###请转贴时保留以下内容######
Red Hat Linux 253 实验部分
应广大RH爱好者的要求,奉献Red Hat Linux 253 实验翻译
请提出宝贵意见Mail:[email protected]
KevinZ(kissingwolf)
2004.3.24
#############################
Red Hat Linux 253 实验部分
试验2
域名系统
估计时间： 2个小时
目标： 安装和配置一个DNS服务器
试验的起点： 标准的Red Hat Linux安装
介绍
本次实验指导您通过使用Berkeley Internet Name守护进程来配置域名服务。使用模板文件作为指导，您将
实现一个仅有缓存的域名服务器
配置named作为example.com的从域名服务器
配置named作为主域名服务器用于转发和IP反查询
在整个试验中，您使用的机器名称和域名将基于您使用的机器的IP地址。如果下面的试验出现了X字样的名称，您应该把X字样的名称替换成您的工作站的号码（您的IP地址的最后一个部分）。例如，如果您的工作站的IP的地址是192.168.0.3，您应该将stationX.domainX.example.com转换成station3.domain3.example.com。
将数据包过滤设定为无效状态。在本次试验开始之前，请您确保您的主机上的所有包过滤已被关闭（显然，在实际使用中您可以利用Linux内核的防火墙机制，然而我们在这里关掉它是为了减少潜在的问题）。
本次试验中以root身份来使用下面命令达成上面的要求：
service iptables stop
chkconfig iptables off
初始化安装
A. 获得必要的文件
需要bind,bind-utils和caching-nameserver软件包。使用｀rpm –q｀来决定这些软件包是否被安装。如果没有被安装，通过输入如下命令来安装（以root身份）：
mkdir /mnt/server1; mount server1:/var/ftp/pub /mnt/server1
rpm –Uvh /mnt/server1/RedHat/RPMS/bind-9*
rpm –Uvh /mnt/server1/RedHat/RPMS/bind-utils*
rpm –Uvh /mnt/server1/RedHat/RPMS/caching-nameserver*
RPM软件包bind包括DNS守护进程和支持脚本，但是没有配置和区域文件。caching-nameserver提供了一个通用的配置和区域文件。
B. 配置本地的解析器
配置您的主机使得它能够被用来作为域名服务，而不是192.168.0.254。
注意：直到您的域名服务器被正确安装和配置，您的机器的DNS服务不会奏效。您也应该注意到当您的系统重新启动的时候或者重新设定您的网络的时候您的/etc/resolve.conf将会被改写（除非您对您的网络界面设定了在本讲座中提及的PEERDNS）
按照如下编辑您的解析器配置文件
/etc/resolv.conf
search domainX.example.comnameserver 192.168.0.X
(记住将X替换成您的工作站的号码)
第一行定义了如果出现简单的不符合完整域名的主机名称时默认添加的缺省域。第二行指定了将主机192.168.0.X (您的机器)来作为DNS查询的解析器。
为了简化情况，将除了localhost主机名称的定义从您的主机名称配置文件中删除。
/etc/hosts
127.0.0.1 localhost localhost.localdomain
该步骤并不是必需的，但是可以简化DNS的调式。有时候安装程序会将符合完整域名的主机名放在localhost的这一行，这样一来会使得您无法准确的确定您的域名服务器配置是否正确。
步骤1：配置一个仅有缓存的域名服务器
第一个配置您将建立一个仅有缓存的域名服务器。这种类型的域名服务器对于任何区域都不授权。仅有缓存的域名服务器被设定为主域名服务器。当主机名称或者IP地址需要被解析的时候，仅有缓存的域名服务器将查询请求转发到另外一台域名服务器或者到根域名服务器来决定授权的用来解析的域名服务器。一旦解析完成，仅有缓存的域名服务器在缓存中存储解析的信息，该解析信息有一段的生存周期。以后的查询将会变得很快。
您已经安装完对于此项配置所有必须的文件。按照如下步骤来配置域名服务器：
1． 在由caching-nameserver提供的/etc/named.conf中的“option”区域添加下面的内容：
forwarders {192.168.0.254; };
forward only;
这将导致您工作站上的仅有缓存的域名服务器转发其不能解析的DNS查询到在192.168.0.254的域名服务器，并且如果超时，不与根域名服务器直接联系。
2． 启动named: service named start
3． 测试您的配置使用host或者dig来查询一些example.com名称和一些真实的Internet域名（如果您有Internet访问接口的话）
步骤2：配置一个从域名服务器
一个从域名服务器将为一个区域提供授权的回答,但不是区域的授权开始。您现在将重新配置您的域名服务器作为example.com区域和0.168.192.in-addr.arpa区域的从域名服务器。
1． 在您的/etc/named.conf文件中添加如下行
zone “example.com” {
type slave;
masters { 192.168.0.254; };
file “slave-example.com.zone”;
};
zone “0.168.192.in-addr.arpa” {
type slave;
masters { 192.168.0.254; };
file “slave-192.168.0.zone”;
};
2． 重新启动named: servcie named restart
3． 检查slave-example.com.zone和slave-192.168.0.zone文件。这些文件应该包含了从位于192.168.0.254的主域名服务器传过来的区域数据库的副本。
确保所有的正确工作。在您开始下一个部分之前，去除您刚才在第一步中在/etc/named.conf中加入的两个从区域。
步骤3：配置一个主域名服务器
现在您将配制您的域名服务器来负责对于区域“domainX.example.com”的解析工作。您将同样负责向对应的反查区域。将采用如下的步骤：
A. 编辑配置文件（named.conf）
B. 准备区域“domainX.example.com”和区域“X.0.168.192.in-addr.arpa”的数据库文件。
C. 重新启动域名服务器
D. 测试您的配置
为了您能够准备您的配置文件和区域文件，我们提供了模板文件。您可以通过匿名ftp方式从以下地址获得：
ftp://192.168.0.254/pub/namedfiles/
在如下的步骤中，记得将范例文件中中每一出出现的X替换成您的工作站的号码。
E. 主配置文件
下面是我们应该考虑的三个区域
1． “.”（根级别）区域
“.”区域是DNS层次中的最高层。根服务器提供了哪些服务器对于给定的域享有授权。“.”节应该以如下的方式出现：
zone “.” {
type hint;
file “named.ca”;
};
2． “domainX.example.com”（正向查询）区域
添加如下的行，使得您的域名服务器成为区域的主服务器。
zone “domainX.exmaple.com” {
type master;
file “domainX.example.com.zone”;
};
3． “X.0.168.192.-in-addr.arpa”（反向查询）区域
现在添加如下的行，使得您的域名服务器成为反查区域的主服务器。
zone “X.0.168.192.in-addr.arpa” {
type master;
file “192.168.0.X.zone”;
};
下面是位于192.168.0.2的station2的样例配置文件
/etc/named.conf
options {directory “/var/named”;forwarders {192.168.0.254; };forward only;};zone “.” { type hint; file “named.ca”;};zone "localhost" IN { type master; file "localhost.zone";};zone "0.0.127.in-addr.arpa" IN { type master; file "named.local";};zone “domain2.exmaple.com” { type master; file “domain2.example.com.zone”;};zone “2.0.168.192.in-addr.arpa” { type master; file “192.168.0.2.zone”;};
F. 数据库文件
您的主要配置文件指定了/var/named为数据库所在的目录。您现在必须在这个目录下面为您区域和反查区域建立数据库文件。这些数据库文件包括您的SOA，NS，A，CNAME，MX，PTR和其他的可能的记录。所有的数据文件以如下的行开头：
$TTL 86400
该数值是缺省的以秒计的生存期间，该数值对所有在该域中的记录有效
1． 区域“domainX.example.com”
在主配置文件中,区域“domainX.example.com”数据库文件被存放在/var/named/domainX.example.com。这个文件含有类似的如下的记录
开始授权记录
@ IN SOA stationX.domainX.example.com. root.stationX.domainX.example.com. (
2001101100; Serial
28800 ;Refresh
14400 ;Retry
3600000 ;Expire
0) ;Negative
“开始授权”（SOA）记录是数据库文件的第一个资源记录，但是它可能带了一个前导符$TTL（缺省存活时间）。SOA记录使得数据库文件称为该区域的授权的信息源。第一个标记是后继记录适合的域，通常以“@”简化形式出现，如果扩展开来那就是在named.conf文件中“zone”节中所指明的域名（或者是在文件通过$ORIGIN定义的当前区域，如果该定义存在的话）。
第四个标记使该域的主域名服务器，第五个是负责维护这个数据库的系统管理员的电子邮件的地址，注意第一个分隔符替换了第一个标记的@符号（你能解释为什么吗？）。接下来在记录中的条目指定了交互解析域名服务器的动态特性。
域名服务器记录
@ IN NS stationX.domainX.example.com.
域名服务器（NS）标识了主机作为特定域的授权的域名服务器。他们对于这个区域指定了主和从服务器和代表授权的子域的其他的服务器（例如，server1.example.com对于所有domainX.example.com的域名服务器有一个NS记录）。正如您对于“domainX.example.com”只能有一个单一的域名服务器，您也只能有一个单一的NS记录。
地址记录
domainX.example.com IN A 192.168.0.X
stationX.domainX.example.com IN A 192.168.0.X
www IN A 192.168.0.X
ftp IN A 192.168.0.X
pop IN A 192.168.0.X
地址（A）记录将主机名称映射到IP地址（域名服务器的主要功能）。一个数据库文件通常包含A记录对应着许多IP地址。然而在我们的教室的环境里，在您的区域里面只有一台主机。注意第一个A记录设定了域的“缺省的IP地址”。接下来的A记录建立了多个主机名称对应一个IP地址。
主机名称可以是一个完全符合标准的名称（FQDN），也可以是一个缩写。所有的不以点号结尾的主机名称都将被视为缩写，并且区域名称被附加到主机名称的后面。例如，第三个A记录就是主机名称www.domainX.example.com.
规范名称（别名）记录
www1 IN CNAME stationX.domainX.example.com.
www2 IN CNAME stationX.domainX.example.com.
www3 IN CNAME stationX.domainX.example.com.
别名（CNAME）记录建立了主机名称的别名。注意到别名映射到主机名称而不是IP地址。
CNAME不应该出现在右边的数据区域作为真实的主机名称，对于多重别名的解析的速度会很慢。
邮件交换记录
@ IN MX 10 stationX.domainX.example.com.
domainX.example.com IN MX 10 stationX.domainX.example.com.
邮件交换记录（MX）记录了一个主机它将会处理给定的域或者主机邮件的转发。当一个邮件传递代理（MTA）试图投递信件的时候，它将首先试图在DNS中查找目的主机的MX记录。如果该MX记录存在，那么将直接发送到MX记录指定的主机。反之，如果不存在MX记录，MTA对于目的主机进行标准的DNS查询，并且直接投递到该主机上去。MX记录用来建立邮件的网关，和作为缺省的对于域的邮件的目的地。
2． 区域“X.0.168.192.in-addr.arpa”
在/etc/named.conf中，我们指定了/var/named/192.168.0.X.zone作为区域X.0.168.192.in-addr.arpa的反查区域数据库文件。他应该包含SOA记录，NS记录，和对应的PTR记录。
开始授权记录
@ IN SOA stationX.domainX.example.com. root.stationX.domainX.example.com. (
4;
10800；
3600；
604800；
86400）
IN NS stationX.domainX.example.com.
SOA和NS记录与前面的区域文件中的名称应该相同。
注意在NS记录开头的空白的地方是非常特别的，并且被解释为“和上一条记录相同”的缩写。在本例中，上一条记录为符号“@”，其本身就是在主配置文件中定义的域名的缩写。
指针记录
X.0.168.192.IN-ADDR.ARPA. IN PTR stationX.domainX.example.com.
指针（PTR）记录通过间接的机制将名称映射到IP地址。作为分离的技术来进行IP地址的反查询的替代，BIND采用了一种修改的对于特定主机名称的正向查询的方式。这种“反向域名查询”以反转的IP地址后面添加“in-addr.arpa”域的形式出现。这将允许域名服务器使用相同的机制进行正反两方面的查询。
3． 把他们放在一起
下面是位于192.168.0.2的station2的样例配置文件：
/var/named/domain2.example.com.zone
$TTL 86400@ IN SOA station2.domain2.example.com. root.station2.domain2.example.com. ( 2001101100; Serial 28800 ; Refresh 14400 ; Retry 3600000 ; Expire 0) ; Negative @ IN NS station2.domain2.example.com. @ IN A 192.168.0.2station2.domain2.example.com. IN A 192.168.0.2www IN A 192.168.0.2ftp IN A 192.168.0.2pop IN A 192.168.0.2www1 IN CNAME station2.domain2.example.com.www2 IN CNAME station2.domain2.example.com.www3 IN CNAME station2.domain2.example.com.@ IN MX 10 station2.domain2.example.com.station2 IN MX 10 station2.domain2.example.com.
/var/named/192.168.0.2.zone
$TTL 86400@ IN SOA station2.domain2.example.com. root.station2.domain2.example.com. (4 10800 3600 604800 86400） IN NS station2.domain2.example.com.2.0.168.192.IN-ADDR.ARPA. IN PTR station2.domain2.example.com.
C. 重新启动域名服务器
再一次，我们将重新启动域名服务器。然后通过运行pidof命令来确定其被运行：
service named restart
pidof named
查看一下服务器添加到/var/log/messages文件中的条目。确定您的域名在调入的时候没有发生错误。
如果您已经有一个域名服务器在运行并且不想重新启动它，您可以使用service named reload 来重新装入配置文件，这样子对于停止和启动服务器而言都比较快。
D. 测试域名服务器
进行如下DNS查询，您能够解释所有的结果么？
host stationX
dig stationX.example.com
dig stationX.example.com @192.168.0.254
dig stationX.example.com
host server1.example.com
host 192.168.0.X
dig –x 192.168.0.X
dig –x 192.168.0.254
host www
host www1
记住dig期望给与一个FQDN作为查询，然而host则通过查看位于文件/etc/resolv.conf的查询信息。试着在别的人的域名服务器和子域上进行附加的查询。如果设定正确，您将能够在其他教室系统上进行正向和反向查询。
挑战性的项目
通过增加多个“A”记录使得一个主机名称对应着不同的IP地址来配置一个“轮转”的主机名称。域名服务器该如何处理这种情况？提示： 试图尝试设定这些的A记录的TTL为0。
在您的域中增加子域“support.somainX.example.com”。增加合适的资源记录使得它能够反向指向您的IP地址。
与另一台工作站合作，成为另一台工作站的从域名服务器，在您的区域中为您的工作站增加一个新的CNAME，确保这个改变能够传播到从服务器。
收尾工作
接下来的试验就较为简单了，一旦您重新启动您的工作站，所有的DNS查询将会重新设定到教室中的服务器上。为了确保收尾，确保您重新设定/etc/resolve.conf到其初始的状态。
/etc/resolv.conf
search example.comnameserver 192.168.0.254
/etc/hosts
127.0.0.1 localhost localhost.localdomain localhost192.168.0.X stationX.example.com
(如果您关闭后启动eth0接口，DHCP将会自动为您设定配置文件)
试验3
Samba服务
估计时间： 1个小时
目标： 使用samba共享用户认证和文件系统
试验的起点： 标准的Red Hat Linux安装
将数据包过滤设定为无效状态。在本次试验开始之前，请您确保您的主机上的所有包过滤已被关闭。缺省的安装将会有一个文件叫做“/etc/sysconfig/iptables”，该文件配置了iptable的功能。运行“chkconfig iptables off”。为了去除空间中所有的规则，运行“service iptables stop”
步骤1：Samba的用户连接的配置
任务
1. 安装samba,samba-common和samba-client RPM 软件包并且启动smb服务。一个缺省的配置将会被应用. 使用如下的命令确定Samba是在正确的工作：
smbclient –L localhost –N
您可以从服务器获得回应，但是并不代表文件共享可用。（确保smbd在运行，否则该命令无法工作）
2．在您的系统中增加几个用户（karl,joe,mary和jen），但是并不给他们设定密码。这些用户仅能够从samba服务访问服务器。为了使得他们在shadow中不含有密码，这些用户的shell应该设定为/sbin/nologin
3．缺省的samaba是被配置用来接收加密的密码的，但是在文件/etc/samba/smbpasswd中没有设定任何密码。如果加密的密码在/etc/samba/smb.conf被设定，smbclient将发送加密的密码，所以为了在您的系统上测试samba服务，您应该首先建立smbpasswd文件，然后为每一个用户在该文件中添加密码。
4．注意到第一个在/etc/samba/smb.conf设定的共享[home]并没有指定路径。该共享被配置用来当用户连接并且认证通过以后共享用户的home目录。浏览一个或者两个用户的home目录。上传一个文件到joe的home目录。
可用的结果
一个工作的samba服务可以被多个用户通过smbclient访问。
步骤2： 提供给组目录访问的权限
场景／故事
为了使得我们的四个用户除了有他们自己的在服务器上的共享，我们这四位用户同时在同一个部门工作并且需要一个地方来存储部门的文件。我们将需要一个Linux用户组，建立一个目录给这些用户来存储它们的内容，并且配置samba服务器来共享目录。
任务
1． 建立一个对于拥有gid为30000的用户叫做legal的新组并且使用usermod命令将这些用户加到组里去。
2． 建立一个目录/home/depts/legal。对于这个目录设定拥有权限，使得在legal组中的用户可以在这个目录中添加／删除文件，然而其他的人不可以。并且设定SGID和粘滞位使得所有在这个目中建立的文件都拥有同legal组的权限并且组中其他的的人不能够删除该用户建立的文件。
3． 在/etc/samba/smb.conf中建立一个samba共享叫做[legal]。只有legal组中的用户才能够访问该共享。并且确保在[legal]中存放的文件的被建立的许可权限为0600。
4． 重新启动smb服务并且使用smbclient；来进行测试。
可用的结果
1． 只有lagal组能够访问和使用一个Linux目录。
2． 一个samba共享只有legal组的用户能够访问并且编辑
步骤3：为打印机提供访问
场景／故事
在samba中除了可以共享文件以外，另外一个重要的功能就是提供共享打印队列，该打印队列已经在您的Linux机器上定义。实际上，缺省的，所有在Linux机器上配置的打印队列通过[printers]共享到网络上去。在该步骤中，您将建立一个打印队列，通过samba服务器进行共享。然后通过smbclient来查看共享的打印机。
任务
1． 使用redhat-config-printer建立一个新的打印队列。把打印队列命名为printerX（其中X为您的工作站的号码）。配置打印机到本地连接的打印机/dev/lp0。配置打印队列确保任何递交的打印作业将保留在队列中。不要忘记重新启动samba服务器。
2． 通过smbclient来连接samba服务器上共享的printerX。使用print命令来递交打印作业到队列中去。检查作业已排队否。
可用的结果
1. 一个定义的Linux打印队列printerX
2. 一个Samba服务器允许授权的用户打印到共享打印机printerX
挑战1：安全和备份Samba/SMB
现在所有的东西都可以运行了，我们应该考虑在Samba服务器上的网络安全和数据的可靠性了。
任务
1． 定义并且保护对于samba服务器而言合法的连接。在文件/etc/samba/smb.conf中使用hosts allow参数来确定所有教室里的子网和本地回环子网。
2． 使用testparm测试/etc/samba/smb.conf的语法。这个是否显示出一些应该考虑的安全上的漏洞呢？
3． 对您的邻居的[legal] 共享进行备份。通过用户karl的帐户建立一个共享的数据打包，使用或者smbtar命令或者smbclient 的-T 选项。
可用的结果
1．samba服务器能够识别来自允许的子网或者主机的连接
2．一个SMB或者Samba共享的备份数据打包
一种解决方案
步骤1
l rpm –ivh ftp://server1.exmaple.com/pub/RedHat/RPMS/samba-c*
rpm –ivh ftp://server1.exmaple.com/pub/RedHat/RPMS/samba-2*
service smb start
smbclient –L localhost –N
l useradd –s /bin/false karl
useradd –s /bin/false joe
useradd –s /bin/false mary
useradd –s /bin/false jen
l smbpasswd –a karl
smbpasswd –a joe
smbpasswd –a mary
smbpasswd –a jen
l smbclient //localhost/joe –U joe
您应该看到smb:\>提示符
put /etc/hosts hosts
步骤2
l groupadd –g 30000 legal
usermod –G legal karl
usermod –G legal joe
usermod –G legal mary
usermod –G legal jen
l mkdir –p /home/depts/legal
chgrp legal /home/depts/legal
chmod 3770 /home/depts/legal
l 在文件/etc/samba/smb.conf文件中，共享定义部分：
[legal]
commnet = Legal’s files
path = /home/depts/legal
public = no
write list = @legal
create mask =0660
l service smb restart
步骤3：
l redhat-config-printer
l service smb restart
l smbclient //localhost/printerX –u joe
复习问题
1． 在ftp和smbclient之间有什么相同的地方？您使用ftp的时候永什么命令进行上传？ftp和smbclient之间上传操作之间有什么不同。
2． 命令nmblookup \*的作用是什么
3． smbtar命令是干什么的？
4． testparm /etc/samba/smb.conf 33.44.55.66 是做什么用的？
5． 使用smbmount命令该使用什么语法？
试验4
电子邮件
估计时间： 2个小时
目标： 建立基本的MTA的配置的技能
试验的起点： 标准的Red Hat Linux安装
指导教师:确保在Server1上的sednmail.mc文件中的DAEMON_OPTIONS被注释并且重新编译sendmail.cf文件使得能构接受来自其他主机的电子邮件。
介绍
本次实验作为一个安装和配置MTA的介绍。在介绍中我们将提及sendmail和postfix。您可以选择任何一个MTA，如果时间允许，您两个都可以做一下试验。在接下来的步骤中，您将
安装并且验证sendmail的“发件箱”
为您的sendmail的按渣添加新的别名
使用m4工具来改变您的转发行为
安装POP3服务器并且配置POP客户端
在整个试验中，主机和域名取决于您的机器的IP地址。如果下面的试验出现了X字样的名称，您应该把X字样的名称替换成您的工作站的号码（您的IP地址的最后一个部分）。例如，如果您的工作站的IP的地址是192.168.0.2，您应该将stationX.domainX.example.com转换成station2.domain2.example.com。
将数据包过滤设定为无效状态。在本次试验开始之前，请您确保您的主机上的所有包过滤已被关闭（显然，在实际使用中您可以利用Linux内核的防火墙机制，然而我们在这里关掉它是为了减少潜在的问题）。
本次试验中以root身份来使用下面命令达成上面的要求：
service iptables stop
chkconfig iptables off
初始化安装－安装必要的软件包
下列软件包对于sendmail是必需的： sendmail,sendmail-cf,sendmail-doc,m4和procmail。对于postfix而言，您需要: postfix。如果需要他们，从CD上进行检视和安装，server1的NFS安装点，从: ftp://server1/pub/RedHat/RPMS/
步骤1：配置MTA来收取邮件
为了安全的原因，sendmail和postfix的缺省的配置允许发邮件但是不允许从网络上接收邮件（缺省的它们只接受从回环接口上的连接）。按照如下配置您选择的MTA使得它接受传入的连接：
1.对于sendmail: 修改 /etc/mail/sendmail.mc
使用dnl注释在下面的行之前，就象这样：
dnl DAEMON_OPTIONS(`Port=smtp,Addr=127.0.0.1, Name=MTA')
2.将您的sendmail.cf文件做一个备份：
cp /etc/mail/sendmail.cf /etc/mail/sendmail.cf.orig
3.在同一个目录下，编译sendmail.cf
m4 /etc/mail/sendmail.mc > /etc/mail/sendmail.cf
4.重新启动sendmail,通过
service sendmail restart
对于postfix:修改/etc/postfix/main.cf
A.找到并注释如下行
inet_interfaces = localhost
B.取消注释该行：
inet_interfaces = all
C. 保存文件并且进行到步骤2 的结束的地方。找到和上面一样的对应于postfix的配置的地方。
步骤2： 启动和校验MTA操作
对于sendmail: 有几个步骤您应该采用，以确保sendmail被正确安装。
A.确信sendmail已经被在适当的运行级别上运行
检查您的sendmail被适当的配置且能够在重新启动以后其能够运行。使用chkconfig是比较方便的。
chkconfig -–list sendmail
sendmail 0:off 1:off 2:on 3:on 4:on 5:on 6:off
如果sendmail在标准的用户运行级别时无效，使用chkconfig, ntsysv 或者serviceconf 之类的工具来激活服务。
B.确定sendmail没有在启动的时候出现错误
Red Hat Linux安装的时候使用提供的syslog工具来记录所有的信息到文件/var/log/maillog中去。检查此文件中的最后出现“starting”的地方以确保sendmail在启动的时候没有任何错误。
sendmail可执行文件位于/usr/sbin/sendmail。为了确定sendmail是否正确标识您的主机名称，通过命令行开关开启其调试模式并且设定为0：
sendmail –d0 < /dev/null
Version 8.11.6
Compiled with: LDAPMAP MAP_REGEX LOG MATCHGECOS MIME7TO8 MIME8TO7
NAMED_BIND NETINET NETINET6 NETUNIX NEWDB NIS QUEUE SASL SCANF
SMTP TCPWRAPPERS USERDB
============ SYSTEM IDENTITY (after readcf) ============
(short domain name) $w = station2
(canonical domain name) $j = station2.example.com
(subdomain name) $m = station2
(node name) $k = station2.example.com
========================================================
Recipient names must be specified
如果sendmail返回您的主机名称为localhost,您可能错误配置了/etc/hosts文件。检查您的/etc/hosts文件，删除所有的但记住留下localhost的指向。如果/etc/hosts文件是正确的，那么检查一下在/etc/sysconfig/netwoek中的HOSTNAME的定义。
试图向root@server1发送简单的邮件。您可以看到一个合理的您的主机的转发服务器的SMTP交换。
echo “hello root” | mail –v –s hello root@server1
root@server1... Connecting to [127.0.0.1] via relay...
220 localhost.localdomain ESMTP Sendmail 8.12.8/8.12.8; Mon, 22 Sep 2003 14:29:24 +0800
>>> EHLO localhost.localdomain
250-localhost.localdomain Hello station1 [127.0.0.1], pleased to meet you
...
>>> MAIL From:<[email protected]> SIZE=52 [email protected]
250 2.1.0 <[email protected]>... Sender ok
>>> RCPT To:<root@server1>
>>> DATA
250 2.1.5 <root@server1>... Recipient ok
354 Enter mail, end with "." on a line by itself
>>> .
250 2.0.0 h8M6TOU5026513 Message accepted for delivery
[email protected]... Sent (h8M6TOU5026513 Message accepted for delivery)
Closing connection to [127.0.0.1]
>>> QUIT
221 2.0.0 localhost.localdomain closing connection
如果SMTP交换向上面一样正确，那么消息将被转发到您的工作站上的本地的转发服务器上，并且mailq –Ac将会报告一个空的对列。接下来检查mail（不使用参数）来检查一下消息是否从本地的转发到server1。这样对列也应该是空的。
您的消息是不是在/var/log/maillog中正确的记录呢？在下面的步骤中，监视文件/var/log/maillog。下面的命令将会十分的有用：
xterm –e tail –f /var/log/maillog &
对于postfix:
A.运行‘service sendmail stop’，接下来使用redhat-switch-mail使得postfix成为活跃的MTA。您也可以使用如下的命令行：
alternatives –set mta /usr/sbin/sendmail.postfix
B.确保postfix在合适的运行级别有效：
chkconfig -–list postfix
postfix 0:off 1:off 2:on 3:on 4:on 5:on 6:off
C.确定hostname命令正确的返回您的主机名称。应该是您的FQDN。
如果sendmail返回您的主机名称为localhost,您可能错误配置了/etc/hosts文件。检查您的/etc/hosts文件，删除所有的但记住留下localhost的指向，然后再试一遍。如果/etc/hosts文件是正确的，那么检查一下在/etc/sysconfig/netwoek中的HOSTNAME的定义。当这些值都正确的时候，启动postfix服务。
D.确定postfix在启动的时候没有错误
和sendmail一样，Red Hat Linux的安装使用提供的syslog工具来记录所有的信息到文件/var/log/maillog中去。检查此文件中的最后查找任何错误信息。
试图向root@server1发送简单的邮件并且检查/var/log/maillog的记录文件
mail –s `echo $USER` root@server1 < /etc/redhat-release
应该如下所示：
Sep 22 02:51:50 station1 postfix/pickup[2865]: A20ED348389: uid=0 from=<root>
Sep 22 02:51:50 station1 postfix/cleanup[3534]: A20ED348389: message-id=<2003092
[email protected]>
Sep 22 02:51:50 station1 postfix/nqmgr[2866]: A20ED348389: from=<[email protected]
xample.com>, size=341, nrcpt=1 (queue active)
Sep 22 02:51:51 station1 postfix/smtp[3536]: A20ED348389: to=<[email protected]
82>, relay=192.168.241.182[192.168.241.182], delay=1, status=sent (250 Message q
ueued)
步骤3：添加新的别名
对于sendmail:
在sendmail决定消息的接受者的目的地的之前，其先试图在别名中查找。sendmail的主要的别名配置文件是/etc/aliases。为了优化查找，sendmail为其别名记录建立了一个哈希表数据库/etc/aliases.db.该文件通过newalias命令产生（该命令是sendmail –bi的同名）
下列命令将增加用户student(如果不存在的话)
useradd student
在/etc/aliases 行加入如下的行：
me: student
wizards: root, me
methere: [email protected]
现在运行newalias 命令来更新数据库，尝试发送邮件给您定义的收件人：
newalias
echo “hello there” | mail –s “hello” me
echo “hello there” | mail –s “hello” wizards
echo “hello there” | mail –s “hello” methere
您是否得到了期望的结果？是否所有的位于wizards的收件人都受到了邮件？如果没有，su – 到不是root的用户再试一次。
在postfix决定消息的接受者的目的地的之前，其先试图在别名中查找。postfix的主要的别名配置文件是/etc/postfix/aliases。为了优化查找，postfix为其别名记录建立了一个哈希表别名数据库/etc/postfix/aliases.db（和sendmail类似）.该文件通过newalias命令产生。
下列命令将增加用户student(如果不存在的话)
useradd student
在/etc/postfix/aliases 行加入如下的行：
注意：注释root别名的那一行为postfix
me: student
wizards: root, me
methere: [email protected]
现在运行newalias 命令来更新数据库，尝试发送邮件给您定义的收件人：
newalias
echo “hello there” | mail –s “hello” me
echo “hello there” | mail –s “hello” wizards
echo “hello there” | mail –s “hello” methere
您是否得到了期望的结果？是否所有的位于wizards的收件人都受到了邮件？
步骤4.控制转发
转发允许邮件通过使用中间的“转发”及其传递到其目的地。尽管这个功能曾经有用，但是转发已经成为Internet上垃圾邮件的源泉了。人们希望发送主动提供的的邮件的时候希望使用转发机制，从而使得邮件发源地很难被侦测出来。
下列步骤将使用下面的主机。替换X,Y和Z为适合的工作站的号码：
stationX:源机器，邮件从这里发出
stationY:转发机器，这里邮件从发送者送出
stationZ:目的机器,邮件的最终目的
该步骤假设您是stationX,转发机器，与某人的stationY合作，该机器为邮件的源头。在该步骤中，注意/var/log/maillog的变化。下列命令将会显得十分的有用。
对于sendmail
步骤A：允许转发
您具有控制允许谁在您的机器上转发的能力。通过控制您的机器的混杂转发，您可以使得任何人都能够将您的机器作为转发的主机。（我们对于这种的尝试表示反对，也希望通过该实验显示出其缺陷）。配置/etc/mail/sendmail.mc, 通过加入如下行使得m4前置处理器允许混杂转发：
/etc/mail/sendmail.mc
(…其他的内容…)FEATURE（promiscuous_relay）dnl
使用m4前置处理机通过这个模板文件生成一个新的sendmail配置文件，然后将新生成的文件与通过sendmail RPM软件包提供的进行比较
m4 /etc/mail/sendmail.mc > /etc/mail/sendmail.test-relay
diff /etc/mail/sendmail.test-relay /etc/mail/sendmail.cf
使用混杂转发以后会有多大的不同呢？现在将新建立的sendmail.test放置在恰当的位置上，重新启动sendmail.
mv /etc/mail/sendmail.cf /etc/mail/sendmail.cf.accept-mail
cp /etc/mail/sendmail.test-relay /etc/mail/sendmail.cf
service sendmail restart
让您的伙伴扮演恶意的垃圾邮件的发送者，该人能够通过telnet到您的机器上的smtp(sendmail)的25号断口，进行垃圾邮件发送地址的欺骗，在stationY键入如下命令：
这个例子对于stationY(源机器)＝station2,并且stationX(转发，在这里目的机器)＝station1
[root@station1 root]# telnet station1 25
Trying station1.example.com...
Connected to station1.example.com (station1.example.com).
Escape character is '^]'.
220 station1.example.com (IMail 8.00 8-1) NT-ESMTP Server X1
helo mail.cracker.org
250 hello station1.example.com
mail from: [email protected]
250 ok
rcpt to:[email protected]
250 ok its for <[email protected]>
data
354 ok, send it; end with <CRLF>.<CRLF>
Subject: Faked
this was faked!
.
250 Message queued
quit
221 Goodbye
Connection closed by foreign host.
垃圾邮件现在送到您的机器上了。下一步，看看您的伙伴能不能从您的机器转发给第三台机器：
这个例子对于stationY(源机器)＝station2,并且stationX(转发，在这里目的机器)＝station1，并且stationZ(目的机器)＝station3
[root@station1 root]# telnet station1 25
Trying station1.example.com...
Connected to station1.example.com (station1.example.com).
Escape character is '^]'.
220 station1.example.com (IMail 8.00 9-1) NT-ESMTP Server X1
helo mail.craker.org
250 hello station1.example.com
mail from: [email protected]
250 ok
rcpt to [email protected]
250 ok its for <[email protected] >
data
354 ok, send it; end with <CRLF>.<CRLF>
Subject: Relayed
this was faked any relayed!
.
250 Message queued
quit
221 Goodbye
Connection closed by foreign host.
由于您的机器已经被配置成为允许混杂转发，垃圾邮件可以通过您的机器进行邮件转发。
对于postfix:
您具有控制允许谁在您的机器上转发的能力。缺省的postfix允许在子网上的任何人通过您的机器进行转发。胆汁并不是在每一个环境中都安全的。例如，您的机器和其他机器在一起，如果您的本地子网里有一台机器被其他人控制，那么其他的机器都会有麻烦。
让您的伙伴扮演恶意的垃圾邮件的发送者，该人能够通过telnet到您的机器上的postfix的25号断口，进行垃圾邮件发送地址的欺骗，在stationY键入如下命令：
[root@station1 root]# telnet station1 25
Trying 127.0.0.1...
Connected to station1 (127.0.0.1).
Escape character is '^]'.
220 station1.example.com ESMTP Postfix
helo mail.craker.org
250 station1.example.com
mail from:[email protected]
250 Ok
rcpt to: [email protected]
250 Ok
data
354 End data with <CR><LF>.<CR><LF>
Subject: Faked
this was faked!
.
250 Ok: queued as 4FFA2348389
quit
221 Bye
Connection closed by foreign host.
垃圾邮件现在送到您的机器上了。下一步，看看您的伙伴能不能从您的机器转发给第三台机器：
这个例子对于stationY(源机器)＝station2,并且stationX(转发，在这里目的机器)＝station1，并且stationZ(目的机器)＝station3
[root@station1 root]# telnet station1 25
Trying 127.0.0.1...
Connected to station1 (127.0.0.1).
Escape character is '^]'.
220 station1.example.com ESMTP Postfix
helo mail.craker.org
250 station1.example.com
mail from: [email protected]
250 Ok
rcpt to: [email protected]
250 Ok
data
354 End data with <CR><LF>.<CR><LF>
subject: Relayed
this was faked and relayed!
.
250 Ok: queued as 69C7B348389
quit
221 Bye
Connection closed by foreign host.
由于您的机器已经被配置成为允许混杂转发，垃圾邮件可以通过您的机器进行邮件转发。
步骤B：不允许转发
对于sendmail
通过替换新的sendmail.cf为接受传入的信件的配置文件来恢复缺省的sendmail的配置，并且重新启动sendmail：
mv /etc/mail/sendmail.cf.accept-mail /etc/mail/sendmail.cf
service sendmail restart
让您的伙伴再从stationY转发垃圾邮件。您的sendmail还是一个转发器么？任何一个转发的都会产生如下的消息：
550 [email protected] .. Relaying denied
对于postfix
编辑文件/etc/postfix/main.cf取消转发。
查找并且取消注释下面的行，并且重新启动postfix
mynetworks_style = host
让您的伙伴再从stationY转发垃圾邮件。您的postfix还是一个转发器么？任何一个转发的都会产生如下的消息：
554 <[email protected]>: Recipient address rejected: Relay access denied
步骤C：选择性的转发
对于sendmail
对于特定的主机，域或者网络，编辑/etc/mail/access并且重新启动sendmail。为了允许所有在example.com域中的机器可以把您的机器作为邮件转发服务器，你在/etc/mail/acces中添加如example.com域。和您的伙伴使用场景A中的命令进行测试。
对于postfix
对于特定的主机，域或者网络，编辑/etc/postfix/main.cf并且重新启动postfix。对于特定的主机允许通过您的机器进行转发，找到并且取消注释该行：
mynetworks_style = host
然后添加新行来允许转发的主机和网络，在这里允许station1和本地转发
mynetworks = 192.168.0.1, 127.0.0.0/8
和您的伙伴使用场景A中的命令进行测试。
步骤5：安装POP3服务器和客户端
在这个步骤中，你将配制您的机器stationX作为邮件的POP3服务器，使得您的在stationY的伙伴扮演POP客户端的角色。
步骤A：安装POP3服务器
配置一个POP3服务器比较简单，只需要两个步骤：
l 安装相关的RPM软件包
l 在xinetd中允许服务
安装相关的RPM软件包
POP守护进程和其他的具有相同功能的守护进程，例如IMAP守护进程绑定在软件包imap中。再如xinetd,krb5-libs*和imap软件包来检查imap软件包含有什么软件。
三个守护进程被包括进来：imapd,ipop2d和ipop3d。POP3被用在很多Internet服务提供商，POP2提供是为了向后兼容。IMAP守护进程提供了根加复杂的能力，包括了在服务器端的文件夹的管理。
在xinetd中允许服务
对于本实验，我们仅选定POP3服务。ipop3d通过xinetd在请求的时候被启动。为了激活，运行下面的命令：
service xinetd start
chkconfig ipop3 on
查看一下/etc/xinetd.d/ipop3。显式的重新启动xinetd并不是必需的，由于chkconfig发送给xinetd 一个USR2信号告诉他重新调入其配置。
确认服务
运行下面的命令确认服务已经被正确的安装。下面的命令只是一个指导：
echo “mail to be poped” | mail –s “Hello student” student
[root@station1 root]# telnet localhost 110
Trying 127.0.0.1...
Connected to station1 (127.0.0.1).
+OK POP3 station1 v2001.78rh server ready
USER student
+OK User name accepted, password please
PASS student
+OK Mailbox open, 1 messages
STAT
+OK 1 440
TOP 1 99999
+OK Top of message follows
Return-Path: <[email protected]>
Delivered-To: [email protected]
Received: by station1.example.com (Postfix, from userid 0)
id 72314348390; Mon, 22 Sep 2003 08:02:27 -0400 (EDT)
To: [email protected]
Subject: Hello student
Message-Id: <[email protected]>
Date: Mon, 22 Sep 2003 08:02:27 -0400 (EDT)
From: [email protected] (root)
Status:
mail to be poped
.
DELE 1
+OK Message deleted
QUIT
+OK Sayonara
Connection closed by foreign host.
如果一切顺利的话，您现在有一个安装好的POP服务器了。
步骤B ：使用POP客户端
所有的现在的邮件用户代理（MUA），例如netscape,elm,Outlook,pine和mutt都是使用POP的，可以被用作POP的客户端。每一个的配置都有所不同。同样有一个流行字符界面的的POP客户端叫做fetchmail。fetchmail是高度的可配置的，可以查询多个邮箱，可以作为守护进程运行，这样使得其每五分钟查询用户的邮箱。fetchmail在主机上递送邮件到邮件传送代理（MTA），例如sendmail。我们将勾画出以后如何安装fetchmail和使用其来查询我们装过的POP服务器。
从CD或者从ftp://server1/pub/RedHat/RPMS来安装fetchmail软件包
注意到有很多选项可以影响fetchmail的行为。建立一个~/.fetchmailrc文件如下所示：
~student/.fetchmailrc
poll stationX.exmaple.com with protocol pop3: user studentXX there is user studentXX here password “password”
由于密码存储在该文件中，因此fetchmail将会拒绝运行除非您把该文件的属性设定为对于仅仅文件的所有者只读。注意还可以使用chown改变由root创建的文件的所有者为studentXX。
chmod 600 ~student/.fetchmailrc
chown student.student ~student/.fetchmailrc
尝试使用studentXX登陆到POP3邮箱
echo “hello student” | mail –s “Hola” student
su – student
fetchmail –v
exit
fetchmail能不能接收到student的POP邮件？将递送student的邮件到哪里？比从本地获取POP邮件有意义么？
让您的伙伴在另外一台机器上建立相同的~/.fetchmailrc文件（或者配置其它诸如mozilla的MTA）试图从您的服务器上进行收信。
复习的问题
1． m4宏语言提供给sendmail管理哪些东西？把所有的在xyz.com的用户邮件导向到本地用户xzplogin该使用什么语法？该在什么文件的和处填上这句话？
2． mailq命令用来作什么？您如何使用？
3． 当命令sendmail –q发出以后，sendmail将会试图仍在队列中等待的邮件。何时使用该命令是有用的？
4． 如果去除FEATURE(accept_unresolvable_domains)的注释将对垃圾邮件产生如何的影响？
5． m4有什么特征允许sendmail发送邮件作为整个域（例如，“example.com”）而不是完全的符合标准的主机名称（例如，“mail.example.com”）？
6． 在postfix中mynetworks_style如何影响转发？
请您查看文件/etc/postfix/main.cf。
7． 在文件/etc/postfix/access中需要如何的活跃的变化？
试验5
HTTP服务
估计时间： 1个小时
目标： 建立基本的拥有CGI的具有虚拟主机的Web服务器
试验的起点： 标准的Red Hat Linux安装
在整个试验中，主机和域名取决于您的机器的IP地址。如果下面的试验出现了X字样的名称，您应该把X字样的名称替换成您的工作站的号码（您的IP地址的最后一个部分）。例如，如果您的工作站的IP的地址是192.168.0.3，您应该将stationX.domainX.example.com转换成station3.domain3.example.com。
将数据包过滤设定为无效状态。在本次试验开始之前，请您确保您的主机上的所有包过滤已被关闭。缺省的安装将会有一个文件叫做“/etc/sysconfig/iptables”，该文件配置了iptable的功能。运行“chkconfig iptables off”。为了去除空间中所有的规则，运行“service iptables stop”
步骤1：服务的安装和基本的配置
场景／故事
您的组织需在一个小时内要一个Web服务器，拥有充足的CGI的能力比国内且具有为不同的虚拟主机提供不同的内容服务。
任务：
1. 需要如下的软件包：httpd和httpd-manual。如果需要的话，从CD或者ftp://server1/pub/RedHat/RPMS安装并...。使用chkconfig 来启动服务。
2. 启动httpd服务使用缺省的配置：service httpd restart
3. 检查在文件/etc/httpd/conf/httpd.conf中的DocumentRoot项目和下面的一样
DocumentRoot /var/www/html
4. 开启一个Web浏览器并且设定URL到：
http://stationX.example.com
如果您的浏览器在工作，您将看到缺省的服务器的索引页面。注意该文件并不是所存储的HTML文件，而是服务器在这些目录中没有缺省的index.html文件的时候自动生成的。
5．建立一个新的目录层次和一些新的内容
mkdir –p /var/www/virtual/wwwX.example.com/html
cd /var/www/virtual/wwwX.example.com/html
cat > index.html <<EOF
<b>wwwX.example.com</b>
EOF
(这建立一个只有一行的HTML文件)
6．在/etc/httpd/conf/httpd.conf尾部加入以下几行：
NameVirtualHost 192.168.0.X<VirtualHost 192.168.0.X> ServerName wwwX.example.com ServerAdmin [email protected] DocumentRoot /var/www/virtual/wwwX.example.com/html ErrorLog logs/wwwX.example.com-error_logCustomLog logs/wwwX.example.com-access_log combined<Directory /var/www/ virtual/wwwX.example.com/html> Options Indexes Includes</Directory></VirtualHost>
7．确保您的DNS系统哦功能能够解析您的虚拟主机的名称。
dig wwwX.example.com
8. 重新启动httpd: service httpd reload
9.在您的Web浏览器并且设定URL到新的虚拟主机：
http://wwwX.example.com
您看到您自己定义的页面了么？
步骤2：使用CGI
任务
1． 在步骤1设定的 <VirtualHost> 块中增加一行：
ScriptAlias /cgi-bin/
/var/www/virtual/wwwX.example.com/cgi-bin/
以上仅为一行并且在httpd.conf中不换行，注意给上面的两个元素之间留出空格。
2． 建立目录，然后在里面建立文件叫做test.sh 包含以下内容：
/var/www/virtual/wwwX.example.com/cgi-bin/test.sh
#!/bin/bashecho Content-Type: text/html;echo echo “<pre>”echo My username is:whoamiechoecho My id is:idechoecho My shell setting are:setechoecho My environment variable are:envechoecho Here is /etc/passwdcat /etc/passwdecho “</pre>”
3.通过把您的浏览器指向下面的地址尝试执行该CGI脚本
http://wwwX.example.com/cgi-bin/test.sh
为什么这个脚本不执行？检查日志文件/avr/log/httpd/获得信息来帮助你找到答案。（您是否计的重新启动或者重新载入服务器？）
4． 使得该脚本对于用户，组和其他可读并且可执行：
chmod 555 test.sh
现在脚本能够执行麽？
挑战1：为您的Web站点的文档提供安全访问
任务:
在wwwX.example.com的文档的根目录建立一个文件叫做.htaccess，并采用以下内容：
/var/www/virtual/wwwX.example.com/html/.htaccess
Authname “restricted stuff”AuthType BasicAuthUserFile /etc/httpd/conf/wwwXX.htpasswdrequire valid-user
2.建立您的域的密码文件。该文件必须被apache组可读。
htpasswd –mc /etc/httpd/conf/wwwX.htpasswd user_name
chgrp apache /etc/httpd/conf/wwwX.htpasswd
chmod g+r /etc/httpd/conf/wwwX.htpasswd
3.访问http://wwwX.example.com页面，您是否...httpd获得线索。
4.添加下列行到服务器的配置文件httpd.conf，在wwwX.example.com虚拟主机的<Directory> 块中增加一行：
AllowOverride AuthConfig
5.再次尝试访问http://wwwX.example.com页面，您是否...室趁娴娜ㄏ廾矗?/a>
步骤3：Squid的基本配置
1. 在您的系统上安装squid
rpm –Uvh ftp://server1.example.com/pub/RedHat/RPMS/squid*
2.开始服务（service squid start），然后配置您的浏览器使用您的localhost作为您的Proxy并且把端口设定为3128。
3.尝试访问一些主页。如果教师里面没有Internet可以访问，那么试图访问http://server1.example.com，将会返回服务器的测试页面。
4. 现在使用您的邻居来吧您的主机当作Proxy。这样子应该不能工作。
squid返回的页面在/var/log/squid/access.log文件的底部有所解释。
5.使用您喜欢的文本编辑器打开/etc/squid/squid.conf文件。正如您所看到的，大部分是文档和注释。您也该注意到squid是非常易于调校的。对于本实验，我们仅作简单的配置，熟悉了以后您将会适应更加复杂的配置。
6.在文件中查找第二次出现Recommend minimum configuration的地方。您将会会看到缺省的存取控制列表（acl）。在CONNECT method CONNECT 行的下面添加一个对于本地网络的存取访问列表项目：
acl example src 192.168.0.0/24
对于这个配置您可以把它作为参考以应用到其他的任何地方。src是该acl的源IP地址。
7.在文件中查找INSERT YOUR RULE(S) HERE，在localhost acl的上面增加如下的内容：
http_access allow example
重新启动squid。 您的邻居将能够访问您的Web缓存了。
8.一些URL最好能够避免。返回到acl的部分，在您新添加行的下面（使用example.com如果您在教师里面没有Internet访问权限的话）
acl otherguys dstdomain .yahoo.com
acl otherguys dstdomain .hotmail.com
这里有一些要提及的东西。首先，注意到acl的附加属性。第二注意到dstdomain的acl类型，指明了关心的目的域。第三、注意到在域名前的点表示符号，确保加上点。
9.增加一条拒绝访问规则应用到这些存在问题的域。返回到您刚在添加allow的地方，在其下面增加如下行：
http_access deny otherguys
再次重新启动squid，再次检查这些相关的域，非常不幸，访问没有被拒绝。
10.再次打开配置文件，将您添加的拒绝规则放在example的允许规则之前。也就是说，在otherguys拒绝规则之前的example允许规则使得访问被允许，但是拒绝没有被生效。在移动规则以后，重新启动squid。这回它将禁止访问在任何上面禁止访问的域内的站点了。
复习的问题
1.根据/var/www/manual提及的服务器的手册。ServerAlias是起到什么作用？
2.根据/var/www/manual/suexec.html， suEXE对于CGI进程拥有什么特性？
3.下列命令起什么作用，何时使用它？
httpd –t
4. 您是否对您的用户能够通过CGI脚本看到您的/etc/passwd而感到不安？是否有方法阻止显示系统的密码文件？
试验6
NFS 和 FTP
估计时间： 1个小时
目标： 管理和配置vsftpd和NFS
试验的起点： 标准的Red Hat Linux安装
关掉包过滤：在着手试验之前需要确认包过滤没有被激活，默认情况下iptables会调用 /etc/sysconfig/iptables这个配置文件，删除或重命名这个文件，iptables就会在下次启动时失效。或者使用命令 chkconfig iptables off也行。如果想让iptables立刻失效可以用命令 service iptables stop.
步骤1：使用vsftpd允许匿名用户上传
1． 需要以下包：vsftpd 。如果没有安装，从CD或者ftp://server1/pub/RedHat/RPMS安装。激活vsftpd服务
2． Vsftpd包提供了/var/ftp作为匿名ftp用户的下载文件的目录。但是默认没有匿名上传的文件夹。要配置vsftpd来允许匿名上传，首先要准备一个上传目录：
cd /var/ftp
mkdir incoming
chown root.ftp incoming
chmod 730 incoming
现在检验一下新目录的权限:
ls –ld /var/ftp/incoming
3． 配置/etc/vsftpd/vsftpd.conf文件中如下各行：
anon_upload_enable = YES
chown_uploads = YES
chown_username = daemon
anon_umask = 077
另外, 默认情况下anonymous_enable = YES（允许匿名访问）已经被配置了
重启vsftpd服务
4． 刚才配置的结果是使匿名用户可以上传文件到 /var/ftp/incoming中，但是不能从这个文件夹中下载文件或者列出文件（使用ls命令），这样可以防止“warez”之类的组织用我们的上传目录作为“drop box”来放盗版软件或数据。如果希望匿名用户上传文件，应该让 /var/ftp/incoming 文件夹的所有者为 daemon 所有组为 ftp，并且权限为600（只允许deamon用户读写）。
步骤2：NFS
任务：
5. 需要如下的软件包：nfs-utils。如果需要安装的话，请从CD或者ftp://server1/pub/RedHat/RPMS安装并...及nfslock服务。
6. 创建一个用户并且配置NFS共享他的主目录，共享给example.com读写权限。
a) 在配置NFS服务器之前，查看一下RPC服务是否在运行
rpcinfo –p
showmount –e localhost
b) 创建一个测试用户
useradd nfstest
c) 编辑 /etc/exports 来共享 /home/nfstest给example.com。如果你不知道这个文件的格式，请查看exports的man page。
d) 安装NFS的软件包，配置init运行级别3到5启用NFS服务，但是因为启动时如果/etc/exports 文件丢失或者它的大小为零， NFS服务不会启动。所以，你现在要来手动启动它，下一次启动时NFS就会自动启动了。
e) 观察RPC服务是否启动，看一看是否将/home/nfstest用nfs共享出来了：
rpcinfo –p
showmount –e localhost
f) 与一个或两个搭档相互mount对方的共享，然后再读取里面的内容，尝试用root和nfstest向其中写文件（如果你机器上的nfstest用户的UID和GID与搭档机器上该用户的不同，则把它们改成一样的）。看一下会怎样？为什么会这样？
试验8
身份验证服务
估计时间： 45分钟
目标： 培养有关身份验证的技巧
试验的起点： 标准的Red Hat Linux安装
关掉包过滤：在着手试验之前需要确认包过滤没有被激活，默认情况下iptables会调用 /etc/sysconfig/iptables这个配置文件，删除或重命名这个文件，iptables就会在下次启动时失效。或者使用命令 chkconfig iptables off也行。如果想让iptables立刻失效可以用命令 service iptables stop.
步骤1：使用PAM限制登陆的位置
场景／故事
您的系统中有高安全的内容。为了保证数据不被泄漏，你需要限制用户的访问，除了本地控制台，禁止任何其他方式访问系统。
任务：
1． 创建用户bill，他是user组的成员，再创建一个用户biff，他是finance组的成员
2． 编辑 /etc/security/access.conf 限定finance组的用户只能在第二个虚拟控制台登陆。为了达到这个目的，在这个文件的最后一行添加：
- : finance : ALL EXCEPT tty2
3． 通过编辑 /etc/pam.d/system-auth来限制所有服务，把以下这行添加到以auth开头的所有行后：
account required /lib/security/$ISA/pam_access.so
4． 如果你的限定起了作用，bill和root可以登陆到任何控制台，而biff只能在第二个虚拟控制台登陆
5． 清理：你如果运行authconfig工具，以上的操作将会被删除，你怎样确认你的设置有没有变化呢？
步骤2：使用NIS做身份验证
任务：
你应该与你旁边的人合作，然后决定谁做NIS的服务器端，谁做NIS的客户端，通过这个实验，你和你的同伴一起配置NIS的服务器端和客户端。你们要确定NIS的域名，还要注意每一个工作站的名字和IP地址，在开始以下的步骤之前，请确认以上内容。
1． 配置NIS服务器
a) 从ftp://server1/pub/RedHat/RPMS 、光盘安装ypserv，ypbind，和yptools的RPM包或者将server1的NFS共享mount到/mnt/server1上，从那里安装也可以。
b) 编辑 /etc/sysconfig/network ，添加这样一行：
NISDOMAIN = <你们的NIS域名>
下次启动时才会起作用，设置了NIS域名之后不要重新启动，运行命令：
domainname <你们的NIS域名>
c) 先将 /var/yp/Makefile 文件copy一份作为备份，编辑all部分只包含passwd和group：
all: passwd group
d) 打开portmap服务和ypserv服务
service portmap start
service ypserv start
e) 确保make包在你的系统中安装，（以下的命令是在 server1:/var/ftp/pub 已经被mount到/mnt/server1后才能使用）
rpm –Uvh /mnt/server1/RedHat/RPMS/make*
f) 使用ypinit产生NIS数据库（maps），注意可能出现的错误信息
/usr/lib/yp/ypinit -m
（注意：你不用在列表中添加任何主机，只要按 < CTRL - D > ）
g) 启动NIS password升级进程
service yppasswdd start
h) 如果ypinit在第六步时没有错误，重新启动ypserv服务：
service ypserv restart
i) 使用ps auxf | grep yp确定ypserv服务运行，如果有错误的话查看日志 /var/log/messages
完成：正在正常工作的NIS服务器
2． 配置NIS客户端
到现在，任务只完成一半，你和你的同伴需要再配置这个NIS服务器的客户端。
a) 在客户端，确认已经安装以下几个包：portmap，ypbind，yp-tools和authconfig
b) 确认客户端可以看到服务器上的portmap服务
rpcinfo –p 你们的NIS服务器
c) 使用authconfig工具配置你的客户端使用NIS进行身份验证，选定“Use NIS”，在“Domain：”后指定你的NIS域，在“Server：”后指定你的NIS服务器。
d) 确认authconfig正确工作，当authconfig完成后，它会自动开启ypbind服务，是否有出错信息出现在控制台上或者 /var/log/messages中？
e) 测试你的NIS客户端，使用root用户登陆你的客户端，root用户是客户端上的root还是NIS服务器上的？测试 客户端----服务器的连接，使用：
ypcat passwd
这样会显示出NIS服务器上的password数据，（请记住，只有在服务器上/etc/passwd文件中UID大于等于500的用户才会被放进数据库中）
f) 使用useradd在客户端创建一个新的用户，然后在服务器端创建一个不同的用户，然后使用passwd设置他们的密码。
（在客户端）： useradd -u 1024 localguy
passwd localguy
（在服务器）： useradd -u 1025 nisuser
passwd nisuser
g) 确认使用localguy能在本地登陆，nisuser能在服务器上登陆。然后使用nisuser帐号在客户端上登陆，应该是不可以的。
h) 在服务器上的 /var/yp 目录，执行make命令，当命令完成，再使用nisuser从客户端上登陆，这回应该成功了，为什么？
i) 使用passwd改变nisuser的密码，是否改变了服务器上的 /etc/passwd 和 /etc/shadow 文件？NIS服务器中的文件是否改变了呢？你可以使用如下命令测试：
ypcat passwd | grep nisuser
j) 使用localguy登陆到客户端，是不是即时ypbind在运行仍然可以登陆？
k) 当你使用nisuser登陆到客户端时，你的主目录是什么？NIS仅仅提供验证信息，不提供客户端和服务器端的文件共享机制
完成：一个从NIS服务器上获得得验证信息的客户机
步骤3：限制NIS用户
任务：
我们的客户端现在是公司NIS体系的一部分，因为他储存了秘密数据，不是所有的用户都可以访问这台机器，只有特定的远程用户才能访问。
1． 这个测试需要添加一个NIS用户，使用useradd命令添加一个名叫baduser的用户。
useradd –u 1026 baduser
passwd baduser
2． 一个解决方案是使用pam_listfile，只允许nisuser访问我们的系统。打开 /etc/pam.d/system-auth ，紧接着auth开头的之后添加以下一行：
account required /lib/security/pam_listfile.so item=user sense=allow
file=/etc/nisusers onerr=fail
3． 假如测试目前的设置，你将会发现连root也不能登陆，所以千万不要关掉root的shell！你要创建 /etc/nisusers 然后把所有允许访问的用户添加到文件中，一行一个用户名，我们只想允许nisuser用户，所以我们的文件会非常短。
4． 现在如果你想登录到文本控制台，只有nisuser可以进入，因为其他人不在文件中，把root添加到 /etc/nisusers 中。
5． 我们的任务还是允许所有本地用户登陆的，我们可以把 passwd文件中的用户都添加到我们的列表中，但这不是最好的方法，我们可以使用PAM库中的pam_localuser来达到目的。添加以下这行到pam_localuser.so之后。
account required /lib/security/pam_localuser.so
6． 测试这样的配置，你会发现仍然只有root可以登陆，为什么呢？
7． 是因为required字段的关系，把上面添加的两行的required都改成sufficient，现在好了吧？如果改成requisite会怎么样？
8． 清理：再次运行authconfig工具，删除所有设置，并且禁用NIS。
试验9
系统监视
估计时间： 1小时15分钟
目标： 使用查找文件的方法来保护系统
试验的起点： 标准的Red Hat Linux安装
步骤1：定位易被攻击的文件或目录
场景／故事
查找文件系统中易被攻击的文件或目录
任务：
6． 查找有SUID和SGID的文件，并且把他们的名字存在 /root/stickyfiles中：
find / -type f -perm +6000 2> /dev/null > /root/stickyfiles
7． 查找任何人都可以写入的文件，把它们的名字储存在 /root/worls.writalbe.files：
find / -type f -perm -2 > /root/world.writalbe.files
8． 看一下 /root/stickyfiles 和 /root/world.writable.files 有哪些文件
步骤2：使用tripwire监视文件系统的完整性
场景／故事
你决定使用tripwire来确认数据的完整性
任务：
9． 使用root登陆并且安装tripwire 的RPM包（运行下面的这个命令之前需要把server1上的共享mount到 /mnt/server1目录上）:
rpm –Uvh /mnt/server1/RedHat/RPMS/tripwire*
10． 看一下tripwire包中提供哪些文件和文档：
rpm –ql tripwire
11． 编辑 /etc/tripwire/twpol.txt 来定义你的主机策略文件。默认的策略文件是基于Red Hat linux的everything安装，这样它就会试图监视你没有安装的文件。结果是会产生一些出错消息，这些消息可以忽略。最好的方法是删除所有你没有安装的文件。
你应该定义自己的策略，仔细看一下策略文件，删除其中你机器上没有的文件。即使是只删除一两个你没有的文件就要花很长时间。现在来添加目前没有被监视的文件，添加 /etc/samba 目录到“Critical Configuration”部分。
12． 现在你定义完了你的策略，运行 /etc/tripwire/twinstall.sh ，这个脚本将建立加密的策略、配置和密钥文件。你需要输入一些密码，一旦这些步骤完成，在 /etc/tripwire中就会有一些新的文件产生。
13． 现在来用 tripwire –init 命令来初始化tripwire的数据库
tripwire会报告很多警告，这是因为它找不到在策略文件中包含的文件，你可以忽略它们。
14． 我们来测试tripwire，需要按照以下步骤完成
a) mv /sbin/ifconfig /sbin/ifconfig.bak
b) tripwire --check
15． 使用twprint生成一份报告，命令是这样的：
twprint -m r --twrfile \
/var/lib/tripwire/report/somehost.somedomain-200009-12134.twr
是否tripwire侦测到文件变化了？tripwire 会正确侦测到 /sbin/ifconfig丢失了。
把ifconfig还原回去，再次运行tripwire –check，这回还能侦测到改变吗？
mv /sbin/ifconfig.bak /sbin/ifconfig
tripwire –check
即使你把ifconfig还原了，但是修改的时间已经变化了，所以tripwire将会报告错误，升级tripwire的数据库
tripwire --update --twrfile \
/var/lib/tripwire/report/your_lastest_report_file
这将会启动默认的编辑器，这样你可以同意目前的变化。完成后退出编辑器，tripwire会升级你的数据库。
16． 你可能会注意到top程序没有被监视，这个文件经常被“root kits”所替换调，所以它应该被tripwire监视，编辑 /etc/tripwire/twpol.txt，在“System Administration Programs”项中添加 /usr/bin/top 这项规则。
/user/bin/top -> $（SEC_CRIT）;
升级你的策略：
Tripwire --update-policy /etc/tripwire/twpol.txt
完成：
数据完整性的工具应该每天根据数据库来运行。
步骤3：使用tmpwatch来清理临时文件目录
场景／故事
你需要确定或者确定并删除已经有一定时间没有人访问的文件。
任务：
1． 运行tmpwatch的test选项，这样可以看一下哪些文件7天没有人访问了：
tmpwatch –v –test 168 /tmp
步骤4：文件的访问控制
场景／故事
你想创建一些用户可以使用的文件，然而你想控制用户对这些文件的访问类型。
任务：
1． 创建一个名为supervisor的用户
2． 在supervisor的主目录下创建两个文件：
touch /home/supervisor/{payroll,old.employees}
3． 防止payroll文件被删除
chattr +i /home/supervisor/payroll
4． 只允许数据附加在old.employees文件上
chattr +a /home/supervisor/old.employees
5． 确认文件的属性被更改：
lsattr /home/supervisor/*
6． 试着删除payroll文件：
rm /home/supervisor/payroll
你收到什么错误的信息？
7． 试着编辑old.employees文件，在保存文件时有没有错误消息？为什么会/不会这样？出错的消息是什么意思？输入以下命令：
echo “foobar” >> /home/supervisor/old.employees
为什么这个命令可以工作？
完成：
1． 不能被删除的payroll文件
2． /home/supervisor/old.employee文件只能把数据添加到其中，不能删除任何文件中的内容。
步骤5：将日志集中写入一个专门的日志主机中
场景／故事
你的老板认为将所有日志写到一个专用的日志主机中是个非常好的主意
任务：
与你的旁边的人一起做实验
1． 首先配置syslogd可以接收远程的消息，编辑 /etc/sysconfig/syslog ：
SYSLOGD_OPTIONS=”-r –m 0”
2． 重启syslogd：
service syslog restart
现在你的主机可以接收其他机器的消息了
3． 配置syslogd发消息给别的机器，在/etc/syslog.conf添加下面这行：
user.* @stationX
在这里stationX是旁边的机器
4． 重启syslogd：
service syslog restart
现在你的机器就会把用户运行的程序发给旁边的机器了
5． 使用logger创建一个syslog的消息
logger –i –t yourname ”this is a test”
这则消息是否显示在你旁边机器的 /var/log/messages中了呢？
问题：
为什么这个消息会显示在 /var/log/messages?
你怎么避免这种情况？
试验10
使网络安全
估计时间： 1小时
目标： 学习使用iptables构建一个防火墙
试验的起点： 标准的Red Hat Linux安装，kernel要支持防火墙，iptables
要安装
步骤1：创建一个简单的防火墙
场景／故事
你要建立一个防火墙保护你的主机不受可疑主机192.168.0.254的骚扰，可疑的主机不只这一个，你还要创建一个规则防止你的一个邻近的主机使用ping-flooding（洪水ping）攻击你的计算机。
任务：
9． 删除所有已经存在的用户定义的chains，重置所有chains上的默认规则，刷新所有规则：
iptables –F; iptables –X
for chain in INPUT FORWARD OUTPUT; do
iptables –p $chain ACCEPT
done
或者
service iptables stop
10． 阻止所有从邻近的主机（192.168.0.Y）的进来的连接：
iptables –A INPUT –s 192.168.0.Y –m state --state NEW –j DROP
这样还是允许你打开到他们系统的连接，但不是所有的
11． 限制从你的邻居（192.168.0.X）进来的ICMP echo request（回应请求）包
iptables -A INPUT -s 192.168.0.X -p icmp --icmp-type echo-request \
-m limit --limit 6/minute --limit-burst 2 -j ACCEPT
iptables -A INPUT -s 192.168.0.X -p icmp --icmp-type echo-request \
-j DROP
12． 显示你的防火墙策略
iptables -nl
13． 测试你的防火墙配置
a) 你的邻居（192.168.0.Y）能连接到你的系统吗？你能ping通他吗？
b) 确认你的邻居（192.168.0.X）使用的不是你在上面第2步时设置的地址。
c) 你的邻居（192.168.0.X）能ping通你的系统吗？你能ping通他吗？
14． 保存你的防火墙设置：
iptables-save > /etc/sysconfig/iptables
或者
service iptables save
15． 配置你的系统重启后仍保留新的防火墙规则：
chkconfig --level 2345 iptables on
现在确认一下
chkconfig --list iptables
16． 重新启动确认你的策略仍在。
完成：
1． 你可以主动连接你的邻居（192.168.0.Y）
2． 所有的主机都可以主动连接你，除了你的邻居（192.168.0.Y）
3． 你的另一个邻居（192.168.0.X）不能用ping-flood攻击你的系统。
清理：
当你确信成功完成了实验，让你刚才创建的策略实效：
service iptables stop
chkconfig iptables off
试验11
使服务安全
估计时间： 1小时
目标： 使用tcp_wrappers和xinetd限制用户对系统的访问
试验的起点： 标准的Red Hat Linux安装
步骤1：限制特定主机对服务的访问
场景／故事
某些特定主机和特定网段比较危险，为了保护你的主机，你决定阻止它们访问你的一些敏感的服务
任务：
把你的主机配置成以下的描述的样子（你需要跟其他两个人合作，让他们来测试），注意：如果没有安装telnet-server和openssh-server，要把它们的rpm包装上。
17． ssh可以被本地子网访问，但是不能让其他网段的用户访问。
18． telnet可以被你的三个邻居访问，但是不允许其他人来访问。
19． 任何服务都不接受从cracker.org来访问（你能找出特定的IP地址范围吗？）
你可以找出不同的解决方案，下一页是其中一种解决方法。
一种解决方法：
假定你使用旁边的三台计算机stationX.example.com、stationY.example.com、stationZ.example.com来测试你的配置。
1． 安装telnet-server：
rpm –Uvh /mnt/server1/RedHat/RPMS/telnet-server*
chkconfig telnet on
安装openssh-server：
rpm –Uvh /mnt/server1/RedHat/RPMS/openssh-server*
chkconfig sshd --add
2． /etc/hosts.deny
sshd ：ALL EXCEPT 192.168.0.
3． /etc/xinetd.d/telnet:
only_from = 192.168.0.X 192.168.0.Y 192.168.0.Z
4． /etc/xinetd.conf
no_access = 192.168.1.0/24
如果想侦测出cracker.org的IP地址，你可以使用host命令：
host –l cracker.org server1.example.com
以上的命令查询名称服务器server1.example.com中的cracker.org区域信息，从返回的IP来看所有的记录都是192.168.1.0这个子网的。呵呵世界上的事情不可能如此简单，通常名称服务器（DNS服务器）只允许它的从服务器进行区域传递，而不会允许其他计算机这样的。所以为了保护你的安全，想知道整个区域的信息非常不容易实现。
步骤2
场景／故事
你已经通过配置/etc/hosts.deny限制FTP和telnet访问，现在要审核你正在运行的服务了，你需要一个搭档扫描你主机的端口。
如果你在一个可以连通到Internet的教室中，不要用nmap扫描外面的example.com域或192.168.0/24之外其他的网段，谢谢您的配合！
任务：
1． 找一台别人的主机用以下命令进行端口扫描：
nmap –sSUR –P0 –vO <stationX> &> scan_of_stationX.txt
2． 在你的主机上使用root帐户登陆，运行以下命令查看你的哪些进程正在监听着哪些端口：
netstat –tulpe
主机上列出的端口与用nmap扫描的端口是否一致？如果你使用GNOME桌面环境，几个GNOME的连接端口可能会打开，退出X-window，进入运行级别3，netstat会报告相同的端口吗？
3． 现在使用chkconfig来验证你的系统，输入：
chkconfig --list |grep on
你的还配置了其他你不太了解的服务了吗，使用chkconfig和ntsysv命令来关闭你不用的服务，之后从新启动，重复第二步以上的步骤，netstat还会报告你关掉的服务的端口吗？
完成：系统审核显示只有需要的服务被运行。
试验12
数据安全
估计时间： 1个半小时
目标： 熟悉基于加密的工具
需要的RPM软件包： openssl,openssh,eopssh-clients,openssh-server
步骤1：使用gpg来交换加密的电子邮件
用户alice和bob希望能够安全的交换信息，使用GNU的Privacy Guard（gpg）来提供加密服务。您将建立两个用户，为他们的每个建立公钥和私钥。下一步，alice将获得bob的公钥，并且使用该公钥来加密给他的信息，bob将解密信息。
1. 建立用户
[root@localhost]# useradd alice; useradd bob
[root@localhost]# passwd alice
[root@localhost]# passwd bob
2.为每个用户建立公钥和密钥。注意到gpg第一次运行的时候，会建立缺省的初始化用户文件：当提示“…your message”，按下CTRL-C。
[alice@localhost]# gpg
[alice@localhost]# gpg –help
[alice@localhost]# gpg –gen-key
您将被提示多种的密钥参数。选择缺省的选项。当询问您的细节的时候，设定真实的名称为Alice。其他的信息您随便填写。您同时将被会问及您的密码。您可以使用任何密码（但是您必须自己记得住！）；或者简单的敲两下<回车>不使用密码。
对于用户bob采用相同的步骤，设定其“真实的名称”为Bobby（gpg抱怨bob太短了）
3. 检查alice的公钥和密钥，该公钥和密钥存储在pubring.gpg和secring.gpg中。
[alice@localhost]$ ls ~/.gnupg
[alice@localhost]$ echo no-secmem-warning >> ~/.gnupg/gpg.conf
[alice@localhost]$ gpg --list-keys
/home/alice/.gnupg/pubring.gpg
------------------------------
pub 1024D/168F25D7 2003-09-18 Alice (demo key) <[email protected]>
sub 1024g/CE26F831 2003-09-18
[alice@localhost]$ gpg --list-secret-keys
/home/alice/.gnupg/secring.gpg
------------------------------
sec 1024D/168F25D7 2003-09-18 Alice (demo key) <[email protected]>
ssb 1024g/CE26F831 2003-09-18
4.让bob把他的公钥放在ASCII文件中以便方便的传递给alice。接下来，让alice导入bob的公钥到她的公钥环中去。
[bob@localhost]$ gpg --export --armor Bobby > /tmp/bob.key
[bob@localhost]$ cat /tmp/bob.key
[alice@localhost]$ gpg --import /tmp/bob.key
[alice@localhost]$ gpg --list-keys
/home/alice/.gnupg/pubring.gpg
------------------------------
pub 1024D/168F25D7 2003-09-18 Alice <[email protected]>
sub 1024g/CE26F831 2003-09-18
pub 1024D/67C0F0AD 2003-09-18 Bobby <bob@ station1.com >
sub 1024g/FDD05A7A 2003-09-18
5.现在alice获得了bob公钥的副本，并且把它加入到她的公钥环中去。她可以给bob发送加密的消息。使用下面的命令步骤来使得alice发送给bob一个加密的/var/log/dmesg的副本。
[alice@localhost]$ cp /var/log/dmesg message.txt
[alice@localhost]$ gpg --encrypt --armor --recipient Bobby message.txt
[alice@ station1]$ head message.txt.asc
-----BEGIN PGP MESSAGE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: For info see http://www.gnupg.org
hQEOAzUJ6BL90Fp6EAP+J1gPH9RHQ1C+CaJGWSzUD2A603nspW2Ab+fQy7rmJbSA
5lwIPe5IzdmgSwMy80aefARQokI/cgdiWpb20Wzy2bltP413j/mrOiworKCOKguH
IJDQPqYxeticJSbwdZoTozsnLmWKp4uxappv3IaSI91w7REgN0KcwVetIn6UsYsE
AIKOqs1oXdYfU3Kzmt3DficQsZDgCuU1mVESCprb7Iyo/TvjjNuc9imqskrSveZZ
vFU8Loc7uI+gQ4HGUpFNryErMbaR2+KQnJCIz9GZJG/Lr7tFND4wCkFsu3jXvN6e
hUl5KRmRV3MWAkdOT4E3ZYF3dOhrdScxnpeIZdL5IDPo0usB9t2ZgIPHp9jKIIAc
[alice@localhost]$ mail -s "here it is" bob <message.txt.asc
6.现在让bob检查他的邮件，保存alice的邮件到文件。如果您不熟悉邮件客户端，您可以使用一个简单的基于命令行的mail工具
[bob@localhost]$ mail
Mail version 8.1 6/6/93. Type ? for help.
"/var/spool/mail/bob": 1 message 1 new
>N 1 alice@stationa Thu Sep 18 22:02 84/4746 "here it is"
& w message_from_alice
"message_from_alice" [New file]
& q
[bob@localhost]$ less message_from_alice
[bob@localhost]$ gpg message_from_alice
您将被提示作为纯文本文件的文件名。使用缺省的message.txt。注意gpg自动的执行期望的动作，即，使用恰当的私钥进行解密。缺省的行为可以通过命令行的参数进行改变。
附加的步骤1的练习
1.使用gpg，使得alice能够向bob发送使用对成密钥加密的消息。
2.使得alice签署和加密消息给bob,bob需要什么其他的附加信息来验证签名
3.使得alice为她的消息建立一个拆离的签名，发送给bob消息和签名。让bob来验证拆离的签名
4.让bob签署alice的公钥，由此使得别人相信alice就是公钥的主人。
步骤2：使用ssh来进行加密的传输
场景A
alice和bob可能是不同工作站上的用户，他们希望建立等同的帐号。也就是说，alice希望访问bob的帐号而不需要输入密码，反之亦然。您将使用ssh提供如此的等同性。
在此步骤中提到的stationa指的是用户alice,然而stationb指的是用户bob。在执行此试验的时候您只需调正西医的步骤以适应您的主机名称。如果您的伙伴一起做这个试验，那么stationa和stationb指的就是您的机器的名称和他的机器的名称。如果您使用单一的机器，那么所有的机器名称将设定为localhost。
1. 确保适当的RPM软件包被安装
[alice@stationa]$ rpm -q openssh
[alice@stationa]$ rpm -q openssh-clients
[alice@stationa]$ rpm -q openssh-server
2.使得root帐户来确定bob机器上的sshd守护进程在运行
[root@stationb]# service sshd start
[root@stationb]# service sshd status
3.如果alice知道bob的密码，那么她可以通过ssh来访问其帐户。注意所有的和bob帐户的交互过程都是加密的，包括密码的传递。作为alice,运行如下的命令，在合适的时候提供bob的密码。
[alice@stationa]$ ssh bob@stationb ls /tmp
[alice@stationa]$ ssh bob@stationb
[alice@stationa]$ scp bob@stationb:/etc/services .
[alice@stationa]$ scp –r bob@stationb:/etc/xinetd.d .
4. 假设alice和bob希望采用更加安全的模式，让alice建立ssh的公钥和密钥对。注意到ssh-keygen应该被-t命令行开关启动，以至于密钥是通过DSA算法生成的。让alice检视其密钥（id_dsa）和公钥（id_dsa.pub）。
[alice@stationa]$ ssh-keygen –t dsa
[alice@stationa]$ ls ~/.ssh
[alice@stationa]$ less ~/.ssh/id_dsa
[alice@stationa]$ less ~/.ssh/id_dsa.pub
选择缺省的密钥位置的选项。同时，在提示的时候，通过按下<ENTER>选择一个空密码 。
5.让alice寄给bob她的公钥的副本。让bob把这个副本保存到文件~/.ssh/authorized_keys中去。
[alice@stationa]$ mail -s "my key" bob < ~/.ssh/id_dsa.pub
[bob@stationb]$ mail
Mail version 8.1 6/6/93. Type ? for help.
"/var/spool/mail/bob": 1 message 1 new
>N 1 alice@stationa Fri Sep 19 15:56 13/982 "my key"
& w alice_key
"alice.key" [New file]
& q
[bob@stationb]$ mkdir ~/.ssh; chmod 700 ~/.ssh
[bob@stationb]$ cat alice_key >> ~/.ssh/autorized_keys
[bob@stationb]$ chmod 600 ~/.ssh/autorized_keys
6. 假设所有的东西都在其正确的地方（即，bob在他的授权的密钥中拥有alice的公钥的副本），alice现在可以访问bob的帐号，而不用提供密码。
[alice@stationa] ssh bob@stationb id
uid=508(bob) gid=508(bob) groups=508(bob)
[alice@stationa] ssh bob@stationb cvzf - /home/bob/ > \
> /tmp/bob.stationb.tgz
如果没有正确的配置的话，那么ssh仍然将会采用密码认证，并且提示alice输入密码。有几个步骤帮助您调试这种情况。首先，检查在服务器上的/var/log/messages和/var/log/secure文件以帮助您获得有用的信息。第二步，在ssh的客户端上采用-v命令行开关。这将会产生有用的调试信息。
7.对于bob也采用相同的配置，以至于其能够进入alice的帐户。
场景B
alice建立了公钥认证的Shell可以访问bob的帐户。她现在要求安全的访问（基于文本的）在bob机器上的Web服务。
1. 确保在bob机器上的Web服务运行正常。如果不是，那么通过root帐号登陆bob的机器，安装并且启动apache web服务。
[alice@stationa]$ lynx http://stationb/
2.使用ssh,使得alice连接到bob的帐户，为了达到另外一种效果，在alice的端口12345（或者其他未使用的端口）到bob的机器的Web服务器（端口80）建立一个加密的管道。
[alice@stationa]$ ssh bob@stationb –L 12345:stationb:80
(并且在另外一个终端)
[alice@stationa]$ lynx http://localhost:12345
alice将能够在步骤1和步骤2看到相同的Web页面。然而在第一步骤中，数据从Web服务器到alice的Lynx客户端是通过明文的方式发送的，这样很容易被嗅探到。在第二步中，数据包从Web服务器通过bob的ssh守护进程，通过密文的形式越过网络到达alice的ssh的客户端，并且解密和传送到alice的lynx客户端。
同时感谢Iknownothing参与翻译工作所付出的辛勤！感谢Mandy在0点后还要忍受那无节奏的打字声！
__________________
本文地址：http://com.8s8s.com/it/it35504.htm