分类 linux 下的文章

生成文件
dd if=/dev/zero of=/var/swap bs=1k count=1024k

设置交换区
mkswap /var/swap

启用交换器:
swapon /var/swap
开机自动挂载:
echo '/var/swap swap swap default 0 0' >> /etc/fstab

2017-11-07 06:42
2023-02-14 12:46
linux建立最小权限用户

添加用户
useradd -s /bin/false username

-s参数可指定用户的shell,设置成 /bin/false。这样用户就无法与系统进行交互。

设置密码:
passwd username

Linux下查看用户列表

cat /etc/passwd 可以查看所有用户的列表
w 可以查看当前活跃的用户列表
cat /etc/group 查看用户组

修改linux系统时间为北京时间
cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime
还有一个方法: /etc下有个timezone文件,把里面的改成Asia/Shanghai

scp命令 适合没有web服务的
scp 本地文件 root@192.168.0.101:/远程目录/远程子目录/
如果是远程传本地则调换过来。

zip加密
zip -q -r -P yourpassword zipfile.zip sourcefiles.txt

使用zip格式打包文件

-r 递归,将指定目录下的所有文件和子目录一并处理

-S 包含系统和隐藏文件

-y 直接保存符号连接,而非该连接所指向的文件

-X 不保存额外的文件属性

-m 将文件压缩并加入压缩文件后,删除源文件

-<压缩级别> 1~9,数字越大,压缩率越高

-F 尝试修复已损坏的压缩文件

-T 检查备份文件内的每个文件是否正确无误

-q 不显示指令执行过程

-g 将文件压缩后附加在既有的压缩文件之后,而非另行建立新的压缩文件

-u 更新压缩包内文件

-f 更新压缩包内文件。如果符合条件的文件没有包含在压缩包中,则压缩后添加

-$ 保存第一个被压缩文件所在磁盘的卷标

-j 只保存文件名称及其内容

-D 压缩文件内不建立目录名称

-i <表达式> 压缩目录时,只压缩符合条件的文件

-x <表达式> 排除符合条件的文件

-n <文件名后缀> 排除指定文件名后缀的文件

-b <缓存路径> 指定临时文件目录

-d <表达式> 从压缩文件内删除指定的文件

-t <日期时间> 把压缩文件的日期设成指定的日期

-o 以压缩文件内拥有最新更改时间的文件为准,将压缩文件的更改时间设成和该文件相同

-A 调整可执行的自动解压缩文件

-c 替每个被压缩的文件加上注释

-z 替压缩文件加上注释

-k 使用MS-DOS兼容格式的文件名称。

-l 压缩文件时,把LF字符置换成LF+CR字符。

-ll 压缩文件时,把LF+CR字符置换成LF字符。

查看debian的版本和位数
more /etc/debian_version
getconf LONG_BIT

Debian中修改时区

获取当前系统可用的时区名称
timedatectl list-timezones
如想要将系统时区设置为 Asia/Shanghai,可用以下命令
timedatectl set-timezone Asia/Shanghai

      location / {
proxy_ssl_server_name on;
proxy_pass https://www.a.com;
proxy_set_header Accept-Encoding "";
sub_filter "www.a.com"  "替换成你的域名";
sub_filter_once off;}

上面的location / 也可以是其他的目录。

这是我从一个已经失效的shell里面扒拉出来的。

另附:ip透传的用法
proxy_set_header可更改或添加客户端的请求头部信息内容并转发至后端服务器,Nginx本身有个变量叫$remote_addr,它可以转发客户端地址,我们还需要对设置取个别名,官方有专门的的名称为X-Real-IP,当然也可以自定义。

proxy_set_header X-Real-IP $remote_addr;

与此同时,后端web服务器配置文件的LogFormat部分要添加与Nginx反代服务器中相同的名称(如X-Real-IP)作为日志记录的头部信息。

以上变更都要重启服务的。

apt update
apt-get install nginx -y
systemctl start nginx
systemctl enable nginx

nano /etc/nginx/sites-available/your-domain-name.com

server {

  listen 80;
  server_name example.com www.example.com;

  root /var/www/html;
  index index.php index.html index.nginx-debian.html;
  access_log /var/log/nginx/example_access.log;
  error_log /var/log/nginx/example_error.log;

  location / {
    try_files $uri $uri/ /index.php$is_args$args;
  }

  location ~ \.php$ {
    try_files $uri =404;
    fastcgi_index index.php;
    include fastcgi_params;
    fastcgi_pass unix:/run/php/php7.4-fpm.sock;
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
  }

}



ln -s /etc/nginx/sites-available/example.com /etc/nginx/sites-enabled/example.com

systemctl reload nginx

apt-get install mariadb-server -y
systemctl start mariadb
systemctl enable mariadb
mysql_secure_installation

Press Y to Switch to unix_socket authentication.

apt-get install php php-fpm php-curl php-cli php-zip php-mysql php-xml -y

apt install snapd

snap install core
snap refresh core

apt remove certbot
snap install --classic certbot

ln -s /snap/bin/certbot /usr/bin/certbot

certbot --nginx --agree-tos --redirect --email your_email@example.com -d example.com -d www.example.com

nginx 设置nginx.conf server_tokens off

交待背景
某域名,设为example.com,dns设为cloudflare,SSL/TLS设为“完全”,即“端到端加密,使用服务器上的自签名证书”

vps为nat vps + ipv6,ip地址是6.6.6.6,可用端口是1001-1020。
在nginx里面设置https监听ipv4的1001端口,ipv6的443端口。http监听ipv4的80端口。
nginx设置了自签名ssl证书。
然后访问http://6.6.6.6:1001会出现

400 Bad Request
The plain HTTP request was sent to HTTPS port
nginx/1.14.2

说明nginx发现http端口用1001访问不到的,而https端口才是1001

其2
cloudflare里面,test子域名指向6.6.6.6,直接指向,不经过cf代理。test2子域名指向6.6.6.6,但通过cf代理。
子域名“2”指向ipv6。

https://test2.example.com:1001/

无法访问此网站test2.example.com 的响应时间过长。
请试试以下办法:

检查网络连接
检查代理服务器和防火墙
运行 Windows 网络诊断
ERR_CONNECTION_TIMED_OUT

如果直接访问https://test.example.com:1001/ 和直接访问ip加端口是一样的。出现自签名证书的警告。忽略后,可以访问。
访问子域名“2”是完全正常的。

1、改ssh端口:
改掉默认的22端口,可以避免99%以上的扫描,除非他盯上了你,专门对着你来扫。

2、开启bbr(通常境内可免此步骤)

echo "net.core.default_qdisc = fq" >> /etc/sysctl.conf && echo "net.ipv4.tcp_congestion_control = bbr" >> /etc/sysctl.conf && sysctl -p && sysctl net.ipv4.tcp_available_congestion_control && lsmod | grep bbr

3.其他

其实之前也看过相关文章,说要修改ssh默认端口22以提高安全性,但也有文章指出,如果对方有意爆破的话,他也可以扫描你所有端口。

我个人比较认同后面的说法,觉得高强度的长密码才是王道。当然也有懒的原因。

但是还是决定要修改端口号了。

原因是看了这篇文章《虚拟主机和VPS的几个区别》http://www.auiou.com/relevant/00001444.jsp
提到“尤其是Linux主机下的/var/log/btmp文件的增长速度特别快”。

笛声大佬评论说:

你怎么总是纠结 /var/log/btmp 这个文件,这个文件你用 lastb -f /var/log/btmp
看看,里面全是记录了失败的登录,就是说有人一直在爆破你的密码,你把sshd的端口改一下,一般就没人来爆破了,我登录了好几台机器去看了,这个文件大小一直是0。

所以虽然目前我的vps没有被破,但是为了节约磁盘空间,还是说干就干。

第一、修改 /etc/ssh/sshd_config
找到#Port 22,再插入一行设置成你想要的端口号,注意不要跟现有端口号重复。建议一万以上的,当然要小于65535。
第二、重启ssh: systemctl restart sshd
第三、用你刚才的端口登录进去,如果成功了,就注释掉port 22,继续重启ssh。
第四、用端口22登录,发现登不了了,再用新端口,能用,那么就恭喜啦!

另附:清空文件的方法

: > filename
> filename  #最简单,推荐
echo "" > filename
echo > filename

1和2两种方式是0字节,3和4两种方式是1字节。

清空多个文件,比如清空多个log:
ls *.log | awk 'NR>1 {print "echo > " $NF }' |sh

为什么要清空文件,而不是删除文件呢?其实还可以写一篇文章,但我还是一并写在这里了。有一次按照网上的文章,删除了许多log文件,但是nginx等却启动不了了,要手动启动。我感觉linux下的软件简直是白莲花,就不能像windows下面的软件一样,自己再生成文件吗?比如Windows下某某软件,我删了他的缓存,启动该软件后,它又重新生成了一堆缓存。感觉自己是习惯了这些流氓行为,而对linux下的白莲花行为不习惯呢!(晕……)

附上勇哥的脚本:

port='3635'; a=''; a2='/etc/ssh/sshd_config'; a1=`cat $a2`; if [[ $a1=~ '#Port 22' ]]; then sed -i "s/#Port 22/Port $port/g" $a2; fi; if [[ $a1 =~ 'Port 22' ]]; then sed -i "s/Port 22/Port $port/g" $a2; fi; if [[ $a1 =~ 'Port ' ]]; then a=''; else sed -i '$a\'"\nPort $port" $a2; fi; reboot;

请修改上述的 port='3635'; 的值.

递归修改目录权限为755,文件权限为644

linux的原则是最小权限够用就行,不相关的文件只需要只读权限即可。

实现方法:递归修改权限方法是通过 find命令 根据文件参数查找到对应的类型之后执行指定权限。

说明:以下**path**为你需要修改的目录的路径。

1.修改所有者:
chown -R root.root path (递归修改指定路径的所有文件为root用户组所有)
如果是网站目录建议修改所有者为:www-data:www-data

2.递归修改目录权限、文件权限:
find -type d|xargs chmod 755
find -type f|xargs chmod 644
方法二:
#find 路径 -type d -exec chmod 755 {} \;
#find 路径 -type f -exec chmod 644 {} \;

Let's encrypt Wildcard(Wildcard其实是通配符的意思,但是网友们喜欢称“野卡”)

网上的代码,我试过很多都不行,下面这个代码是我从certbot官网以及经过本人一些改动得来,在Debian 8 nginx下通过。

apt-get remove certbot
wget https://dl.eff.org/certbot-auto
sudo mv certbot-auto /usr/local/bin/certbot-auto
sudo chown root /usr/local/bin/certbot-auto
sudo chmod 0755 /usr/local/bin/certbot-auto

sudo /usr/local/bin/certbot-auto certonly --manual
解释:certonly 表示只要申请证书,不需要它自动配置nginx,--manual表示手动的意思。
接下来,会有几个yes or no,自己看清楚来选,然后有一个是添加dns解析的,请按提示操作即可。
/usr/local/bin/certbot-auto renew #这个代码是用来更新证书的,其实有一个是加入任务列表,自动更新的,但运行不了,不知道怎么回事。

一句话,在虚拟主机或者默认主机的conf里面的server{}里面写上
error_page 404 /404.html;
error_page 403 /403.html;
error_page 500 /500.html; #500页面好像不起作用,还是显示ie11或chrome的默认500页面。
就可以了。就是这么简单。
可能有些人会发现,虽然显示了自定义错误页,但是页面状态码是200。怎么回事呢?
因为网上很多教程写error_page 404 = /404.html;
千万不要等于号,改成空格就对了!