【文章內(nèi)容簡(jiǎn)介】 中應(yīng)創(chuàng)建了兩個(gè)過(guò)濾規(guī)則。使用下面的命令檢查這兩個(gè)過(guò)濾規(guī)則： lsfilt v4 正常情況下可以看到2條規(guī)則，如果提示無(wú)任何缺省規(guī)則，請(qǐng)參考本節(jié)的注解。 4. ： smitty ipsec4 Advanced IP Security Configuration Configure IP Security Filter Rules Add an IP Security Filter Rule Add an IP Security Filter Rule * Rule Action [permit] + * IP Source Address [] * IP Source Mask [] IP Destination Address [] IP Destination Mask [] * Apply to Source Routing? (PERMIT/inbound only) [yes]+ * Protocol [all]+ * Source Port / ICMP Type Operation [any]+ * Source Port Number / ICMP Type [0] * Destination Port / ICMP Code Operation [eq]+ * Destination Port Number / ICMP Type [23] * Routing [both] + * Direction [both]+ * Log Control [no]+ * Fragmentation Control [0]+ * Interface [all] + 其他缺省值5. ： Add an IP Security Filter Rule * Rule Action [deny]+ * IP Source Address [] * IP Source Mask []— IP Destination Address []— IP Destination Mask [] * Apply to Source Routing? (PERMIT/inbound only) [yes] + * Protocol [all]+ * Source Port / ICMP Type Operation [any] + * Source Port Number / ICMP Type [0] * Destination Port / ICMP Code Operation [eq]+ * Destination Port Number / ICMP Type [23] * Routing [both]+ * Direction [both]+ * Log Control [no] + * Fragmentation Control [all packets]+ * Interface [all] + 6. 激活設(shè)置的過(guò)濾規(guī)則： smitty ipsec4 Advanced IP Security Configuration Activate/Update/Deactivate IP Security Filter Rule Activate / Update 7. 上面的操作進(jìn)行完后， telnet至 。 注：步驟3所涉及的，任何機(jī)器都有這兩條默認(rèn)規(guī)則。規(guī)則1是允許IPSec跟其他設(shè)備通訊的一個(gè)規(guī)則。NewOak公司制訂了IPSec的規(guī)則，利用4001端口和別的利用IPSec的設(shè)備通信，現(xiàn)在保留這個(gè)通信信息，是為了歷史兼容。 規(guī)則2保證默認(rèn)情況下，所有網(wǎng)絡(luò)傳輸可以正常進(jìn)行。當(dāng)安裝完操作系統(tǒng)后是肯定存在的。但是部分局點(diǎn)執(zhí)行l(wèi)sdevCc ipsec發(fā)現(xiàn) ipsec_v4 Available Cannot get IPv4 default filter rule. Cannot change default rule for IPv4 in ODM. Cannot get IPv4 default filter rule 可能是因?yàn)樵趕mitty ipsec4菜單當(dāng)中，這兩條規(guī)則是被當(dāng)作普通規(guī)則，可能安裝后被認(rèn)為刪除了。出現(xiàn)這種情況，你是無(wú)法進(jìn)行設(shè)置任何新的規(guī)則的。如果希望修復(fù)該規(guī)則并回到缺省狀態(tài)，可以使用smitty remove 刪除對(duì)應(yīng)的文件包，然后從安裝光盤(pán)安裝該包。并且打補(bǔ)丁到最新就可以解決。 FTP配置 缺省情況下， 系統(tǒng)不會(huì)記錄使用FTP連接和傳輸文件的日志（log). 這會(huì)對(duì)系統(tǒng)造成安全隱患，尤其在用戶(hù)使用匿名ftp方式時(shí)。為了避免這種情況發(fā)生， 可用如下的步驟使系統(tǒng)記錄FTP的日志：，并加入一行： FileName其中FileName是日志文件的名字， 它會(huì)跟蹤FTP的活動(dòng)，包括匿名和其他用戶(hù)ID. FileName文件必須在做下一步驟前創(chuàng)建。refresh s syslogd命令刷新syslogd 后臺(tái)程序。，修改下面的數(shù)據(jù)行：ftp stream tcp6 nowait root /usr/sbin/ftpd ftpd l“refresh s inetd”命令刷新inetd后臺(tái)程序。說(shuō)要在AIX上做一個(gè)FTP，但是有限制條件。 原本沒(méi)有限制條件倒也簡(jiǎn)單，加了條件就比較麻煩了。 兩個(gè)目錄的權(quán)限如下： drwxrxrx 2 tkbudget tkbudget 256 Mar 16 17:02 cron_logsdrwxrx 2 tkbudget tkbudget 256 Mar 17 13:33 tk_outline 用戶(hù)要求建立一個(gè)單獨(dú)的ftp用戶(hù)，該用戶(hù)只對(duì)上述兩個(gè)目錄有讀寫(xiě)權(quán)限。 實(shí)施步驟： 1 創(chuàng)建tkbgtftp用戶(hù)（rlogin=false，限制用戶(hù)登錄）。AIX Version 5(C) Copyrights by IBM and by others 1982, 2005.login: tkbgtftptkbgtftp39。s Password:3004306 Remote logins are not allowed for this account. 2 在/etc/ftpusers文件中加入tkbudget用戶(hù)，限制OWNER使用FTP服務(wù)。 more /etc/ftpuserstkbudget 3 使用/etc/ more /etc/readonly: /readwrite: /hyperion/tk_outline, /hyperion/corn_logs 4 重啟FTP服務(wù) stopsrc t ftp0513127 The ftp subserver was stopped successfully. startsrc t ftp0513124 The ftp subserver has been started. 實(shí)施了上述操作后，基本上實(shí)現(xiàn)了用戶(hù)的需求，同時(shí)在安全上也做了相應(yīng)的限制，但是感覺(jué)不是很靈活。但是對(duì)于系統(tǒng)自帶的FTP服務(wù)來(lái)說(shuō)，就算不錯(cuò)了。原本打算使用ACL來(lái)控制用戶(hù)訪問(wèn)權(quán)限的，但是操作起來(lái)對(duì)系統(tǒng)修改較多，所以決定還是在FTP服務(wù)層面做訪問(wèn)控制。下面是關(guān)于ACL的相關(guān)描述，用于參考。在使用acledit命令前，需要先設(shè)置相應(yīng)的環(huán)境變量 export EDITOR=/usr/bin/vi aclget tk_outlineattributes:base permissions owner(tkbudget): rwx group(tkbudget): rx others: extended permissions enabled permit rwx u:tkbgtftp注：如果在安裝bundle包時(shí)已安裝openssh則此步不需要。安裝順序?yàn)橄劝惭bOpenSSL , 后安裝OpenSSH216。 OpenSSL : 將 通過(guò)smitty installp安裝 . 如下圖: 216。 OpenSSH : , 用命令: Zcat | tar xvf 解包. Smitty installp 安裝 . 注意要先單獨(dú)安裝license. 后面再安裝base包,都要選擇ACCEPT new license agreements為yes. 如下圖: 216。 軟件安裝完成后 , 可以通過(guò)lssrc –s sshd查看ssh后臺(tái)程序有沒(méi)啟動(dòng) . 一般安裝完ssh軟件, 會(huì)自動(dòng)激活該后臺(tái)程序 . 如查看未激活 , 用 startsrc s sshd來(lái)啟動(dòng)就可以. 216。 軟件安裝完成后 , 在/etc下會(huì)有ssh這個(gè)目錄生成.216。 要修改sshd_config文件 , 為后面的2臺(tái)機(jī)器之間互相訪問(wèn)不需要提供密碼做準(zhǔn)備 . 修改的內(nèi)容如圖紅色的,vi sshd_config將前頭的號(hào)注釋掉,啟用就可以. 216。 利用命令:sshkeygen生成key全部選擇默認(rèn)的就可以 , 生成的private key和public Key會(huì)保存在 ~/.ssh目錄下 . 如下圖注: 為了后面的訪問(wèn)方便, passphrase一行密碼一般設(shè)置為空. 216。 將2臺(tái)機(jī)器的public key互相傳給對(duì)方 . 可以有好幾種方法: ftp , rcp , scp都可以 . 這里用rcp來(lái)傳輸, 其實(shí)scp也可以傳輸,就是有點(diǎn)麻煩,由于ssh未配置好 , 就不用scp了.同樣, 在另外臺(tái)機(jī)器把local的pub key傳給對(duì)方. 名字改為local machine named 方法 . 有區(qū)別于本地的pub key . 可以看到對(duì)方的pub key已經(jīng)傳輸完成 . 216。 由于上面修改了sshd_config文件 , 其中一行為 AuthorizedKeysFile .ssh/authorized_keys為認(rèn)證讀取文件的位置 .我們采取默認(rèn)的方式 , 在~/.ssh下touch一個(gè)authorized_keys文件. 將傳輸過(guò)來(lái)的對(duì)方主機(jī)的pub key內(nèi)容 ,追加到authorized_keys文件上, 如果有多個(gè)主機(jī)建立了ssh信任機(jī)制, 則連續(xù)追加即可. 如圖所示 , 追加成功. 216。 開(kāi)始互訪 第一次訪問(wèn), 會(huì)提示你是否確認(rèn)訪問(wèn), 輸入yes . 第二次訪問(wèn), 就沒(méi)有改提示了 . 如下圖:而且訪問(wèn)的hosts會(huì)自動(dòng)在默認(rèn)的~/.ssh目錄下生成一個(gè)known_hosts文件, 該文件記錄了ssh目的主機(jī)的ip地址以及公鑰和密碼信息 . 物理卷（PV）：物理卷就是指機(jī)器中的硬盤(pán)，一塊獨(dú)立的硬盤(pán)就是一個(gè)物理卷，機(jī)器中有多少個(gè)硬盤(pán)就是有多少個(gè)物理卷。每個(gè)物理卷都有一個(gè)名字，一般都是用hdiskX表示，其中，X是序號(hào)，如：hdisk0就是第一塊硬盤(pán)。 卷組（VG）：卷組是系統(tǒng)中最大的存儲(chǔ)單位，一個(gè)卷組由一個(gè)或多個(gè)物理硬盤(pán)組成，也就是由一個(gè)或者多個(gè)物理卷組成。在一個(gè)系統(tǒng)中，至少要有一個(gè)卷組rootvg，BOS系統(tǒng)就存放在rootvg卷組中，rootvg卷組是在安裝BOS系統(tǒng)時(shí)自動(dòng)創(chuàng)建的。如果系統(tǒng)中只有一個(gè)卷組，那么只能是rootvg卷組。當(dāng)然，用戶(hù)可以根據(jù)自己需要再繼續(xù)創(chuàng)建其他卷組。前提是，系統(tǒng)中還有空閑的其他物理卷。 物理分區(qū)（PP）：是指物理卷上連續(xù)的大小相等的存儲(chǔ)單位。物理卷是由物理分區(qū)組成