模块二 · 专题二 —— 从参数配置到服务协同排障，让服务器能被安全访问。
6 次课 · 12 学时 · 理实一体，每次课一个综合作业覆盖全部知识点。
从参数配置到服务协同排障，建立「让服务器能被安全访问」的能力 —— 每次课都有明确的关键点、操作演示，以及一个覆盖全部知识点的综合作业。
ip addr查看 IP 地址ip route查看 / 管理路由ifcfg-ens33静态 IP 配置文件systemctl restart network生效并持久化ping -c 4验证连通性resolv.confDNS 配置教学目标解释四个网络参数作用，完成静态 IP 配置并使配置持久化。
重点 IP、掩码、网关、DNS 与静态配置
难点 修改后的生效与持久化
ping -c 4测试连通性ip addr / ip route地址与路由ss -tlnp查看监听端口hostnamectl主机名管理traceroute追踪路由路径nslookupDNS 解析验证教学目标使用网络命令分层检查链路、路由和端口，形成故障定位路径。
重点 命令输出的读取与分层诊断
难点 从现象判断配置或链路问题
ssh-keygen生成密钥对ssh-copy-id部署公钥chmod 600私钥权限sshd_config禁 root / 关密码ssh admin@host免密登录/var/log/secure登录审计教学目标完成 SSH 远程登录和密钥认证，区分账户、网络、服务与认证故障。
重点 SSH 连接流程和密钥认证
难点 不同故障层次的定位
yum install samba安装服务smbpasswd -a建 Samba 用户[share] smb.conf定义共享systemctl start smb启动服务smbclientLinux 端自测chmod 777目录可写教学目标配置 Samba 共享目录，完成不同账户的访问测试并解释权限结果。
重点 服务配置、用户认证和目录权限
难点 Samba 权限与 Linux 权限对应
firewall-cmd --state运行状态--list-all审计放行项--add-service放行服务--add-port放行端口--permanent持久化--reload重载生效教学目标配置防火墙区域和放行规则，在保证连通性的同时控制暴露面。
重点 区域、服务、端口和规则验证
难点 连通性与最小暴露面平衡
描述现象锁定问题域收集证据五课工具总动员缩小范围逐层定位假设验证一次只改一处修复复测同样方式复测记录复盘五段式报告教学目标综合运用网络配置、诊断命令、Samba 和防火墙，完成从现象到复测的排障闭环。
重点 多组件联动排障
难点 依据证据定位跨组件故障
核心方法：先画网络参数关系图（谁在网络位、谁是出口、谁负责解析），再分步配置并用 ip、ping 验证连通性；任何对网卡的修改都遵循「先备份、再修改、改完立刻验证、出错可还原」。
一句话记忆：IP 是「你是谁」、掩码是「你和谁同村」、网关是「出村的路」、DNS 是「把名字翻译成地址的电话簿」。
主机在网络中的唯一标识。
192.168.1.10/24
网络位 24 · 主机位 8
区分网络位与主机位。
/24 = 255.255.255.0
决定同一子网范围
本网段的出口设备。
默认路由 192.168.1.1
访问外网把报文交给它
域名解析服务器。
8.8.8.8 / 114.114.114.114
把域名翻译成 IP
~/stu序号_姓名拼音（没有就先创建），执行 pwd 确认。验证：提示符路径与 pwd 输出均包含 stu序号_姓名拼音。ip addr 与 ip route，记录本机当前 IP、网卡名、网关。验证：能指出网卡名（如 ens33）与 default via 后面的网关地址；确认你要设的新 IP 与当前在同一网段。cp /etc/sysconfig/network-scripts/ifcfg-ens33 /root/ifcfg-ens33.bak（网卡名按实际替换）。验证：ls -l /root/ifcfg-ens33.bak 显示备份文件存在，大小大于 0。BOOTPROTO=static、IP 末位 = 序号（如 192.168.1.序号）、掩码 255.255.255.0、网关 192.168.1.1、DNS1=114.114.114.114、ONBOOT=yes。验证：cat 该文件，五项字段齐全且与设定一致，无拼写错误。systemctl restart network。验证：ip addr show ens33 显示新静态地址，状态为 UP。ping -c 4 192.168.1.1（网关）与 ping -c 4 www.baidu.com（公网域名）。验证：两命令均 0% 丢包；公网能通说明 DNS 解析生效。echo "姓名：xxx 序号：N" > netN.txt，把第 2—6 步的关键输出（网段、ifcfg 字段、ip addr、两次 ping 结果）逐条 >> 追加。验证：cat netN.txt 第一行含姓名与序号，后续各行与终端输出一致；末尾写明「配置已持久化」。ping www.baidu.com 的 0% 丢包结果。上传到本专题第 15 次课对应作业。核心方法：提供三类故障样例，按「本机 → 网关 → 远端 → 端口」的顺序排查；每查一层就留下命令输出作为证据，避免凭感觉乱改。
| 命令 | 功能 | 示例 | 参数 / 提示 |
|---|---|---|---|
| ping -c 4 | 测试连通性 | ping -c 4 8.8.8.8 | -c 次数、-s 包大小、-I 指定源地址；0% 丢包 = 通 |
| ip addr | 查看 IP 地址 | ip addr show eth0 | 替代 ifconfig，支持多路由表；看 UP / inet |
| ip route | 查看 / 管理路由 | ip route add default via 192.168.1.1 | default 即默认网关 |
| ss -tlnp | 查看监听端口 | ss -tlnp | grep :22 | 替代 netstat；-t TCP、-l 监听、-p 进程 |
| hostnamectl | 主机名管理 | hostnamectl set-hostname srv01 | 永久修改主机名，重启仍生效 |
| traceroute | 追踪路由路径 | traceroute 8.8.8.8 | 每跳显示延迟与途经设备 |
ip link show eth0
确认网卡 UP、有 MAC 地址、线缆 / 虚拟网卡正常。
ip addr show
确认 IP、掩码、广播地址正确。
ping -c 4 <gateway>
确认本网段出口可达。
nslookup www.baidu.com
确认域名能解析成 IP。
ss -tlnp | grep :80
确认服务已监听目标端口。
| 层 | 命令证据 | 可能根因 |
|---|---|---|
| 物理 / 链路 | ip link show | 网卡 DOWN、虚拟网卡未连接 |
| IP 配置 | ip addr show | 地址冲突、掩码错 |
| 路由 / 网关 | ping -c 4 <网关> | 网关不通、路由缺失 |
| 端口 / 服务 | ss -tlnp | grep :22 | sshd 没启动、监听在别地址 |
| 认证 | ssh -v user@host | 密钥权限错、防火墙拦截 |
~/stu序号_姓名拼音，pwd 确认。验证：提示符路径与 pwd 输出均包含 stu序号_姓名拼音。ip link show，确认网卡状态包含 UP。验证：能看到状态为 UP 的网卡（如 ens33），记录其名称。ip addr show，记录本机 IP 与掩码。验证：能说出 inet 后面的地址与掩码位数（如 /24）。ip route 找到网关后，ping -c 4 <网关>。验证：输出为 0% packet loss；若不通，写明「网关层失败，问题在第 3 层或以下」。nslookup www.baidu.com（或 ping -c 4 www.baidu.com）。验证：能解析出 IP 地址；若失败，写明「DNS 层失败」。ss -tlnp | grep :22 确认 SSH 在监听。验证：输出包含 LISTEN 与 :22；再 ss -tlnp | grep :80 观察另一端口是否存在。echo "姓名：xxx 序号：N" > diagN.txt，把第 2—6 步的命令与结果逐条 >> 追加，并在末尾加一行「结论：问题落在第 X 层」。验证：cat diagN.txt 第一行含姓名与序号，各层证据链完整，结论与某层失败/通过一致。ip link（UP）③ping 网关 的 0% 丢包 ④nslookup 解析成功。上传到本专题第 16 次课对应作业。核心方法：现场演示密钥生成与权限要求，安排密码认证 / 密钥认证对照验证；强调私钥权限 600、禁用 root 直接登录的加固基线。
加密的远程登录协议。
替代明文 Telnet
默认端口 22 · 全程加密
密码 / 密钥。
密码方便
密钥更安全 · 适合自动化
公钥放服务器。
~/.ssh/authorized_keys
私钥留客户端妥善保管
减小攻击面。
禁 root 密码登录
改端口 · 防火墙 · 审计日志
~/stu序号_姓名拼音，pwd 确认。验证：提示符路径与 pwd 输出均包含 stu序号_姓名拼音。ssh-keygen -t rsa -b 4096 -C 'admin@srv序号'（一路回车用默认路径）。验证：ls -l ~/.ssh/id_rsa ~/.ssh/id_rsa.pub 两个文件均存在，私钥权限为 600。chmod 600 ~/.ssh/id_rsa。验证：ls -l ~/.ssh/id_rsa 显示权限为 -rw-------（即 600）。ssh-copy-id -i ~/.ssh/id_rsa.pub admin@192.168.1.10（按提示输入一次密码）。验证：登录服务器后 ls -l ~/.ssh/authorized_keys 存在，且内容含你的公钥。ssh admin@192.168.1.10。验证：不再提示输入密码即进入会话；在会话里执行 whoami 确认为 admin。sudo sed -i 's/#PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config，再 sudo systemctl restart sshd。验证：grep PermitRootLogin /etc/ssh/sshd_config 显示 PermitRootLogin no。echo "姓名：xxx 序号：N" > sshN.txt，追加「密钥已生成 / 私钥权限 600 / 公钥已部署 / 免密登录成功 / 已禁用 root 登录」五项结论。验证：cat sshN.txt 第一行含姓名与序号，五项结论齐全。ls -l ~/.ssh/（含 id_rsa 权限 600）②免密登录后的会话窗口（whoami 显示 admin、无密码提示）。上传到本专题第 17 次课对应作业。核心方法：用两账户对照测试，要求记录配置项、身份和访问结果；依据访问结果定位是服务层、用户层还是目录层权限问题。
SMB/CIFS 实现。
让 Linux 与 Windows
共享文件与打印机
smbd + nmbd。
smbd 文件/打印
nmbd 名称解析
访问入口。
Windows 网络邻居
Linux: mount.cifs
三者缺一不可。
服务配置
Samba 用户 · 文件系统
~/stu序号_姓名拼音，pwd 确认。验证：提示符路径与 pwd 输出均包含 stu序号_姓名拼音。yum install -y samba samba-client。验证：rpm -q samba 显示已安装版本；若提示已安装则说明环境已具备。mkdir -p /srv/share序号 && chmod 777 /srv/share序号，再 useradd -s /sbin/nologin sambauser序号。验证：ls -ld /srv/share序号 存在且权限含 w；id sambauser序号 显示该用户存在。smbpasswd -a sambauser序号 并设置密码。验证：用 pdbedit -L 能看到 sambauser序号 出现在 Samba 用户列表中。/etc/samba/smb.conf 末尾追加 [share序号] 段（path=/srv/share序号、valid users=sambauser序号、read only=no）。验证：testparm 检查配置无语法错误，且列出该共享名。systemctl start smb nmb。验证：systemctl status smb 显示 active (running)；ss -tlnp | grep :445 能看到监听。smbclient -U sambauser序号 //localhost/share序号 进入交互，用 ls 与 put 测试读写；再尝试用一个未授权用户访问，确认被拒绝。验证：授权用户能 ls 并 put 文件成功；未授权用户连接被拒。写一行结论「服务 / 用户 / 目录三层均通过」到报告。testparm 输出的共享段 ②systemctl status smb active ③smbclient 内 ls / put 成功的回显。上传到本专题第 18 次课对应作业。核心方法：先建立防火墙基线，再按服务需求放行，使用端口测试复核规则；强调任何改动后 --reload 才生效。
预定义信任级别。
public / internal
trusted / block
预定义端口集合。
ssh / http / samba
简化规则管理
rich rules。
源 IP · 端口 · 动作
accept / reject
默认拒绝。
只开放必要服务
最小暴露面
| 命令 | 功能 | 示例 / 输出 | 提示 |
|---|---|---|---|
| --state | 查看运行状态 | running | 确认服务已启动 |
| --get-default-zone | 查看默认区域 | public | 接口未指定区域时使用 |
| --list-all | 查看当前区域规则 | services / ports | 快速审计开放项 |
| --add-service=ssh | 临时放行服务 | 即时生效 · 重启丢失 | 测试时使用 |
| --add-service=ssh --permanent | 持久放行服务 | 重启后仍生效 | 需 reload 才生效 |
| --add-port=8080/tcp | 放行端口 | 指定 tcp/udp | 自定义服务常用 |
| --reload | 重载规则 | 永久规则立即生效 | 修改配置后必须执行 |
~/stu序号_姓名拼音，pwd 确认。验证：提示符路径与 pwd 输出均包含 stu序号_姓名拼音。firewall-cmd --state 与 firewall-cmd --get-default-zone。验证：前者输出 running，后者输出 public（或当前默认区域）。firewall-cmd --add-service=ssh --permanent 后 firewall-cmd --reload。验证：firewall-cmd --list-all 的 services 列表中含 ssh。firewall-cmd --add-port=80序号/tcp --permanent 再 --reload（端口号 = 80 + 序号）。验证：firewall-cmd --list-all 的 ports 列表中含 80序号/tcp。python3 -m http.server 80序号（或已装 httpd），后台监听该端口。验证：ss -tlnp | grep 80序号 显示 LISTEN。curl http://localhost:80序号（本地）确认服务通。验证：返回页面内容（非连接拒绝）；再观察 --list-all 与 ss 一致。echo "姓名：xxx 序号：N" > fwN.txt，追加「默认区域 / 已放行 ssh / 已放行 80序号/tcp / 服务 LISTEN / curl 验证通过」五项结论。验证：cat fwN.txt 第一行含姓名与序号，五项结论齐全且彼此印证。firewall-cmd --list-all（services 含 ssh、ports 含 80序号/tcp）②ss -tlnp | grep 80序号 LISTEN ③curl 返回页面。上传到本专题第 19 次课对应作业。核心方法：采用任务单和小组分工，按「现象 → 证据 → 修复 → 复测」四步提交排障记录；每次只改一个变量，立即复测，避免多改导致无法回溯。
用户无法访问 Web / 无法 SSH / 无法共享。
ip addr · ping · ss
firewall-cmd · systemctl
用前 5 课工具采集客观数据。
物理→IP→路由→DNS
→服务→防火墙
逐层定位，锁定问题层。
每次只改一个变量，立即测试。
reload / restart 后用同命令复测。
现象·证据·根因
修复·复测
写入排障报告。
| 维度 | 复测命令 | 通过标准 |
|---|---|---|
| 服务状态 | systemctl status httpd | 仍为 active (running) |
| 放行规则 | firewall-cmd --list-all | 出现 http 服务 |
| 外部可达 | curl http://192.168.1.10 | 返回正常页面（非拒绝） |
| 内部一致 | ss -tlnp | grep :80 | 仍 LISTEN |
~/stu序号_姓名拼音，pwd 确认。验证：提示符路径与 pwd 输出均包含 stu序号_姓名拼音。80序号 端口的服务（如 python3 -m http.server 80序号），并放行该端口。验证：ss -tlnp | grep 80序号 显示 LISTEN；firewall-cmd --list-all 含该端口。firewall-cmd --remove-port=80序号/tcp --permanent && firewall-cmd --reload，模拟「外部访问失败」。验证：此时 curl http://localhost:80序号 本地仍通，但模拟外部访问应被拒（证据 1：本地通远端不通）。systemctl status（服务）、ss -tlnp（监听）、firewall-cmd --list-all（放行项）、curl localhost（本地通）。验证：前三步确认服务在跑、端口在听、但防火墙未放行；第四步证明问题在防火墙层而非服务层。firewall-cmd --add-port=80序号/tcp --permanent && --reload，再用外部地址 curl http://192.168.1.10:80序号 复测。验证：复测返回正常页面（非拒绝），且 --list-all 重新出现该端口——修复与复测均通过。echo "姓名：xxx 序号：N" > tsN.txt，依次写入「现象 / 证据（四类）/ 根因 / 修复 / 复测」，结尾说明「最有价值的证据是 curl localhost 返回 200，它将嫌疑锁定到防火墙层」。验证：cat tsN.txt 第一行含姓名与序号，五段齐全，根因与证据相互印证。firewall-cmd --list-all（无该端口）+ curl localhost 通 ②修复态 --list-all（含端口）+ 外部 curl 返回页面。上传到本专题第 20 次课对应作业。从「配参数」到「查链路」再到「管服务、控边界、闭环排障」——六次课一条线，每次课的作业都当堂覆盖全部知识点。
ip addr / ip route看地址与路由ifcfg-ens33静态 IP 配置文件systemctl restart network生效并持久化ping -c 4逐层验证连通性核心要点先理解四个参数各管什么，再改 ifcfg；改前备份、改完即验、出错可还原。
口诀 先查网段，再配静态，重启即验
ping -c 4测连通性ss -tlnp看监听端口hostnamectl改主机名traceroute追踪路由核心要点按「物理→IP→网关→DNS→端口」分层排查，每层留命令输出作证据。
口诀 本机→网关→远端→端口，逐层锁定
ssh-keygen生成密钥对ssh-copy-id部署公钥chmod 600私钥权限sshd_config禁 root / 关密码核心要点公钥放服务器、私钥留客户端；关密码认证前务必先用密钥成功登录一次。
口诀 先验后关，私钥 600，绝不外泄
smbd + nmbd文件与名称服务smbpasswd -a建 Samba 用户[share]smb.conf 共享段smbclientLinux 端自测核心要点权限三元：服务可用 + Samba 用户有效 + 目录可写，三者缺一不可。
口诀 服务 / 用户 / 目录，逐一验证
--list-all审计放行项--add-service放行服务--add-port放行端口--permanent + reload持久并生效核心要点默认拒绝、明确放行；临时规则重启丢失，永久规则需 reload 才生效。
口诀 先审计，再放行，reload 后复核
描述现象锁定问题域收集证据五课工具总动员缩小范围逐层定位复测记录闭环 + 复盘核心要点一次只改一个变量立即复测；提交现象 / 证据 / 根因 / 修复 / 复测五段报告。
口诀 改一处、验一次、记一笔
每次课当堂完成对应任务并截图提交；个人目录统一命名为 stu序号_姓名拼音，文件名 / 端口 / 主机名带上学号序号 N，便于逐一核对。
按真实网段把网卡改为静态 IP：IP 末位 = 序号（192.168.1.序号）、掩码 255.255.255.0、网关 192.168.1.1、DNS 114.114.114.114、ONBOOT=yes。systemctl restart network 后 ping 网关与公网各 4 次，把字段与结果写入个人目录下 netN.txt 并截图。
ssh-keygen -t rsa -b 4096 生成密钥对，确认私钥权限 600；ssh-copy-id 部署公钥到服务器；验证免密登录成功；再在服务器 PermitRootLogin no 加固后重启 sshd，提交 ls -l ~/.ssh/ 与免密会话两张截图。
安装 Samba，创建共享目录 /srv/share序号 并 chmod 777，建系统用户 sambauser序号 并用 smbpasswd -a 设 Samba 密码；在 smb.conf 追加 [share序号] 段后启动 smb，用 smbclient 自测读写并对照未授权用户。
确认 firewalld 运行；--add-service=ssh --permanent 放行 SSH；放行自定义端口 80序号/tcp --permanent 后 --reload；启动监听该端口的服务，用 curl 与 --list-all 复核，写入 fwN.txt。
故意关闭 80序号/tcp 防火墙规则模拟故障；按排障闭环收集四类证据（服务 / 监听 / 放行 / 本地通），定位到防火墙层后重新放行并用外部地址复测，提交现象 / 证据 / 根因 / 修复 / 复测五段报告 tsN.txt。
先自行作答，再点击展开答案核对；错 2 题以上的，回头重看对应课次。