创建一个rjdl组
 ap auth-mode mac-auth  # AP按MAC认证
 ap-id 1 ap-mac 00e0-fc2f-7a60  # 注册AP1
 ap-group rjdl #将AP1加入rjdl组
 ap-id 2 ap-mac 00e0-fc21-7200  # 注册AP2
 ap-group rjdl
q
 ssid-profile name guest  # 创建ssid模板
  ssid guest # 设置wifi名称
q
 ssid-profile name net24
  ssid net24 
q
 security-profile name wpa2  # 创建安全模板
  security wpa2 psk pass-phrase 12345678 aes # 设置密码
q  
 vap-profile name guest # 创建VAP模板
  forward-mode tunnel #数据转发模式为 “隧道模式”
  service-vlan vlan-id 3 #绑定vlan
  ssid-profile guest  # 绑定SSID  
 vap-profile name net24
  forward-mode tunnel
  service-vlan vlan-id 2
  ssid-profile net24
  security-profile wpa2  #绑定安全模板
q
  ap-group name rjdl  # 将VAP下发到组内AP
   vap-profile guest wlan 1 radio all
   vap-profile net24 wlan 2 radio all

测试

Linux基础

2026-02-04T16:00:00.000Z

Linux基础命令

Linux的目录结构

/，根目录是最顶级的目录了
Linux只有一个顶级目录：/
路径描述的层次关系同样适用/来表示
/home/itheima/a.txt，表示根目录下的home文件夹内有itheima文件夹，内有a.txt

ls命令

功能：列出文件夹信息

语法：ls [-l -h -a] [参数]

参数：被查看的文件夹，不提供参数，表示查看当前工作目录
-l，以列表形式查看
-h，配合-l，以更加人性化的方式显示文件大小
-a，显示隐藏文件

隐藏文件、文件夹

在Linux中以.开头的，均是隐藏的。

默认不显示出来，需要-a选项才可查看到。

pwd命令

功能：展示当前工作目录

语法：pwd

cd命令

功能：切换工作目录

语法：cd [目标目录]

参数：目标目录，要切换去的地方，不提供默认切换到当前登录用户HOME目录

HOME目录

每一个用户在Linux系统中都有自己的专属工作目录，称之为HOME目录。

普通用户的HOME目录，默认在：/home/用户名
root用户的HOME目录，在：/root

FinalShell登陆终端后，默认的工作目录就是用户的HOME目录

相对路径、绝对路径

相对路径，==非==/开头的称之为相对路径
相对路径表示以当前目录作为起点，去描述路径，如test/a.txt，表示当前工作目录内的test文件夹内的a.txt文件
绝对路径，==以==/开头的称之为绝对路径
绝对路径从根开始描述路径

特殊路径符

.，表示当前，比如./a.txt，表示当前文件夹内的a.txt文件
..，表示上级目录，比如../表示上级目录，../../表示上级的上级目录
~，表示用户的HOME目录，比如cd ~，即可切回用户HOME目录

mkdir命令

功能：创建文件夹

语法：mkdir [-p] 参数

参数：被创建文件夹的路径
选项：-p，可选，表示创建前置路径

touch命令

功能：创建文件

语法：touch 参数

参数：被创建的文件路径

cat命令

功能：查看文件内容

语法：cat 参数

参数：被查看的文件路径

more命令

功能：查看文件，可以支持翻页查看

语法：more 参数

参数：被查看的文件路径
在查看过程中：
- 空格键翻页
- q退出查看

cp命令

功能：复制文件、文件夹

语法：cp [-r] 参数1 参数2

参数1，被复制的
参数2，要复制去的地方
选项：-r，可选，复制文件夹使用

示例：

cp a.txt b.txt，复制当前目录下a.txt为b.txt
cp a.txt test/，复制当前目录a.txt到test文件夹内
cp -r test test2，复制文件夹test到当前文件夹内为test2存在

mv命令

功能：移动文件、文件夹

语法：mv 参数1 参数2

参数1：被移动的
参数2：要移动去的地方，参数2如果不存在，则会进行改名

rm命令

功能：删除文件、文件夹

语法：rm [-r -f] 参数...参数

参数：支持多个，每一个表示被删除的，空格进行分隔
选项：-r，删除文件夹使用
选项：-f，强制删除，不会给出确认提示，一般root用户会用到

rm命令很危险，一定要注意，特别是切换到root用户的时候。

which命令

功能：查看命令的程序本体文件路径

语法：which 参数

参数：被查看的命令

find命令

功能：搜索文件

语法1按文件名搜索：find 路径 -name 参数

路径，搜索的起始路径
参数，搜索的关键字，支持通配符*，比如：*test表示搜索任意以test结尾的文件

grep命令

功能：过滤关键字

语法：grep [-n] 关键字文件路径

选项-n，可选，表示在结果中显示匹配的行的行号。
参数，关键字，必填，表示过滤的关键字，带有空格或其它特殊符号，建议使用””将关键字包围起来
参数，文件路径，必填，表示要过滤内容的文件路径，可作为内容输入端口

参数文件路径，可以作为管道符的输入

wc命令

功能：统计

语法：wc [-c -m -l -w] 文件路径

选项，-c，统计bytes数量
选项，-m，统计字符数量
选项，-l，统计行数
选项，-w，统计单词数量
参数，文件路径，被统计的文件，可作为内容输入端口

参数文件路径，可作为管道符的输入

管道符|

写法：|

功能：将符号左边的结果，作为符号右边的输入

示例：

cat a.txt | grep itheima，将cat a.txt的结果，作为grep命令的输入，用来过滤itheima关键字

可以支持嵌套：

cat a.txt | grep itheima | grep itcast

echo命令

功能：输出内容

语法：echo 参数

参数：被输出的内容

`反引号

功能：被两个反引号包围的内容，会作为命令执行

示例：

tail命令

功能：查看文件尾部内容

语法：tail [-f] 参数

参数：被查看的文件
选项：-f，持续跟踪文件修改

head命令

功能：查看文件头部内容

语法：head [-n] 参数

参数：被查看的文件
选项：-n，查看的行数

重定向符

功能：将符号左边的结果，输出到右边指定的文件中去

>，表示覆盖输出
>>，表示追加输出

vi编辑器

命令模式快捷键

底线命令快捷键

命令的选项

我们学习的一系列Linux命令，它们所拥有的选项都是非常多的。

比如，简单的ls命令就有：-a -A -b -c -C -d -D -f -F -g -G -h -H -i -I -k -l -L -m -n -N -o -p -q -Q -r-R -s -S -t -T -u -U -v -w -x -X -1等选项，可以发现选项是极其多的。

课程中，并不会将全部的选项都进行讲解，否则，一个ls命令就可能讲解2小时之久。

课程中，会对常见的选项进行讲解，足够满足绝大多数的学习、工作场景。

查看命令的帮助

可以通过：命令 --help查看命令的帮助手册

查看命令的详细手册

可以通过：man 命令查看某命令的详细手册

Linux常用操作

软件安装

CentOS系统使用：
- yum [install remove search] [-y] 软件名称
  - install 安装
  - remove 卸载
  - search 搜索
  - -y，自动确认
Ubuntu系统使用
- apt [install remove search] [-y] 软件名称
  - install 安装
  - remove 卸载
  - search 搜索
  - -y，自动确认

yum 和 apt 均需要root权限

systemctl

功能：控制系统服务的启动关闭等

start，启动
stop，停止
status，查看状态
disable，关闭开机自启
enable，开启开机自启
restart，重启

软链接

功能：创建文件、文件夹软链接（快捷方式）

语法：ln -s 参数1 参数2

参数1：被链接的
参数2：要链接去的地方（快捷方式的名称和存放位置）

日期

语法：date [-d] [+格式化字符串]

-d 按照给定的字符串显示日期，一般用于日期计算
格式化字符串：通过特定的字符串标记，来控制显示的日期格式
- %Y 年%y 年份后两位数字 (00..99)
- %m 月份 (01..12)
- %d 日 (01..31)
- %H 小时 (00..23)
- %M 分钟 (00..59)
- %S 秒 (00..60)
- %s 自 1970-01-01 00:00:00 UTC 到现在的秒数

示例：

按照2022-01-01的格式显示日期
按照2022-01-01 10:00:00的格式显示日期
-d选项日期计算
- 支持的时间标记为：

时区

修改时区为中国时区

ntp

功能：同步时间

安装：yum install -y ntp

手动校准时间：ntpdate -u ntp.aliyun.com

ip地址

格式：a.b.c.d

abcd为0~255的数字

特殊IP：

127.0.0.1，表示本机
0.0.0.0
- 可以表示本机
- 也可以表示任意IP（看使用场景）

查看ip：ifconfig

主机名

功能：Linux系统的名称

查看：hostname

设置：hostnamectl set-hostname 主机名

配置VMware固定IP

修改VMware网络，参阅PPT，图太多

设置Linux内部固定IP

修改文件：/etc/sysconfig/network-scripts/ifcfg-ens33

示例文件内容：

TYPE="Ethernet"
PROXY_METHOD="none"
BROWSER_ONLY="no"
BOOTPROTO="static"# 改为static，固定IP
DEFROUTE="yes"
IPV4_FAILURE_FATAL="no"
IPV6INIT="yes"
IPV6_AUTOCONF="yes"
IPV6_DEFROUTE="yes"
IPV6_FAILURE_FATAL="no"
IPV6_ADDR_GEN_MODE="stable-privacy"
NAME="ens33"
UUID="1b0011cb-0d2e-4eaa-8a11-af7d50ebc876"
DEVICE="ens33"
ONBOOT="yes"
IPADDR="192.168.88.131"# IP地址，自己设置，要匹配网络范围
NETMASK="255.255.255.0"# 子网掩码，固定写法255.255.255.0
GATEWAY="192.168.88.2"# 网关，要和VMware中配置的一致
DNS1="192.168.88.2"# DNS1服务器，和网关一致即可

ps命令

功能：查看进程信息

语法：ps -ef，查看全部进程信息，可以搭配grep做过滤：ps -ef | grep xxx

kill命令

nmap命令

netstat命令

功能：查看端口占用

用法：netstat -anp | grep xxx

ping命令

测试网络是否联通

语法：ping [-c num] 参数

wget命令

curl命令

top命令

功能：查看主机运行状态

语法：top，查看基础信息

可用选项：

交互式模式中，可用快捷键：

df命令

查看磁盘占用

iostat命令

查看CPU、磁盘的相关信息

sar命令

查看网络统计

环境变量

临时设置：export 变量名=变量值
永久设置：
- 针对用户，设置用户HOME目录内：.bashrc文件
- 针对全局，设置/etc/profile

PATH变量

记录了执行程序的搜索路径

可以将自定义路径加入PATH内，实现自定义命令在任意地方均可执行的效果

$符号

可以取出指定的环境变量的值

语法：$变量名

示例：

echo $PATH，输出PATH环境变量的值

echo ${PATH}ABC，输出PATH环境变量的值以及ABC

如果变量名和其它内容混淆在一起，可以使用${}

压缩解压

压缩

tar -zcvf 压缩包被压缩1...被压缩2...被压缩N

-z表示使用gzip，可以不写

zip [-r] 参数1 参数2 参数N

解压

tar -zxvf 被解压的文件 -C 要解压去的地方

-z表示使用gzip，可以省略
-C，可以省略，指定要解压去的地方，不写解压到当前目录

unzip [-d] 参数

su命令

切换用户

语法：su [-] [用户]

sudo命令

比如：

1	`itheima ALL=(ALL) NOPASSWD: ALL`

在visudo内配置如上内容，可以让itheima用户，无需密码直接使用sudo

chmod命令

修改文件、文件夹权限

语法：chmod [-R] 权限参数

权限，要设置的权限，比如755，表示：rwxr-xr-x
参数，被修改的文件、文件夹
选项-R，设置文件夹和其内部全部内容一样生效

chown命令

修改文件、文件夹所属用户、组

语法：chown [-R] [用户][:][用户组] 文件或文件夹

用户组管理

用户管理

genenv命令

getenv group，查看系统全部的用户组
getenv passwd，查看系统全部的用户

env命令

查看系统全部的环境变量

语法：env

ai提问模板

2026-02-04T16:00:00.000Z

一、基础指令型（明确需求边界，快速获取精准结果）

核心作用：通过定义角色、目标、输出形式，让AI直接匹配需求，适合基础信息获取、主题内容梳理。

RTF框架（角色-Role、任务-Task、格式-Format）
核心：先给AI“身份”，再派“任务”，最后定“输出样式”。
示例：“扮演职场礼仪讲师（角色），整理商务会议中的3个核心礼仪要点（任务），以‘要点+具体场景’的分点形式呈现（格式）。”
TAG框架（目标-Target、行动-Action、指南-Guidance）
核心：先明确“要达成的目标”，再让AI设计“具体行动”，最后补充“执行参考”。
示例：“目标是让新手快速学会煮奶茶（目标），帮我设计3个步骤的制作流程（行动），并标注每个步骤的常见错误及规避方法（指南）。”

二、深度验证型（聚焦信息严谨性，确保内容可靠）

核心作用：针对需要核实、论证的需求，让AI主动追溯来源、验证逻辑，适合学术研究、事实核查、观点分析。

SCRI框架（来源-Source、验证-Verification、结论-Conclusion、信息-Information）
核心：先明确“要分析的信息”，再让AI找“权威来源”，验证“合理性”，最后给“明确结论”。
示例：“分析‘每天喝8杯水更健康’这一说法（信息），帮我查找2个权威医学机构（如WHO、中国营养学会）的相关研究（来源），验证该说法的适用人群和科学依据（验证），最后总结结论（结论）。”

三、落地规划型（拆解行动路径，适配个人/场景条件）

核心作用：将抽象需求转化为可执行的步骤，或结合个人能力、时间等条件定制方案，适合学习、任务推进、项目落地。

GPS框架（目标-Goal、过程-Process、策略-Strategy）
核心：先定“最终目标”，再拆解“执行过程”，最后给“高效策略”。
示例：“目标是1个月内掌握Excel基础函数（目标），拆解为‘第1周学求和/计数函数，第2-3周学筛选/排序，第4周练综合案例’的过程（过程），并给出‘每天练1个函数案例、用工作数据实操’的策略（策略）。”
TARA框架（主题-Topic、角度-Angle、研究-Research、行动-Action）
核心：先定“核心主题”，再选“分析角度”，做“深度研究”，最后给“行动建议”。
示例：“以‘年轻人理财’为主题（主题），从‘低风险理财工具’‘每月储蓄规划’两个角度（角度），研究3种适合新手的理财方式及风险（研究），最后给出‘先做收支记账、优先存应急金’的行动建议（行动）。”
WET框架（意愿-Will、能力-Ability、时间-Time）
核心：结合“个人意愿”“现有能力”“可投入时间”，定制适配的方案。
示例：“我有学PS修图的意愿（意愿），目前会基础图片裁剪，无专业工具（能力），每周能抽3小时学习（时间），帮我定制2个月的入门学习计划。”

三层旁挂直接转发WLAN

2026-02-04T16:00:00.000Z

拓扑图

配置过程

AR1

sysname AR1
# 连接CORE的接口（GE0/0/1）
interface GigabitEthernet0/0/1
 ip address 192.168.254.1 255.255.255.252
# 连接ISP的接口（GE0/0/0）
interface GigabitEthernet0/0/0
 ip address 202.1.1.1 255.255.255.0
# OSPF路由：宣告外网和内网互联网段
ospf 1 router-id 11.11.11.1
 area 0.0.0.0
  network 192.168.254.0 0.0.0.3

# 默认路由：指向ISP网关
ip route-static 0.0.0.0 0.0.0.0 202.1.1.2

ISP

sysname ISP
# 连接AR1的接口（GE0/0/1）
interface GigabitEthernet0/0/0
 ip address 202.1.1.2 255.255.255.0
 # 默认路由：指向AR1网关
ip route-static 0.0.0.0 0.0.0.0 202.1.1.1

CORE

1. VLAN与三层接口

sysname CORE
vlan batch 99 2 3 4 5 200 100 1000  # 创建AP管理、用户、互联VLAN
# AP管理网关（VLAN99）
interface Vlanif99
 ip address 192.168.99.254 255.255.255.0
 dhcp select global  # 为AP分配管理IP
# 用户网关（VLAN2/3/4/5）
interface Vlanif2
 ip address 192.168.2.254 255.255.255.0
 dhcp select global
interface Vlanif3
 ip address 192.168.3.254 255.255.255.0
 dhcp select global
interface Vlanif4
 ip address 192.168.4.254 255.255.255.0
 dhcp select global
interface Vlanif5
 ip address 192.168.5.254 255.255.255.0
 dhcp select global
# 与AC互联（VLAN200）
interface Vlanif200
 ip address 192.168.200.1 255.255.255.0
# 与AR1互联（VLAN1000）
interface Vlanif1000
 ip address 192.168.254.2 255.255.255.252

2. 接口Trunk配置（连接AC、接入交换机、AR1）

dhcp enable
# 连接AR1（GE0/0/1）
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 1000
# 连接AC1（GE0/0/2）
interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 200
# 连接接入交换机（GE0/0/3、GE0/0/4）
interface GigabitEthernet0/0/3
 port link-type trunk
 port trunk allow-pass vlan 99 2 3 4 100
interface GigabitEthernet0/0/4
 port link-type trunk
 port trunk allow-pass vlan 99 2 3 4 5 100

3. DHCP地址池（为AP和用户分配IP）

dhcp enable
# AP管理IP池（VLAN99）
ip pool AP_Mgmt
 gateway-list 192.168.99.254
 network 192.168.99.0 mask 255.255.255.0
 option 43 sub-option 3 ascii 192.168.200.2
# 用户IP池（VLAN2/3/4/5）
ip pool STA_VLAN2
 gateway-list 192.168.2.254
 network 192.168.2.0 mask 255.255.255.0
 dns-list 8.8.8.8 114.114.114.114
ip pool STA_VLAN3
 gateway-list 192.168.3.254
 network 192.168.3.0 mask 255.255.255.0
 dns-list 8.8.8.8 114.114.114.114
ip pool STA_VLAN4
 gateway-list 192.168.4.254
 network 192.168.4.0 mask 255.255.255.0
 dns-list 8.8.8.8 114.114.114.114
ip pool STA_VLAN5
 gateway-list 192.168.5.254
 network 192.168.5.0 mask 255.255.255.0
 dns-list 8.8.8.8 114.114.114.114

4. OSPF路由（与AC、AR1互联）

ospf 1 router-id 11.11.11.2
 default-route-advertise always
 area 0.0.0.0
  network 192.168.99.0 0.0.0.255
  network 192.168.2.0 0.0.0.255
  network 192.168.3.0 0.0.0.255
  network 192.168.4.0 0.0.0.255
  network 192.168.5.0 0.0.0.255
  network 192.168.200.0 0.0.0.255
  network 192.168.254.0 0.0.0.3

xzl\rjdl-poe

sysname xjdl-poe
vlan batch 99 2 3 4 100
# 管理VLAN100（与CORE互联）
interface Vlanif100
 ip address 192.168.100.1 255.255.255.0
# 连接CORE的接口（GE0/0/3）
interface GigabitEthernet0/0/3
 port link-type trunk
 port trunk allow-pass vlan 99 2 3 4 100
# 连接AP的接口（GE0/0/1）
interface GigabitEthernet0/0/1
 port link-type trunk
 port trunk pvid vlan 99
 port trunk allow-pass vlan 99 2 3 4
 #设置网关
 ip route-static 0.0.0.0 0.0.0.0 192.168.100.254
 
 sysname xzl-poe
vlan batch 99 2 3 4 5 100
# 管理VLAN100（与CORE互联）
interface Vlanif100
 ip address 192.168.100.2 255.255.255.0
# 连接CORE的接口（GE0/0/4）
interface GigabitEthernet0/0/4
 port link-type trunk
 port trunk allow-pass vlan 99 2 3 4 5 100
# 连接AP的接口（GE0/0/1）
interface GigabitEthernet0/0/1
 port link-type trunk
 port trunk pvid vlan 99
 port trunk allow-pass vlan 99 2 3 4 5
 #设置网关
 ip route-static 0.0.0.0 0.0.0.0 192.168.100.254

AC1

1. 基础网络与CAPWAP

sysname AC1
vlan 200
# 与CORE互联（VLAN200）
interface Vlanif200
 ip address 192.168.200.2 255.255.255.0
# 连接CORE的接口（GE0/0/1）
interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 200
# 指定CAPWAP源接口（仅传管理流量）
capwap source interface Vlanif200
#ospf
ospf 1 router-id 11.11.11.3
 area 0.0.0.0
  network 192.168.200.0 0.0.0.255

2. WLAN业务模板（SSID、安全、VAP）

wlan
# （1）SSID模板：定义WiFi名称
ssid-profile name net24
 ssid net24
ssid-profile name guest
 ssid guest

# （2）安全模板：定义加密方式
security-profile name wpa2
 security wpa2 psk pass-phrase wpa2@123 aes  # 员工WiFi密码
security-profile name open
 security open  # 访客WiFi无密码（或 Portal 认证）

# （3）流量模板：访客限速2Mbps
traffic-profile name guest
 rate-limit down 2048  # 下行2Mbps
 rate-limit up 2048    # 上行2Mbps

# （4）VLAN池：员工WiFi动态分配VLAN2/3/4
vlan pool net24-vlan
 vlan 2 3 4

# （5）VAP模板：绑定SSID、安全、转发模式
## 员工WiFi（net24）：直接转发+VLAN池
vap-profile name net24
 ssid-profile net24
 security-profile wpa2
  service-vlan vlan-pool net24-vlan
 forward-mode direct  # 业务流量不经过AC，直接由AP转发
## 访客WiFi（guest）：直接转发+固定VLAN5+流量限速
vap-profile name guest
 ssid-profile guest
 security-profile open
 service-vlan vlan-id 5
 forward-mode direct
 traffic-profile guest

3. AP注册与VAP下发

# AP按MAC认证上线
ap auth-mode mac-auth
#创建组
ap-group name rjdl
ap-group name xzl
# 注册AP（替换为实际MAC）
ap-id 0 ap-mac 00e0-fcbb-1b70  # 801-ap
 ap-name 801-ap
 ap-group rjdl
ap-id 1 ap-mac 00e0-fa9e-3e20  # jwc-ap
 ap-name jwc-ap
 ap-group xzl
#下发配置
ap-group name rjdl
 vap-profile net24 wlan 1 radio all
ap-group name xzl
 vap-profile net24 wlan 1 radio all
 vap-profile guest wlan 2 radio all

SQLmap基本使用

2026-02-04T16:00:00.000Z

SQLmap基本使用

基本必要参数

更新 SQLmap
--update
只需确认是否可注入，并只显示 payload 技术与后端技术
sqlmap -u "URL"
获取数据库
sqlmap -u "URL" --dbs
获取数据库所有数据表
sqlmap -u "URL" -D database --tables
获取指定数据表的字段
sqlmap -u "URL" -D database -T table --columns
获取指定数据表的指定字段数据
sqlmap -u "URL" -D database -T table -C field1,field2 --dump
获取指定数据表的所有字段数据（去掉 - C 参数即可）
sqlmap -u "URL" -D database -T table --dump
不指定数据表，直接获取该指定数据库的所有数据
sqlmap -u "URL" -D database --dump-all

常用参数

# 使用随机选择的 HTTP User-Agent 标头值，用于绕过 WAF
--random-agent

# POST 数据
# 也可注入json，看网站怎么发送请求，--data "{'a':1,'b':2}" 或者 --data '{"a":1,"b":2}'
--data "a=1&b=2"

# 使用情景通常发生在，某些登录后的页面才有注入点，不加cookie就访问不到该网站
# 当然也有些网站即使没登录，但是没cookie一样访问不到
--cookie "SESSION_ID=xxx;abc=xxx;"

# 使用情景通常是不加的话，可能会被后端或者防火墙拦截等等
# 如果在header中已经指定User-Agent，就别加--random-agent参数
--header "User-Agent: Mozilla/5.0 (Windows NT ..."

# 指定注入参数
-p par1,par2

# 跳过注入参数
--skip par1,par2

# 指定注入技术，不使用此参数，默认就是全测，有 BEUSTQ
# B = boolean-based
# E = error-based
# U = union-based
# S = stacked-queries
# T = time-based
# Q = inline-queries
--technique BEQU

# 指定 union select 的 column 列数
# 可以手动 fuzzing 出来指定
--union-cols 5

# 指定使用union技术时，每个字段的值是多少
# 例如，假设已知cols为5，且union select 1,2,3,4,5，2跟5可回显数据
# 如果我想指定注入2的位置，可以这样设置
# --union-values "1,*,3,4,5"
--union-values "1,*,3,4,5"

# 指定payload前缀
--prefix "'"

# 指定payload后缀
--suffix "-- a"

# 显示注入过程详细信息，数字越大越详细
# (0~6，默认是1，常用是3，手动可注入但SQLmap找不到时，可以设6协助调试)
# 使用情景通常发生在fuzzing时的注入
-v 3

# 指定后端数据库类型
# 中间有空格要使用双引号，如："Microsoft Access"
--dbms mysql

# 自动模式，自动选取默认选项
--batch

# 跳过防火墙检测测试
--skip-waf

# 设定SQLmap注入检测风险技术，等级1~3，默认1
# ps. 原本仅使用AND，会变成OR也使用
# 在某些注入的情景可能会误操作数据库数据，因此请谨慎使用
--risk N


# 设定SQLmap注入检测层级，默认 1，每个层级的说明如下
# Level 1：在 Level 1 中，SQLmap 会执行基本的测试，包括以下方面：
#   检测基本的 SQL 注入点。
#   基于 UNION 运算符的简单注入测试。
#   基本的布尔型注入测试，如 AND/OR payload 测试。

# Level 2：在 Level 2 中，SQLmap 将进行进一步的测试，包括：
#   检测复杂的 SQL 注入点，如带有过滤机制的情况。
#   测试基于时间延迟的注入，以绕过某些安全检测。
#   测试多个可能的注入点。

# Level 3：在 Level 3 中，SQLmap 将进一步扩展其测试范围，可能会涉及：
#   检测 cookie 或其他 HTTP 请求参数中的注入点。
#   测试更复杂的 SQL 注入漏洞，如深度嵌套的 SQL 查询或存储过程。
#   测试更多不同类型的数据库。

# Level 4：在 Level 4 中，SQLmap 将采用更多的高级技术和深度测试，这可能包括：
#   测试对目标系统的各种服务进行深度扫描，以寻找更多的注入点。
#   测试对目标系统进行较为精细的指纹识别，以定制更有效的注入攻击。

# Level 5：在 Level 5 中，SQLmap 将启用所有可用的测试和技术，这可能包括：
#   对目标系统的所有输入点进行广泛的测试，包括 HTTP 请求中的各种参数和 cookies。
#   使用高度复杂的注入模式，如二次注入、堆叠注入等。
#   对目标系统进行更广泛和深入的分析，以确定可能存在的漏洞点。
--level N


# 让SQLmap自己爬网页上的注入点
--forms

# 有时候因为TLS/SSL问题会导致sqlmap连不上（但是浏览器又可以正常访问），直接使用此命令即可
--force-ssl

成功注入后会使用的参数

# 直接执行SQL语法
# 注意，CRUD语法不一定支持，即使有堆叠注入建议还是手动操作
--sql-query "select version()"

# 列出数据库banner、version信息
-b

# 列出所有数据库
--dbs

# 指定数据库名称
-D "DB_Name"

# 列出指定数据库内的所有表（需搭配-D参数）
--tables

# 指定表名称
-T "Table_Name"

# 列出指定表内的所有列（需搭配-T参数）
--columns

# 指定要列出的列数据
-C "account,password"

# 指定不要列出的列数据
-X "id,time"

# 列出指定列的所有数据
# 如果不使用-C参数，则列出指定表的所有字段数据
--dump

# 仅列出符合where条件的数据
# 使用场景通常发生在，你只想查找管理员或某些特定数据，不想全部注入出来
# 如果你只想获取user_id字段符合'admin'字符串的数据
--where "user_id='admin'"

# 列出指定数据库内所有表的数据
# （只需-D "DB_Name"即可，不需要后面的--table等参数）
--dump-all

# 检测数据库是否有DBA权限，例如读文件、写文件
# 但这个结果仅供参考，不一定准确（个人实战经验）
--is-dba

# 获取SQL注入账号的密码哈希
--passwords

# 检测当前使用的数据库
--current-db

# 检测当前使用数据库的用户名
--current-user

# 枚举当前注入点权限所能访问到的所有数据库用户
--users

# 尝试读取指定路径下的文件
--file-read "/etc/passwd"

# 指定尝试写入对方服务器的文件（需搭配--file-dest参数）
# 如果你直接把文件放在SQLmap目录，参数不一定要绝对路径，相对路径也可以
--file-write "/your/file/path"

# 指定服务器后端的绝对路径（需搭配--file-write参数）
--file-dest "/server/root/path"

# 进入模拟SQL指令互动环境
--sql-shell

# 尝试获取远程命令执行（RCE）
--os-shell

# 指定后端写文件路径，使用--os-shell时可用
--web-root "/var/www/html/upload"

# 指定后端系统类型，使用场景通常发生在SQLmap误判后端操作系统
# 例如要操作读写文件时，后端是windows，结果写成linux路径导致失败
# 可选值有：windows、macos、linux、unix
--os windows

例外情况

当手动测试确定存在注入但SQLmap检测不到时

# 仅根据渲染完毕的静态html页面做比较
--text-only

# 检测页面某个字符串作为布尔注入前后比较值
--string "STR"

# 让SQLmap不对payload做URL encode编码
--skip-urlencode

# 让SQLmap不将字符串做转义
# 例如'abc'不转义成0x616263或CHAR(97)+CHAR(98)+CHAR(99)
--no-escape

# 设置网页反应的延迟时间，默认是5（这里指的是time-based注入技术时的反应检测时间）
--time-sec 10

# 设置网页反应的延迟时间，默认是30（这里指的是等待网页response的时间）
--timeout 60

# 设置连接超时的重试次数，默认是3次
--retries 5

# 可能后端程序有错误导致500 http code，且sqlmap因该错误无法进行注入
# 但是手动检测发现会有time-based反应之类的，让sqlmap忽略500 http code直接注入
--ignore-code 500

# 有时候即使你想开启batch，但是SQLmap会自动选择默认选项（但可能该选项不是你想要的）
# 那就可以使用此参数预先设置你要的结果，例如，注入过程中SQLmap询问：
# redirect is a result of a POST request. Do you want to resend original POST data to a new location? [Y/n] Y
# 如果你想选n，而不是默认的Y，则可以这样：
# --answer "redirect is a result of a POST request. Do you want to resend original POST data to a new location=n"
# 但这样太长，其实也可以用部分内容，如下（主要是内容只要在一定范围内，SQLmap能识别是哪个问题的选择即可）
--answer "redirect is a result=n"

资料无法获取问题

SQLmap明明已经注入出payload技术，但获取数据时却失败（或没有任何数据），有时候不一定是WAF的拦截，大概率是后端数据解析异常所导致（也有可能是误报，建议加上–flush-session重试），因此可尝试加上以下参数（实战中很常用到）

# 将输出数据转换为16进制数据后提取
--hex

# 不要对注入的数据进行编码或者自动转换类型
# 例如注入的字符是 var=test[0]'-- a
# 让SQLmap不要转换成 var=test%5B0%5D'-- a
# 或者让SQLmap不要对数据进行自动转型，比如把某个字符串转换成 VARCHAR 类型
--no-cast

资料乱码问题

当注入出来的结果为乱码时，有可能字段是blob等因素，可以转成二进制输出

# 忽略存储在会话文件中的查询结果
--fresh-queries

# 具有二进制值的结果字段（例如"摘要"）
--binary-fields column_name

加速注入

当你非常清楚漏洞情况并且想跳过一些测试负载，你可以使用如下参数

# 指定SQLmap只测试哪种模板的有效负载
# 例如 --test-filter "Microsoft SQL Server/Sybase stacked queries (DECLARE)"
# 就只会测试DECLARE的堆叠注入
--test-filter "payload template name"

# 指定SQLmap跳过测试哪种模板的有效负载
# 例如 --test-filter "Microsoft SQL Server/Sybase stacked queries (DECLARE)"
# 就会跳过测试DECLARE的堆叠注入模板
--test-skip "payload template name"

python sqlmap.py ... --test-skip='(MySQL > 5)|(MySQL >= 5)'

或者

python sqlmap.py ... --test-skip='MySQL >=? 5'

二次注入

# 当某个注入点会先存储payload，在访问其他页面才会触发执行SQL语句时可用
--second-url "http://target.com/sqli.php"

# 如果不是单纯用GET访问可触发，可能需要POST之类的复杂请求
# 就可以改用文件的方式直接给header让sqlmap解析，就像 -r 参数那样
--second-req xxx.req

常用绕过waf脚本

当防火墙阻挡规则有迹可循且不复杂，也可以自己编写绕过脚本

--tamper space2comment,space2hash,space2mssqlhash

# 当规则可能很简单，你不想写tamper，也可以改用--eval参数（但只能测试一种参数）
# 如果目标为 xxx.php?id=1，且你只想将AND换成&&，则可以
--eval "id=id.replace(' AND ',' && ')"

captcha

当注入点需要先通过captcha图形验证码时，可以使用此参数来串联图形识别模块以绕过此限制

1	`--preprocess "/path/to/captcha_bypass.py"`

eNSP常用命令总结

2026-02-04T16:00:00.000Z

本文基于华为eNSP（Enterprise Network Simulation Platform）模拟器，按“基础操作→设备配置→二层技术→三层技术→高级特性→排错工具”的逻辑结构化整理命令。

一、基础命令视图（核心入口）

所有配置操作均需在对应视图下执行，视图间切换是基础操作，需熟记进入命令与提示符标识。

视图类型	作用说明	进入命令	提示符格式	返回上级/用户视图
用户视图	查看设备基础信息（如版本、接口状态），无配置权限	设备启动后默认进入	`<设备名>`	-（默认视图）
系统视图	全局配置（如改设备名、启用协议），可进入其他子视图	用户视图下输入 `system-view` 或缩写 `sys`	`[设备名]`	`quit`（回用户视图用 `return` 或 `Ctrl+Z`）
接口视图	配置接口参数（IP、链路类型、协议）	系统视图下输入 `interface 接口名`（如 `int GigabitEthernet 0/0/1`）	`[设备名-接口名]`	`quit`
路由协议视图	配置动态路由（OSPF、IS-IS、BGP）参数	系统视图下输入协议名（如 `ospf 1`、`isis`）	`[设备名-协议-进程号]`	`quit`
VLAN视图	配置VLAN属性（名称、端口关联）	系统视图下输入 `vlan VLAN号`（如 `vlan 10`）	`[设备名-vlanVLAN号]`	`quit`
AAA视图	配置用户认证（Telnet/SSH登录、权限）	系统视图下输入 `aaa`	`[设备名-aaa]`	`quit`

示例：从用户视图进入GigabitEthernet 0/0/1接口视图

1
2
3

 sys  # 进入系统视图
[Huawei] int GigabitEthernet 0/0/1  # 进入接口视图
[Huawei-GigabitEthernet0/0/1]  # 成功进入接口视图

二、基础操作命令（通用）

适用于所有设备（路由器、交换机、防火墙），是配置前的必备操作，包括设备命名、配置保存、状态查看等。

1. 设备命名与重置

操作目的	命令	视图要求	说明
修改设备名称	`sysname 新设备名`（如 `sysname SW1`）	系统视图	便于拓扑识别，建议按设备角色命名（如SW=交换机，AR=路由器）
恢复默认设备名	`undo sysname`	系统视图	恢复为默认的“Huawei”
重置配置	`reset saved-configuration`	用户视图	清空保存的配置（需确认，用于重新配置）
重启设备	`reboot`	用户视图	重启后生效新配置（可选择是否保存当前配置）

2. 配置保存与查看

操作目的	命令	视图要求	说明
保存当前配置	`save`（或 `save 文件名.cfg`）	用户视图	保存到设备闪存，避免重启丢失；不指定文件名则用默认名称
查看当前运行配置	`display current-configuration`（缩写 `display current`）	任意视图	查看设备当前生效的所有配置，排错核心命令
查看接口配置	`display this`	接口/VLAN/协议视图	仅查看当前视图下的配置（如接口IP、VLAN关联）
查看设备版本	`display version`（缩写 `display ver`）	任意视图	查看VRP版本、设备型号、启动时间等

3. 视图切换与信息控制

操作目的	命令	视图要求	说明
返回上级视图	`quit`	非用户视图	逐级返回（如接口视图→系统视图→用户视图）
直接回用户视图	`return` 或 `Ctrl+Z`	非用户视图	跳过中间视图，快速返回
关闭终端泛洪信息	`undo terminal monitor`（缩写 `undo ter mon`）	用户视图	避免日志信息刷屏（如STP状态变化、邻居建立）
查看命令帮助	`命令 + ?`（如 `int ?`、`port ?`）	任意视图	查看命令后可接的参数，新手必备

三、接口基础配置（路由器/交换机）

接口是设备与网络连接的核心，需配置IP地址（三层接口）、状态（启用/禁用）等参数。

1. 接口启用与IP配置

操作目的	命令	视图要求	说明
启用接口	`undo shutdown`（缩写 `undo shut`）	接口视图	接口默认可能关闭，需手动启用
禁用接口	`shutdown`（缩写 `shut`）	接口视图	用于故障隔离或接口维护
配置IP与子网掩码	`ip address IP地址子网掩码`（如 `ip add 192.168.1.1 255.255.255.0`）	三层接口视图（如路由器ETH口、交换机Vlanif口）	仅三层接口支持（二层接口如交换机ETH口不支持直接配IP）
删除接口IP	`undo ip address IP地址子网掩码`	三层接口视图	需指定要删除的IP，避免误删其他IP

示例1：路由器接口配置IP

 sys
[AR1] int Ethernet 0/0/1  # 进入路由器以太网接口
[AR1-Ethernet0/0/1] ip add 192.168.1.1 255.255.255.0  # 配置IP
[AR1-Ethernet0/0/1] undo shut  # 启用接口
[AR1-Ethernet0/0/1] display this  # 验证配置
# 显示结果包含“ip address 192.168.1.1 255.255.255.0”和“undo shutdown”即为成功

示例2：交换机管理IP配置（通过Vlanif）
交换机ETH口默认是二层接口，需通过Vlanif（三层逻辑接口）配置管理IP：

 sys
[SW1] vlan 1  # 进入默认VLAN 1（或自定义VLAN）
[SW1-vlan1] quit
[SW1] int Vlanif 1  # 进入Vlanif 1接口（三层接口）
[SW1-Vlanif1] ip add 192.168.0.1 255.255.255.0  # 配置管理IP
[SW1-Vlanif1] undo shut  # 启用Vlanif接口

2. 接口状态查看

操作目的	命令	视图要求	关键查看点
查看单个接口状态	`display interface 接口名`（如 `display int GigabitEthernet 0/0/1`）	任意视图	接口物理状态（Up/Down）、协议状态（Up/Down）、IP地址
查看所有接口概要	`display interface brief`（缩写 `display int brief`）	任意视图	批量查看所有接口的物理/协议状态，快速定位故障接口

关键状态解读：

物理Up+协议Up：接口正常（配置正确且链路连通）
物理Down+协议Down：链路故障（如网线未插、对端接口禁用）
物理Up+协议Down：配置故障（如IP地址冲突、协议不匹配）

四、交换机核心配置（二层技术）

交换机的核心功能是VLAN划分与端口模式管理，用于隔离广播域和实现跨交换机VLAN通信。

1. VLAN配置（创建/删除/命名）

VLAN用于隔离二层广播域，需先创建VLAN，再将端口关联到VLAN。

操作目的	命令	视图要求	说明
创建单个VLAN	`vlan VLAN号`（如 `vlan 10`）	系统视图	若VLAN不存在则创建，存在则进入VLAN视图
创建连续VLAN	`vlan batch VLAN号1 to VLAN号2`（如 `vlan batch 10 to 20`）	系统视图	批量创建11个VLAN（10~20），高效便捷
创建不连续VLAN	`vlan batch VLAN号1 VLAN号2 ...`（如 `vlan batch 10 20 30`）	系统视图	适用于非连续的VLAN需求
给VLAN命名	`name VLAN名称`（如 `name PC-Office`）	VLAN视图	便于识别VLAN用途（如“服务器区”“办公区”）
删除单个VLAN	`undo vlan VLAN号`（如 `undo vlan 10`）	系统视图	需确保VLAN无端口关联，否则需先移除端口
删除批量VLAN	`undo vlan batch 10 to 20`	系统视图	批量删除连续VLAN
查看VLAN配置	`display vlan VLAN号`（或 `display vlan brief`）	任意视图	查看VLAN关联的端口、VLAN名称等

示例：创建VLAN 10~20并命名VLAN 10

 sys
[SW1] vlan batch 10 to 20  # 批量创建VLAN 10~20
[SW1] vlan 10  # 进入VLAN 10视图
[SW1-vlan10] name Office-1  # 命名为“办公区1”
[SW1-vlan10] quit
[SW1] display vlan brief  # 验证VLAN创建结果

2. 端口模式配置（Access/Trunk/Hybrid）

交换机端口分三种模式，需根据连接对象（PC、交换机、服务器）选择对应模式。

（1）Access模式（连接PC/服务器）

仅允许单个VLAN通过，用于连接终端设备（如PC、打印机）。

操作目的	命令	视图要求	示例
设置Access模式	`port link-type access`	接口视图	进入G0/0/1接口：`int G0/0/1` → `port link-type access`
关联VLAN	`port default vlan VLAN号`（如 `port default vlan 10`）	接口视图	将接口加入指定VLAN，仅允许该VLAN通过
取消VLAN关联	`undo port default vlan`	接口视图	恢复接口默认VLAN（VLAN 1）

（2）Trunk模式（连接交换机）

允许多个VLAN通过，用于交换机之间的互联，仅默认VLAN（PVID）不打标签。

操作目的	命令	视图要求	示例
设置Trunk模式	`port link-type trunk`	接口视图	进入G0/0/24接口：`int G0/0/24` → `port link-type trunk`
允许指定VLAN通过	`port trunk allow-pass vlan VLAN号1 VLAN号2`（如 `port trunk allow-pass vlan 10 20`）	接口视图	仅允许VLAN 10、20通过，增强安全性
允许所有VLAN通过	`port trunk allow-pass vlan all`	接口视图	适用于信任的交换机互联（如同一机房内）
设置PVID	`port trunk pvid vlan VLAN号`（如 `port trunk pvid vlan 1`）	接口视图	默认PVID为1，收到无标签帧时归入该VLAN
禁止某VLAN通过	`undo port trunk allow-pass vlan VLAN号`	接口视图	从允许列表中移除指定VLAN

（3）Hybrid模式（灵活场景）

可同时连接终端和交换机，支持部分VLAN打标签、部分不打标签，适用于复杂场景（如连接IP电话+PC）。

操作目的	命令	视图要求	示例（连接IP电话+PC）
设置Hybrid模式	`port link-type hybrid`	接口视图	进入G0/0/1接口：`int G0/0/1` → `port link-type hybrid`
配置VLAN不打标签	`port hybrid untagged vlan VLAN号`（如 `port hybrid untagged vlan 10`）	接口视图	PC所属VLAN 10不打标签，终端可识别
配置VLAN打标签	`port hybrid tagged vlan VLAN号`（如 `port hybrid tagged vlan 20`）	接口视图	IP电话所属VLAN 20打标签，交换机间传递
设置PVID	`port hybrid pvid vlan VLAN号`（如 `port hybrid pvid vlan 10`）	接口视图	无标签帧默认归入PC的VLAN 10

（4）端口模式验证

操作目的	命令	视图要求	说明
查看端口模式与VLAN	`display port vlan 接口名`（如 `display port vlan G0/0/1`）	任意视图	显示端口模式、PVID、允许通过的VLAN（ tagged/untagged）
查看端口详细配置	`display interface 接口名`	任意视图	包含端口模式、VLAN关联、流量统计等

示例：交换机互联Trunk配置
SW1与SW2通过G0/0/24互联，允许VLAN 10~20通过：

# SW1配置
 sys
[SW1] int G0/0/24
[SW1-GigabitEthernet0/0/24] port link-type trunk
[SW1-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 to 20
[SW1-GigabitEthernet0/0/24] quit

# SW2配置（与SW1一致）
 sys
[SW2] int G0/0/24
[SW2-GigabitEthernet0/0/24] port link-type trunk
[SW2-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 to 20

五、交换机高级特性（QinQ/VCMP/GVRP）

适用于复杂园区网，解决VLAN资源不足、批量管理VLAN等问题。

1. QinQ技术（扩展VLAN）

在公网中为用户VLAN再封装一层公网VLAN标签，解决公网VLAN ID不足问题（如运营商给企业分配VLAN）。

操作目的	命令	视图要求	示例
设置QinQ端口	`port link-type dot1q-tunnel`	接口视图	进入运营商交换机下联企业的接口：`int G0/0/1` → `port link-type dot1q-tunnel`
配置公网VLAN	`port default vlan 公网VLAN号`（如 `port default vlan 100`）	接口视图	企业VLAN帧将被封装在公网VLAN 100中
验证QinQ	`display interface 接口名 dot1q-tunnel`	任意视图	查看QinQ端口状态、公网VLAN等

2. VCMP协议（VLAN集中管理）

在多交换机网络中，仅需在VCMP服务器上配置VLAN，其他客户端交换机自动同步VLAN，减少重复操作。

操作目的	命令	视图要求	说明
配置VCMP角色	`vcmp role server/client/silent/transparent`	系统视图	- Server：管理VLAN，同步配置给Client - Client：接收Server的VLAN配置 - Silent：不发送/接收VCMP报文 - Transparent：转发VCMP报文（跨设备）
配置VCMP域名	`vcmp domain 域名`（如 `vcmp domain Office-Net`）	系统视图	同一VCMP域的所有设备必须用相同域名
配置VCMP认证	`vcmp authentication sha2-256 password 密码`（如 `vcmp authentication sha2-256 password 123456`）	系统视图	可选，增强安全性，Server与Client密码需一致
启用接口VCMP	`undo vcmp disable`	接口视图	交换机接口默认启用VCMP，无需手动操作（故障时可重新启用）
验证VCMP状态	`display vcmp status`	任意视图	查看VCMP角色、域名、同步状态

3. GVRP协议（动态VLAN注册）

通过GVRP自动注册/注销VLAN，无需手动在每台交换机创建VLAN（静态VLAN需手动创建，动态VLAN由GVRP生成）。

操作目的	命令	视图要求	示例
配置VCMP角色为Silent	`vcmp role silent`	系统视图	GVRP与VCMP冲突，必须先将VCMP设为Silent或Transparent
全局启用GVRP	`gvrp`	系统视图	开启交换机的GVRP功能
接口启用GVRP	`gvrp`	接口视图（Trunk模式）	进入Trunk接口：`int G0/0/24` → `gvrp`
配置GVRP注册模式	`gvrp registration normal`	接口视图	Normal模式：允许动态注册/注销VLAN（默认）
验证GVRP统计	`display gvrp statistics 接口名`	任意视图	查看接口GVRP报文发送/接收数量

六、生成树协议（STP/RSTP/MSTP）

防止二层网络环路，同时提供链路冗余（如交换机双上联），常用RSTP（快速生成树，收敛更快）。

操作目的	命令	视图要求	说明
启用STP/RSTP/MSTP	`stp mode stp/rstp/mstp`（如 `stp mode rstp`）	系统视图	默认是STP，建议用RSTP（收敛时间<1秒）
全局启用STP	`stp enable`	系统视图	所有交换机需启用，否则环路无法避免
配置根桥	`stp root primary`	系统视图	优先级最高（实际优先级为0），成为根桥
配置备份根桥	`stp root secondary`	系统视图	优先级次高（实际优先级为4096），根桥故障时接替
修改端口优先级	`stp port priority 优先级`（如 `stp port priority 16`）	接口视图	优先级范围0~240，步长16，值越小越优先成为指定端口
查看STP概要	`display stp brief`	任意视图	查看端口角色（根端口/指定端口/阻塞端口）、状态
查看STP详细	`display stp instance 0`	任意视图	查看根桥ID、端口优先级、收敛时间等

七、路由配置（静态路由/动态路由/VRRP）

实现不同网段间的通信，包括静态路由（手动配置）、动态路由（协议自动学习）、VRRP（网关冗余）。

1. 静态路由与默认路由

静态路由适用于小型网络（网段少），需手动配置每条路由；默认路由是“万能路由”，无匹配路由时使用。

操作目的	命令	视图要求	示例
配置静态路由	`ip route-static 目标网段子网掩码下一跳IP`（如 `ip route-static 192.168.2.0 255.255.255.0 192.168.1.2`）	系统视图	目标网段：要访问的网段下一跳：到达目标网段的邻居设备IP
配置默认路由	`ip route-static 0.0.0.0 0.0.0.0 下一跳IP`（如 `ip route-static 0.0.0.0 0.0.0.0 100.1.1.1`）	系统视图	适用于出口路由器（如连接外网的路由器）
删除静态路由	`undo ip route-static 目标网段子网掩码下一跳IP`	系统视图	需完整指定原路由参数，避免误删
查看路由表	`display ip routing-table`（缩写 `display ip route`）	任意视图	查看所有路由（静态路由标识为“S”，默认路由标识为“S*”）

示例：路由器静态路由配置
AR1（192.168.1.1）需访问AR2后的192.168.2.0网段，下一跳为AR2的192.168.1.2：

1
2
3

 sys
[AR1] ip route-static 192.168.2.0 255.255.255.0 192.168.1.2
[AR1] display ip route  # 验证路由是否存在（显示“S 192.168.2.0/24 [1/0] via 192.168.1.2”）

2. 动态路由（OSPF基础）

OSPF（开放式最短路径优先）适用于中大型网络，自动学习路由，无需手动配置。

操作目的	命令	视图要求	示例（AR1配置）
进入OSPF进程	`ospf 进程号 router-id 路由器ID`（如 `ospf 1 router-id 1.1.1.1`）	系统视图	进程号范围1~65535，路由器ID需唯一（建议用Loopback口IP）
进入OSPF区域	`area 区域号`（如 `area 0`）	OSPF进程视图	区域0为骨干区域，其他区域需连接骨干区域
宣告网段	`network 网段反掩码`（如 `network 192.168.1.0 0.0.0.255`）	OSPF区域视图	反掩码=255.255.255.255-子网掩码（如子网掩码255.255.255.0对应反掩码0.0.0.255）
查看OSPF邻居	`display ospf peer`	任意视图	查看邻居是否建立（状态为“Full”表示正常）
查看OSPF路由	`display ospf routing`	任意视图	查看OSPF学习到的路由（标识为“O”）

3. VRRP（虚拟网关冗余）

解决单点故障：多台路由器/三层交换机组成VRRP组，对外提供一个虚拟网关IP，主设备故障时备设备自动接替。

操作目的	命令	视图要求	示例（主设备配置）
配置虚拟网关IP	`vrrp vrid 组号 virtual-ip 虚拟IP`（如 `vrrp vrid 1 virtual-ip 192.168.1.254`）	三层接口视图	组号范围1~255，虚拟IP需与接口网段同段
配置设备优先级	`vrrp vrid 组号 priority 优先级`（如 `vrrp vrid 1 priority 120`）	三层接口视图	优先级范围0~255，值越大越优先成为主设备（默认100）
启用抢占模式	`vrrp vrid 组号 preempt-mode enable`	三层接口视图	主设备恢复后自动抢占（默认启用，故障时可关闭）
配置VRRP认证	`vrrp vrid 组号 authentication-mode simple cipher 密码`（如 `vrrp vrid 1 authentication-mode simple cipher 123`）	三层接口视图	可选，避免非法设备加入VRRP组
查看VRRP状态	`display vrrp interface 接口名`	任意视图	查看主/备状态、优先级、虚拟IP等

八、DHCP配置（动态分配IP）

DHCP自动为PC分配IP、子网掩码、网关、DNS，避免手动配置错误，支持接口模式（小型网络）和全局模式（中大型网络）。

1. 接口模式DHCP（适用于单网段）

直接在三层接口上配置DHCP，IP地址池从接口网段中分配。

操作目的	命令	视图要求	示例（Vlanif 10接口）
全局启用DHCP	`dhcp enable`	系统视图	所有DHCP配置的前提，必须先启用
接口启用DHCP	`dhcp select interface`	三层接口视图	进入Vlanif 10：`int Vlanif 10` → `dhcp select interface`
排除不分配IP	`dhcp server excluded-ip-address 起始IP 结束IP`（如 `dhcp server excluded-ip-address 192.168.10.1 192.168.10.10`）	三层接口视图	排除网关、服务器等固定IP，避免冲突
设置租约时间	`dhcp server lease day 天 hour 时 minute 分`（如 `dhcp server lease day 3 hour 0 minute 0`）	三层接口视图	默认为1天，可根据需求调整（如办公网设3天）
设置DNS服务器	`dhcp server dns-list 主DNS 备DNS`（如 `dhcp server dns-list 8.8.8.8 114.114.114.114`）	三层接口视图	为PC分配DNS，确保能解析域名

2. 全局模式DHCP（适用于多网段）

创建全局IP地址池，多个接口可关联同一地址池，灵活管理多网段。

操作目的	命令	视图要求	示例（创建“VLAN10-Pool”地址池）
全局启用DHCP	`dhcp enable`	系统视图	同上
创建全局地址池	`ip pool 地址池名`（如 `ip pool VLAN10-Pool`）	系统视图	进入地址池视图
配置地址池网段	`network 网段 mask 子网掩码`（如 `network 192.168.10.0 mask 255.255.255.0`）	地址池视图	指定地址池的IP范围
配置网关	`gateway-list 网关IP`（如 `gateway-list 192.168.10.254`）	地址池视图	为PC分配网关
排除不分配IP	`excluded-ip-address 起始IP 结束IP`	地址池视图	同上，排除固定IP
设置DNS	`dns-list 主DNS 备DNS`	地址池视图	同上，分配DNS
设置租约时间	`lease day 天 hour 时 minute 分`	地址池视图	同上，调整租约
接口关联地址池	`dhcp select global`	三层接口视图	进入Vlanif 10：`int Vlanif 10` → `dhcp select global`
查看DHCP租约	`display dhcp server lease all`	任意视图	查看已分配的IP、租约时间、客户端MAC等
查看DHCP地址池分配的IP地址	`display ip pool name manage-ap used`	任意视图	查看已分配的IP地址

3. DHCP中继（跨网段DHCP）

当DHCP服务器与PC不在同一网段时，需在三层设备（如交换机、路由器）上配置DHCP中继，转发DHCP报文。

操作目的	命令	视图要求	示例（中继设备Vlanif 10接口）
全局启用DHCP	`dhcp enable`	系统视图	同上
接口启用中继	`dhcp select relay`	三层接口视图	进入Vlanif 10：`int Vlanif 10` → `dhcp select relay`
指定DHCP服务器	`dhcp relay server-ip 服务器IP`（如 `dhcp relay server-ip 192.168.100.1`）	三层接口视图	指向DHCP服务器的IP地址

九、BFD配置（快速故障检测）

BFD（双向转发检测）快速检测链路或路由故障（检测时间毫秒级），常与静态路由、OSPF等联动，加速故障切换。

操作目的	命令	视图要求	示例（与静态路由联动）
全局启用BFD	`bfd`	系统视图	进入BFD视图
创建BFD会话	`bfd 会话名 bind peer-ip 邻居IP interface 接口名`（如 `bfd To-AR2 bind peer-ip 192.168.1.2 interface Ethernet 0/0/1`）	BFD视图	会话名自定义，绑定邻居IP和本地接口
配置本地标识符	`discriminator local 标识号`（如 `discriminator local 10`）	BFD会话视图	本地标识号，需与邻居的远程标识号对应
配置远程标识符	`discriminator remote 标识号`（如 `discriminator remote 20`）	BFD会话视图	邻居的本地标识号（需提前协商）
提交BFD配置	`commit`	BFD会话视图	使BFD会话生效
静态路由联动BFD	`ip route-static 目标网段子网掩码下一跳 track bfd-session 会话名`（如 `ip route-static 192.168.2.0 255.255.255.0 192.168.1.2 track bfd-session To-AR2`）	系统视图	BFD检测到故障时，自动删除静态路由
查看BFD会话	`display bfd session all`	任意视图	查看会话状态（Up/Down）、检测时间等

十、常用排错命令（故障定位）

网络故障时，通过以下命令快速定位问题（如连通性、配置错误、接口故障）。

故障类型	推荐命令	视图要求	排错逻辑
连通性故障	`ping 目标IP`（如 `ping 192.168.1.1`）	用户视图	- 通：链路正常 - 不通：检查路由、接口、防火墙
路由故障	`display ip routing-table 目标网段`	任意视图	查看是否有到达目标网段的路由，路由类型是否正确
接口故障	`display interface 接口名`	任意视图	查看接口物理/协议状态、错误计数（如CRC错误、丢包）
VLAN故障	`display vlan brief`、`display port vlan 接口名`	任意视图	查看端口是否加入正确VLAN，Trunk是否允许VLAN通过
OSPF故障	`display ospf peer`、`display ospf routing`	任意视图	查看邻居是否Full，是否学习到路由
DHCP故障	`display dhcp server lease all`、`display dhcp server pool`	任意视图	查看IP是否分配，地址池配置是否正确
STP故障	`display stp brief`、`display stp instance 0`	任意视图	查看端口是否阻塞，根桥是否正确

双机热备wlan

2026-02-04T16:00:00.000Z

第一部分：基础网络配置 (AC1 & AC2)

这部分是为了让两台 AC 能够“连得通”网络和彼此。

命令	详细解释
`vlan batch 2 199 200`	创建 VLAN：一次性创建三个 VLAN。VLAN 2 用于管理 AP，VLAN 199 用于两台 AC 之间的心跳（数据同步），VLAN 200 用于连接外网。
`int g0/0/1` `port link-type trunk` `port trunk allow-pass vlan 2 199 200`	配置互联接口：进入 GigabitEthernet 0/0/1 接口，将其设为 Trunk 模式，并允许 VLAN 2、199、200 的数据通过，连接到交换机。
`int vlanif2` `ip add 192.168.2.252 24` (AC2: 253)	配置 AP 管理 IP：创建 VLANIF 逻辑接口并配置 IP。这是 AP 获取管理地址的网段。AC1 地址为 .252，AC2 地址为 .253。
`int vlanif199` `ip add 192.168.199.254 24` (AC2: 253)	配置 HSB 心跳 IP：专门用于两台 AC 之间同步数据的链路。AC1 是 .254，AC2 是 .253。
`int vlanif200` `ip add 192.168.200.252 24` (AC2: 253)	配置上行链路 IP：连接核心交换机或出口网关的接口，用于 AC 访问外网。
`ip route-static 0.0.0.0 0 192.168.200.1`	配置默认路由：设置网关下一跳为 192.168.200.1，保证 AC 能够上网。

第二部分：VRRP 网关冗余配置 (AC1 & AC2)

这部分是为了让两台 AC 虚拟成一台设备，对外提供一个不变的“虚拟网关”。

命令	详细解释
`int vlanif200` `vrrp vrid 200 virtual-ip 192.168.200.254`	创建 VRRP 组 (上行)：在上行接口创建 VRRP 备份组 200，虚拟 IP 设为 .254。用户或 AP 访问外网时，网关填这个地址。
`vrrp vrid 200 priority 150` (AC1:150, AC2:120)	设置优先级：决定谁是主谁是备。AC1 设为 150（高），将成为 Master；AC2 设为 120（低），将成为 Backup。
`admin-vrrp vrid 200`	配置管理 VRRP：指定 VRRP 200 为“管理员”组。这意味着这台设备的角色（主/备）由这个组的状态决定，防止角色混乱。
`int vlanif2` `vrrp vrid 2 virtual-ip 192.168.2.254`	创建 VRRP 组 (AP管理)：在 AP 管理网段也创建一个 VRRP 组，虚拟 IP 为 .254。这是 AP 的默认网关。
`vrrp vrid 2 priority 150` (AC1:150, AC2:120)	同步优先级：同样配置优先级，保持与上行链路一致，确保 AC1 同时是两个网段的主设备。
`vrrp vrid 2 track admin-vrrp int vlan 200 vrid 200 unflowdown`	配置联动追踪：这是关键命令。意思是：Vlanif2 的 VRRP 状态要跟踪 Vlanif200 的状态。如果 AC1 的上行网线断了（Vlanif200 失效），AC1 会自动降低自己在 Vlanif2 的优先级，强制让 AC2 接管 AP 管理权，避免“有线断了但无线连不上”的死循环。

第三部分：双机热备 (HSB) 配置

这部分是为了让 AC2 实时备份 AC1 的数据（如 AP 上线信息、用户密码等），实现断网不掉线。

命令	详细解释
`hsb-service 0` `service-ip-port local-ip 192.168.199.254 peer-ip 192.168.199.253 ...`	建立同步通道：创建 HSB 服务 0。配置本端 IP 和对端 IP（Peer IP）。AC1 的本端是 .254，对端填 AC2 的 .253；AC2 则相反。这是数据同步的管道。
`hsb-group 0` `bind-service 0`	绑定服务通道：创建 HSB 备份组 0，并将其与上面创建的“服务通道 0”绑定，打通数据通路。
`track vrrp vrid 200 int vlan 200`	监控 VRRP 状态：HSB 备份组开始监控 VRRP 200 的状态。如果 VRRP 发生主备切换，HSB 也会跟着切换数据流向。
`hsb-service-type ap hsb-group 0`	开启 AP 信息备份：告诉 AC，要把 AP 的上线状态、配置等信息通过 HSB 组 0 实时同步给对端。
`hsb-service-type dhcp hsb-group 0`	开启 DHCP 信息备份：如果 AC 开启了 DHCP 服务，需要同步地址池的占用情况，防止备机分配出重复 IP。
`capwap source ip-address 192.168.200.254`	固定隧道源地址：关键命令！配置 AC 与 AP 通信的源 IP 为 VRRP 虚拟 IP (.254)。这样无论主备怎么切换，AP 只认 .254 这个地址，不需要重新建立连接。

第四部分：最后的收尾

命令	详细解释
`hsb enable`	启动热备功能：在 HSB 组视图下执行此命令，真正激活双机热备功能。执行后，两台 AC 会开始建立连接并同步数据。
`wlan` … (AP和VAP配置)	业务配置：这部分是 WLAN 的基础业务（如 SSID 名字、密码等）。注意：这些配置需要在两台 AC 上手动保持一致，或者通过 AC1 同步给 AC2，否则切换时业务会中断。

云计算平台运维与应用

2026-02-04T16:00:00.000Z

云计算平台运维与应用

1.私有云平台运维

（1）Keystone 组件运维

安装keystone服务组件；

脚本

#!/bin/bash
###############################################
# install keystone for Openstack on controller
# Author:Ann  Date:2022-1-5
###############################################


mysql -uroot -p000000 -e "create database IF NOT EXISTS keystone ;"
mysql -uroot -p000000 -e "GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY 'KEYSTONE_DBPASS';"
mysql -uroot -p000000 -e "GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' IDENTIFIED BY 'KEYSTONE_DBPASS';"


yum -y install openstack-keystone httpd mod_wsgi
yum -y install openstack-utils

#配置数据库连接
openstack-config --set /etc/keystone/keystone.conf database connection  mysql+pymysql://keystone:KEYSTONE_DBPASS@controller/keystone
#使用fernet生产token
openstack-config --set /etc/keystone/keystone.conf token provider  fernet
#同步数据库
su -s /bin/sh -c "keystone-manage db_sync" keystone
#初始化fernet
keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone
keystone-manage credential_setup --keystone-user keystone --keystone-group keystone
#注册keystone
keystone-manage bootstrap --bootstrap-password ADMIN_PASS \
--bootstrap-admin-url http://controller:5000/v3/ \
--bootstrap-internal-url http://controller:5000/v3/ \
--bootstrap-public-url http://controller:5000/v3/ \
--bootstrap-region-id RegionOne

#修改apache配置
sed -i "s/#ServerName www.example.com:80/ServerName controller/g" /etc/httpd/conf/httpd.conf 
ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/
systemctl restart httpd
systemctl enable httpd

#配置临时管理账户
export OS_USERNAME=admin
export OS_PASSWORD=ADMIN_PASS
export OS_PROJECT_NAME=admin
export OS_USER_DOMAIN_NAME=Default
export OS_PROJECT_DOMAIN_NAME=Default
export OS_AUTH_URL=http://controller:5000/v3
export OS_IDENTITY_API_VERSION=3


#创建域、项目、用户和角色
openstack domain create --description "An Example Domain" example
openstack project create --domain default --description "Service Project" service
openstack project create --domain default --description "Demo Project" demo
openstack user create --domain default --password DEMO_PASS demo
openstack role create user
openstack role add --project demo --user demo user


unset OS_AUTH_URL OS_PASSWORD

cat > ~/admin-openrc.sh <<-EOF
export OS_PROJECT_DOMAIN_NAME=Default
export OS_USER_DOMAIN_NAME=Default
export OS_PROJECT_NAME=admin
export OS_USERNAME=admin
export OS_PASSWORD=ADMIN_PASS
export OS_AUTH_URL=http://controller:5000/v3
export OS_IDENTITY_API_VERSION=3
export OS_IMAGE_API_VERSION=2
EOF

cat > ~/demo-openrc.sh <<-EOF
export OS_PROJECT_DOMAIN_NAME=Default
export OS_USER_DOMAIN_NAME=Default
export OS_PROJECT_NAME=demo
export OS_USERNAME=demo
export OS_PASSWORD=DEMO_PASS
export OS_AUTH_URL=http://controller:5000/v3
export OS_IDENTITY_API_VERSION=3
export OS_IMAGE_API_VERSION=2
EOF

echo "source ~/admin-openrc.sh" >> ~/.bashrc
bash

执行

#执行脚本
cd 
 #给可执行权限
chmod +x *.sh
./openstack-keystone-install.sh

#验证
source admin-openrc.sh
openstack token issue

创建一个名称为“bob”账户，密码为“mypassword123”，邮箱为“bob@example.com”；

source /etc/keystone/admin-openrc.sh
# 创建名为 'domain' 的域
openstack domain create domain
#创建用户
openstack user create --password mypassword123 --email bob@example.com --domain domain bob

创建一个名为“acme”项目；

1	`openstack project create --domain domain acme`

角色限定了用户的操作权限。例如，创建一个角色“compute-user”；

1	`openstack role create compute-user`

添加的用户需要分配一定的权限，这就需要把用户关联绑定到对应的项目和角色，例如，给用户“bob”分配“acme”项目下的“compute-user”角色。

1	`openstack role add --user bob --project acme compute-user`

（2）Glance 组件运维

安装glance服务组件，

脚本

#!/bin/bash
###############################################
# install glance for Openstack on controller
# Author:Ann  Date:2022-1-5
###############################################


source  ~/admin-openrc.sh 
mysql -uroot -p000000 -e "create database IF NOT EXISTS glance;"
mysql -uroot -p000000 -e "GRANT ALL PRIVILEGES ON glance.* TO 'glance'@'localhost' IDENTIFIED BY 'GLANCE_DBPASS' ;"
mysql -uroot -p000000 -e "GRANT ALL PRIVILEGES ON glance.* TO 'glance'@'%' IDENTIFIED BY 'GLANCE_DBPASS' ;"

openstack user create --domain default --password GLANCE_PASS glance
openstack role add --project service --user glance admin
openstack service create --name glance --description "OpenStack Image" image

openstack endpoint create --region RegionOne image public http://controller:9292
openstack endpoint create --region RegionOne image internal http://controller:9292
openstack endpoint create --region RegionOne image admin http://controller:9292

yum install -y openstack-glance 

openstack-config --set /etc/glance/glance-api.conf database connection  mysql+pymysql://glance:GLANCE_DBPASS@controller/glance
openstack-config --set /etc/glance/glance-api.conf keystone_authtoken auth_uri http://controller:5000
openstack-config --set /etc/glance/glance-api.conf keystone_authtoken auth_url http://controller:5000
openstack-config --set /etc/glance/glance-api.conf keystone_authtoken memcached_servers  controller:11211
openstack-config --set /etc/glance/glance-api.conf keystone_authtoken auth_type password
openstack-config --set /etc/glance/glance-api.conf keystone_authtoken project_domain_name default
openstack-config --set /etc/glance/glance-api.conf keystone_authtoken user_domain_name default
openstack-config --set /etc/glance/glance-api.conf keystone_authtoken project_name service
openstack-config --set /etc/glance/glance-api.conf keystone_authtoken username glance
openstack-config --set /etc/glance/glance-api.conf keystone_authtoken password GLANCE_PASS
openstack-config --set /etc/glance/glance-api.conf paste_deploy flavor keystone
openstack-config --set /etc/glance/glance-api.conf glance_store stores file,http
openstack-config --set /etc/glance/glance-api.conf glance_store default_store file
openstack-config --set /etc/glance/glance-api.conf glance_store filesystem_store_datadir /var/lib/glance/images/

openstack-config --set /etc/glance/glance-registry.conf database connection  mysql+pymysql://glance:GLANCE_DBPASS@controller/glance
openstack-config --set /etc/glance/glance-registry.conf keystone_authtoken auth_uri http://controller:5000
openstack-config --set /etc/glance/glance-registry.conf keystone_authtoken auth_url http://controller:35357
openstack-config --set /etc/glance/glance-registry.conf keystone_authtoken memcached_servers controller:11211
openstack-config --set /etc/glance/glance-registry.conf keystone_authtoken auth_type password
openstack-config --set /etc/glance/glance-registry.conf keystone_authtoken project_domain_name default
openstack-config --set /etc/glance/glance-registry.conf keystone_authtoken user_domain_name default
openstack-config --set /etc/glance/glance-registry.conf keystone_authtoken project_name service
openstack-config --set /etc/glance/glance-registry.conf keystone_authtoken username glance
openstack-config --set /etc/glance/glance-registry.conf keystone_authtoken password GLANCE_PASS
openstack-config --set /etc/glance/glance-registry.conf paste_deploy flavor keystone


su -s /bin/sh -c "glance-manage db_sync" glance

systemctl enable openstack-glance-api.service openstack-glance-registry.service
systemctl restart openstack-glance-api.service openstack-glance-registry.service

执行

#执行脚本
cd 
./openstack-glance-install.sh

#验证glance
wget http://download.cirros-cloud.net/0.4.0/cirros-0.4.0-i386-disk.img

创建一个名称为“cirros”镜像，镜像文件使用提供的为“cirros-0.3.4-x86_64-disk.img”，

1 2	`#镜像上传到/root下 glance image-create --name "cirros" --disk-format qcow2 --container-format bare --progress < cirros-0.3.4-x86_64-disk.img`

查询镜像列表命令及结果，

1	`glance image-list`

通过glanceimage-show命令查看镜像的详细信息，其中参数可以是镜像id或者镜像名称。

1	`glance image-show d376d9a2-9974-4e8d-869d-149af33b4bdd`

（3）nova组件运维

安装nova服务组件；

脚本

#!/bin/bash
###############################################
# install nova for Openstack on controller
# Author:Ann  Date:2022-1-5
###############################################


source ~/admin-openrc.sh

mysql -uroot -p000000 -e "create database IF NOT EXISTS nova;"
mysql -uroot -p000000 -e "create database IF NOT EXISTS nova_api;"
mysql -uroot -p000000 -e "create database IF NOT EXISTS nova_cell0 ;"

mysql -uroot -p000000 -e " GRANT ALL PRIVILEGES ON nova_api.* TO 'nova'@'localhost' IDENTIFIED BY 'NOVA_DBPASS';"
mysql -uroot -p000000 -e " GRANT ALL PRIVILEGES ON nova_api.* TO 'nova'@'%' IDENTIFIED BY 'NOVA_DBPASS';"
mysql -uroot -p000000 -e " GRANT ALL PRIVILEGES ON nova.* TO 'nova'@'localhost' IDENTIFIED BY 'NOVA_DBPASS';"
mysql -uroot -p000000 -e " GRANT ALL PRIVILEGES ON nova.* TO 'nova'@'%' IDENTIFIED BY 'NOVA_DBPASS';"
mysql -uroot -p000000 -e " GRANT ALL PRIVILEGES ON nova_cell0.* TO 'nova'@'localhost' IDENTIFIED BY 'NOVA_DBPASS';"
mysql -uroot -p000000 -e " GRANT ALL PRIVILEGES ON nova_cell0.* TO 'nova'@'%' IDENTIFIED BY 'NOVA_DBPASS';"


openstack user create --domain default --password NOVA_PASS nova
openstack role add --project service --user nova admin
openstack service create --name nova --description "OpenStack Compute" compute
openstack endpoint create --region RegionOne compute public http://controller:8774/v2.1
openstack endpoint create --region RegionOne compute internal http://controller:8774/v2.1
openstack endpoint create --region RegionOne compute admin http://controller:8774/v2.1

openstack user create --domain default --password PLACEMENT_PASS placement
openstack role add --project service --user placement admin
openstack service create --name placement --description "Placement API" placement
openstack endpoint create --region RegionOne placement public http://controller:8778
openstack endpoint create --region RegionOne placement internal http://controller:8778
openstack endpoint create --region RegionOne placement admin http://controller:8778

yum install -y openstack-nova-api openstack-nova-conductor openstack-nova-console openstack-nova-novncproxy openstack-nova-scheduler openstack-nova-placement-api

openstack-config --set /etc/nova/nova.conf database connection mysql+pymysql://nova:NOVA_DBPASS@controller/nova 
openstack-config --set /etc/nova/nova.conf DEFAULT  transport_url  rabbit://openstack:RABBIT_PASS@controller
openstack-config --set /etc/nova/nova.conf DEFAULT  enabled_apis osapi_compute,metadata
openstack-config --set /etc/nova/nova.conf DEFAULT  my_ip  10.0.0.11
openstack-config --set /etc/nova/nova.conf DEFAULT  use_neutron  True
openstack-config --set /etc/nova/nova.conf DEFAULT  firewall_driver  nova.virt.firewall.NoopFirewallDriver
openstack-config --set /etc/nova/nova.conf api auth_strategy keystone
openstack-config --set /etc/nova/nova.conf api_database connection mysql+pymysql://nova:NOVA_DBPASS@controller/nova_api
openstack-config --set /etc/nova/nova.conf keystone_authtoken auth_url http://controller:5000/v3
openstack-config --set /etc/nova/nova.conf keystone_authtoken memcached_servers controller:11211
openstack-config --set /etc/nova/nova.conf keystone_authtoken auth_type  password
openstack-config --set /etc/nova/nova.conf keystone_authtoken project_domain_name default
openstack-config --set /etc/nova/nova.conf keystone_authtoken user_domain_name  default
openstack-config --set /etc/nova/nova.conf keystone_authtoken project_name service
openstack-config --set /etc/nova/nova.conf keystone_authtoken username nova
openstack-config --set /etc/nova/nova.conf keystone_authtoken password NOVA_PASS
openstack-config --set /etc/nova/nova.conf vnc enabled  true
openstack-config --set /etc/nova/nova.conf vnc server_listen '$my_ip'
openstack-config --set /etc/nova/nova.conf vnc server_proxyclient_address  '$my_ip'
openstack-config --set /etc/nova/nova.conf glance api_servers http://controller:9292
openstack-config --set /etc/nova/nova.conf oslo_concurrency lock_path  /var/lib/nova/tmp
openstack-config --set /etc/nova/nova.conf placement os_region_name  RegionOne
openstack-config --set /etc/nova/nova.conf placement  project_domain_name  Default
openstack-config --set /etc/nova/nova.conf placement  project_name  service
openstack-config --set /etc/nova/nova.conf placement  auth_type  password
openstack-config --set /etc/nova/nova.conf placement  user_domain_name  Default
openstack-config --set /etc/nova/nova.conf placement  auth_url  http://controller:5000/v3
openstack-config --set /etc/nova/nova.conf placement  username  placement
openstack-config --set /etc/nova/nova.conf placement  password  PLACEMENT_PASS

cat > /etc/httpd/conf.d/00-nova-placement-api.conf <<-EOF
Listen 8778


  WSGIProcessGroup nova-placement-api
  WSGIApplicationGroup %{GLOBAL}
  WSGIPassAuthorization On
  WSGIDaemonProcess nova-placement-api processes=3 threads=1 user=nova group=nova
  WSGIScriptAlias / /usr/bin/nova-placement-api
  = 2.4>
    ErrorLogFormat "%M"
  
  ErrorLog /var/log/nova/nova-placement-api.log
  
   = 2.4>
      Require all granted
   
   
      Order allow,deny
      Allow from all
   
  

  #SSLEngine On
  #SSLCertificateFile ...
  #SSLCertificateKeyFile ...


Alias /nova-placement-api /usr/bin/nova-placement-api

  SetHandler wsgi-script
  Options +ExecCGI
  WSGIProcessGroup nova-placement-api
  WSGIApplicationGroup %{GLOBAL}
  WSGIPassAuthorization On



   = 2.4>
      Require all granted
   
   
      Order allow,deny
      Allow from all
   

EOF
systemctl restart httpd

su -s /bin/sh -c "nova-manage api_db sync" nova
su -s /bin/sh -c "nova-manage cell_v2 map_cell0" nova
su -s /bin/sh -c "nova-manage cell_v2 create_cell --name=cell1" nova
su -s /bin/sh -c "nova-manage db sync" nova

systemctl enable openstack-nova-api.service openstack-nova-consoleauth.service openstack-nova-scheduler.service openstack-nova-conductor.service openstack-nova-novncproxy.service
systemctl start openstack-nova-api.service openstack-nova-consoleauth.service openstack-nova-scheduler.service openstack-nova-conductor.service openstack-nova-novncproxy.service
nova service-list

执行

1
2
3

#执行脚本
cd 
./openstack-nova-install-controller.sh

使用命令创建一个名为test，ID为6，内存为2048MB，磁盘为20GB，vcpu数量为2的云主机类型；

1	`nova flavor-create test 6 2048 20 2`

查看test云主机类型的详细信息。

1	`nova flavor-show test`

（4）neutron组件运维

安装neutron服务组件；

脚本

#!/bin/bash
###############################################
# install nova for Openstack on controller
# Author:Ann  Date:2022-1-5
###############################################


source ~/admin-openrc.sh

mysql -uroot -p000000 -e "create database IF NOT EXISTS nova;"
mysql -uroot -p000000 -e "create database IF NOT EXISTS nova_api;"
mysql -uroot -p000000 -e "create database IF NOT EXISTS nova_cell0 ;"

mysql -uroot -p000000 -e " GRANT ALL PRIVILEGES ON nova_api.* TO 'nova'@'localhost' IDENTIFIED BY 'NOVA_DBPASS';"
mysql -uroot -p000000 -e " GRANT ALL PRIVILEGES ON nova_api.* TO 'nova'@'%' IDENTIFIED BY 'NOVA_DBPASS';"
mysql -uroot -p000000 -e " GRANT ALL PRIVILEGES ON nova.* TO 'nova'@'localhost' IDENTIFIED BY 'NOVA_DBPASS';"
mysql -uroot -p000000 -e " GRANT ALL PRIVILEGES ON nova.* TO 'nova'@'%' IDENTIFIED BY 'NOVA_DBPASS';"
mysql -uroot -p000000 -e " GRANT ALL PRIVILEGES ON nova_cell0.* TO 'nova'@'localhost' IDENTIFIED BY 'NOVA_DBPASS';"
mysql -uroot -p000000 -e " GRANT ALL PRIVILEGES ON nova_cell0.* TO 'nova'@'%' IDENTIFIED BY 'NOVA_DBPASS';"


openstack user create --domain default --password NOVA_PASS nova
openstack role add --project service --user nova admin
openstack service create --name nova --description "OpenStack Compute" compute
openstack endpoint create --region RegionOne compute public http://controller:8774/v2.1
openstack endpoint create --region RegionOne compute internal http://controller:8774/v2.1
openstack endpoint create --region RegionOne compute admin http://controller:8774/v2.1

openstack user create --domain default --password PLACEMENT_PASS placement
openstack role add --project service --user placement admin
openstack service create --name placement --description "Placement API" placement
openstack endpoint create --region RegionOne placement public http://controller:8778
openstack endpoint create --region RegionOne placement internal http://controller:8778
openstack endpoint create --region RegionOne placement admin http://controller:8778

yum install -y openstack-nova-api openstack-nova-conductor openstack-nova-console openstack-nova-novncproxy openstack-nova-scheduler openstack-nova-placement-api

openstack-config --set /etc/nova/nova.conf database connection mysql+pymysql://nova:NOVA_DBPASS@controller/nova 
openstack-config --set /etc/nova/nova.conf DEFAULT  transport_url  rabbit://openstack:RABBIT_PASS@controller
openstack-config --set /etc/nova/nova.conf DEFAULT  enabled_apis osapi_compute,metadata
openstack-config --set /etc/nova/nova.conf DEFAULT  my_ip  10.0.0.11
openstack-config --set /etc/nova/nova.conf DEFAULT  use_neutron  True
openstack-config --set /etc/nova/nova.conf DEFAULT  firewall_driver  nova.virt.firewall.NoopFirewallDriver
openstack-config --set /etc/nova/nova.conf api auth_strategy keystone
openstack-config --set /etc/nova/nova.conf api_database connection mysql+pymysql://nova:NOVA_DBPASS@controller/nova_api
openstack-config --set /etc/nova/nova.conf keystone_authtoken auth_url http://controller:5000/v3
openstack-config --set /etc/nova/nova.conf keystone_authtoken memcached_servers controller:11211
openstack-config --set /etc/nova/nova.conf keystone_authtoken auth_type  password
openstack-config --set /etc/nova/nova.conf keystone_authtoken project_domain_name default
openstack-config --set /etc/nova/nova.conf keystone_authtoken user_domain_name  default
openstack-config --set /etc/nova/nova.conf keystone_authtoken project_name service
openstack-config --set /etc/nova/nova.conf keystone_authtoken username nova
openstack-config --set /etc/nova/nova.conf keystone_authtoken password NOVA_PASS
openstack-config --set /etc/nova/nova.conf vnc enabled  true
openstack-config --set /etc/nova/nova.conf vnc server_listen '$my_ip'
openstack-config --set /etc/nova/nova.conf vnc server_proxyclient_address  '$my_ip'
openstack-config --set /etc/nova/nova.conf glance api_servers http://controller:9292
openstack-config --set /etc/nova/nova.conf oslo_concurrency lock_path  /var/lib/nova/tmp
openstack-config --set /etc/nova/nova.conf placement os_region_name  RegionOne
openstack-config --set /etc/nova/nova.conf placement  project_domain_name  Default
openstack-config --set /etc/nova/nova.conf placement  project_name  service
openstack-config --set /etc/nova/nova.conf placement  auth_type  password
openstack-config --set /etc/nova/nova.conf placement  user_domain_name  Default
openstack-config --set /etc/nova/nova.conf placement  auth_url  http://controller:5000/v3
openstack-config --set /etc/nova/nova.conf placement  username  placement
openstack-config --set /etc/nova/nova.conf placement  password  PLACEMENT_PASS

cat > /etc/httpd/conf.d/00-nova-placement-api.conf <<-EOF
Listen 8778


  WSGIProcessGroup nova-placement-api
  WSGIApplicationGroup %{GLOBAL}
  WSGIPassAuthorization On
  WSGIDaemonProcess nova-placement-api processes=3 threads=1 user=nova group=nova
  WSGIScriptAlias / /usr/bin/nova-placement-api
  = 2.4>
    ErrorLogFormat "%M"
  
  ErrorLog /var/log/nova/nova-placement-api.log
  
   = 2.4>
      Require all granted
   
   
      Order allow,deny
      Allow from all
   
  

  #SSLEngine On
  #SSLCertificateFile ...
  #SSLCertificateKeyFile ...


Alias /nova-placement-api /usr/bin/nova-placement-api

  SetHandler wsgi-script
  Options +ExecCGI
  WSGIProcessGroup nova-placement-api
  WSGIApplicationGroup %{GLOBAL}
  WSGIPassAuthorization On



   = 2.4>
      Require all granted
   
   
      Order allow,deny
      Allow from all
   

EOF
systemctl restart httpd

su -s /bin/sh -c "nova-manage api_db sync" nova
su -s /bin/sh -c "nova-manage cell_v2 map_cell0" nova
su -s /bin/sh -c "nova-manage cell_v2 create_cell --name=cell1" nova
su -s /bin/sh -c "nova-manage db sync" nova

systemctl enable openstack-nova-api.service openstack-nova-consoleauth.service openstack-nova-scheduler.service openstack-nova-conductor.service openstack-nova-novncproxy.service
systemctl start openstack-nova-api.service openstack-nova-consoleauth.service openstack-nova-scheduler.service openstack-nova-conductor.service openstack-nova-novncproxy.service
nova service-list

执行

1
2
3

#执行脚本
cd 
./openstack-nova-install-controller.sh

使用Neutron相关命令查询网络服务的列表信息中的“binary”一列；

1	`neutron agent-list -c binary`

使用Neutron相关命令查询网络服务DHCPagent的详细信息。

1 2	`neutron agent-list neutron agent-show 245ae2f9-6220-4c00-a36d-542a746a3f9e`

（5）dashboard运维

安装dashboard服务组件；

脚本

#!/bin/bash
###############################################
# install dashboard for Openstack on controller
# Author:Ann  Date:2022-1-6
###############################################

source  ~/admin-openrc.sh
yum -y install openstack-dashboard
cat > /etc/openstack-dashboard/local_settings <<-EOF
import os
from django.utils.translation import ugettext_lazy as _
from openstack_dashboard.settings import HORIZON_CONFIG
DEBUG = False
WEBROOT = '/dashboard/'
ALLOWED_HOSTS = ['*',]
SESSION_ENGINE = 'django.contrib.sessions.backends.cache'
OPENSTACK_API_VERSIONS = {
    "identity": 3,
    "image": 2,
    "volume": 2,
}
OPENSTACK_KEYSTONE_MULTIDOMAIN_SUPPORT = True
OPENSTACK_KEYSTONE_DEFAULT_DOMAIN = 'Default'
LOCAL_PATH = '/tmp'
SECRET_KEY='a98fb726ae49aeefb5ab'
CACHES = {
    'default': {
        'BACKEND': 'django.core.cache.backends.memcached.MemcachedCache',
        'LOCATION': 'controller:11211',
    },
}
EMAIL_BACKEND = 'django.core.mail.backends.console.EmailBackend'
OPENSTACK_HOST = "controller"
OPENSTACK_KEYSTONE_URL = "http://%s:5000/v3" % OPENSTACK_HOST
OPENSTACK_KEYSTONE_DEFAULT_ROLE = "user"
OPENSTACK_KEYSTONE_BACKEND = {
    'name': 'native',
    'can_edit_user': True,
    'can_edit_group': True,
    'can_edit_project': True,
    'can_edit_domain': True,
    'can_edit_role': True,
}
OPENSTACK_HYPERVISOR_FEATURES = {
    'can_set_mount_point': False,
    'can_set_password': False,
    'requires_keypair': False,
    'enable_quotas': True
}
OPENSTACK_CINDER_FEATURES = {
    'enable_backup': False,
}
OPENSTACK_NEUTRON_NETWORK = {
    'enable_router': False,
    'enable_quotas': False,
    'enable_distributed_router': False,
    'enable_ha_router': False,
    'enable_lb': False,
    'enable_firewall': False,
    'enable_vpn': False,
    'enable_fip_topology_check': False,
    'supported_vnic_types': ['*'],
    'physical_networks': [],
}
OPENSTACK_HEAT_STACK = {
    'enable_user_pass': True,
}
IMAGE_CUSTOM_PROPERTY_TITLES = {
    "architecture": _("Architecture"),
    "kernel_id": _("Kernel ID"),
    "ramdisk_id": _("Ramdisk ID"),
    "image_state": _("Euca2ools state"),
    "project_id": _("Project ID"),
    "image_type": _("Image Type"),
}
IMAGE_RESERVED_CUSTOM_PROPERTIES = []
API_RESULT_LIMIT = 1000
API_RESULT_PAGE_SIZE = 20
SWIFT_FILE_TRANSFER_CHUNK_SIZE = 512 * 1024
INSTANCE_LOG_LENGTH = 35
DROPDOWN_MAX_ITEMS = 30
TIME_ZONE = "Asia/Shanghai"
POLICY_FILES_PATH = '/etc/openstack-dashboard'
LOGGING = {
    'version': 1,
    'disable_existing_loggers': False,
    'formatters': {
        'console': {
            'format': '%(levelname)s %(name)s %(message)s'
        },
        'operation': {
            'format': '%(message)s'
        },
    },
    'handlers': {
        'null': {
            'level': 'DEBUG',
            'class': 'logging.NullHandler',
        },
        'console': {
            'level': 'INFO',
            'class': 'logging.StreamHandler',
            'formatter': 'console',
        },
        'operation': {
            'level': 'INFO',
            'class': 'logging.StreamHandler',
            'formatter': 'operation',
        },
    },
    'loggers': {
        'horizon': {
            'handlers': ['console'],
            'level': 'DEBUG',
            'propagate': False,
        },
        'horizon.operation_log': {
            'handlers': ['operation'],
            'level': 'INFO',
            'propagate': False,
        },
        'openstack_dashboard': {
            'handlers': ['console'],
            'level': 'DEBUG',
            'propagate': False,
        },
        'novaclient': {
            'handlers': ['console'],
            'level': 'DEBUG',
            'propagate': False,
        },
        'cinderclient': {
            'handlers': ['console'],
            'level': 'DEBUG',
            'propagate': False,
        },
        'keystoneauth': {
            'handlers': ['console'],
            'level': 'DEBUG',
            'propagate': False,
        },
        'keystoneclient': {
            'handlers': ['console'],
            'level': 'DEBUG',
            'propagate': False,
        },
        'glanceclient': {
            'handlers': ['console'],
            'level': 'DEBUG',
            'propagate': False,
        },
        'neutronclient': {
            'handlers': ['console'],
            'level': 'DEBUG',
            'propagate': False,
        },
        'swiftclient': {
            'handlers': ['console'],
            'level': 'DEBUG',
            'propagate': False,
        },
        'oslo_policy': {
            'handlers': ['console'],
            'level': 'DEBUG',
            'propagate': False,
        },
        'openstack_auth': {
            'handlers': ['console'],
            'level': 'DEBUG',
            'propagate': False,
        },
        'nose.plugins.manager': {
            'handlers': ['console'],
            'level': 'DEBUG',
            'propagate': False,
        },
        'django': {
            'handlers': ['console'],
            'level': 'DEBUG',
            'propagate': False,
        },
        'django.db.backends': {
            'handlers': ['null'],
            'propagate': False,
        },
        'requests': {
            'handlers': ['null'],
            'propagate': False,
        },
        'urllib3': {
            'handlers': ['null'],
            'propagate': False,
        },
        'chardet.charsetprober': {
            'handlers': ['null'],
            'propagate': False,
        },
        'iso8601': {
            'handlers': ['null'],
            'propagate': False,
        },
        'scss': {
            'handlers': ['null'],
            'propagate': False,
        },
    },
}
SECURITY_GROUP_RULES = {
    'all_tcp': {
        'name': _('All TCP'),
        'ip_protocol': 'tcp',
        'from_port': '1',
        'to_port': '65535',
    },
    'all_udp': {
        'name': _('All UDP'),
        'ip_protocol': 'udp',
        'from_port': '1',
        'to_port': '65535',
    },
    'all_icmp': {
        'name': _('All ICMP'),
        'ip_protocol': 'icmp',
        'from_port': '-1',
        'to_port': '-1',
    },
    'ssh': {
        'name': 'SSH',
        'ip_protocol': 'tcp',
        'from_port': '22',
        'to_port': '22',
    },
    'smtp': {
        'name': 'SMTP',
        'ip_protocol': 'tcp',
        'from_port': '25',
        'to_port': '25',
    },
    'dns': {
        'name': 'DNS',
        'ip_protocol': 'tcp',
        'from_port': '53',
        'to_port': '53',
    },
    'http': {
        'name': 'HTTP',
        'ip_protocol': 'tcp',
        'from_port': '80',
        'to_port': '80',
    },
    'pop3': {
        'name': 'POP3',
        'ip_protocol': 'tcp',
        'from_port': '110',
        'to_port': '110',
    },
    'imap': {
        'name': 'IMAP',
        'ip_protocol': 'tcp',
        'from_port': '143',
        'to_port': '143',
    },
    'ldap': {
        'name': 'LDAP',
        'ip_protocol': 'tcp',
        'from_port': '389',
        'to_port': '389',
    },
    'https': {
        'name': 'HTTPS',
        'ip_protocol': 'tcp',
        'from_port': '443',
        'to_port': '443',
    },
    'smtps': {
        'name': 'SMTPS',
        'ip_protocol': 'tcp',
        'from_port': '465',
        'to_port': '465',
    },
    'imaps': {
        'name': 'IMAPS',
        'ip_protocol': 'tcp',
        'from_port': '993',
        'to_port': '993',
    },
    'pop3s': {
        'name': 'POP3S',
        'ip_protocol': 'tcp',
        'from_port': '995',
        'to_port': '995',
    },
    'ms_sql': {
        'name': 'MS SQL',
        'ip_protocol': 'tcp',
        'from_port': '1433',
        'to_port': '1433',
    },
    'mysql': {
        'name': 'MYSQL',
        'ip_protocol': 'tcp',
        'from_port': '3306',
        'to_port': '3306',
    },
    'rdp': {
        'name': 'RDP',
        'ip_protocol': 'tcp',
        'from_port': '3389',
        'to_port': '3389',
    },
}
REST_API_REQUIRED_SETTINGS = ['OPENSTACK_HYPERVISOR_FEATURES',
                              'LAUNCH_INSTANCE_DEFAULTS',
                              'OPENSTACK_IMAGE_FORMATS',
                              'OPENSTACK_KEYSTONE_DEFAULT_DOMAIN',
                              'CREATE_IMAGE_DEFAULTS',
                              'ENFORCE_PASSWORD_CHECK']
ALLOWED_PRIVATE_SUBNET_CIDR = {'ipv4': [], 'ipv6': []}
EOF

sed -i '1i\WSGIApplicationGroup %{GLOBAL}' /etc/httpd/conf.d/openstack-dashboard.conf
systemctl restart httpd.service memcached.service

执行

1 2	`cd ./openstack-dashboard-install.sh`

安装云平台web管理界面，安装成功后通过浏览器访问，并使用admin登录dashboard。

2.企业级应用系统集群部署与管理

项目背景：

现A公司需完成构建企业级网站集群项目，要求给出一个企业级中小规模网站集群的架构解决方案。

要求整套架构从需求出发，以生产实战为标准，作出具体的IP地址规划、主机名规划、服务部署及目录结构规划等，并对每一个集群节点要部署的应用做细致设计，并最终完成整个项目的搭建。

1）节点IP地址及主机名规划

对集群中各节点的IP地址、主机名，必要的域名、VIP等作出详细规划。（以表格形式呈现）

节点名称	IP 地址	角色说明	域名
`dns-ftp`	172.16.19.101	DNS + FTP	-
`web-apache`	172.16.19.102	Apache HTTPS	web.zaxcloud.com, bbs.zaxcloud.com
`lb`	172.16.19.103	Nginx + Keepalived（主）	-
`lb2`	172.16.19.109	Nginx + Keepalived（备）	-
`web1`	172.16.19.104	LNMP Web 节点（权重 5）	-
`web2-nfs`	172.16.19.105	LNMP Web 节点 + NFS（权重 10）	-
`db-master`	172.16.19.106	MySQL 主库	-
`db-slave`	172.16.19.107	MySQL 从库	-
`mycat`	172.16.19.108	Mycat 中间件	-
VIP	172.16.19.100	虚拟 IP	wordpress.zaxcloud.com

2）完成集群服务器搭建

要求给出详细的配置过程文档，包括配置代码，测试验证过程及结果返回截图。关于各服务器实现功能要求如下：

（1）为了实现域名解析，须构建一台DNS服务器，使用户可以通过域名访问apache服务器及LNMP web服务器集群。

（2）该公司为了实现文件的传输和资源共享，需要搭建一台FTP服务器，基于服务器的性能和安全考虑，不允许匿名用户登录并要求将登录用户锁定在自己的家目录中，服务器开启日志功能，设置无任何操作的超时时间为5分钟，设置数据连接的超时时间为10分钟，该FTP服务器允许的最大连接数为5000，每个IP地址允许与FTP服务器同时建立15个连接，限制本地用户所能使用的最大传输速度为512KB/s。

（3）为了对外宣传，搭建一台web服务器，搭载公司门户网及论坛。分别申请的域名为web.A.com和bbs.A.com。该Web服务器只有一个IP地址。并要求通过https协议访问网站。

（4）部署高可用、具有负载均衡功能的LNMP web服务器集群，构建wordpress博客系统。后端数据库为主从复制、读写分离分布式架构，NFS服务器作为静态资源共享存储，在本例中，请将./wordpress/wp-admin/images目录存放在NFS共享目录中并共享给web服务器。两台LNMP web服务器权重分别为5和10。

部署步骤

基础配置

# 停止防火墙服务
systemctl stop firewalld
# 禁止防火墙开机自启
systemctl disable firewalld
#临时关闭selinux
setenforce 0
#永久关闭
vim /etc/selinux/config
SELINUX=disabled 
#或
sed -i 's/^SELINUX=.*/SELINUX=disabled/' /etc/selinux/config

#配置yum源
mv /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/CentOS-Base.repo.backup
curl -o /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo

#安装基础工具
yum install -y vim wget net-tools

DNS服务器部署

安装bind软件

1	`yum install bind bind-utils -y`

配置主要配置文件

vim /etc/named.conf

options {
        listen-on port 53 { any; };
        directory       "/var/named";
        allow-query     { any; };

配置区域文件

vim /etc/named.rfc1912.zones

zone "zaxcloud.com" IN {
    type master;
    file "zaxcloud.com.zone";
    allow-update { none; };
};

创建正向解析文件

vim /var/named/zaxcloud.com.zone

$TTL 86400
@ IN SOA ns1.zaxcloud.com. admin.zaxcloud.com. (
    2023010101 ; Serial
    3600        ; Refresh
    1800        ; Retry
    604800      ; Expire
    86400       ; Minimum TTL
)
@ IN NS ns1.zaxcloud.com.
ns1 IN A 172.16.19.101
web IN A 172.16.19.102
bbs IN A 172.16.19.102
wordpress IN A 172.16.19.100

启动服务

1 2	`systemctl start named systemctl enable named`

FTP服务器部署

安装vsftpd

1	`yum install vsftpd -y`

配置FTP服务器

mv /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf.bak

vim /etc/vsftpd/vsftpd.conf 
anonymous_enable=NO

#无任何操作的超时
idle_session_timeout=300
#数据连接的超时时间
data_connection_timeout=600
#允许的最大连接数
max_clients=5000
#每个IP地址允许与FTP服务器同时建立
max_per_ip=15
#限制本地用户所能使用的最大传输速度
local_max_rate=524288

创建虚拟用户设置权限

useradd -s /sbin/nologin -d /var/ftp/user1 user1
passwd user1

mkdir /var/ftp/user1
touch /var/ftp/user1/test.txt
chown -R user1:user1 /var/ftp/user1
chmod -R 755 /var/ftp/user1

echo "/sbin/nologin" >> /etc/shells

启动服务

1
2
3

systemctl start vsftpd
systemctl enable vsftpd
systemctl status vsftpd

web服务器

安装Apache

1	`yum install httpd mod_ssl -y`

获取SSL证书

CA配置

# 创建CA主目录及子目录（private存私钥、certs存证书、csr存请求文件、newcerts存签发后的证书副本）
mkdir -p ~/my_ca/{private,certs,csr,newcerts}

# 设置private目录权限为“仅当前用户可读/写”（私钥是敏感文件，必须限制权限）
chmod 700 ~/my_ca/private

# 初始化CA证书数据库（记录所有签发过的证书，后续可查询）
touch ~/my_ca/index.txt

# 初始化证书序列号（签发的第一个证书序号为01，后续自动递增）
echo 01 > ~/my_ca/serial

#创建自签 CA 根证书
#生成 CA 根私钥
openssl genrsa -out my_ca/private/ca.key 2048

#生成 CA 自签根证书
openssl req -new -x509 -days 3650 -key my_ca/private/ca.key -out my_ca/certs/ca.crt

CN
sichuan
Chengdu
zaxcloud
CA
zaxcloud CA Root
admin@zaxcloud.com

#创建 CA 签发配置文件
vim my_ca/ca.cnf

[ca]
default_ca = myca  # 指定默认CA配置段

[myca]
dir = /root/my_ca       # CA工作目录
certs = $dir/certs  # CA根证书存放路径
crl_dir = $dir/crl  # 吊销列表存放路径（暂用不到）
database = $dir/index.txt  # 证书数据库文件
new_certs_dir = $dir/newcerts  # 签发后的证书副本存放路径
certificate = $dir/certs/ca.crt  # CA根证书路径
serial = $dir/serial  # 证书序列号文件
private_key = $dir/private/ca.key  # CA私钥路径
RANDFILE = $dir/private/.rand  # 随机数文件（自动生成）
default_days = 365  # 签发的证书有效期（1年）
default_md = sha256  # 哈希算法（安全标准）
policy = myca_policy  # 证书信息匹配规则
x509_extensions = usr_cert  # 证书扩展配置段（定义证书用途）

[myca_policy]
countryName = match  # 要求域名证书的“国家”与CA根证书一致
stateOrProvinceName = match  # 要求“省份”与CA根证书一致
organizationName = match  # 要求“组织名”与CA根证书一致
organizationalUnitName = optional  # “部门名”可选（可自定义）
commonName = supplied  # 必须提供“通用名（域名）”
emailAddress = optional  # “邮箱”可选

[usr_cert]
basicConstraints = CA:FALSE  # 禁止该证书再签发其他证书（仅CA根证书可签发）
keyUsage = digitalSignature, keyEncipherment  # 证书用途：数字签名、密钥加密
extendedKeyUsage = serverAuth  # 扩展用途：服务器身份认证（HTTPS用）
subjectKeyIdentifier = hash  # 生成主题密钥标识
authorityKeyIdentifier = keyid,issuer  # 生成颁发者密钥标识（关联CA根证书）

web.zaxcloud.com

#生成 web 域名的私钥
openssl genrsa -out ~/my_ca/private/web.zaxcloud.com.key 2048

#生成 web 域名的证书请求
openssl req -new -key ~/my_ca/private/web.zaxcloud.com.key -out ~/my_ca/csr/web.zaxcloud.com.csr

#前四个必须和ca保持一致
CN
sichuan
Chengdu
zaxcloud
web-service
web.zaxcloud.com
admin@zaxcloud.com

#用 CA 根证书签发 web 域名的正式证书
openssl ca -config ~/my_ca/ca.cnf -in ~/my_ca/csr/web.zaxcloud.com.csr -out ~/my_ca/certs/web.zaxcloud.com.crt

y
y

bbs.zaxcloud.com

#生成 bbs 域名的私钥
openssl genrsa -out ~/my_ca/private/bbs.zaxcloud.com.key 2048

##生成 bbs 域名的证书请求
openssl req -new -key ~/my_ca/private/bbs.zaxcloud.com.key -out ~/my_ca/csr/bbs.zaxcloud.com.csr

#前四个必须和ca保持一致
CN
sichuan
Chengdu
zaxcloud
bbs-service
bbs.zaxcloud.com
admin@zaxcloud.com

#用 CA 根证书签发 bbs 域名的正式证书
openssl ca -config ~/my_ca/ca.cnf -in ~/my_ca/csr/bbs.zaxcloud.com.csr -out ~/my_ca/certs/bbs.zaxcloud.com.crt

y
y

移动证书

mkdir -pv /etc/httpd/ssl
cp ~/my_ca/certs/web.zaxcloud.com.crt /etc/httpd/ssl/
cp ~/my_ca/private/web.zaxcloud.com.key /etc/httpd/ssl/
cp ~/my_ca/certs/bbs.zaxcloud.com.crt /etc/httpd/ssl/
cp ~/my_ca/private/bbs.zaxcloud.com.key /etc/httpd/ssl/

配置虚拟主机

配置/etc/httpd/conf.d/web.conf

vim /etc/httpd/conf.d/web.conf


    ServerName web.zaxcloud.com
    Redirect permanent / https://web.zaxcloud.com/



    ServerName web.zaxcloud.com
    DocumentRoot "/var/www/html/web"
    SSLEngine on
    SSLCertificateFile "/etc/httpd/ssl/web.zaxcloud.com.crt"
    SSLCertificateKeyFile "/etc/httpd/ssl/web.zaxcloud.com.key"



    ServerName bbs.zaxcloud.com
    Redirect permanent / https://bbs.zaxcloud.com/



    ServerName bbs.zaxcloud.com
    DocumentRoot "/var/www/html/bbs"
    SSLEngine on
    SSLCertificateFile "/etc/httpd/ssl/bbs.zaxcloud.com.crt"
    SSLCertificateKeyFile "/etc/httpd/ssl/bbs.zaxcloud.com.key"

搭建门户网站

mkdir /var/www/html/web 
#修改主配置文件的目录和索引文件
vim /etc/httpd/conf/httpd.conf

systemctl start httpd
systemctl enable httpd
systemctl status httpd

1 2	`#网上随便下载一个静态网站上传到/var/www/html/web ls /var/www/html/web/`

搭建论坛网站

#安装需要的服务
yum install -y php php-mysql mariadb mariadb-server

systemctl start mariadb
systemctl enable mariadb
#初始化数据库
mysql_secure_installation
y
n
y
y
#设置数据库权限
mysql -uroot  -p000000
grant all privileges on *.* to root@'%' identified by "000000"; 
flush privileges;

#创建网站目录，并设置权限 
mkdir /var/www/html/bbs
cd /var/www/html/bbs
#上传 解压文件
yum install -y unzip
unzip lamp-Discuz_X3.4_SC_GBK_20191201.zip
cp -r upload/* . 
chmod -R 777 /var/www/html/bbs
systemctl restart httpd

nfs服务器

安装nfs

1	`yum install nfs-utils rpcbind -y`

1	`mkdir -p /usr/share/nginx/html/wordpress/wp-admin/images`

编辑/etc/exports

1
2
3

vim /etc/exports

/usr/share/nginx/html/wordpress *(rw,sync,no_subtree_check)

启动服务

systemctl start rpcbind
systemctl start nfs-server
systemctl enable rpcbind
systemctl enable nfs-server

# 刷新NFS配置  
exportfs -a  
exportfs -rv

mysql主从

基础配置

# 关闭防火墙
systemctl stop firewalld
systemctl disable firewalld

# 关闭SELinux
sed -i 's/SELINUX=enforcing/SELINUX=disabled/' /etc/selinux/config
setenforce 0

添加hosts文件

1	`echo -e "172.16.19.106 db-master\n172.16.19.107 db-slave\n172.16.19.108 mycat" \| sudo tee -a /etc/hosts > /dev/null`

安装服务

1	`yum install -y mariadb mariadb-server`

初始化数据库

systemctl start mariadb
systemctl enable mariadb
mysql_secure_installation 
#回车> y >输入密码> y n y y

配置主从库

#主库的基础配置
vim /etc/my.cnf 
server-id=106
log-bin=mysql-bin
binlog-format=ROW
innodb_file_per_table=1
character-set-server=utf8

#从库也是相同的操作了id改成自己ip的主机数
vim /etc/my.cnf

server-id=107
relay-log=mysqld-relay-bin
log-slave-updates=1
read-only=1
innodb_file_per_table=1
character-set-server=utf8
#两台都重新启动
systemctl restart mariadb

开放主从库的权限

mysql -uroot -p000000
#授权在任何都可以 root 用户登录到数据库(两台)
grant all privileges on *.* to root@'%' identified by '000000'; 
#主库还有创建一个供从库连接的账号
-- 创建新复制用户
CREATE USER 'user1'@'%' IDENTIFIED BY '000000';
-- 授予复制权限
GRANT ALL PRIVILEGES ON wordpress.* TO 'user1'@'%' IDENTIFIED BY '000000';

FLUSH PRIVILEGES;

同步节点

#主库查看File 和 Position值
SHOW MASTER STATUS;

mariadb-bin.000001 |      245

#从库执行
CHANGE MASTER TO
  MASTER_HOST='db-master',
  MASTER_USER='user1',
  MASTER_PASSWORD='000000',
  MASTER_LOG_FILE='mysql-bin.000001',
  MASTER_LOG_POS=682; 
 
 -- 启动同步
START SLAVE;

-- 检查状态
SHOW SLAVE STATUS\G

Mycat读写分离

安装mycat服务

# Mycat需要Java环境
yum install -y java java-devel   
yum install -y mariadb-server mariadb

#添加hosts内容
echo -e "172.16.19.106    db-master\n172.16.19.107    db-slave\n172.16.19.108    mycat" | sudo tee -a /etc/hosts > /dev/null

#上传安装包并解压
tar -zxvf Mycat-server-1.6-RELEASE-20161028204710-linux.tar.gz -C /usr/local/

#更改权限
chown -R 777 /usr/local/mycat/

#添加系统变量
echo export MYCAT_HOME=/usr/local/mycat/ >> /etc/profile
source /etc/profile

编写逻辑库配置文件

cp /usr/local/mycat/conf/schema.xml /usr/local/mycat/conf/schema.xml.bak

cat >/usr/local/mycat/conf/schema.xml << EOF



    
    
        
        
    

    
    

    
    
              writeType="0" dbType="mysql" dbDriver="native">
        select user()
        
        
            
            
        
    

EOF
主库创建 WordPress 数据库
1
2
CREATE DATABASE wordpress;
FLUSH PRIVILEGES;
mycat的访问用户(server.xml)
1
2
3
4
5
6
7
8
9
10
11
12
vim /usr/local/mycat/conf/server.xml
#找到  标签段落，改动密码和数据库
"root">
                "password">000000
                "schemas">wordpress


#找到  标签段落，改成wp-config.php中一样的
"user1"> 
    "password">000000 
    "schemas">wordpress 

启动mycat
1
2
3
4
/bin/bash  /usr/local/mycat/bin/mycat start

# 检查启动状态
netstat -ntlp | grep 8066  # Mycat默认端口
lb
安装服务
1
2
curl -o /etc/yum.repos.d/epel.repo http://mirrors.aliyun.com/repo/epel-7.repo
yum install nginx keepalived -y
配置 Nginx 负载均衡
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
vim /etc/nginx/nginx.conf

upstream wordpress {
    server 172.16.19.104 weight=5;
    server 172.16.19.105 weight=10;
}

server {
    listen 80;
    server_name wordpress.zaxcloud.com;

    location / {
        proxy_pass http://wordpress;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
配置 Keepalived 高可用（上面配置完可以在复制一台改为lb2）
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
vim /etc/keepalived/keepalived.conf
#lb修改配置文件同有以下内容
vrrp_instance VI_1 {
    state MASTER  # 主节点为 MASTER，备节点为 BACKUP
    interface ens33  # 替换成你服务器实际的网卡名（用 ip addr 查看）
    virtual_router_id 51  # 虚拟路由 ID，主备节点必须相同（范围 0-255）
    priority 100  # 优先级，主节点数值高于备节点（如备节点设为 90）
    advert_int 1  # VRRP 通告间隔，1秒

    # 认证配置（主备节点必须一致）
    authentication {
        auth_type PASS
        auth_pass 1111
    }

    # 虚拟 IP（VIP），必须指定，且是未被占用的 IP，主备节点一致
    virtual_ipaddress {
        172.16.19.100/24 dev ens33  # 替换成你的网段和网卡名
    }
}

#lb2
vrrp_instance VI_1 {
    state BACKUP
    interface eth33
    virtual_router_id 51
    priority 50
    advert_int 1
    authentication {
        auth_type PASS
        auth_pass 1111
    }
    virtual_ipaddress {
        172.16.19.100/24 dev ens33
    }
}
启动服务
1
2
systemctl start nginx keepalived
systemctl enable nginx keepalived
web1和web2-nfs
WordPress
安装LNMP环境
1
2
3
4
5
6
7
#安装Nginx、PHP-FPM、MySQL客户端
curl -o /etc/yum.repos.d/epel.repo http://mirrors.aliyun.com/repo/epel-7.repo
yum install -y nginx php-fpm php-mysqlnd

# 启动并设置开机自启
systemctl start nginx php-fpm
systemctl enable nginx php-fpm
配置Nginx虚拟主机
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
vim /etc/nginx/conf.d/wordpress.conf

server {
    listen 80;
    server_name wordpress.zaxcloud.com;

    root /usr/share/nginx/html/wordpress;
    index index.php index.html index.htm;

    access_log /var/log/nginx/wordpress_access.log;
    error_log /var/log/nginx/wordpress_error.log;

    location / {
        try_files $uri $uri/ /index.php?$args;
    }

    location ~ \.php$ {
        fastcgi_pass 127.0.0.1:9000;
        fastcgi_index index.php;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        include fastcgi_params;
        
        # PHP性能调优参数
        fastcgi_buffer_size 128k;
        fastcgi_buffers 4 256k;
        fastcgi_busy_buffers_size 256k;
        fastcgi_temp_file_write_size 256k;
        fastcgi_intercept_errors on;
    }

    # 静态资源缓存设置（可选）
    location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ {
        expires 7d;
        add_header Cache-Control "public, no-transform";
    } 
}
配置PHP-FPM
1
2
vim /etc/php-fpm.d/www.conf
#把user和group改成nginx
安装WordPress网站
1
2
3
4
5
6
7
8
#创建目录
mkdir -p /usr/share/nginx/html/wordpress  
chown -R nginx:nginx /usr/share/nginx/html/wordpress
cd /usr/share/nginx/html/wordpress
#上传后解压给予权限
tar -zxvf lnmp-wordpress-5.0.3-zh_CN.tar.gz 
mv wordpress/* . 
chmod -R 777  /usr/share/nginx/html/wordpress
修改WordPress配置文件 wp-config.php
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
cp  /usr/share/nginx/html/wordpress/wp-config-sample.php /usr/share/nginx/html/wordpress/wp-config.php

vim /usr/share/nginx/html/wordpress/wp-config.php
#要适配配置数据库当时设置的

/** 数据库名称 */  
define('DB_NAME', 'wordpress');  

/** 数据库用户名 */  
define('DB_USER', 'user1');  

/** 数据库密码 */  
define('DB_PASSWORD', '000000');  

/** 数据库主机 */  
define('DB_HOST', '172.16.19.108:8066'); // 指向Mycat中间件IP  

/** 数据库编码 */  
define('DB_CHARSET', 'utf8');  

systemctl restart nginx php-fpm
nfs服务器
安装nfs
1
yum install nfs-utils rpcbind -y
配置共享目录
1
2
#已有可以不创建
mkdir -p /usr/share/nginx/html/wordpress/wp-admin/images
编辑/etc/exports
1
2
3
vim /etc/exports

/usr/share/nginx/html/wordpress *(rw,sync,no_subtree_check)
启动服务
1
2
3
4
5
6
7
8
systemctl start rpcbind
systemctl start nfs-server
systemctl enable rpcbind
systemctl enable nfs-server

# 刷新NFS配置  
exportfs -a  
exportfs -rv
nfs配置
1
2
3
4
5
6
7
8
9
10
#必须在location ～ \.php$之前定义此规则

#配置web2-nfs的Nginx
vim /etc/nginx/conf.d/wordpress.conf

    location ~ ^/wp-admin/images/(.+)$ {
        alias /usr/share/nginx/html/wordpress/wp-admin/images/$1;
        add_header X-Content-Type-Options nosniff;
        add_header X-Frame-Options SAMEORIGIN;
    }
1
2
#重启服务
systemctl restart nginx php-fpm
wordpress安装
web2-nfs
先把wp-config.php文件中的数据库主机改成主库，创建成功后改回来
测试
dns
ftp
匿名用户登录
测试上传、下载、创建目录权限(win)
1
2
3
4
5
6
7
ftp 172.16.19.101

pwd
mkdir test
put D:\test11.txt
ls
get test.txt
web
web.zaxcloud.com站点
bbs.zaxcloud.com站点
lnmp
读写分离
1
mysql -h127.0.0.1 -P9066 -uuser1 -p000000 -e "show @@datasource;"
wordpress.zaxcloud.com站点

net06

Hexo 发布流程测试

发布流程测试

本地图片

检查项

常用命令

CentOS 7搭建Apache(httpd) web 服务器-静态

一、Apache 概述

Apache 核心特性

二、安装 Apache（httpd）

1. 安装 httpd 包

2. 验证安装结果

三、Apache 服务管理

1. 基础服务命令

2. 测试配置语法（关键！）

四、Apache 核心配置文件详解

1. 主配置文件 httpd.conf 核心指令

2. 验证默认站点

Apache Default Page (CentOS 7)

Apache Default Page (CentOS 7)

五、防火墙与 SELinux 配置（关键！避免访问被拦截）

1. 防火墙配置（开放 HTTP/HTTPS 端口）

2. SELinux 配置（允许 Apache 访问目录和日志）

（1）SELinux 状态查看与临时调整

（2）目录安全上下文配置（以虚拟主机目录为例）

（3）全局 SELinux 布尔值（可选，简化配置）

六、虚拟主机配置（多站点部署核心）

1. 方案 1：conf.d 目录直接配置

（1）创建站点目录与测试页面

Welcome to www.example.com (Public Site)

Welcome to slackware.local (Local Site)

（2）创建虚拟主机配置文件

配置站点 1：www.example.com（公网）

配置站点 2：slackware.local（本地）

（3）本地测试站点的域名解析（关键！）

（4）生效配置并测试

2. 方案 2：sites-available/sites-enabled 软链接（规范方案）

3. 基于IP的虚拟主机配置

（1）查看服务器IP地址

（2）创建站点目录和测试页面

Welcome to IP-based Site (192.168.1.101)

（3）基于IP的虚拟主机配置

（4）SELinux上下文设置

（5）测试访问

4. 基于端口的虚拟主机配置

（1）创建不同端口的站点目录

Welcome to Port 8080 Site

Welcome to Port 8081 Site

（2）修改主配置文件监听额外端口

（3）创建基于端口的虚拟主机配置

（4）防火墙开放额外端口

（5）SELinux上下文设置

（6）测试访问

5. 混合配置示例（IP+端口+域名）

场景描述：

混合配置示例：

防火墙配置：

6. 虚拟主机匹配优先级

设置默认虚拟主机：

七、Apache认证配置

1. 基本认证（Basic Authentication）配置

（1）创建密码文件

（2）为目录配置基本认证

Secure Area - Authentication Required

（3）测试认证配置

2. 基于用户组的认证

（1）创建组文件

（2）配置组认证

3. 摘要认证（Digest Authentication）

（1）创建摘要认证密码文件

（2）配置摘要认证

4. IP地址限制与认证结合

（1）IP白名单 + 认证

（2）分时段访问控制

5. .htaccess 文件认证配置

（1）启用 .htaccess 覆盖

（2）创建 .htaccess 文件

6. 认证与SSL/TLS结合

7. 认证配置最佳实践

（1）安全建议

1. 主配置文件 `httpd.conf` 核心指令

1. 方案 1：`conf.d` 目录直接配置

配置站点 1：`www.example.com`（公网）

配置站点 2：`slackware.local`（本地）

2. 方案 2：`sites-available/sites-enabled` 软链接（规范方案）

1. Apache 启动失败：`Job for httpd.service failed`