美文网首页
nginx、时间服务器、日志服务器、sudo (part1)

nginx、时间服务器、日志服务器、sudo (part1)

作者: haoxi2018 | 来源:发表于2019-02-19 22:35 被阅读0次

    (第十四周作业) part1
    1、搭建时间服务器,日志服务器并简述sudo安全切换。

    1)搭建时间服务器:

    早期是用ntp服务:

    #yum install ntp

    其配置文件是/etc/ntp.conf.

    配置文件内容中server 表示以谁为时间服务器,restrict 表示允许哪个IP的机器来同步我的时间。  如果restrict后面指定自己127.0.0.1则不允许别人来同步时间(即只是做为客户端,而不做为服务端)。

    centos7以后开始使用chrony做时间服务器,chrony兼容NTP服务。监听123(传统NTP服务端口)和323(chrony服务端口),这样客户端既可以是ntp也可以是chrony。

    接下来以服务端和客户端都是chrony来说明时间同步,

    A机:192.168.184.136(时间服务器),B机:192.168.184.138(客户端)

    root用户登录A机:

    安装chrony

    # yum install chrony -y

    修改配置文件

    # vi /etc/chrony.conf

    server 0.centos.pool.ntp.org iburst

    allow 192.168.184.0/24

    server来指定上一级时间同步服务器,allow表示允许那个IP段以本机为时间服务器同步时间。这里指定 192.168.184.0/24网段

    配置完重启chrony服务

    #systemctl  restart  chronyd.service

    #ss -tunlp   查看端口323

    root用户登录B机:

    安装chrony

    # yum install chrony -y

    修改配置文件

    # vi /etc/chrony.conf

    #server 0.centos.pool.ntp.org iburst

    #server 1.centos.pool.ntp.org iburst

    #server 2.centos.pool.ntp.org iburst

    #server 3.centos.pool.ntp.org iburst

    server 192.168.184.136 iburst

    注释掉其他的server,配置以A机为时间服务器

    然后重启客户端的chrony服务

    # systemctl  restart  chronyd.service

    # systemctl enable chronyd.service 开机自启动服务

    查看同步源(时间服务器)

    # chronyc sources

    查看同步状态

    #chronyc sourcestats

    2)搭建日志服务器

    为了更好的管理应用程序和操作系统的日志,使用日志服务器进行管理,我们需要用到rsyslog,它是由早期的syslog的升级版。它可以收集系统引导启动、应用程序启动、应用程序(尤其是服务类应用程序)运行过程中的事件。

    记录的格式为:事件产生日期和时间  主机  进程PID  事件内容。

    rsyslog的特性:多线程,支持TCP、UDP、SSL、TLS、RELP协议。可存储信息于日志、mysql等数据库管理系统。可以对日志信息进行过滤,可以自定义输出格式。

    安装rsyslog

    #yum install rsyslog

    它的主程序是rsyslogd

    它的配置文件是/etc/rsyslog.conf,  /etc/rsyslog.d/*.conf

    主配置文件rsyslog.conf 主要由三个部分组成: 

    MODULES  表示加载的模块列表

    GLOBAL DIRECTIVES   表示全局的配置

    RULES   表示日志记录规则(重点)

    其中:

    MODULES段的格式为

    $ModLoad  模块名称

    如果模块名称为im开起表示输入模块,如果以om开头表示输出模块

    GLOBAL DIRECTIVES 段主要定义一些常用设置,比如:

    $WorkDirectory  表示工作目录

    RULES 段的格式为:

    facility.priority  target

    其中

    facility:设施,从功能上或程序上对日志收集进行分类,如:auth,authpriv,cron,daemon,kern,lpr,mail,mark,news,security,user,uucp,local0~local7,syslog

    priority:优先级,日志级别,如下(从左到右,由低到高):debug,info,notice,warn(warning),err(error),crit(critical),alert,emerg(panic)

    指定级别的方式:

    *:所有级别;

    none:没有级别;

    priority:此级别以及高于此级别的所有级别)

    =priority:仅此级别;

    一般要求日志级别为warn,即warn以及warn以上级别的日志要记录。

    生产上一般不会开debug级别的日志,因为日志记录太多会导致io繁忙。

    target:日志写入目标

    文件:把日志事件写入到指定的文件中,日志文件通常位于/var/log目录下,

    文件路径前面加"-"表示异步写入文件;

    用户:将日志事件通知给指定的用户,通过将信息发送给登录到系统上的用户的终端进行的;

    日志服务器:@host ,把日志发送到指定的服务器主机,

    要保证host日志服务器在tcp或udp协议的514端口有监听并提供日志服务。

    管道:  | COMMAND  送到某一命令进行处理

    接下来做一个日志服务器和客户端服务器,把客户端的服务内容提交到日志服务器上。

    A机:192.168.184.136(日志服务器),B机:192.168.184.138(客户端)

    在日志服务器(A机)上:

    # yum install rsyslog

    修改配置文件

    # vi  /etc/rsyslog.conf

    # Provides UDP syslog reception

    $ModLoad imudp

    $UDPServerRun 514

    # Provides TCP syslog reception

    $ModLoad imtcp

    $InputTCPServerRun 514

    以上配置行的注释去掉后就会开启对tcp和udp协议的514端口进行监听。

    重启rsyslog服务

    #systemctl restart rsyslog.service

    #ss -tunl  查看有514端口监听。

    在客户端服务器(B机)上

    # yum install rsyslog

    修改配置文件

    # vi  /etc/rsyslog.conf

    #*.info;mail.none;authpriv.none;cron.none               /var/log/messages

    *.info;mail.none;authpriv.none;cron.none                @192.168.184.136

    把它的target 改为  @日志服务器IP

    然后重启客户端的rsyslog服务

    #systemctl restart rsyslog.service

    这样就不会有日志记录到B机的/var/log/message中了。而是记录到日志服务器A上,由日志服务器上的配置文件决定日志记录到哪里。由我们没有改为A机上RULES 日志规则所以是写入到日志服务器上的/var/log/message(为了较好的看出效果,需要事先设置不同的主机名)

    接下来把日志保存的mysql中。

    在日志服务器(A机)上运行:

    安装rsyslog-mysql的模块

    # yum install rsyslog-mysql

    查看安装文件位置

    #  rpm -ql rsyslog-mysql

    安装mariadb数据库

    # yum install mariadb-server  mariadb

    # vi  /etc/my.cnf.d/server.cnf

    [mysqld]

    skip_name_resolve=ON

    innodb_file_per_table=ON

    启动数据库并导入数据

    systemctl start mariadb.service

    # mysql

    #  mysql 

    mysql>GRANT ALL ON Syslog.* TO 'rsyslog'@'192.168.184.%' IDENTIFIED BY 'rsyspass';

    mysql> flush privileges;

    mysql>quit;

    修改日志服务器上的rsyslog配置文件

    # vi /etc/rsyslog.conf

    #### MODULES ####

    $ModLoad ommysql

    #### RULES ####

    *.info;mail.none;authpriv.none;cron.none :ommysql:192.168.184.136,Syslog,rsyslog,rsyspass

    加载ommysql模块,并配置target为ommysql ,

    后面这串内容为:ommysql:数据库主机,数据库名,数据库用户,数据库密码。

    然后重启rsyslog.service

    # systemctl restart rsyslog.service

    在B机上登录用户和登出用户操作,再查一下A机的数据库发现有新的记录产生。

    再接下来做一个WEB展示接口:

    安装lamp组合

    # yum install httpd php php-mysql php-gd -y

    安装loganalyzer

    # tar xf

    #  cp  -r  loganalyzer-4.1.7.tar.gz

    #   cp -r   loganalyzer-4.1.7/src   /var/www/html/loganalyzer

    #   cp -r   loganalyzer-4.1.7/contirb/*.sh   /var/www/html/loganalyzer/

    #   cd  /var/www/html/loganalyzer/

    #  chmod  +x  *.sh

    #./configure.sh

    # service httpd start

    然后通过URL访问:

    http://A机IP/loganalyzer

    #./secure.sh

    3)sudo 安全切换

    sudo 能够让获得授权的用户以另外一个用户(一般为root用户)的身份运行指定的命令

    授权配置文件/etc/sudoers,但是一般使用visudo命令进行编辑。因为误操作引起系统异常。

    授权配置文件的格式:

    users  hosts=(runas)   commands

    含义是,users列表中的用户(组),可以在hosts列表的位置上,以runas用户的身份来运行commands命令列表中的命令。

    各个字段可能的值 为:

    users:  sudo命令的发起用户

    用户名 或uid

    %用户组名  或%gid   (这里要注意用户需把基本组切换为该用户组,才能使用sudo)

    User_Alias 用户别名

    hosts:  允许的地址

    ip地址

    主机名

    NetAddr

    Host_Alias 主机别名

    runas:   以某一用户的身份执行

    用户名 或uid

    Runas_Alias 用户别名

    commands: 指定的命令列表

    command(命令建议使用完整的绝对路径)

    !command 表示禁止某一命令

    directory

    sudoedit:特殊权限,可用于向其它用户授予sudo权限

    Cmnd_Alias    命令别名

    这几个字段中hosts,runas, commands都可以用ALL来表示所有。

    定义别名的方法:

    ALIAS_TYPE NAME=item1,item2,item3,...

    NAME:别名名称,必须使用全大写字符

    ALIAS_TYPE :User_Alias,Host_Alias,Runas_Alias ,Cmnd_Alias

    sodu命令执行时会要求用户输入自己的密码,为了避免频繁验密与安全其见,能记录成功认证结果一段时间,默认为5分钟,即5分钟内不需要再验证用户密码。

    以sudo的方式来运行指定的命令

    sudo   [options]  COMMAND

    -l  列出sudo配置文件中用户能执行的命令

    -k  清除此前缓存用户成功认证结果,之后再次运行sudo时要验证用户密码。

    如果想要让用户输入部分命令时不需要进行密码验证,在sudo配置文件中commands列表部分,可以在命令列表前面加上"NOPASSWD",则其后的命令不需要密码,如果某些命令又需要密码就在前面加上“PASSWD”,所以commands列表可以为这种格式:

    NOPASSWD  不需要密码的命令列表  PASSWD  需要密码的命令列表

    安全提示:在sudo配置文件中

    root ALL=(ALL) ALL

    %wheel ALL=(ALL) ALL

    上面配置中root用户这行没有问题,但是%wheel这行要注意,如果把某用户加入到%wheel组,当用户把基本组切换为wheel组时就可以像root用户一样运行命令,较有风险的命令举例如下:

    sudo su - root    不需要密码就可以切换到root用户

    sudo  passwd  root    修改root用户密码,不需要输入原密码。

    建议把%wheel改为

    %wheel ALL=(ALL)   ALL,!/bin/su,!/usr/bin/passwd root

    第二题在part2中,内容过长无法发布,所以只能分开写,这里附上第二题的链接地址:
    nginx、时间服务器、日志服务器、sudo (part2)      https://www.jianshu.com/p/830e309ad240

    相关文章

      网友评论

          本文标题:nginx、时间服务器、日志服务器、sudo (part1)

          本文链接:https://www.haomeiwen.com/subject/rzeqyqtx.html