cron周期性计划任务

• cron周期性计划任务用来定期执行程序，目前最主要的用途是定期备份数据
• 软件包名：cronie、crontabs
• 服务名：crond
• 日志文件：/var/log/cron

cron定义时间格式

* 执行的命令
分 时 日 月 周
分钟：从0到59之间的整数
小时：从0到23之间的整数
日期：从1到31之间的整数
月份：从1到12之间的整数
星期：0~6之间的整数，0代表周日
* #每分，每时，每天，每月，每周
，** #分隔多个不连续的时间
-** #指定连续时间范围
/ ** #指定执行任务的时间间隔

#软件包默认系统自动安装
[root@localhost ~]# rpm -q cronie
cronie-1.4.11-19.el7.x86_64
#服务默认随机自启
[root@localhost ~]# systemctl status crond
#cron定义时间格式
*  *  *  *  *   执行的命令
分 时 日  月 周
分钟：从0到59之间的整数
小时：从0到23之间的整数
日期：从1到31之间的整数
月份：从1到12之间的整数
星期：0~6之间的整数，0代表周日
*    #每分，每时，每天，每月，每周
，   #分隔多个不连续的时间
-    #指定连续时间范围
/    #指定执行任务的时间间隔
#每周5在上8点执行一个任务
00 8 * * 5   xx命令
#每天晚上23：30执行一个任务
30 23 * * *  xx命令
#日期跟星期不能同时定义，发生矛盾（没有这么定义的！）
30 23 1 * 2  xx命令
#每月1号23：30分执行一个任务
30 23 1 * *  xx命令
#每月1、3、5号23：30执行一个任务
30 23 1,3,5 * *  xx命令
#每周1、3、5凌晨3点执行一个任务
00 3 * * 1,3,5 xx命令
#每月2-5号凌晨3：30分执行一个任务
30 3 2-5 * * xx命令
#每两小时执行一个任务
* */2 * * * xx命令
#每两分钟执行一个任务
*/2 * * * *  xx命令

• crontab：用于管理计划任务
• crontab -e -u 用户名 #编写计划任务
• crontab -l -u 用户名 #查看计划任务
• crontab -r -u 用户名 #清楚计划任务

#每一分钟执行一个任务
[root@localhost ~]# crontab -e
*/1 * * * *  date >> /opt/date.txt
[root@localhost ~]# cat /opt/date.txt 
2021年 05月 23日 星期日 17:30:02 CST
#每周6凌晨3：30分备份/var/log/日志文件
[root@localhost ~]# crontab -e
30 3 * * 6  tar -czf `date +%F`-log.tar.gz /var/log/*.log
#查看计划任务
[root@localhost ~]# crontab -l
30 3 * * 6  tar -czf `date +%F`-log.tar.gz /var/log/*.log
#清除计划任务
[root@localhost ~]# crontab -r
[root@localhost ~]# crontab -l
no crontab for root

SELinux系统内核安全机制

• Security-Enhanced Linux 美国NSA国家安全局主导开发，一套增强Linux系统安全的强制访问控制体系
• 集成到Linux内核（2.6及以上）针对用户、进程、目录和文件提供了预设的保护策略，以及管理工具
• SELinux运行模式
  • enforcing #强制模式
  • permissive #宽松模式
  • disabled #禁用模式
• SELinux运行模式切换
  • 查看当前运行模式：getenforce
  • 临时切换运行模式：setenforce 1|0 #1强制模式，0宽松模式

#查看当前运行模式
[root@localhost ~]# getenforce
Enforcing  #默认为强制模式
#切换运行模式为宽松模式
[root@localhost ~]# setenforce 0
[root@localhost ~]# getenforce
Permissive
#切换运行模式为强制模式
[root@localhost ~]# setenforce 1
[root@localhost ~]# getenforce
Enforcing

• SELinux配置文件：/etc/selinux/config

#永久修改运行模式
[root@localhost ~]# vim /etc/selinux/config 
...
SELINUX=disabled

环境准备

#安装httpd与vsftpd服务
[root@localhost ~]# rpm -q httpd
httpd-2.4.6-88.el7.centos.x86_64
[root@localhost ~]# rpm -q vsftpd
vsftpd-3.0.2-25.el7.x86_64

#启动服务
[root@localhost ~]# systemctl start httpd
[root@localhost ~]# systemctl  start vsftpd

#查看运行状态
[root@localhost ~]# systemctl status httpd
[root@localhost ~]# systemctl status vsftpd

#关闭防火墙
[root@localhost ~]# systemctl stop firewalld

常见协议及端口

• http：超文本传输协议（明文协议） 默认端口：80 httpd默认走的http协议
• https：安全的超文本传输协议 默认端口：443 加密网站
• ftp：文件传输协议 默认端口：20（数据端口）21（命令端口**）**
• tftp：简单的文件传输协议 默认端口：69
• DNS：域名解析协议 默认端口：53
• ssh：远程连接协议 默认端口：22
• telnet：远程管理协议 默认端口：23
• smtp：用户发邮件协议 默认端口：25
• pop3：用户收邮件协议 默认端口：110
  
• /etc/services 文件记录协议及端口信息

安全防护firewalld防火墙

• 防火墙分为硬件防火墙和软件防火墙
• 系统服务：firewalld，CentOS7系统默认使用的防火墙，CentOS6系统默认使用的防火强iptables
• 防火墙：匹配即停止
• 管理工具：firewalld-cmd
• 防火墙预设安全区域
  • public：仅允许访问本机的sshd、DHCP、ping等少量服务
  • trusted：允许任何访问
  • 单独允许某一个IP 是写入trust
  • block：拒绝任何来访请求
  • drop：丢弃任何来访的数据包

#开启防火墙
[root@localhost ~]# systemctl start firewalld

#查看默认区域
[root@localhost ~]# firewall-cmd --get-default-zone
public

#修改默认区域
firewall-cmd --set-default-zone=区域名     

#将默认区域修改为block
[root@localhost ~]# firewall-cmd --set-default-zone=block
success

[root@localhost ~]# firewall-cmd --get-default-zone
block

#将默认区域修改为dorp
[root@localhost ~]# firewall-cmd --set-default-zone=drop
success

[root@localhost ~]# firewall-cmd --get-default-zone
drop

#将默认区域修改为public
[root@localhost ~]# firewall-cmd --set-default-zone=public
success
[root@localhost ~]# firewall-cmd --get-default-zone
public

#查看区域规则
firewall-cmd --zone=区域名 --list-all        

#查看public所有规则
[root@localhost ~]# firewall-cmd --zone=public --list-all
public (active)
  target: default    #默认区域
  icmp-block-inversion: no
  interfaces: ens32
  sources: 
  services: ssh dhcpv6-client   #允许访问的服务
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 

#为public区域添加http协议，使用 --add-service=服务名
[root@localhost ~]# firewall-cmd --zone=public --add-service=http
success
[root@localhost ~]# firewall-cmd --zone=public --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens32
  sources: 
  services: ssh dhcpv6-client http   #添加http协议
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 

#为public添加ftp协议
[root@localhost ~]# firewall-cmd --zone=public --add-service=ftp
success
[root@localhost ~]# firewall-cmd --zone=public --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens32
  sources: 
  services: ssh dhcpv6-client http ftp   #添加ftp协议
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:

封网段开服务

#若针对永久配置需添加 --permanent
#使用  -- add-source=网段地址

#为public区域永久添加http协议
[root@localhost ~]# firewall-cmd --permanent --zone=public --add-service=http
success
[root@localhost ~]# firewall-cmd --zone=public --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens32
  sources: 
  services: ssh dhcpv6-client http ftp
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 

#为public区域永久添加ftp协议    
[root@localhost ~]# firewall-cmd --permanent --zone=public --add-service=ftp
success
[root@localhost ~]# firewall-cmd --zone=public --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens32
  sources: 
  services: ssh dhcpv6-client http ftp
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 

#永久修改需重新加载防火墙配置
firewall-cmd --reload
[root@localhost ~]# firewall-cmd --reload
success

#单独拒绝某一个IP
[root@localhost ~]# firewall-cmd --zone=block --add-source=192.168.0.24
success
[root@localhost ~]# firewall-cmd --zone=block --list-all
block (active)
  target: %%REJECT%%
  icmp-block-inversion: no
  interfaces: 
  sources: 192.168.0.24
  services: 
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 

#删除规则：--remove-source

#删除block区域的指定IP
[root@localhost ~]# firewall-cmd --zone=block --remove-source=192.168.0.24
success
[root@localhost ~]# firewall-cmd --zone=block --list-all
block

#删除public区域的ftp协议
[root@localhost ~]# firewall-cmd --zone=public --remove-service=ftp
success
[root@localhost ~]# firewall-cmd --zone=public --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens32
  sources: 
  services: ssh dhcpv6-client http

• 防火墙端口映射
• 本地应用的端口重定向（端口1 > 端口2）从客户机访问 端口1 的请求，自动映射到本机端口2

#当有人访问5432端口时，映射到本机的80端口
[root@localhost ~]# firewall-cmd --zone=public --add-forward-port=port=5432:proto=tcp:toport=80
success
#命令解释：
--add--forward   #添加转发端口
port=port=5432   #指定转发的端口
proto=tcp        #指定tcp协议
toport=80        #指定目标端口

[root@localhost ~]# firewall-cmd --zone=public --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens32
  sources: 
  services: ssh dhcpv6-client http
  ports: 
  protocols: 
  masquerade: no
  forward-ports: port=5432:proto=tcp:toport=80:toaddr=
  source-ports: 
  icmp-blocks: 
  rich rules: