title: 实用linux命令-nc date: 2022-03-10 02:52:51 permalink: /pages/523c20/ categories:

• Linux笔记
• 工作笔记 tags:
• Linux
• 运维

::: tip 版本说明 本文写于 2022-03。<br>nc 命令用法多年未变，经 2026-07 复核仍适用。 :::

nc传输文件

#发送文件
nc -l 1234 < logstash-7.8.1.rpm
#接受文件
nc 10.0.0.62 1234 > logstash-7.8.1.rpm

#发送文件夹
tar zcvf - test/ | nc 10.0.181.23 1234
#接受文件夹
nc -l 1234 | tar zxvf -

nc网络调试工具

nc（Netcat）不仅可以用于文件传输，还可以在网络调试中发挥重要作用。以下是一些常见的调试用法：

1. 测试端口是否开放

   nc -zv 10.0.0.62 80
   

   说明：

   • -z：只扫描端口，不发送数据。
   • -v：启用详细输出。
   • 如果端口开放，会显示“成功连接”；如果端口关闭，会显示“连接失败”。

2. 模拟服务器监听端口

   nc -l 8080
   

   说明：

   • -l：监听指定端口。
   • 可以用来模拟一个简单的服务器，接收来自客户端的数据。

3. 发送消息到远程服务器

   echo "Hello, Server!" | nc 10.0.0.62 8080
   

   说明：

   • echo命令将消息发送到指定的服务器和端口。
   • 可用于测试服务器的接收功能。

4. 创建简易聊天服务 在一台机器上运行：

   nc -l 12345
   

   在另一台机器上运行：

   nc 10.0.0.62 12345
   

   说明：

   • 两台机器可以通过输入消息进行实时聊天。

nc高级用法

1. 探测开放端口范围

   nc -zv 10.0.0.62 20-100
   

   说明：

   • 探测目标机器指定范围内的开放端口。

2. 传输加密数据 使用openssl结合nc实现加密传输：

   # 发送端
   tar zcvf - test/ | openssl enc -aes-256-cbc -salt -out - | nc 10.0.0.62 1234
   # 接收端
   nc -l 1234 | openssl enc -d -aes-256-cbc -salt -in - | tar zxvf -
   

   说明：

   • openssl enc：使用AES-256加密数据。
   • 传输过程中保证数据的安全性。

3. 文件传输进度显示 使用pv显示传输进度：

   # 发送端
   tar zcvf - test/ | pv | nc 10.0.0.62 1234
   # 接收端
   nc -l 1234 | pv | tar zxvf -
   

   说明：

   • pv：显示数据流的传输进度。

nc注意事项

1. 安全性

   • nc默认不加密数据，传输敏感信息时需结合加密工具（如openssl）。
   • 避免在公网环境中直接使用nc传输数据。

2. 权限问题

   • 使用低端口（如80、443）时可能需要sudo权限。

3. 替代工具

   • 如果需要更高级的功能，可以使用ncat（nc的增强版）或其他网络工具如scp、rsync。

title: 实用linux命令-ss date: 2025-03-30 07:42:15 permalink: /pages/523c22/ categories:

• Linux笔记
• 工作笔记 tags:
• Linux
• 运维

ss命令简介

ss（Socket Statistics）是一个用于显示网络套接字信息的强大工具，它是netstat命令的现代替代品。ss命令速度更快，功能更强大，可以显示更多的网络连接信息。它能查看TCP、UDP、DCCP、RAW等类型的套接字连接。

ss常见用法

1. 查看所有网络连接

   ss
   

   说明：

   • 默认显示已建立的非监听TCP连接。

2. 查看所有监听端口

   ss -l
   

   说明：

   • -l选项显示所有处于监听状态的套接字。

3. 查看TCP连接

   ss -t
   

   说明：

   • -t选项只显示TCP连接。
   • 可以与-a组合使用：ss -ta显示所有TCP连接（包括监听状态）。

4. 查看UDP连接

   ss -u
   

   说明：

   • -u选项只显示UDP连接。
   • 可以与-a组合使用：ss -ua显示所有UDP连接。

5. 查看指定端口的连接

   ss -t src/dst :<端口号>
   

   说明：

   • src表示源端口，dst表示目标端口。
   • 例如：ss -t dst :80显示目标端口为80的所有TCP连接。

6. 显示进程信息

   ss -p
   

   说明：

   • -p选项显示使用套接字的进程信息。
   • 需要root权限才能查看所有进程。

ss高级用法

1. 按状态过滤连接

   ss state <状态> 
   

   说明：

   • 常见状态包括：established、syn-sent、syn-recv、fin-wait-1等。
   • 例如：ss state established显示所有已建立的连接。

2. 显示详细统计信息

   ss -i
   

   说明：

   • -i选项显示TCP内部信息，如拥塞窗口、重传计数器等。

3. 按地址过滤

   ss dst <IP地址>
   

   说明：

   • 过滤特定目标IP地址的连接。
   • 例如：ss dst 192.168.1.1显示所有连接到该IP的套接字。

4. 结合条件表达式

   ss -t '( dport = :http or dport = :https )'
   

   说明：

   • 使用表达式组合多个条件，查找连接到HTTP或HTTPS端口的TCP连接。

5. 查看内存使用情况

   ss -m
   

   说明：

   • -m选项显示套接字的内存使用情况。

6. 实时监控网络连接

   watch -n 1 'ss -t'
   

   说明：

   • 每秒刷新一次，实时监控TCP连接状态。

ss与netstat的比较

1. 性能优势

   • ss命令直接从内核空间获取信息，速度比netstat快很多。
   • 在有大量连接的系统上，ss的优势尤为明显。

2. 功能对比

   • ss提供更多的过滤选项和更详细的连接信息。
   • ss可以显示更多的TCP状态信息，如TCP内部队列。

3. 语法差异

   • netstat: netstat -tuln（显示所有监听的TCP和UDP端口）
   • ss: ss -tuln（相同功能，但速度更快）

ss注意事项

1. 权限要求

   • 查看所有连接的详细信息（特别是与进程相关的信息）需要root权限。

2. 输出格式

   • 默认输出可能较为紧凑，可使用-r选项解析主机名，使输出更易读。

3. 与其他工具配合

   • 可与grep、awk等命令结合使用，进一步过滤和处理输出结果。

   ss -t | grep ESTAB | wc -l  # 统计已建立的TCP连接数
   

title: 实用linux命令-lsof date: 2025-03-30 07:30:05 permalink: /pages/523c21/ categories:

• Linux笔记
• 工作笔记 tags:
• Linux
• 运维

lsof命令简介

lsof（List Open Files）是一个非常强大的工具，用于显示当前系统中被打开的文件信息。由于在Linux中几乎所有内容都是文件（包括普通文件、目录、套接字、管道、设备等），lsof的作用非常广泛，可用于系统监控、故障排查和安全审计等场景。

lsof常见用法

1. 查看所有打开的文件

   lsof
   

   说明：

   • 不带参数时，显示所有进程打开的所有文件。
   • 输出可能非常多，通常需要结合过滤命令使用。

2. 查看被某个进程打开的文件

   lsof -p <PID>
   

   说明：

   • <PID>：指定进程ID。
   • 列出该进程打开的所有文件，包括普通文件、目录、库文件等。

3. 查看某个文件被哪些进程打开

   lsof <文件路径>
   

   说明：

   • 显示打开该文件的所有进程信息。
   • 对于排查文件锁定或无法删除文件的情况很有用。

4. 查看某个端口被哪个进程占用

   lsof -i:<端口号>
   

   说明：

   • <端口号>：指定端口号。
   • 常用于排查端口占用问题，如确认服务是否正在运行。

5. 查看所有网络连接

   lsof -i
   

   说明：

   • 显示所有与网络相关的文件，包括TCP、UDP连接。
   • 可以看到每个连接的本地地址、远程地址、状态等信息。

6. 列出某用户打开的文件

   lsof -u <用户名>
   

   说明：

   • <用户名>：指定用户名。
   • 列出该用户打开的所有文件，可用于监控用户活动。

lsof高级用法

1. 查看特定类型的文件

   lsof -d <文件描述符>
   

   说明：

   • <文件描述符>可以是数字或名称，如cwd（当前工作目录）、txt（程序代码）、mem（内存映射文件）。
   • 例如：lsof -d cwd查看所有进程的当前工作目录。

2. 监控文件的实时变化

   watch -n 1 'lsof <文件路径>'
   

   说明：

   • 每秒钟刷新一次，实时监控文件的打开情况。
   • 对于排查文件访问问题非常有用。

3. 查看某进程的网络连接

   lsof -p <PID> -i
   

   说明：

   • 结合-p和-i选项，显示指定进程的所有网络连接。
   • 可以精确了解某应用程序的网络活动。

4. 按协议过滤网络连接

   lsof -i <协议>
   

   说明：

   • <协议>可以是tcp或udp。
   • 例如：lsof -i tcp只显示TCP连接。

5. 查看特定网络地址的连接

   lsof -i@<主机名或IP>
   

   说明：

   • 过滤显示与特定主机相关的连接。
   • 例如：lsof -i@192.168.1.1显示与该IP相关的所有连接。

6. 杀死占用某文件的进程

   kill -9 $(lsof -t <文件路径>)
   

   说明：

   • -t选项只输出进程ID，结合kill命令可以快速终止占用文件的进程。
   • 在无法删除或修改文件时特别有用。

lsof与其他工具的配合

1. 与grep结合使用

   lsof | grep <关键词>
   

   说明：

   • 通过关键词过滤lsof的输出结果，提高查找效率。
   • 例如：lsof | grep '/var/log'查找打开日志目录文件的进程。

2. 与网络工具对比

   • lsof -i与netstat、ss命令功能有重叠，但lsof提供了更多与进程相关的信息。
   • 对于网络连接排查，可以根据具体需求选择最合适的工具。

3. 与文件系统工具结合

   lsof +D <目录路径>
   

   说明：

   • 递归显示指定目录下被打开的所有文件。
   • 例如：lsof +D /var/www查看Web目录下所有被访问的文件。

lsof注意事项

1. 权限要求

   • 普通用户只能查看自己拥有权限的进程和文件信息。
   • 使用sudo或root用户可以查看系统中所有的文件打开情况。

2. 性能影响

   • lsof需要扫描整个系统的文件表，在大型系统上可能会消耗较多资源。
   • 建议在必要时使用，并尽可能使用过滤条件限制输出范围。

3. 输出格式

   • lsof的默认输出包含多列信息，可使用-F选项生成更易于脚本处理的格式。
   • 使用-l选项可以显示用户ID而非用户名，提高处理速度。

title: Bash 备忘清单 date: 2022-03-17 11:21:42 permalink: /pages/b11f9q/ categories:

• Linux笔记
• 工作笔记 tags:
• Linux
• 运维

::: tip 版本说明 本文写于 2022-03。<br>Bash 语法长期稳定，经 2026-07 复核仍适用。 :::

这是开始使用 linux bash shell 脚本的快速参考备忘单。

入门

hello.sh

#!/bin/bash
VAR="world"
echo "Hello $VAR!" # => Hello world!

执行脚本

$ bash hello.sh

变量

NAME="John"
echo ${NAME}    # => John (变量)
echo $NAME      # => John (变量)
echo "$NAME"    # => John (变量)
echo '$NAME'    # => $NAME (字符串原样输出)
echo "${NAME}!" # => John! (变量)
NAME = "John"   # => Error (注意不能有空格)

注释

# 这是一个内联 Bash 注释。

: '
这是一个
非常整洁的
bash 注释
'

多行注释使用 :' 打开和 ' 关闭

参数

<!--rehype:wrap-class=row-span-2-->

见：特殊参数

函数

get_name() {
    echo "John"
}
echo "You are $(get_name)"

见：函数

条件句

if [[ -z "$string" ]]; then
    echo "String is empty"
elif [[ -n "$string" ]]; then
    echo "String is not empty"
fi

见：条件句

大括号扩展

echo {A,B}.js

见：大括号扩展

Shell 执行

# => I'm in /当前/的/路径
echo "I'm in $(PWD)"
# Same as:
echo "I'm in `pwd`"

见：命令替换

Bash 参数扩展

语法

<!--rehype:wrap-class=row-span-2-->

子字符串

Length

默认值

替代 Substitution

echo ${food:-Cake}  #=> $food or "Cake"

STR="/path/to/foo.cpp"
echo ${STR%.cpp}    # /path/to/foo
echo ${STR%.cpp}.o  # /path/to/foo.o
echo ${STR%/*}      # /path/to
echo ${STR##*.}     # cpp (extension)
echo ${STR##*/}     # foo.cpp (basepath)
echo ${STR#*/}      # path/to/foo.cpp
echo ${STR##*/}     # foo.cpp
echo ${STR/foo/bar} # /path/to/bar.cpp

切片 Slicing

name="John"
echo ${name}           # => John
echo ${name:0:2}       # => Jo
echo ${name::2}        # => Jo
echo ${name::-1}       # => Joh
echo ${name:(-1)}      # => n
echo ${name:(-2)}      # => hn
echo ${name:(-2):2}    # => hn

length=2
echo ${name:0:length}  # => Jo

见：参数扩展

基本路径和目录路径

SRC="/path/to/foo.cpp"

BASEPATH=${SRC##*/}   
echo $BASEPATH  # => "foo.cpp"

DIRPATH=${SRC%$BASEPATH}
echo $DIRPATH   # => "/path/to/"

Transform

STR="HELLO WORLD!"
echo ${STR,}      # => hELLO WORLD!
echo ${STR,,}     # => hello world!

STR="hello world!"
echo ${STR^}      # => Hello world!
echo ${STR^^}     # => HELLO WORLD!

ARR=(hello World)
echo "${ARR[@],}" # => hello world
echo "${ARR[@]^}" # => Hello World

Bash 数组

定义数组

Fruits=('Apple' 'Banana' 'Orange')

Fruits[0]="Apple"
Fruits[1]="Banana"
Fruits[2]="Orange"

ARRAY1=(foo{1..2}) # => foo1 foo2
ARRAY2=({A..D})    # => A B C D

# 合并 => foo1 foo2 A B C D
ARRAY3=(${ARRAY1[@]} ${ARRAY2[@]})

# 声明构造
declare -a Numbers=(1 2 3)
Numbers+=(4 5) # 附加 => 1 2 3 4 5

索引

迭代 Iteration

Fruits=('Apple' 'Banana' 'Orange')
for e in "${Fruits[@]}"; do
    echo $e
done

With index

for i in "${!Fruits[@]}"; do
  printf "%s\t%s\n" "$i" "${Fruits[$i]}"
done

操作

<!--rehype:wrap-class=col-span-2-->

Fruits=("${Fruits[@]}" "Watermelon")         # 添加
Fruits+=('Watermelon')                       # 也是添加
Fruits=( ${Fruits[@]/Ap*/} )                 # 通过正则表达式匹配删除
unset Fruits[2]                              # 删除一项
Fruits=("${Fruits[@]}")                      # 复制
Fruits=("${Fruits[@]}" "${Veggies[@]}")      # 连接
lines=(`cat "logfile"`)                      # 从文件中读取

数组作为参数

function extract()
{
  local -n myarray=$1
  local idx=$2
  echo "${myarray[$idx]}"
}
Fruits=('Apple' 'Banana' 'Orange')
extract Fruits 2     # => Orangle

Bash 字典

定义

declare -A sounds

sounds[dog]="bark"
sounds[cow]="moo"
sounds[bird]="tweet"
sounds[wolf]="howl"

使用字典

echo ${sounds[dog]} # Dog's sound
echo ${sounds[@]}   # All values
echo ${!sounds[@]}  # All keys
echo ${#sounds[@]}  # Number of elements
unset sounds[dog]   # Delete dog

迭代

for val in "${sounds[@]}"; do
    echo $val
done

for key in "${!sounds[@]}"; do
    echo $key
done

Bash 条件句

整数条件

字符串条件

例子

<!--rehype:wrap-class=row-span-3-->

字符串

if [[ -z "$string" ]]; then
    echo "String is empty"
elif [[ -n "$string" ]]; then
    echo "String is not empty"
else
    echo "This never happens"
fi

组合

if [[ X && Y ]]; then
    ...
fi

相等

if [[ "$A" == "$B" ]]; then
    ...
fi

正则表达式

if [[ '1. abc' =~ ([a-z]+) ]]; then
    echo ${BASH_REMATCH[1]}
fi

小于

if (( $a < $b )); then
   echo "$a is smaller than $b"
fi

存在

if [[ -e "file.txt" ]]; then
    echo "file exists"
fi

文件条件

<!--rehype:wrap-class=row-span-2-->

更多条件

逻辑和，或

if [ "$1" = 'y' -a $2 -gt 0 ]; then
    echo "yes"
fi
if [ "$1" = 'n' -o $2 -lt 0 ]; then
    echo "no"
fi

Bash 循环

基本 for 循环

for i in /etc/rc.*; do
    echo $i
done

类似 C 的 for 循环

for ((i = 0 ; i < 100 ; i++)); do
    echo $i
done

范围

<!--rehype:wrap-class=row-span-2-->

for i in {1..5}; do
    echo "Welcome $i"
done

步长

for i in {5..50..5}; do
    echo "Welcome $i"
done

自动递增

i=1
while [[ $i -lt 4 ]]; do
    echo "Number: $i"
    ((i++))
done

自动递减

i=3
while [[ $i -gt 0 ]]; do
    echo "Number: $i"
    ((i--))
done

Continue

for number in $(seq 1 3); do
    if [[ $number == 2 ]]; then
        continue;
    fi
    echo "$number"
done

Break

for number in $(seq 1 3); do
    if [[ $number == 2 ]]; then
        # Skip entire rest of loop.
        break;
    fi
    # This will only print 1
    echo "$number"
done

Until

count=0
until [ $count -gt 10 ]; do
    echo "$count"
    ((count++))
done

死循环

while true; do
    # here is some code.
done

死循环(简写)

while :; do
    # here is some code.
done

读取文件的每一行

cat file.txt | while read line; do
    echo $line
done

Bash 函数

定义函数

myfunc() {
  echo "hello $1"
}

# 同上(替代语法)
function myfunc() {
  echo "hello $1"
}

myfunc "John"

返回值

myfunc() {
    local myresult='some value'
    echo $myresult
}

result="$(myfunc)"

抛出错误

myfunc() {
    return 1
}

if myfunc; then
    echo "success"
else
    echo "failure"
fi

Bash 选项

<!--rehype:body-class=cols-2-->

选项

# 避免覆盖文件
# (echo "hi" > foo)
set -o noclobber

# 用于出错时退出
# 避免级联错误
set -o errexit   

# 揭示隐藏的失败
set -o pipefail  

# 公开未设置的变量
set -o nounset

全局选项

# 不匹配的 glob 被删除
# ('*.foo' => '')
shopt -s nullglob   

# 不匹配的 glob 抛出错误
shopt -s failglob  

# 不区分大小写的球体
shopt -s nocaseglob 

# 通配符匹配点文件
# ("*.sh" => ".foo.sh")
shopt -s dotglob    

# 允许 ** 进行递归匹配
# ('lib/**/*.rb' => 'lib/a/b/c.rb')
shopt -s globstar   

Bash 历史

<!--rehype:body-class=cols-2-->

命令

表达式

操作

!! 和 !$ 可以替换为任何有效的扩展。

切片 Slices

!! 可以替换为任何有效的扩展，即 !cat、!-2、!42 等。

杂项

数值计算

$((a + 200))      # Add 200 to $a

$(($RANDOM%200))  # Random number 0..199

子 shell

(cd somedir; echo "I'm now in $PWD")
pwd # still in first directory

检查命令

command -V cd
#=> "cd is a function/alias/whatever"

重定向

<!--rehype:wrap-class=row-span-2 col-span-2-->

python hello.py > output.txt   # 标准输出到(文件)
python hello.py >> output.txt  # 标准输出到(文件)，追加
python hello.py 2> error.log   # 标准错误到(文件)
python hello.py 2>&1           # 标准错误到标准输出
python hello.py 2>/dev/null    # 标准错误到(空null)
python hello.py &>/dev/null    # 标准输出和标准错误到(空null)

python hello.py < foo.txt      # 将 foo.txt 提供给 python 的标准输入

来源相对

source "${0%/*}/../share/foo.sh"

脚本目录

DIR="${0%/*}"

Case/switch

case "$1" in
    start | up)
    vagrant up
    ;;
    *)
    echo "Usage: $0 {start|stop|ssh}"
    ;;
esac

陷阱错误

<!--rehype:wrap-class=col-span-2-->

trap 'echo Error at about $LINENO' ERR

或者

traperr() {
    echo "ERROR: ${BASH_SOURCE[1]} at about ${BASH_LINENO[0]}"
}
set -o errtrace
trap traperr ERR

printf

printf "Hello %s, I'm %s" Sven Olga
#=> "Hello Sven, I'm Olga

printf "1 + 1 = %d" 2
#=> "1 + 1 = 2"

printf "Print a float: %f" 2
#=> "Print a float: 2.000000"

获取选项

<!--rehype:wrap-class=col-span-2-->

while [[ "$1" =~ ^- && ! "$1" == "--" ]]; do case $1 in
    -V | --version )
    echo $version
    exit
    ;;
    -s | --string )
    shift; string=$1
    ;;
    -f | --flag )
    flag=1
    ;;
esac; shift; done
if [[ "$1" == '--' ]]; then shift; fi

检查命令的结果

if ping -c 1 google.com; then
    echo "看来您的互联网连接正常"
fi

grep 检查

if grep -q 'foo' ~/.bash_history; then
    echo "您过去似乎输入过“foo”"
fi

写入文件

<!--rehype:wrap-class=row-span-6-->

cat > output.txt <<EOF
this is test eof
this is test eof2
EOF

输出 cat output.txt

this is test eof
this is test eof2

追加内容

cat >>2.txt <<EOF
456
789
EOF

$ 等特殊字符时，须利用转义字符 \

cat > file <<EOF
export ORACLE_SID=yqpt 
export PATH=\$PATH:\$ORACLE_HOME/bin  
EOF

取消变量替换，EOF 被加上双引号或者单引号，即可取消变量的替换

cat << "EOF" > output.sh
echo "This is output"
echo $1
EOF

所有TAB键将全部忽略[不能是空格]

cat << -EOF
        echo "This is output"
EOF

特殊变量

<!--rehype:wrap-class=row-span-2-->

见特殊参数。

反斜杠转义

<!--rehype:wrap-class=row-span-2-->

•  
• !
• "
• #
• &
• '
• (
• )
• ,
• ;
• <
• >
• [
• |
• \
• ]
• ^
• {
• }
• `
• $
• *
• ? <!--rehype:className=cols-4 style-none-->

使用 \ 转义这些特殊字符

Heredoc

cat <<END
hello world
END

转到上一个目录

pwd # /home/user/foo
cd bar/
pwd # /home/user/foo/bar
cd -
pwd # /home/user/foo

读取输入

echo -n "Proceed? [y/n]: "
read ans
echo $ans

read -n 1 ans    # 只有一个字符

条件执行

git commit && git push
git commit || echo "Commit failed"

严格模式

set -euo pipefail
IFS=$'\n\t'

参见：非官方 bash 严格模式

可选参数

args=("$@")
args+=(foo)
args+=(bar)
echo "${args[@]}"

将参数放入数组中，然后追加

调试模式

启用调试模式，会把脚本中的每条命令的执行情况打印出来。它可以在整个会话或脚本上运行，也可以在脚本内以编程方式启用。

以调试模式运行脚本(整个脚本都会打印调试信息)：

$ bash -x myscript.sh

在bash脚本中打开调试(针对部分内容打印调试信息)。

#!/bin/bash
set -x   # Enable debugging
# some code here
set +x   # Disable debugging output.

Bash 颜色

颜色着色语法示例

<!--rehype:wrap-class=row-span-2-->

您可以通过为其输出着色来使您的 BASH 脚本更漂亮，使用以下模板编写彩色文本：

echo -e "\e[COLORm文字变色了\e[0m"

示例

$ echo -e "\e[31m命令行中显示红色文字\e[0m"

<red>命令行中显示红色文字</red>

$ echo -e "\e[42m绿色背景\e[0m"

绿色背景<!--rehype:style=background:green;color: black;-->

<!--rehype:className=left-align-->

0x1b 字面上称为 ESC

示例

$ echo -e "\e[3m下划线文本\e[0m"

下划线文本<!--rehype:style=text-decoration: underline;color: inherit;-->

$ echo -e "\e[1;33;4;44m粗体下划线蓝色背景黄色文字的文本\e[0m"

<!--rehype:className=wrap-text-->

粗体下划线蓝色背景黄色文字的文本<!--rehype:style=text-decoration: underline;color: inherit;font-weight: bold;color: #cdcd00;background: #0000ee;-->

\e[         # 启用转义
1;33;4;44   # 参数 (1;33;4;44)
m           # 设置图形模式

样式

<!--rehype:className=left-align-->

ANSI — 颜色转义码

<!--rehype:className=show-header left-align-->

ANSI — 颜色转义码(亮色)

<!--rehype:className=show-header left-align-->

可用功能

<!--rehype:wrap-class=col-span-2-->

另见

• Shell 教程 (jaywcjlove.github.io)
• Devhints (devhints.io)
• Bash-hackers wiki (bash-hackers.org)
• Shell vars (bash-hackers.org)
• Learn bash in y minutes (learnxinyminutes.com)
• Bash Guide (mywiki.wooledge.org)
• ShellCheck (shellcheck.net)
• shell - Standard Shell (devmanual.gentoo.org)
• ANSI 转义序列 (zh.wikipedia.org)

title: Ansible 备忘清单 date: 2022-03-17 11:21:42 permalink: /pages/b11f9e/ categories:

• Linux笔记
• 工作笔记 tags:
• Linux
• 运维

::: tip 版本说明 本文写于 2022-03。<br>Ansible 核心模块与 playbook 语法未变，经 2026-07 复核仍适用；具体模块参数如有弃用，请以 ansible-doc <module> 为准核对。 :::

此快速参考备忘单提供了使用 Ansible 的各种方法。

入门

安装

• Ansible 官方文档

配置位置

Inventory文件(hosts列表)

静态Inventory

/etc/ansible/hosts

mail.example.com

[webservers]
foo.example.com
bar.example.com

Inventory 主机组使用多个IP和域名

[web]
172.18.12.5[1:4]
[webservers]
www[01:50].example.com

Inventory 主机组使用子主机组

[usa:children]
southeast
northeast
southwest
northwest

给多台主机设置变量

group variables 如果组中的所有主机共享一个变量值，则可以一次将该变量应用于整个组

[atlanta]
host1
host2

[atlanta:vars]
ntp_server=ntp.atlanta.example.com
proxy=proxy.atlanta.example.com

命令行(ad-hoc)

ansible

检查Inventory是否生效

$ ansible all --list-hosts

ping所有目标

$ ansible all -m ping

ping本地(不使用SSH连接)

$ ansible all -i localhost, -e '{"ansible_connection": "local"}' -m ping

<!--rehype:className=wrap-text --> 本地执行命令

$ ansible all -i localhost, -e '{"ansible_connection": "local"}' -a 'hostname'

<!--rehype:className=wrap-text --> 获取本地主机的信息

$ ansible all -i localhost, -e '{"ansible_connection": "local"}' -m setup

<!--rehype:className=wrap-text --> 获取远程到本地

$ ansible target -m fetch -a "src=/tmp/seq dest=/tmp/seq"

<!--rehype:className=wrap-text --> 拷贝本地到远程

$ ansible target -m copy -a "src=/tmp/seq dest=/tmp/seq"

<!--rehype:className=wrap-text -->

Ansible 命令帮助

<!--rehype:wrap-class=col-span-2 row-span-3-->

$ ansible
$ ansible <host-pattern> [options]

控制谁以及如何连接到主机，连接选项：

控制您成为目标主机上的用户的方式和用户，特权升级选项：

Ansible Galaxy 工具

$ ansible-galaxy [delete|import|info|init|install|list|login|remove|search|setup] [--help] [options] ...

<!--rehype:className=wrap-text-->

<!--rehype:className=style-list-->

$ ansible-galaxy search --author <AUTHOR>
$ ansible-galaxy search --platforms <PLATFORM>
$ ansible-galaxy search --galaxy-tags <TAG>
$ ansible-galaxy info <ROLE>
$ ansible-galaxy install <ROLE> -p <ROLE_DIRECTORY>
$ ansible-galaxy install -r <ROLE1> <ROLE2> <ROLE3> ...
$ ansible-galaxy list
$ ansible-galaxy remove <ROLE>
$ ansible-galaxy init <ROLE>
$ ansible-galaxy init --offline <ROLE>

<!--rehype:className=wrap-text-->

ansible-doc

在本地访问文档

$ ansible-doc
$ ansible-doc [options] [module...]

<!--rehype:className=style-list-->

ansible-vault

$ ansible-vault
$ ansible-vault [create|decrypt|edit|encrypt|rekey|view] [--help] [options] vaultfile.yml

<!--rehype:className=style-list-->

ansible-playbook

<!--rehype:wrap-class=row-span-2-->

$ ansible-playbook
$ ansible-playbook playbook.yml

<!--rehype:className=style-list-->

连接选项：

<!--rehype:className=style-list-->

特权升级选项：

<!--rehype:className=style-list-->

ansible-pull

<!--rehype:wrap-class=row-span-2-->

$ ansible-pull 
$ ansible-pull -U <repository> [options]

<!--rehype:className=style-list-->

连接选项：

<!--rehype:className=style-list-->

特权升级选项：

<!--rehype:className=style-list-->

<!-- ### ansible-playbook --> <!-- todo -->

另见

• Getting started with Ansible
• Introduction to ad hoc commands
• Ansible cheatsheet
• Ansible Tutorial for Beginners: Ultimate Playbook & Examples

title: linux 文件的权限和属性 date: 2022-07-17 11:21:42 permalink: /pages/b08f91/ categories:

• Linux笔记
• 工作笔记 tags:
• Linux
• 运维

::: tip 版本说明 本文写于 2022-07。<br>Linux 权限模型（rwx、特殊权限位、ACL）未变，经 2026-07 复核仍适用。 :::

权限表示方式通常使用三个八进制数字来表示，分别代表文件所有者、文件所属组和其他用户的权限。在一个八进制数字中，每个数字表示一个权限类别，由左至右分别是文件所有者、文件所属组和其他用户的权限。

其中，数字 7 表示二进制 111，即所有权限都被允许。对应到文件的权限表示上，数字 7 表示读取（r）、写入（w）和执行（x）权限都被允许。

具体来说，744 权限表示：

• 文件所有者有读（r）、写（w）和执行（x）权限。
• 文件所属组有读（r）权限。
• 其他用户有读（r）权限。

这意味着文件所有者可以读取、写入和执行该文件，文件所属组的成员可以读取，其他用户也可以读取。

权限数字与其对应的含义如下：

• 0：没有权限
• 1：执行权限（x）
• 2：写入权限（w）
• 3：写入权限 + 执行权限（w + x）
• 4：读取权限（r）
• 5：读取权限 + 执行权限（r + x）
• 6：读取权限 + 写入权限（r + w）
• 7：读取权限 + 写入权限 + 执行权限（r + w + x）

-rw-rw-r-- 表示一个文件的权限和属性。这是一个常见的 Unix/Linux 文件权限表示形式，它包含了文件的权限以及一些其他属性。每个字符代表一组权限和属性。

在 -rw-rw-r-- 中：

• 第一个字符 - 表示这是一个普通文件（不是目录、链接等）。
• 接下来的三个字符 rw- 表示文件所有者（user）拥有读取（r）和写入（w）权限，但没有执行权限（-）。
• 紧随其后的三个字符 rw- 表示文件所属组（group）的成员也拥有读取和写入权限，同样没有执行权限。
• 最后的三个字符 r-- 表示其他用户（others）只有读取权限，没有写入和执行权限。

综合起来，-rw-rw-r-- 表示这个文件的权限如下：

• 文件所有者可以读取和写入文件，但不能执行它。
• 文件所属组的成员也可以读取和写入文件，但不能执行。
• 其他用户只能读取文件，不能写入和执行。

这是一个典型的示例，展示了在Unix/Linux系统中，文件权限是如何以字符形式表示的。

title: GPT分区使用 parted 扩展分区的操作流程 date: 2024-08-28 14:00:00 titleTag: 原创 permalink: /pages/expand-partition-with-parted/ categories:

• Linux笔记
• 工作笔记 tags:
• parted
• 分区管理
• XFS
• 文件系统扩展

背景

在 Linux 系统的日常运维中，扩展分区以适应增长的存储需求是非常常见的操作。本次任务中，我们遇到了以下情况：原有的 /dev/sdb2 分区使用 XFS 文件系统，并挂载在 /data1 目录下，大小为 300G。需求是将其扩展到 600G，而不影响原有数据。

最初尝试使用 fdisk 工具进行分区扩展，但由于该分区使用 GPT（GUID Partition Table），fdisk 给出了警告，并且最终操作失败。随后，我们转向了 parted 工具，成功完成了分区和文件系统的扩展操作。

使用 parted 工具扩展 XFS 分区的步骤

1. 确保数据备份

在进行任何涉及分区的操作之前，强烈建议对分区上的数据进行备份。虽然以下步骤不会删除数据，但在任何意外情况下，备份都是最后的保障。

2. 卸载分区

在开始调整分区大小之前，首先需要卸载 /data1 分区：

sudo umount /data1

3. 使用 parted 扩展分区

启动 parted 工具并选择要操作的磁盘（这里为 /dev/sdb）：

sudo parted /dev/sdb

在 parted 环境中执行以下步骤：

1. 显示分区信息：使用 print 命令查看当前的分区信息，确认要扩展的分区（/dev/sdb2）的开始扇区。

   (parted) print
   

2. 调整分区大小：使用 resizepart 命令扩展分区。假设分区 2 的开始扇区为 419428352，并且我们希望将其扩展到磁盘的末尾。

   (parted) resizepart 2 100%
   

   这里的 100% 表示我们希望分区占用磁盘的全部可用空间。

3. 退出 parted：操作完成后，使用 quit 命令退出 parted。

   (parted) quit
   

4. 扩展 XFS 文件系统

由于分区已经成功扩展，现在需要使用 xfs_growfs 命令来调整 XFS 文件系统的大小，以利用新增加的空间：

sudo xfs_growfs /data1

这个命令会在线扩展挂载的文件系统，无需卸载。

5. 验证扩展结果

最后，使用 df -h 命令检查分区大小，确保文件系统已经成功扩展：

df -h /data1

成功后，你应该看到 /data1 的总容量已经从 300G 增加到了 600G，并且有足够的可用空间。

总结

通过这次操作，我们了解到在使用 GPT 分区表时，fdisk 可能会存在不稳定的情况，尤其是在处理较大的磁盘时。而 parted 工具提供了更为稳定和灵活的分区管理方式，尤其是在需要调整分区大小的场景中。使用 parted 和 xfs_growfs 的组合，可以确保在不中断服务的情况下，平稳扩展 XFS 文件系统。

title: 实用linux命令-sed titleTag: 原创 date: 2022-03-10 02:52:51 permalink: /pages/3a51f9/ categories:

• Linux笔记
• 工作笔记 tags:
• Linux
• 运维

::: tip 版本说明 本文写于 2022-03。<br>sed 命令用法多年未变，经 2026-07 复核仍适用。 :::

sed命令简介

sed（Stream Editor）是一个强大的文本处理工具，主要用于文本替换、删除、新增和选取等操作。它是一个面向行的文本处理工具，可以逐行处理文件内容而不需要打开文件。sed特别适合用于自动化脚本中进行文本转换。

sed基本语法

sed [选项] 'command' 输入文本

说明：

• 选项控制sed的行为
• command是要执行的操作
• 输入文本是要处理的文件或标准输入

sed常用选项

1. 安静模式

   sed -n 'command' file
   

   说明：

   • -n选项启用安静模式，默认情况下sed会打印所有行
   • 使用此选项后，只有经过特殊处理的行才会被输出

2. 直接编辑文件

   sed -i 'command' file
   

   说明：

   • -i选项直接修改文件内容，而不是输出到屏幕
   • 建议在使用前先备份文件

3. 多命令执行

   sed -e 'command1' -e 'command2' file
   

   说明：

   • -e选项允许在一次调用中执行多个命令

4. 使用命令文件

   sed -f script.sed file
   

   说明：

   • -f选项从文件中读取sed命令，适合复杂操作

5. 使用扩展正则表达式

   sed -r 'command' file
   

   说明：

   • -r选项启用扩展正则表达式语法

sed常用命令

1. 替换文本 (s命令)

   sed 's/pattern/replacement/g' file
   

   说明：

   • s表示替换
   • pattern是要查找的模式
   • replacement是替换的内容
   • g表示全局替换（一行中所有匹配）
   • 不加g只替换每行第一次匹配

2. 删除行 (d命令)

   sed '/pattern/d' file
   

   说明：

   • 删除包含指定模式的行
   • 例如：sed '/^$/d' file 删除所有空行

3. 追加文本 (a命令)

   sed '/pattern/a 新文本' file
   

   说明：

   • 在匹配行后追加文本
   • 新文本会出现在匹配行的下一行

4. 插入文本 (i命令)

   sed '/pattern/i 新文本' file
   

   说明：

   • 在匹配行前插入文本
   • 新文本会出现在匹配行的上一行

5. 替换整行 (c命令)

   sed '/pattern/c 新文本' file
   

   说明：

   • 用新文本替换包含指定模式的整行

6. 打印特定行 (p命令)

   sed -n '/pattern/p' file
   

   说明：

   • 只打印匹配指定模式的行
   • 通常与-n选项一起使用

sed高级用法

1. 使用行号

   sed '1,5d' file  # 删除1-5行
   sed '3,7s/old/new/g' file  # 只替换3-7行
   

   说明：

   • 可以使用行号指定操作范围
   • $表示最后一行，如5,$d删除第5行到最后

2. 使用正则表达式

   sed '/^#/d' file  # 删除所有注释行（以#开头）
   sed '/start/,/end/d' file  # 删除从start到end之间的所有行
   

   说明：

   • 可以使用正则表达式匹配模式
   • 可以指定范围模式

3. 保留备份

   sed -i.bak 's/old/new/g' file
   

   说明：

   • -i.bak会在修改文件的同时创建一个后缀为.bak的备份文件

4. 多个替换操作

   sed 's/old1/new1/g; s/old2/new2/g' file
   

   说明：

   • 使用分号分隔多个命令
   • 也可以使用-e选项：sed -e 's/old1/new1/g' -e 's/old2/new2/g' file

5. 使用&引用匹配文本

   sed 's/hello/&, world/g' file  # hello 替换为 hello, world
   

   说明：

   • &代表匹配的文本本身

6. 使用捕获组

   sed -r 's/(foo)-(bar)/\2-\1/g' file  # foo-bar 替换为 bar-foo
   

   说明：

   • 使用\1, \2等引用捕获的组

实用sed示例

1. 替换带有关键字的整行

   # 替换前先显示出来看一下
   sed -n '/mykeywords/c xxxxxxxxxxxxxx' `grep -rl 'mykeywords'`
   
   # -i直接替换
   sed -i '/mykeywords/c xxxxxxxxxxxxxx' `grep -rl 'mykeywords'`
   

   说明：

   • 结合grep -r查找包含关键字的文件
   • 使用c命令替换整行内容

2. 删除文件中的空行

   sed -i '/^$/d' file
   

   说明：

   • ^$匹配空行（行首紧跟行尾）

3. 在文件的每行前添加内容

   sed 's/^/添加的前缀/' file
   

   说明：

   • ^匹配行首，在行首添加文本

4. 在文件的每行后添加内容

   sed 's/$/添加的后缀/' file
   

   说明：

   • $匹配行尾，在行尾添加文本

5. 只显示指定行范围

   sed -n '10,20p' file  # 只显示10-20行
   

   说明：

   • 结合-n和p命令，只打印指定范围的行

6. 多个文件批量替换

   sed -i 's/old/new/g' file1 file2 file3
   

   说明：

   • sed可以同时处理多个文件

sed与其他工具的配合

1. 与grep结合

   grep "pattern" file | sed 's/foo/bar/g'
   

   说明：

   • 先用grep过滤出包含特定模式的行
   • 然后用sed进行处理

2. 与awk结合

   sed 's/pattern/replacement/g' file | awk '{print $1}'
   

   说明：

   • sed处理后的输出可以传递给awk进一步处理

3. 在shell脚本中使用

   for file in *.txt; do
       sed -i 's/old/new/g' "$file"
   done
   

   说明：

   • 在循环中批量处理多个文件

sed注意事项

1. 转义字符

   • 在模式中使用特殊字符（如/, ., *等）需要转义
   • 例如：sed 's/\/path\/to\/file/\/new\/path/g' file

2. 不同分隔符

   • 可以使用不同的分隔符来避免大量转义
   • 例如：sed 's#/path/to/file#/new/path#g' file

3. 大文件处理

   • sed是逐行处理的，对大文件也很高效
   • 但大量复杂的替换操作可能会影响性能

4. 备份重要文件

   • 使用-i选项修改文件前，建议先备份
   • 或使用-i.bak自动创建备份

title: VSCode快捷键备忘录 date: 2022-08-17 11:21:42 permalink: /pages/b11f9cc/ categories:

• Linux笔记
• 工作笔记 tags:
• Linux
• 运维

::: tip 版本说明 本文写于 2022-08。<br>常用快捷键经 2026-07 复核基本仍适用，个别快捷键在新版本 VSCode 中可能已可自定义或有默认值调整，如遇不生效请以 Ctrl+K Ctrl+S 打开的快捷键设置页为准核对。 :::

VSCode (Visual Studio Code) 快速参考备忘单显示了它的键盘快捷键和命令。

Windows

通用

<!--rehype:className=shortcuts-->

基本编辑

<!--rehype:wrap-style=grid-row: span 2/span 2;-->

<!--rehype:className=shortcuts-->

导航

<!--rehype:className=shortcuts-->

搜索和替换

<!--rehype:className=shortcuts-->

多光标和选择

<!--rehype:className=shortcuts-->

丰富的语言编辑

<!--rehype:className=shortcuts-->

编辑管理

<!--rehype:className=shortcuts-->

文件管理

<!--rehype:className=shortcuts-->

展示

<!--rehype:className=shortcuts-->

调试

<!--rehype:className=shortcuts-->

title: 实用linux命令-curl titleTag: 原创 date: 2025-06-10 02:52:51 permalink: /pages/curl-command/ categories:

• Linux笔记
• 工作笔记 tags:
• Linux
• 运维

curl命令简介

curl是一个强大的命令行工具，用于进行数据传输。它支持多种协议，包括HTTP、HTTPS、FTP、FTPS、SCP、SFTP、TFTP、LDAP、SMB等。curl在网络测试、API调用、文件下载、网站测试等场景中非常实用。它的名称源于"Client for URLs"，意为URL客户端。

curl基本语法

curl [选项] [URL]

说明：

• 选项控制curl的行为
• URL是要访问的网址或资源

curl常用选项

1. 输出保存至文件

   curl -o filename.html https://example.com
   

   说明：

   • -o选项将输出保存到指定文件
   • 文件名由用户自定义

2. 自动命名保存文件

   curl -O https://example.com/file.zip
   

   说明：

   • -O选项自动使用URL中的文件名保存输出
   • 适合直接下载文件

3. 显示详细进度信息

   curl -v https://example.com
   

   说明：

   • -v选项显示详细的连接和传输信息
   • 对调试连接问题非常有用

4. 静默模式

   curl -s https://example.com
   

   说明：

   • -s选项不显示进度信息或错误消息
   • 适合用于脚本中

5. 跟随重定向

   curl -L https://example.com
   

   说明：

   • -L选项自动跟随HTTP重定向
   • 网站常用302/301重定向到新位置

6. 设置请求头

   curl -H "Content-Type: application/json" https://api.example.com
   

   说明：

   • -H选项设置HTTP请求头
   • 可以多次使用设置多个头部

7. 超时设置

   curl --connect-timeout 5 https://example.com
   

   说明：

   • --connect-timeout设置连接超时时间（秒）
   • 防止连接不可达时长时间等待

curl常用请求方法

1. GET请求（默认）

   curl https://api.example.com
   

   说明：

   • 不指定方法时，默认使用GET请求
   • 用于获取资源

2. POST请求

   curl -X POST -d "name=value&foo=bar" https://api.example.com
   

   说明：

   • -X POST指定使用POST方法
   • -d后跟要发送的数据
   • 常用于表单提交

3. PUT请求

   curl -X PUT -d "content" https://api.example.com/resource
   

   说明：

   • 用于更新指定资源
   • 通常用于RESTful API

4. DELETE请求

   curl -X DELETE https://api.example.com/resource/123
   

   说明：

   • 用于删除指定的资源
   • 常用于API中删除操作

5. HEAD请求

   curl -I https://example.com
   

   说明：

   • -I发送HEAD请求，只获取HTTP头信息
   • 用于检查资源是否存在或最后修改时间

curl数据传输

1. 发送表单数据

   curl -d "username=admin&password=secret" https://example.com/login
   

   说明：

   • -d选项发送application/x-www-form-urlencoded格式数据
   • 模拟HTML表单提交

2. 发送JSON数据

   curl -X POST -H "Content-Type: application/json" -d '{"name":"John","age":30}' https://api.example.com/users
   

   说明：

   • 通过设置合适的Content-Type头和格式化的数据
   • 常用于API通信

3. 上传文件

   curl -F "file=@localfile.jpg" https://example.com/upload
   

   说明：

   • -F选项使用multipart/form-data格式上传文件
   • @符号后面是要上传的本地文件路径

4. 从文件读取数据发送

   curl -d @data.json -H "Content-Type: application/json" https://api.example.com
   

   说明：

   • 使用@符号从文件读取发送内容
   • 适合大量或格式化数据

curl高级用法

1. HTTP认证

   curl -u username:password https://example.com/secure
   

   说明：

   • -u选项提供HTTP基本认证凭据
   • 也支持摘要认证和其他认证方式

2. 使用Cookie

   curl -b "name=value" https://example.com
   

   说明：

   • -b选项发送Cookie
   • 可以从文件读取Cookie：-b cookie.txt

3. 保存Cookie

   curl -c cookie.txt https://example.com/login
   

   说明：

   • -c选项保存服务器设置的Cookie
   • 适合模拟会话保持

4. 使用代理

   curl -x proxy.example.com:8080 https://target.com
   

   说明：

   • -x选项指定HTTP代理
   • 也支持SOCKS代理

5. 限制传输速率

   curl --limit-rate 200K https://example.com/bigfile
   

   说明：

   • 限制下载速度，避免占用过多带宽
   • 可以指定K(KB/s)或M(MB/s)单位

6. 继续中断的下载

   curl -C - -O https://example.com/largefile.zip
   

   说明：

   • -C -自动从断点继续下载
   • 有助于恢复中断的大文件下载

实用curl示例

1. 测试网站响应时间

   curl -s -w "DNS解析时间: %{time_namelookup}s\n连接时间: %{time_connect}s\n总时间: %{time_total}s\n" -o /dev/null https://example.com
   

   说明：

   • -w选项可以输出格式化的统计信息
   • -o /dev/null丢弃实际内容

2. 测试API并格式化JSON响应

   curl -s https://api.example.com | python -m json.tool
   

   说明：

   • 结合Python的json.tool模块格式化输出
   • 也可以使用jq工具：curl -s URL | jq

3. 下载多个文件

   curl -O https://example.com/file1.txt -O https://example.com/file2.txt
   

   说明：

   • 可以在一个命令中指定多个URL下载
   • 每个URL需要单独的-O选项

4. 模拟浏览器请求

   curl -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36" https://example.com
   

   说明：

   • -A选项设置User-Agent头
   • 对于检测浏览器的网站很有用

5. 验证HTTPS证书

   curl -v https://example.com 2>&1 | grep "SSL certificate"
   

   说明：

   • 验证网站的SSL证书信息
   • 对安全检查很有用

6. 测试WebSocket连接

   curl -N -H "Connection: Upgrade" -H "Upgrade: websocket" -H "Sec-WebSocket-Key: SGVsbG8sIHdvcmxkIQ==" https://ws.example.com
   

   说明：

   • 简单测试WebSocket服务器端点
   • -N禁用输出缓冲

curl与其他工具的配合

1. 与jq结合处理JSON

   curl -s https://api.example.com/users | jq '.users[].name'
   

   说明：

   • 使用jq提取或过滤JSON数据
   • 对API返回数据的处理非常有用

2. 与grep结合提取信息

   curl -s https://example.com | grep -o '<title>.*</title>'
   

   说明：

   • 提取页面中的特定内容
   • 可以快速检索关键信息

3. 在脚本中使用

   response=$(curl -s -w "%{http_code}" -o /tmp/output.txt https://api.example.com)
   if [ "$response" -eq 200 ]; then
       echo "请求成功"
   else
       echo "请求失败，状态码: $response"
   fi
   

   说明：

   • 在shell脚本中捕获HTTP状态码
   • 基于状态码执行不同操作

curl注意事项

1. 安全考虑

   • 在命令行使用密码时需谨慎，可能会记录在shell历史记录中
   • 考虑使用~/.netrc文件或环境变量存储凭据

2. HTTP/2支持

   • 使用--http2选项启用HTTP/2支持
   • 部分版本的curl默认支持HTTP/2

3. 重定向处理

   • 默认情况下不跟随重定向，使用-L选项开启
   • 可以用--max-redirs限制最大重定向次数

4. 证书验证

   • 默认验证HTTPS证书，可用-k选项禁用验证
   • 生产环境应避免禁用证书验证

5. 请求频率限制

   • 频繁请求可能触发服务器的速率限制或IP封禁
   • 考虑使用--limit-rate和适当的延迟

title: Kubernetes核心概念详解：Namespace、Pod、Deployment、PV和PVC date: 2023-06-27 10:00:00 titleTag: 原创 permalink: /pages/kubernetes-core-concepts/ categories:

• Linux笔记
• K8S tags:
• Kubernetes
• 容器化
• 集群管理

Kubernetes中的Namespace、Pod、Deployment、PV和PVC详解

Namespace

Namespace（命名空间）用于在同一个Kubernetes集群中将资源进行逻辑上的隔离。它类似于Linux中的命名空间，可以在一个集群中创建多个命名空间，每个命名空间下可以有一组独立的资源。

• 创建命名空间

  kubectl create namespace <namespace-name>
  

• 查看所有命名空间

  kubectl get namespaces
  

• 删除命名空间

  kubectl delete namespace <namespace-name>
  

命名空间通常用于不同环境（如开发、测试、生产）或不同项目之间的资源隔离。

Pod

Pod是Kubernetes中最小的部署单元，包含一个或多个容器（通常是Docker容器）。Pod中的容器共享网络和存储，并且始终在同一个Node上调度和运行。

• 创建Pod（YAML文件）

  apiVersion: v1
  kind: Pod
  metadata:
    name: my-pod
    namespace: default
  spec:
    containers:
    - name: my-container
      image: nginx
  

  kubectl apply -f pod.yaml
  

• 查看所有Pod

  kubectl get pods
  

• 描述Pod

  kubectl describe pod <pod-name>
  

• 删除Pod

  kubectl delete pod <pod-name>
  

Deployment

Deployment是Kubernetes中用于管理Pod的声明式定义。它可以确保集群中始终有指定数量的Pod副本在运行，并且可以实现滚动更新和回滚。

• 创建Deployment（YAML文件）

  apiVersion: apps/v1
  kind: Deployment
  metadata:
    name: my-deployment
    namespace: default
  spec:
    replicas: 3
    selector:
      matchLabels:
        app: my-app
    template:
      metadata:
        labels:
          app: my-app
      spec:
        containers:
        - name: my-container
          image: nginx
  

  kubectl apply -f deployment.yaml
  

• 查看所有Deployments

  kubectl get deployments
  

• 描述Deployment

  kubectl describe deployment <deployment-name>
  

• 更新Deployment

  kubectl apply -f deployment.yaml
  

• 删除Deployment

  kubectl delete deployment <deployment-name>
  

PV（Persistent Volume）

Persistent Volume（持久卷）是Kubernetes集群中的一块存储，可以由管理员预先配置，也可以通过动态供应器自动创建。PV是一个集群资源，与Pod独立。

• 创建PV（YAML文件）

  apiVersion: v1
  kind: PersistentVolume
  metadata:
    name: my-pv
  spec:
    capacity:
      storage: 1Gi
    accessModes:
      - ReadWriteOnce
    hostPath:
      path: "/mnt/data"
  

  kubectl apply -f pv.yaml
  

• 查看所有PVs

  kubectl get pv
  

• 描述PV

  kubectl describe pv <pv-name>
  

• 删除PV

  kubectl delete pv <pv-name>
  

PVC（Persistent Volume Claim）

Persistent Volume Claim（持久卷声明）是用户请求PV资源的方式。PVC可以请求特定大小和访问模式的存储，Kubernetes会找到满足要求的PV并将其绑定到PVC上。

• 创建PVC（YAML文件）

  apiVersion: v1
  kind: PersistentVolumeClaim
  metadata:
    name: my-pvc
  spec:
    accessModes:
      - ReadWriteOnce
    resources:
      requests:
        storage: 1Gi
  

  kubectl apply -f pvc.yaml
  

• 查看所有PVCs

  kubectl get pvc
  

• 描述PVC

  kubectl describe pvc <pvc-name>
  

• 删除PVC

  kubectl delete pvc <pvc-name>
  

总结

• Namespace：用于逻辑上隔离资源。
• Pod：Kubernetes中最小的部署单元，包含一个或多个容器。
• Deployment：用于管理Pod的声明式定义，支持滚动更新和回滚。
• PV（Persistent Volume）：集群中的存储资源，管理员预先配置或动态供应。
• PVC（Persistent Volume Claim）：用户请求PV资源的方式。

title: kubectl常用命令 titleTag: 原创 date: 2022-03-29 16:46:44 permalink: /pages/17f0e7/ categories:

• Linux笔记
• K8S tags:
• K8S
• Kubernetes
• 容器

::: tip 版本说明 本文写于 2022-03，基于 Kubernetes 1.20 左右。<br>在 1.31 上的差异：kubectl 基础命令（get/describe/apply/logs 等）语法未变；kubectl 客户端与 API Server 需遵循版本偏差策略（通常客户端可比服务端新/旧 1 个小版本），建议保持 kubectl 版本与集群版本接近以避免个别字段兼容性问题。 :::

Kubernetes（K8s）是一种用于自动化部署、扩展和管理容器化应用程序的开源系统。kubectl是Kubernetes的命令行工具，用于与Kubernetes集群进行交互。以下是一些常用的kubectl命令：

集群信息

1. 获取集群信息

   kubectl cluster-info
   

2. 查看所有命名空间

   kubectl get namespaces
   

3. 查看当前上下文

   kubectl config current-context
   

4. 切换上下文

   kubectl config use-context <context-name>
   

命名空间

1. 查看命名空间中的资源

   kubectl get all -n <namespace>
   

2. 创建命名空间

   kubectl create namespace <namespace-name>
   

3. 删除命名空间

   kubectl delete namespace <namespace-name>
   

Pod管理

1. 查看所有Pod

   kubectl get pods
   

2. 查看特定命名空间中的Pod

   kubectl get pods -n <namespace>
   

3. 描述Pod

   kubectl describe pod <pod-name>
   

4. 删除Pod

   kubectl delete pod <pod-name>
   

5. 实时查看Pod日志

   kubectl logs -f <pod-name>
   

Deployment管理

1. 查看所有Deployments

   kubectl get deployments
   

2. 查看特定命名空间中的Deployments

   kubectl get deployments -n <namespace>
   

3. 描述Deployment

   kubectl describe deployment <deployment-name>
   

4. 更新Deployment

   kubectl apply -f <deployment-file>.yaml
   

5. 删除Deployment

   kubectl delete deployment <deployment-name>
   

Service管理

1. 查看所有Services

   kubectl get services
   

2. 查看特定命名空间中的Services

   kubectl get services -n <namespace>
   

3. 描述Service

   kubectl describe service <service-name>
   

4. 删除Service

   kubectl delete service <service-name>
   

ConfigMap和Secret管理

1. 查看所有ConfigMaps

   kubectl get configmaps
   

2. 查看所有Secrets

   kubectl get secrets
   

3. 创建ConfigMap

   kubectl create configmap <configmap-name> --from-literal=<key>=<value>
   

4. 创建Secret

   kubectl create secret generic <secret-name> --from-literal=<key>=<value>
   

其他

1. 执行命令到Pod中

   kubectl exec -it <pod-name> -- <command>
   

2. 转发端口

   kubectl port-forward <pod-name> <local-port>:<remote-port>
   

3. 获取资源的YAML定义

   kubectl get <resource-type> <resource-name> -o yaml
   

4. 编辑资源

   kubectl edit <resource-type> <resource-name>
   

title: Kubernetes之yaml文件详解 date: 2022-03-29 16:46:44 permalink: /pages/d96450/ categories:

• Linux笔记
• K8S tags:
• K8S
• Kubernetes
• 容器

::: tip 版本说明 本文写于 2022-03，基于 Kubernetes 1.20 左右。<br>在 1.31 上的差异：本文若涉及 PodSecurityPolicy（policy/v1beta1），该资源已在 1.21 弃用、1.25 彻底移除，需改用 Pod Security Admission（命名空间级 pod-security.kubernetes.io 标签）；Ingress 资源自 1.22 起仅支持 networking.k8s.io/v1（不再支持 extensions/v1beta1/networking.k8s.io/v1beta1），使用时请核对 apiVersion 是否已更新；Deployment/Service/ConfigMap 等基础资源的 YAML 结构未变。 :::

Kubernetes的YAML文件是用于定义Kubernetes对象（如Pod、Service、Deployment等）的一种格式化文件。这些文件通常由开发人员和运维人员使用，并通过kubectl工具进行部署和管理。

以下是一个基本的Kubernetes YAML文件的示例：

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
  labels:
    app: my-app
spec:
  containers:
    - name: my-container
      image: nginx:latest

Kubernetes YAML文件的主要结构由以下几个部分组成：

• apiVersion：用于指定该对象的Kubernetes API版本。该版本必须与所使用的Kubernetes版本兼容。

• kind：用于指定该对象的类型。常见的类型有Pod、Service、Deployment、ConfigMap、Secret等。

• metadata：用于指定该对象的元数据，包括名称、标签、注释等信息。

• spec：用于指定该对象的规范，包括容器、服务端口、存储卷等配置信息。

在一个Kubernetes YAML文件中，可以定义多个Kubernetes对象，每个对象之间用 --- 分隔开来。例如：

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
  labels:
    app: my-app
spec:
  containers:
    - name: my-container
      image: nginx:latest

---
apiVersion: v1
kind: Service
metadata:
  name: my-service
spec:
  selector:
    app: my-app
  ports:
    - name: http
      port: 80
      targetPort: 80

在上面的示例中，定义了一个Pod和一个Service对象。

Kubernetes YAML文件的定义格式是相对灵活的，开发人员和运维人员可以根据需要灵活定义和组织它们。在定义时，可以使用一些基本的Kubernetes YAML文件的语法和结构元素，例如注释、缩进、序列和映射等。

总的来说，Kubernetes YAML文件是定义Kubernetes对象的一种简单但强大的方式。熟练掌握Kubernetes YAML文件的语法和结构可以更好地帮助开发人员和运维人员管理和部署Kubernetes对象。

除了上述基本结构外，Kubernetes YAML文件还支持许多其他功能和特性。下面列举了一些常用的Kubernetes YAML文件的功能和技巧：

• 注释：使用 # 符号来添加注释。注释可以添加在任何位置，以提高代码的可读性。

apiVersion: v1
kind: Pod
metadata:
  name: my-pod  # 定义Pod名称
spec:
  containers:
    - name: my-container  # 定义容器名称
      image: nginx:latest  # 定义容器镜像

• 多行字符串：使用 | 符号来定义多行字符串。这在定义大块的配置文件时非常有用。

apiVersion: v1
kind: ConfigMap
metadata:
  name: my-config
data:
  my-conf.yaml: |
    key1: value1
    key2: value2
    key3: value3

• 环境变量：可以通过 env 属性来定义容器的环境变量。

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  containers:
    - name: my-container
      image: nginx:latest
      env:
        - name: ENV_VAR1
          value: "value1"
        - name: ENV_VAR2
          value: "value2"

• 存储卷：可以使用 volumes 属性来定义Pod中的存储卷。

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  containers:
    - name: my-container
      image: nginx:latest
      volumeMounts:
        - name: my-volume
          mountPath: /data
  volumes:
    - name: my-volume
      configMap:
        name: my-config

• 配置文件：可以使用 configMap 和 secret 属性来定义Pod中的配置文件。

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  containers:
    - name: my-container
      image: nginx:latest
      volumeMounts:
        - name: my-config
          mountPath: /etc/my-app
      env:
        - name: ENV_VAR1
          valueFrom:
            configMapKeyRef:
              name: my-config
              key: env-var1
        - name: ENV_VAR2
          valueFrom:
            secretKeyRef:
              name: my-secret
              key: env-var2
  volumes:
    - name: my-config
      configMap:
        name: my-config
    - name: my-secret
      secret:
        name: my-secret

• 部署：可以使用 Deployment 对象来定义Pod的部署和升级策略。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-deploy
spec:
  replicas: 3
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
    spec:
      containers:
        - name: my-container
          image: nginx:latest

title: Kubernetes (k8s) 相关名词详解 date: 2024-06-27 10:30:00 titleTag: 原创 permalink: /pages/k8s-terms/ categories:

• Linux笔记
• K8S tags:
• Kubernetes
• 云原生
• 容器编排

了解Kubernetes（简称k8s）相关的名词有助于更好地使用和管理Kubernetes集群。以下是一些常见的Kubernetes相关名词及其详细介绍：

1. Pod

Pod 是 Kubernetes 中最小的部署单元，一个 Pod 可以包含一个或多个容器，这些容器共享网络和存储资源。Pod 通常用于运行一个应用程序的一个实例。

2. Node

Node 是 Kubernetes 集群中的一台服务器，可以是物理机也可以是虚拟机。每个 Node 上运行一个 kubelet 服务，负责与 Kubernetes API server 通信，并管理该 Node 上的 Pod。

3. Cluster

Cluster 是一组 Node 的集合，通过 Kubernetes API 进行统一管理。集群可以在本地数据中心或云环境中部署。

4. Namespace

Namespace 是 Kubernetes 中的一个逻辑隔离单位，用于将集群中的资源划分为不同的组。不同的 Namespace 之间的资源默认是隔离的，但可以通过某些配置进行跨 Namespace 访问。

5. Deployment

Deployment 是 Kubernetes 中用于声明应用的生命周期管理的资源。通过 Deployment，可以定义 Pod 的副本数、更新策略等，Kubernetes 会自动管理这些 Pod 的创建、删除和更新。

6. Service

Service 是 Kubernetes 中用于定义一组 Pod 的网络访问策略。Service 提供了一个稳定的 IP 地址和 DNS 名称，用于访问与其关联的 Pod。

7. ConfigMap

ConfigMap 用于在 Kubernetes 中存储非机密的配置数据，以键值对的形式存储。Pod 可以将 ConfigMap 中的数据挂载为环境变量或配置文件。

8. Secret

Secret 与 ConfigMap 类似，但用于存储敏感信息，如密码、OAuth 令牌等。Secret 中的数据会被 Base64 编码，并以更高的安全级别进行保护。

9. Volume

Volume 是 Kubernetes 中用于持久化数据存储的抽象。Pod 中的容器可以共享 Volume，Volume 的生命周期与 Pod 一致，但 Kubernetes 提供了多种持久化存储解决方案，如 PersistentVolume。

10. PersistentVolume (PV) 和 PersistentVolumeClaim (PVC)

PersistentVolume (PV) 是集群级别的存储资源，管理员预先配置。PersistentVolumeClaim (PVC) 是用户对 PV 的请求，类似于 Pod 对 Node 的请求。

11. Ingress

Ingress 是 Kubernetes 中的一种 API 对象，用于管理外部访问服务的规则。通过 Ingress，可以配置 HTTP 和 HTTPS 路由，并提供负载均衡、SSL 终端等功能。

12. StatefulSet

StatefulSet 是一种用于管理有状态应用的控制器，保证 Pod 的唯一性和顺序性，常用于数据库或其他有状态服务的部署。

13. DaemonSet

DaemonSet 确保集群中的每个 Node 都运行一个 Pod 副本，常用于日志收集、监控代理等系统服务。

14. Job 和 CronJob

Job 是 Kubernetes 中用于一次性任务的资源，确保任务的完成。CronJob 是基于时间调度的 Job，可以定时执行任务。

15. kube-apiserver

kube-apiserver 是 Kubernetes 控制平面的组件，负责处理 API 请求，并与集群中其他组件通信。

16. kube-controller-manager

kube-controller-manager 运行控制器进程，负责集群中的常规任务，如副本控制、节点控制、端点控制等。

17. kube-scheduler

kube-scheduler 负责将 Pod 调度到适合的 Node 上，考虑资源需求、策略和约束。

18. etcd

etcd 是 Kubernetes 的分布式键值存储，保存了集群的所有状态信息。

19. kubelet

kubelet 是运行在每个 Node 上的代理，负责管理该 Node 上的容器，确保它们按照 Pod 规范运行。

20. kubectl

kubectl 是 Kubernetes 的命令行工具，用于与 Kubernetes 集群交互，执行各种管理任务。

title: PV、PVC、StorageClass的区别和联系 date: 2025-03-30 15:12:32 titleTag: 原创 permalink: /pages/pvc-storageclass-diff/ categories:

• Linux笔记
• K8S tags:
• PV
• PVC
• StorageClass

在 Kubernetes 中，持久化存储是一个重要的概念，它通过 PersistentVolume (PV)、PersistentVolumeClaim (PVC) 和 StorageClass 来实现。下面我们详细介绍它们的区别和联系。

1. PersistentVolume (PV)

定义: PersistentVolume 是 Kubernetes 中的一种资源对象，它表示集群中的一个存储卷。PV 是由管理员预先创建的，或者通过 StorageClass 动态创建的。

特点:

• PV 是集群范围的资源。
• PV 的生命周期独立于 Pod。
• PV 定义了存储的容量、访问模式、回收策略等。

示例:

apiVersion: v1
kind: PersistentVolume
metadata:
  name: example-pv
spec:
  capacity:
    storage: 5Gi
  accessModes:
    - ReadWriteOnce
  persistentVolumeReclaimPolicy: Retain
  storageClassName: standard
  hostPath:
    path: /mnt/data

2. PersistentVolumeClaim (PVC)

定义: PersistentVolumeClaim 是 Kubernetes 中的一种资源对象，它表示用户对存储的申请。PVC 用于绑定到 PV，并为 Pod 提供存储。

特点:

• PVC 是用户的存储需求声明。
• PVC 会自动绑定到符合条件的 PV。
• PVC 通过 accessModes 和 storageClassName 来匹配 PV。

示例:

apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: example-pvc
spec:
  accessModes:
    - ReadWriteOnce
  resources:
    requests:
      storage: 5Gi
  storageClassName: standard

3. StorageClass

定义: StorageClass 是 Kubernetes 中的一种资源对象，它定义了存储卷的动态配置方式。通过 StorageClass，可以动态地创建 PV，而无需管理员手动创建。

特点:

• StorageClass 定义了存储的提供方式。
• StorageClass 可以指定不同的存储类型（如 NFS、Ceph、AWS EBS 等）。
• StorageClass 可以设置 provisioner 和 parameters 来配置存储。

示例:

apiVersion: storage.k8s.io/v1
kind: StorageClass
metadata:
  name: standard
provisioner: kubernetes.io/aws-ebs
parameters:
  type: gp2

4. 区别

5. 联系

1. PV 与 PVC 的联系:

   • PVC 是用户的存储需求声明，PV 是存储的实际实现。
   • PVC 会自动绑定到符合条件的 PV。

2. StorageClass 与 PV 的联系:

   • StorageClass 定义了动态创建 PV 的方式。
   • 如果使用 StorageClass，PV 会根据 StorageClass 的配置动态生成。

3. StorageClass 与 PVC 的联系:

   • PVC 可以通过 storageClassName 字段指定使用哪个 StorageClass。
   • PVC 的 storageClassName 决定了绑定的 PV 的类型。

6. 使用场景

• 静态存储: 如果集群管理员已经预先创建了 PV，用户可以通过 PVC 绑定到这些 PV。

• 动态存储: 如果使用了 StorageClass，用户可以通过 PVC 动态创建 PV，而无需管理员手动干预。

7. 示例流程

以下是一个使用 StorageClass 动态创建 PV 的完整流程：

1. 创建 StorageClass:

apiVersion: storage.k8s.io/v1
kind: StorageClass
metadata:
  name: fast-storage
provisioner: kubernetes.io/aws-ebs
parameters:
  type: io1
  iopsPerGB: "10"
  fsType: ext4

2. 创建 PVC:

apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: fast-pvc
spec:
  accessModes:
    - ReadWriteOnce
  resources:
    requests:
      storage: 10Gi
  storageClassName: fast-storage

3. 检查自动创建的 PV:

$ kubectl get pv

通过以上流程，PVC 会自动绑定到由 StorageClass 动态创建的 PV。

总结

• PV 是存储的实际实现。
• PVC 是用户的存储需求声明。
• StorageClass 提供了动态创建 PV 的方式。
• 三者共同构成了 Kubernetes 中的持久化存储体系。

title: Nginx 运维知识地图：从配置基础到反向代理实战 titleTag: 原创 date: 2026-07-29 21:00:00 permalink: /pages/nginx-guide/ categories:

• Linux笔记
• Nginx tags:
• Nginx
• Web服务器

Nginx 分类下 17 篇文章覆盖配置基础、反向代理、认证安全、限流日志、运维排障五个方向。这一页按实际使用场景重新组织成阅读路径。

1. 配置基础

2. 反向代理与网关

3. 认证与安全

4. 限流与日志

5. 运维排障

怎么用这份地图

• 刚接触 Nginx：第 1 节打基础，配置文件结构和 gzip/端口复用是最高频的日常配置项。
• 要做反向代理网关：第 2 节按需选型，四层代理和 mirror 流量复制是进阶场景，先确认业务是否真的需要。
• 要给内部服务加访问控制：直接看第 3 节的三档认证方案，按团队规模选，不要一上来就上 LDAP/OIDC。
• 线上访问异常：第 5 节，open_file_cache 导致的发布后 404 是最容易被忽略的一类坑。

title: Nginx 给内部服务加认证：Basic Auth / LDAP / OIDC 三档怎么选 date: 2022-03-10 02:52:51 permalink: /pages/8531e6/ categories:

• Linux笔记
• Nginx tags:
• Nginx
• Web服务器

::: tip 版本说明 Basic Auth 是 Nginx 内置模块，任意版本可用；nginx-ldap-auth 与 OIDC 反代方案需要额外组件，版本要求见对应小节。 :::

给一个内部服务（监控面板、管理后台）加访问控制，常见诉求是"不想让服务本身实现登录逻辑，交给反向代理层统一挡一道"。Nginx 层面能做到的方案有三档，复杂度和适用场景依次递进：

1. 档位一：HTTP Basic Auth（最简单，几分钟搞定）

生成密码文件：

printf "admin:$(openssl passwd -apr1)" > /etc/nginx/conf.d/htpasswd
# 命令会提示交互式输入密码

openssl passwd -apr1 生成 Apache MD5 变体的密码哈希，Nginx 的 auth_basic_user_file 兼容这种格式；admin 换成你要用的用户名，文件里每行一个"用户名:密码哈希"。

配置 Nginx：

location /internal-monitor/ {
    auth_basic "Restricted Access";
    auth_basic_user_file /etc/nginx/conf.d/htpasswd;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $remote_addr;
    proxy_pass http://backend:19999/;
}

auth_basic 的字符串会显示在浏览器弹出的登录框标题上，auth_basic_user_file 指向刚才生成的密码文件。

验证：访问该路径应弹出浏览器原生认证框；curl -u admin:密码 http://host/internal-monitor/ 能正常拿到响应，不带认证信息则返回 401。

坑：Basic Auth 是明文（Base64 编码不是加密）在 HTTP 头里传输密码，必须配合 HTTPS 使用，纯 HTTP 下等于裸奔；而且它是"一份密码文件对应若干共享账号"，没有细粒度的用户管理、审计日志、密码策略，只适合团队规模小、临时挡一道的场景。

2. 档位二：LDAP 认证（对接企业统一账号）

团队规模大了之后，共享密码文件很快就管不过来——离职要删账号、新人要开账号，Basic Auth 的密码文件没有任何自动化空间。这时候把认证对接到企业已有的 LDAP/AD 账号体系更合理：让员工用平时登录邮箱/OA 的同一套账号访问内部服务，权限统一由 LDAP 侧管理。

Nginx 原生不支持 LDAP，需要借助 nginx-ldap-auth 这类第三方认证子请求模块（auth_request 指令 + 一个独立的 LDAP 认证代理进程）：

location /internal-monitor/ {
    auth_request /auth-proxy;
    error_page 401 = @error401;
    proxy_pass http://backend:19999/;
}

location = /auth-proxy {
    internal;
    proxy_pass http://ldap-auth-daemon:8888;
    proxy_set_header Content-Length "";
    proxy_pass_request_body off;
}

location @error401 {
    return 302 /login;
}

auth_request 指令会先向 /auth-proxy 发一个子请求，只关心它返回的状态码——2xx 放行原请求，401/403 则按 error_page 的配置处理（通常跳转到登录页）。真正跟 LDAP 服务器交互（BIND 认证）的逻辑在 ldap-auth-daemon 这个独立进程里完成，Nginx 本身不直接说 LDAP 协议。

坑：auth_request 子请求走的是独立的一次 HTTP 请求，不会自动带上原请求的 body，proxy_pass_request_body off + 清空 Content-Length 是标准写法，忘记这两行可能导致认证代理收到异常请求。

3. 档位三：OIDC/SSO（统一单点登录，最重的方案）

组织内已经有统一身份提供商（如 Okta、Keycloak、企业自建 IdP）时，最终形态是把 Nginx 前面的所有内部服务都接入同一个 OIDC 单点登录，用户登录一次，所有内部服务免登录跳转。这一档通常不是纯 Nginx 配置能搞定的，而是引入专门的反向代理网关（如 oauth2-proxy）：

location /internal-monitor/ {
    auth_request /oauth2/auth;
    error_page 401 = /oauth2/sign_in;
    proxy_pass http://backend:19999/;
}

location /oauth2/ {
    proxy_pass http://oauth2-proxy:4180;
}

oauth2-proxy 独立部署，负责跟 OIDC IdP 完成标准的 OAuth2/OIDC 授权码流程，Nginx 这一层依然是熟悉的 auth_request 套路，只是认证代理换成了理解 OIDC 协议的组件。

适用场景：需要统一审计、多因素认证（MFA）、跟公司现有 SSO 体系集成时选这一档；小团队、单一内部服务没有必要上这一整套。

4. 三档怎么选

5. 可复用要点

1. 认证方案的复杂度应该匹配团队规模和已有基础设施，不要为一个内部小工具直接上 SSO。
2. Basic Auth 必须搭配 HTTPS，否则密码等于明文传输。
3. LDAP/OIDC 这两档在 Nginx 层的共同套路都是 auth_request 子请求 + 独立认证代理进程，Nginx 本身不直接实现认证协议。

title: 利用nginx+sftp实现一个可供用户下载的服务 titleTag: 收藏(二丫讲梵)备查 date: 2018-06-18 22:36:32 permalink: /pages/1086.html categories:

• Linux笔记
• Nginx tags:
• nginx
• ftp

::: tip 版本说明 本文写于 2018-06，基于 Nginx 1.14 左右版本。<br>SFTP/Nginx 静态文件服务的核心配置项（autoindex、root/alias）历年未变，经 2026-07 复核仍适用。 :::

公司服务端开发小伙伴来提需求啦，好像还很紧急的样子。宁静的日子也就这样被打破。据他描述，需求大概是：做一个可以咱们自己自由上传，而用户那边通过一个链接就可以下载 app 的服务。

经过讨论：想实现这个，一共有两部分，首先是本地将文件上传，其次是普通用户下载。

上传就用 sftp 了。

从技术角度来分析，几个要求：

• 1、从安全方面看，sftp 会更安全一点。
• 2、线上服务器提供在线服务，对用户需要控制，只能让用户在自己的 home 目录下活动。
• 3、用户只能使用 sftp，不能 ssh 到机器进行操作。

提供 sftp 服务，可以用系统自带的 internal-sftp，也可以使用 vsftpd，这里需求不多，直接选用internal-sftp。

限制用户只能在自己的 home 目录下活动，这里需要使用到chroot，openssh 4.8p1 以后都支持 chroot，我现在用的是 CentOS 6.3，自带的 openssh 已经是 5.3p1，足够了。

ssh -V     
 
#查看openssh的版本，如果低于4.8p1，需要自行升级安装，不在这里具体介绍了。

假设，有一个名为test的组，这个组中的用户只能使用sftp，不能使用ssh，且 sftp 登录后只能在自己的 home 目录下活动。

1、创建 sftp 组

groupadd test

2、创建一个 sftp 用户，名为 erya。

（原来的教程是创建了一个系统用户，不能登陆，现在可以创建一个普通用户，然后通过秘钥进行登陆）

useradd -g test erya
passwd erya

3、创建目录并分配权限。

test 组的用户的 home 目录统一指定到 / data/sftp 下，按用户名区分，这里先新建一个 erya 目录，然后指定 erya 的 home 为 / data/sftp/erya

mkdir -p /data/sftp/erya
usermod -d /data/sftp/erya erya

4、配置 sshd_config。

编辑 ssh 配置文件 / etc/ssh/sshd_config。

1，注释如下行。

 vim  /etc/ssh/sshd_config  
 
Subsystem      sftp    /usr/libexec/openssh/sftp-server      
#注释此行

2，添加如下几行。

Subsystem       sftp    internal-sftp  
#这行指定使用sftp服务使用系统自带的internal-sftp
 
Match Group sftp  
#这行用来匹配sftp组的用户，如果要匹配多个组，多个组之间用逗号分割
 
当然，也可以匹配用户
Match User mysftp
#这样就可以匹配用户了，多个用户名之间也是用逗号分割，但我们这里按组匹配更灵活和方便
 
ChrootDirectory /data/sftp/%u  
#用chroot将用户的根目录指定到/data/sftp/%u，%u代表用户名，这样用户就只能在/data/sftp/%u下活动，chroot的含义，可以参考这里：http://www.ibm.com/developerworks/cn/linux/l-cn-chroot/
 
ForceCommand    internal-sftp  
#指定sftp命令
 
AllowTcpForwarding no  
X11Forwarding no  
#这两行，如果不希望该用户能使用端口转发的话就加上，否则删掉

注意：里边的注释是为了帮助理解，实际使用中可以去掉。

5、设定 Chroot 目录权限。

chown root:test /data/sftp/erya
chmod 755 /data/sftp/erya

错误的目录权限设定会导致在 log 中出现”fatal: bad ownership or modes for chroot directory XXXXXX” 的内容.

1，目录的权限设定有两个要点

• 1、由 ChrootDirectory 指定的目录开始一直往上到系统根目录为止的目录拥有者都只能是 root
• 2、由 ChrootDirectory 指定的目录开始一直往上到系统根目录为止都不可以具有群组写入权限

2，所以遵循以上两个原则

• 1）我们将 / data/sftp/erya 的所有者设置为了 root，所有组设置为 test
• 2）我们将 / data/sftp/erya 的权限设置为 755，所有者 root 有写入权限，而所有组 test 无写入权限

6、建立 erya 用户登入后可写入的目录。

照上面设置后，在重启 sshd 服务后，用户 erya 已经可以登录，但使用 chroot 指定根目录后，根应该是无法写入的，所以要新建一个目录供 erya 上传文件。这个目录所有者为 erya，所有组为 test，所有者有写入权限，而所有组无写入权限。

mkdir /data/sftp/erya/upload  
chown erya:test /data/sftp/erya/upload  
chmod 755 /data/sftp/erya/upload

7、重启 sshd 服务。

service sshd restart

到这里，我们就可以通过 sftp 客户端登录并可以上传文件到upload目录。

如果还是不能在此目录下上传文件，提示没有权限，检查 SElinux 是否关闭，可以使用# setenforce 0指令关闭临时 SElinux。 或者修改/etc/selinux/config文件中的SELINUX="" 为 disabled，然后重启，进行永久关闭。

此时可以通过 Linux 命令行登陆刚才配置的 sftp 服务了。

常规登陆：sftp erya@192.168.96.219 指定端口：sftp erya@192.168.96.219 -oPort=2222

也可以用过 file-zilla，sftp 等客户端登陆，进行上传下载。

然后是对下载端进行配置。

8，安装 nginx 服务。

进入到配置文件中，配置如下内容：

server {  
	        listen       80;  
	        server_name sftp.erya.net;  
	        charset utf-8;  
	        location / {  
	                root   /data/sftp/erya/upload;  
	                autoindex       on;  
	                autoindex_exact_size    off;  
	                autoindex_localtime     on;  
	          }  
	     } 

nginx -t 检测一下配置文件。 nginx -s reload重新加载。

然后对刚才配置的域名进行解析配置。完成之后就可以到浏览器直接访问并进行下载了。

现在为了控制 sftp 授权的用户（erya）对服务器的权限，让他在连接工具中直接免密码登陆。

先在 root 用户下生成一对密钥对。

[root@localhost ~]# ssh-keygen -t rsa

然后把公钥传给家目录下改名为authorized_keys，然后在登陆的时候，使用私钥文件，就实现了免密码登陆。

cp /root/.ssh/id_rsa.pub /home/erya/.ssh/authorized_keys

如果想通过传输的方式将公钥传输过去，那么有两种情况。

1，端口默认。

这种情况下，就直接使用 ssh-copy-id 的方式进行传输就好了。

2，指定端口。

ssh-copy-id –I .ssh/id_rsa.pub “-p 12345 abc@192.168.66.10”

9，sftp 客户端如何使用。

1， 将 / root/.ssh/id_rsa 文件发到本地，然后在 Xftp 的工具栏里导入。

2， 进行 erya 用户登陆的配置，IP，协议，端口，秘钥，用户名。

3， 配置完成，直接点击连接，这样用户就锁定在 upload 目录下了。

这样如果给别人来进行上传，直接让他在客户端，把秘钥文件发给他，就 ok 了。安全又卫生。

现在，上传的文件，与 nginx 所访问到的目录文件保持了一致，只要在域名后边添加相应的文件名字，就可以直接进行下载了，把这样的效果交给服务端开发同学，只需要他这边把链接放到对应的地方就可以啦。

title: nginx配置文件及模块 titleTag: 收藏(二丫讲梵)备查 date: 2018-06-21 22:36:45 permalink: /pages/1153.html categories:

• Linux笔记
• Nginx tags:
• nginx

::: tip 版本说明 本文写于 2018-06，基于 Nginx 1.14 左右版本。<br>核心配置结构（http/server/location）与本文所涉模块历年未变，经 2026-07 复核仍适用。 :::

1，nginx 是什么？

Nginx 是一个基于 c 语言开发的高性能 http 服务器及反向代理服务器。由俄罗斯的程序设计师 Igor Sysoev 所开发，官方测试 nginx 能够支支撑 5 万并发链接，并且 cpu、内存等资源消耗却非常低，运行非常稳定。

2，为什么要用 nginx？

理由一：

传统的小型网站并发量小，用户使用的少，所以在低并发的情况下，用户可以直接访问 tomcat 服务器，然后 tomcat 服务器返回消息给用户。为了解决并发，可以使用负载均衡，也就是多增加几个 tomcat 服务器，当用户访问的时候，请求可以提交到空闲的 tomcat 服务器上。

但是这种情况下可能会出现一种问题：假设把图片上传到了 tomcat1 上了，当要访问这个图片的时候，tomcat1 正好在工作，所以访问的请求就交给其他的 tomcat 操作，而 tomcat 之间的数据没有进行同步，所以就发生了我们要请求的图片找不到。

为了解决这种情况，我们专门建立一个图片服务器，用来存储图片。这样当都把图片上传的时候，不管是哪个服务器接收到图片，都把图片上传到图片服务器。而图片服务器上需要安装一个 http 服务，可以使用 tomcat、apache、nginx。

理由二：

nginx 常用做静态内容服务和代理服务器，直面外来请求转发给后面的应用服务（tomcat，django 什么的），tomcat 更多用来做做一个应用容器，让 java web app 跑在里面的东西。

理由三：

nginx作反向代理：

反向代理就是后端服务不直接对外暴露, 请求首先发送到 nginx, 然后 nginx 将请求转发到后端服务器, 比如 tomcat 等. 如果后端服务只有一台服务器, nginx 在这里只有一个作用就是起到了代理后端服务接收请求的作用. 称之为反向代理.

理由四：

nginx作负载均衡：

在现实的应用场景中, 一台后端服务器出现单点故障的概率很大或者单台机器的吞吐量有限, 无法承担过多请求. 这时候就需要在 nginx 后端配置多台服务器, 利用 nginx 内置的规则讲请求转发到后端不同的机器上. 这时候就起到了负载均衡的作用.

3，nginx 配置文件。

主要组成部分：

main（全局设置）

main 部分设置的指令将影响其它所有部分的设置；

server（主机设置）

server 部分的指令主要用于指定虚拟主机域名、IP 和端口；

upstream

upstream 的指令用于设置一系列的后端服务器，设置反向代理及后端服务器的负载均衡；

location

location 部分用于匹配网页位置（比如，根目录 “/”,“/images”, 等等）；

他们之间的关系：

server 继承 main，location 继承 server；upstream 既不会继承指令也不会被继承。它有自己的特殊指令，不需要在其他地方的应用。

举例说明：

下面的 nginx.conf 简单的实现 nginx 在前端做反向代理服务器的例子，处理 js、png 等静态文件，jsp 等动态请求转发到其它服务器 tomcat：

user www www;
worker_processes 2;
error_log logs/error.log;
#error_log logs/error.log notice;
#error_log logs/error.log info;
pid logs/nginx.pid;
events {
    use epoll;
    worker_connections 2048;
}
http {
    include mime.types;
    default_type application/octet-stream;
    #log_format main '$remote_addr - $remote_user [$time_local] "$request" '
    # '$status $body_bytes_sent "$http_referer" '
    # '"$http_user_agent" "$http_x_forwarded_for"';
    #access_log logs/access.log main;
    sendfile on;
    # tcp_nopush on;
    keepalive_timeout 65;
    # gzip压缩功能设置
    gzip on;
    gzip_min_length 1k;
    gzip_buffers 4 16k;
    gzip_http_version 1.0;
    gzip_comp_level 6;
    gzip_types text/html text/plain text/css text/javascript application/json application/javascript application/x-javascript application/xml;
    gzip_vary on;
    # http_proxy 设置
    client_max_body_size 10m;
    client_body_buffer_size 128k;
    proxy_connect_timeout 75;
    proxy_send_timeout 75;
    proxy_read_timeout 75;
    proxy_buffer_size 4k;
    proxy_buffers 4 32k;
    proxy_busy_buffers_size 64k;
    proxy_temp_file_write_size 64k;
    proxy_temp_path /usr/local/nginx/proxy_temp 1 2;
    # 设定负载均衡后台服务器列表
    upstream backend {
        #ip_hash;
        server <INTERNAL_IP>:8080 max_fails=2 fail_timeout=30s ;
        server <INTERNAL_IP>:8080 max_fails=2 fail_timeout=30s ;
    }
    # 很重要的虚拟主机配置
    server {
        listen 80;
        server_name itoatest.example.com;
        root /apps/oaapp;
        charset utf-8;
        access_log logs/host.access.log main;
       
        #对 / 所有做负载均衡+反向代理
        location / {
            root /apps/oaapp;
            index index.jsp index.html index.htm;
            proxy_pass http://backend;
            proxy_redirect off;
            # 后端的Web服务器可以通过X-Forwarded-For获取用户真实IP
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_next_upstream error timeout invalid_header http_500 http_502 http_503 http_504;
        }
        #静态文件，nginx自己处理，不去backend请求tomcat
        location ~* /download/ {
            root /apps/oa/fs;
        }
        location ~ .*\.(gif|jpg|jpeg|bmp|png|ico|txt|js|css)$ {
            root /apps/oaapp;
            expires 7d;
        }
        location /nginx_status {
            stub_status on;
            access_log off;
            allow <INTERNAL_IP>/24;
            deny all;
        }
        location ~ ^/(WEB-INF)/ {
            deny all;
        }
        #error_page 404 /404.html;
        # redirect server error pages to the static page /50x.html
        #
        error_page 500 502 503 504 /50x.html;
        location = /50x.html {
            root html;
        }
    }
## 其它虚拟主机，server 指令开始
}

这里仅仅是作为一个示例。

4，常用指令或者模块说明。

4.1main 全局设置。

woker_processes 2;

在配置文件的顶级 main 部分，worker 角色的工作进程的个数，master 进程是接收并分配请求给 worker 处理。这个数值简单一点可以设置为 cpu 的核数 grep ^processor /proc/cpuinfo | wc -l，也是 auto 值，如果开启了 ssl 和 gzip 更应该设置成与逻辑 CPU 数量一样甚至为 2 倍，可以减少 I/O 操作。如果 nginx 服务器还有其它服务，可以考虑适当减少。

worker_cpu_affinity;

也是写在 main 部分。在高并发情况下，通过设置 cpu 粘性来降低由于多 CPU 核切换造成的寄存器等现场重建带来的性能损耗。如 worker_cpu_affinity 0001 0010 0100 1000; （四核）。

worker_connections 2048;

写在 events 部分。每一个 worker 进程能并发处理（发起）的最大连接数（包含与客户端或后端被代理服务器间等所有连接数）。nginx 作为反向代理服务器，计算公式 最大连接数 = worker_processes *

worker_rlimit_nofile 10240;

写在 main 部分。默认是没有设置，可以限制为操作系统最大的限制 65535。

use epoll;

写在 events 部分。在 Linux 操作系统下，nginx 默认使用 epoll 事件模型，得益于此，nginx 在 Linux 操作系统下效率相当高。同时 Nginx 在 OpenBSD 或 FreeBSD 操作系统上采用类似于 epoll 的高效事件模型 kqueue。在操作系统不支持这些高效模型时才使用 select。

4.2http 服务器。

sendfile on;

开启高效文件传输模式，sendfile 指令指定 nginx 是否调用 sendfile 函数来输出文件，减少用户空间到内核空间的上下文切换。对于普通应用设为 on，如果用来进行下载等应用磁盘 IO 重负载应用，可设置为 off，以平衡磁盘与网络 I/O 处理速度，降低系统的负载；

keepalive_timeout 65;

长连接超时时间，单位是秒，这个参数很敏感，涉及浏览器的种类、后端服务器的超时设置、操作系统的设置，可以另外起一片文章了。长连接请求大量小文件的时候，可以减少重建连接的开销，但假如有大文件上传，65s 内没上传完成会导致失败。如果设置时间过长，用户又多，长时间保持连接会占用大量资源；

send_timeout ;

用于指定响应客户端的超时时间。这个超时仅限于两个连接活动之间的时间，如果超过这个时间，客户端没有任何活动，Nginx 将会关闭连接；

client_max_body_size 10m;

允许客户端请求的最大单文件字节数。如果有上传较大文件，请设置它的限制值；

client_body_buffer_size 128k;

缓冲区代理缓冲用户端请求的最大字节数；

4.3 模块 http_proxy

proxy_read_timeout 60;

连接成功后，与后端服务器两个成功的响应操作之间超时时间 (代理接收超时)

proxy_buffer_size 4k;

设置代理服务器（nginx）从后端 realserver 读取并保存用户头信息的缓冲区大小，默认与 proxy_buffers 大小相同，其实可以将这个指令值设的小一点

proxy_buffers 4 32k;

proxy_buffers 缓冲区，nginx 针对单个连接缓存来自后端 realserver 的响应，网页平均在 32k 以下的话，这样设置

proxy_busy_buffers_size 64k;

高负荷下缓冲大小（proxy_buffers*2）

proxy_max_temp_file_size;

当 proxy_buffers 放不下后端服务器的响应内容时，会将一部分保存到硬盘的临时文件中，这个值用来设置最大临时文件大小，默认 1024M，它与 proxy_cache 没有关系。大于这个值，将从 upstream 服务器传回。设置为 0 禁用。

proxy_temp_file_write_size 64k;

当缓存被代理的服务器响应到临时文件时，这个选项限制每次写临时文件的大小。proxy_temp_path（可以在编译的时候）指定写到哪那个目录。

4.4 模块 http_gzip：

gzip on :

开启 gzip 压缩输出，减少网络传输。

gzip_min_length 1k ：

设置允许压缩的页面最小字节数，页面字节数从 header 头得 content-length 中进行获取。默认值是 20。建议设置成大于 1k 的字节数，小于 1k 可能会越压越大。

gzip_buffers 4 16k ：

设置系统获取几个单位的缓存用于存储 gzip 的压缩结果数据流。4 16k 代表以 16k 为单位，安装原始数据大小以 16k 为单位的 4 倍申请内存。

gzip_http_version 1.0 ：

用于识别 http 协议的版本，早期的浏览器不支持 Gzip 压缩，用户就会看到乱码，所以为了支持前期版本加上了这个选项，如果你用了 Nginx 的反向代理并期望也启用 Gzip 压缩的话，由于末端通信是 http/1.0，故请设置为 1.0。

gzip_comp_level 6 ：

gzip 压缩比，1 压缩比最小处理速度最快，9 压缩比最大但处理速度最慢 (传输快但比较消耗 cpu)

gzip_types ：

匹配 mime 类型进行压缩，无论是否指定,”text/html” 类型总是会被压缩的。

gzip_proxied any ：

Nginx 作为反向代理的时候启用，决定开启或者关闭后端服务器返回的结果是否压缩，匹配的前提是后端服务器必须要返回包含”Via” 的 header 头。

gzip_vary on ：

和 http 头有关系，会在响应头加个 Vary: Accept-Encoding ，可以让前端的缓存服务器缓存经过 gzip 压缩的页面，例如，用 Squid 缓存经过 Nginx 压缩的数据。

4.5server 虚拟主机

listen;

监听端口，默认 80，小于 1024 的要以 root 启动。可以为 listen *:80、listen <PUBLIC_IP>:80 等形式。

server_name;

服务器名，如 localhost、www.example.com，可以通过正则匹配。

4.6 模块 http_stream

host:port options;

这个模块通过一个简单的调度算法来实现客户端 IP 到后端服务器的负载均衡，upstream 后接负载均衡器的名字，后端 realserver 以 host:port options; 方式组织在 {} 中。如果后端被代理的只有一台，也可以直接写在 proxy_pass 。

4.7location

root /var/www/html;

定义服务器的默认网站根目录位置。如果 locationURL 匹配的是子目录或文件，root 没什么作用，一般放在 server 指令里面或 / 下。

index index.jsp index.html index.htm;

定义路径下默认访问的文件名，一般跟着 root 放

proxy_pass http:/backend;

请求转向 backend 定义的服务器列表，即反向代理，对应 upstream 负载均衡器。也可以 proxy_pass http://ip:port。

实战：root 和 alias 单独代理一个静态文件的区别

给某个特定路径（比如 SEO 需要的 sitemap.xml）单独指定物理文件位置，是 root/alias 用法差异体现最明显的场景。两种写法：

# 方式一：alias —— location 路径不会拼进最终文件路径
location /sitemap.xml {
    alias /data/www/static/maps/map.xml;
}

# 方式二：root —— location 路径会拼进最终文件路径
location /sitemap.xml {
    root /data/www/static/maps;
}

区别在于最终请求的文件路径怎么拼：alias 直接把 alias 值当成目标文件/目录，location 后面的路径不参与拼接；root 则是把 location 匹配到的路径原样拼到 root 值后面。所以上面两种写法要生效，第一种的 alias 必须精确到文件名 map.xml，第二种的 root 目录下必须真实存在一个叫 sitemap.xml 的文件（因为 root 会拼接 /sitemap.xml 到路径末尾）。

坑：混用是最常见的错误——把 alias 当 root 用（alias 目录下没有对应的子路径文件，直接 404），或者反过来把 root 当 alias 用（多拼出一层路径导致 404）。规则记忆：alias 是"精确替换"，root 是"目录拼接"。

验证：curl -I http://your-domain/sitemap.xml，看到 200 且 Content-Type 正确即为生效；nginx -t 语法检查通过不代表路径正确，必须实际请求验证。

4.8 访问控制 allow/deny

Nginx 的访问控制模块默认就会安装，而且写法也非常简单，可以分别有多个allow,deny，允许或禁止某个 ip 或 ip 段访问，依次满足任何一个规则就停止往下匹配。如：

location /nginx-status {
    stub_status on;
    access_log off;
    # auth_basic "NginxStatus";
    # auth_basic_user_file /usr/local/nginx-1.6/htpasswd;
    allow <INTERNAL_IP>;
    allow <INTERNAL_IP>/24;
    deny all;
}

也常用 httpd-devel 工具的 htpasswd 来为访问的路径设置登录密码：

# htpasswd -c htpasswd admin
New passwd=<PASSWORD> new password=<PASSWORD> password for user admin
# htpasswd htpasswd admin //修改admin密码
# htpasswd htpasswd sean //多添加一个认证用户

这样就生成了默认使用 CRYPT 加密的密码文件。打开上面 nginx-status 的两行注释，重启 nginx 生效。

4.9 列出目录 autoindex

Nginx 默认是不允许列出整个目录的。

如需此功能，打开 nginx.conf 文件，在 location，server 或 http 段中加入 autoindex on;，另外两个参数最好也加上去:

autoindex_exact_size off;

默认为 on，显示出文件的确切大小，单位是 bytes。改为 off 后，显示出文件的大概大小，单位是 kB 或者 MB 或者 GB

autoindex_localtime on;

默认为 off，显示的文件时间为 GMT 时间。改为 on 后，显示的文件时间为文件的服务器时间

location /images {
    root /var/www/nginx-default/images;
    autoindex on;
    autoindex_exact_size off;
    autoindex_localtime on;
}

整理自公众号《我的运维之旅》

title: nginx通过四层代理实现端口转发 titleTag: 收藏(二丫讲梵)备查 date: 2018-11-08 22:37:09 permalink: /pages/1197.html categories:

• Linux笔记
• Nginx tags:
• nginx

::: tip 版本说明 本文写于 2018-11，基于 Nginx 1.14 左右版本。<br>stream 模块自 1.9 起长期稳定，配置语法未变，经 2026-07 复核仍适用。 :::

公司原有的测试数据库在主机192.168.10.5上边，现在数据库转移到了192.168.10.4上，为了不让各个地方都需要更改地址，现在需要一个四层代理工具，将原来请求到192.168.10.5的3306端口转发到192.168.10.4的3306端口。

这个工具，用到了 nginx 的四层代理。

官方文档：http://nginx.org/en/docs/stream/ngx_stream_core_module.html

四层代理依赖模块ngx_stream_core_module，该模块自 1.9.0 版开始可用。默认情况下，此模块不构建，应使用配置参数启用 --with-stream。

安装过程简示：

[root@linux-node1 src]# tar xf nginx-1.10.3.tar.gz 
[root@linux-node1 src]# cd nginx-1.10.3
[root@linux-node1 nginx-1.10.3]# useradd -s /sbin/nologin -M www
[root@linux-node1 nginx-1.10.3]# yum install gcc gcc-c++ zlib-devel pcre-devel openssl openssl-devel -y
[root@linux-node1 nginx-1.10.3]# ./configure --prefix=/usr/local/nginx-1.10.3 --user=www --group=www --with-http_ssl_module --with-http_stub_status_module --with-file-aio --with-stream
[root@linux-node1 nginx-1.10.3]# make && make install 

可以通过nginx -V查看一下是否将上述模块编译进来，如果没有，可以重新编译一下。

来到主配置：

worker_processes  1;
events {
    worker_connections  1024;
}
stream {  
        upstream tcp_proxy {
        hash $remote_addr consistent;  #远程地址做个hash
        server 192.168.10.4:22;
   }
      server {
        listen 2222;
        proxy_connect_timeout 1s;
        proxy_timeout 10s;  #后端连接超时时间
        proxy_pass tcp_proxy;
     }
  }

此配置是将本机的 2222 端口转发到 192.168.10.4 的 22 端口，配置之后，试验一下：

[root@7-3 nginx]$ssh -p 2222 root@192.168.10.5
The authenticity of host '[192.168.10.5]:2222 ([192.168.10.5]:2222)' can't be established.
ECDSA key fingerprint is 05:2f:63:e9:87:be:b4:44:d3:d7:77:a0:52:e0:4f:2f.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '[192.168.10.5]:2222' (ECDSA) to the list of known hosts.
root@192.168.10.5's password:
Last login: Wed Nov  7 15:24:33 2018 from 192.168.10.1
[root@7-2 ~]$hostname -I
192.168.10.4

刚刚设置了 10 的超时，如果需要的话，可以将之注释掉。

同理，配置数据库端口的转发也就非常简单了：

worker_processes  1;
events {
    worker_connections  1024;
}
stream {  
        upstream tcp_proxy {
        hash $remote_addr consistent;  #远程地址做个hash
        server 192.168.10.4:3306;
   }
      server {
        listen 3306;
        proxy_connect_timeout 1s;
       # proxy_timeout 10s;  #后端连接超时时间
        proxy_pass tcp_proxy;
     }
  }

这样一来，用户连接192.168.10.5:3306的时候，就会被转发到192.168.10.4:3306了。

本文参考地址：https://www.cnblogs.com/w787815/p/6682824.html