Linux 系统的准备 （Optional）

15.2.3：初始化设定-网络、升级机制、防火墙系统、其他设定等

因为我们选择最小安装，因此在第一次安装妥当之后，并不会出现授权画面！ 直接就可以使用一般账号登录系统操作了！ 相当方便！ 此外，读者会发现，本章特意不在安装过程中设定好网络，原因是网络的设定还是需要一定的经验，因此建议还是安装完毕后再来设定， 印象会比较深刻。

• 网络环境的设置 ：

假设这部服务器所在的环境之网络设定要求如下：

• IP/Netmask: 172.16.60.XX/16

• Gateway: 172.16.200.254

• DNS: 172.16.200.254

• Hostname: stationXX.book.vbird

• XX 为你的上课座号尾数，例如 200 号

在你使用一般帐号登录此新安装的系统，并且 sudo su - 切换成为 root 之后，依旧可以使用 nmcli 指令来完成各项设定。 只是最小安装默认并没有安装 bash-completion，因此无法使用 [tab] 来补齐各项参数，因此你得要自行手动输入参数才行。

最后也要记得让系统自动启动就启动的功能要加上去：

[root@station200 ~]# nmcli connection modify ens3 connection.autoconnect yes

• 操作习惯的环境重建

本课程大多使用 vim 以及选项会自动补齐的功能，该功能主要通过 vim-enhanced 以及 bash-completion 软件所提供， 因此读者可以自行安装这两个软件来恢复自己常用的工作环境。

[root@station200 ~]# yum install vim-enhanced bash-completion[root@station200 ~]# source /etc/profile.d/bash_completion.sh[root@station200 ~]# yum install net-tools

此时 vim 立即可以使用了，但如果要在不注销的情况下立即让 bash-completion 生效，那就得要 source /etc/profile.d/bash_completion.sh 来加载环境才行。 不过还是建议可以注销再登入来刷新操作环境较佳。 另外，探索网络的工具如 netstat 等，是由 net-tools 所提供的， 所以也得要安装才好。

• 升级方案 ：

安装好系统的第一个动作，就是升级你的系统！ 要升级系统最好依据第 12 堂课的建议，选择最近的 yum server 设定， 这样软件安装速度才会快速。 因此请自行处理如下的动作：

• 修改 /etc/yum.repos.d/CentOS-{AppStream，Base，Extras}.repo 的設定值 （例如以昆山科大为例）

• 使用 yum clean all

• 使用 yum -y update 全系统升级

• 使用 vim /etc/crontab 增加每日凌晨 2：00 自动升级的动作

• 重新启动一次，因为第一次升级完毕，几乎一定要重新启动（因为几乎 kernel 都有更新过）

• 关闭服务与设定防火墙

由于我们使用了最小安装，所以预设有启动的网络服务相对少很多！ 不过，近期以来因为主机域名查询系统变得比较复杂， 因此CentOS 8默认帮我们启用了 systemd-resolvd 这个服务！ 这个服务可以提供DNS的解析。 不过，我们目前似乎不太用的到， 所以暂时先予以关闭，等到未来使用到之后，再来处理即可。 因此，最终网络服务应该只会剩下 port 22 这个 ssh 而已！

[root@station200 ~]# systemctl stop systemd-resolved.service[root@station200 ~]# systemctl disable systemd-resolved.service[root@station200 ~]# netstat -tlunpActive Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      991/sshd
tcp6       0      0 :::22                   :::*                    LISTEN      991/sshd

由于CentOS 8取消了 ntpdate 这个指令的支持，建议我们使用 chronyd 来进行网络校时啦！ 所以，请依据你的环境来设计好 chrony.conf 文件， 之后启动 chronyd 服务吧！ 只是，这个服务是客户端的功能，所以防火墙不需要放行 port 123 喔！

[root@station200 ~]# yum install chrony[root@station200 ~]# vim /etc/chrony.conf#pool 2.centos.pool.ntp.org iburstserver ntp.ksu.edu.tw iburst[root@station200 ~]# systemctl start chronyd[root@station200 ~]# systemctl enable chronyd

sshd 毕竟还是不要对整个 internet 放行会比较好！ 所以请依据第 11 章介绍的 rich rule 进行设计，让 ssh 仅放行到 172.16.0.0/16 这个区网即可。 此外，将放行的服务减少到只剩下 http 与 https 即可！ 其他都不要喔！

[root@station200 ~]# firewall-cmd --permanent --remove-service=cockpit[root@station200 ~]# firewall-cmd --permanent --remove-service=dhcpv6-client[root@station200 ~]# firewall-cmd --permanent --remove-service=ssh[root@station200 ~]# firewall-cmd --permanent --add-service=http[root@station200 ~]# firewall-cmd --permanent --add-service=https[root@station200 ~]# firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='172.16.0.0/16' service name='ssh' accept"[root@station200 ~]# firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='172.16.0.0/16' service name='samba' accept"[root@station200 ~]# systemctl restart firewalld.service[root@station200 ~]# firewall-cmd --list-allpublic (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens3
  sources:
  services: http https
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:        rule family="ipv4" source address="172.16.0.0/16" service name="ssh" accept
        rule family="ipv4" source address="172.16.0.0/16" service name="samba" accept

请读者不要忘记了，firewall-cmd 的使用上，主要分为立即性与永久的设置 （--permanent），读者们必须要将所有的设定写入设置才行。

• 确认分割与档案系统状态

最后再来确认一下分割的状态是否吻合当初设计的情况：

[root@station200 ~]# df -Th -t xfs -t ext4檔案系統                類型  容量  已用  可用 已用% 掛載點
/dev/mapper/centos-root xfs    10G  1.4G  8.7G   14% /
/dev/mapper/centos-var  xfs   5.0G  263M  4.8G    6% /var
/dev/mapper/centos-home xfs    17G  154M   17G    1% /home
/dev/mapper/centos-srv  xfs   5.0G   68M  5.0G    2% /srv
/dev/vda2               ext4  976M  161M  749M   18% /boot

这应该是没问题的情况。 不过，由于未来用户的档案容量是有限制的，因此在 /home 的档案系统挂载参数中，应该要加入 usrquota 才对。 因此最终使用 mount 去查阅 /home 的资料时，应该要出现如下的情况才对。

[root@station200 ~]# vim /etc/fstab/dev/mapper/centos-home /home xfs defaults,usrquota,grpquota  0 0

[root@station200 ~]# umount /home[root@station200 ~]# mount -a[root@station200 ~]# mount | grep '/home'/dev/mapper/centos-home on /home type xfs (rw,relatime,seclabel,attr2,inode64,usrquota,grpquota)

15.3：简易服务器设定与相关环境建置

如前所述，这里假设你的服务器为一般企业内部的文件服务器及个性化首页之网页服务器，且为多人共享的服务器系统。 同时因应档案系统的适当分配，因此会加上磁盘配额的限制。 因此这里就得要有一些账号建置的相关注意事项才行。