文章內(nèi)容

淺談linux系統(tǒng)下常見(jiàn)的故障與處理方法 (3)

發(fā)布時(shí)間: 2012/7/31 19:33:36

sp;     Link encap:Local Loopback
　　inet addr:127.0.0.1 Mask:255.0.0.0
　　inet6 addr: ::1/128 Scope:Host
　　UP LOOPBACK RUNNING MTU:16436 Metric:1
　　RX packets:508961 errors:0 dropped:0 overruns:0 frame:0
　　TX packets:508961 errors:0 dropped:0 overruns:0 carrier:0
　　collisions:0 txqueuelen:0
　　RX bytes:574086961 (547.4 MiB) TX bytes:574086961 (547.4 MiB)
　　從上面輸出可知，本系統(tǒng)有兩塊網(wǎng)卡，分別配置不同網(wǎng)段的IP地址，假定eth0通過(guò)映射的方式對(duì)外提供ssh連接服務(wù)，而eth1僅供局域網(wǎng)主機(jī)之間共享數(shù)據(jù)使用。
　　現(xiàn)在的問(wèn)題是，外界無(wú)法ssh遠(yuǎn)程登錄到此系統(tǒng)，而網(wǎng)卡加載沒(méi)有問(wèn)題，網(wǎng)卡IP設(shè)置也沒(méi)問(wèn)題，接下來(lái)看看此系統(tǒng)的路由設(shè)置：
　　[root@webserver ~]# route
　　Kernel IP routing table
　　Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
　　10.10.1.0       *               255.255.255.0   U     0      0        0 eth0
　　192.168.200.0   *               255.255.255.0   U     0      0        0 eth1
　　default         192.168.200.1   0.0.0.0         UG    0      0        0 eth1
　　到這里，問(wèn)題已經(jīng)基本排查出來(lái)了：從route的輸出可知，linux的缺省路由是192.168.200.1，而192.168.200段的IP僅僅供局域網(wǎng)主機(jī)之間共享數(shù)據(jù)使用，沒(méi)有連接出去的訪問(wèn)權(quán)限，因而，外界無(wú)法連接到linux系統(tǒng)，也是理所當(dāng)然的事情了。
　　定位了問(wèn)題，解決方法很簡(jiǎn)單，刪除192段的缺省路由，然后增加10段的缺省路由即可：
　　[root@webserver ~]# route delete default
　　[root@webserver ~]#route add default gw 10.10.1.254
　　此時(shí)外界就可以通過(guò)ssh服務(wù)遠(yuǎn)程連接到linux系統(tǒng)了。
　　3．檢查DNS解析文件是否設(shè)置正確
　　在Linux系統(tǒng)中，有兩個(gè)文件用來(lái)指定系統(tǒng)到哪里尋找相關(guān)域名解析的庫(kù)。分別是文件/etc/host.conf和/etc/nsswitch.conf。
　　/etc/host.conf文件指定系統(tǒng)如何解析主機(jī)名，Linux通過(guò)域名解析庫(kù)來(lái)獲得主機(jī)名對(duì)應(yīng)的IP地址。下面是RedHat Linux安裝后缺省的/etc/host.conf內(nèi)容：
　　order hosts,bind
　　其中，order指定主機(jī)名查詢順序，這里表示首先查找/etc/hosts文件對(duì)應(yīng)的解析，如果沒(méi)有找到對(duì)應(yīng)的解析，接著就根據(jù)/etc/resolve.conf指定的域名服務(wù)器進(jìn)行解析。
　　/etc/nsswitch.conf文件是由SUN公司開(kāi)發(fā)的，用于管理系統(tǒng)中多個(gè)配置文件查詢的順序，由于nsswich.conf提供了更多的資源控制方式，nsswich.conf文件現(xiàn)在已經(jīng)基本取代了hosts.conf，雖然LINUX系統(tǒng)中默認(rèn)這兩個(gè)文檔都存在，但實(shí)際上起作用的是nsswitch.conf文件。
　　nsswitch.conf文件每行的配置都以一個(gè)關(guān)鍵字開(kāi)頭，后跟冒號(hào)，緊接著是空白，然后是一系列方法的列表。
　　例如這段信息：
　　hosts:   files dns
　　表示系統(tǒng)首先查詢主機(jī)庫(kù)文件，如果沒(méi)有找到對(duì)應(yīng)的解析，接著會(huì)去DNS配置文件指定的DNS服務(wù)器進(jìn)行解析。
　　清楚了linux下域名解析的原理和過(guò)程，我們就可以根據(jù)這兩個(gè)文件的設(shè)定，確定解析的順序，從而判斷出域名解析可能出現(xiàn)的問(wèn)題。
　　4．檢查服務(wù)是否正常打開(kāi)
　　在一個(gè)應(yīng)用出現(xiàn)故障時(shí)，必須要檢查的就是服務(wù)本身，比如服務(wù)是否開(kāi)啟，配置是否正確等等，檢查服務(wù)是否正確打開(kāi)，分為兩步，第一步是查看服務(wù)的端口是否打開(kāi)：
　　例如，我們不能用root用戶ssh登錄到192.168.60.133這臺(tái)linux服務(wù)器，首先檢查sshd服務(wù)的22端口是否打開(kāi)：
　　[root@localhost init.d]# telnet 192.168.60.133 22
　　SSH-2.0-OpenSSH_4.3
　　這個(gè)輸出表示192.168.60.133的22端口對(duì)外開(kāi)放，或者可以說(shuō)sshd服務(wù)是處于打開(kāi)狀態(tài)。如果沒(méi)有任何輸出，可能是服務(wù)沒(méi)有啟動(dòng)，或者服務(wù)端口被屏蔽。
　　也可以在服務(wù)器上通過(guò)netstat命令檢查22端口是否打開(kāi)：
　　[root@localhost xinetd.d]# netstat -ntl
　　tcp        0      0 0.0.0.0:3306                0.0.0.0:*                   LISTEN
　　tcp        0      0 :::80                       :::*                        LISTEN
　　tcp        0      0 :::22                       :::*                        LISTEN
　　可以看到，22端口在服務(wù)器上是打開(kāi)的，同時(shí)，服務(wù)器上打開(kāi)的還有3306、80端口。
　　接著進(jìn)行第二步的檢查，既然服務(wù)已經(jīng)打開(kāi)，可能是sshd服務(wù)配置的問(wèn)題，檢查sshd服務(wù)端配置文件/etc/ssh/sshd_config，發(fā)現(xiàn)有下面一行信息：
　　PermitRootLogin no
　　由此可知是ssh服務(wù)端配置文件限制了root用戶不能登錄系統(tǒng)，如果需要root登錄系統(tǒng)，只需更改為如下即可：
　　PermitRootLogin yes
　　到這里為止，我們通過(guò)對(duì)端口和服務(wù)配置文件的層層檢查，最終找到了問(wèn)題的根源。需要說(shuō)明的是，這里的重點(diǎn)不是講述如何讓root登錄linux系統(tǒng)，而是要通過(guò)這個(gè)例子讓讀者學(xué)會(huì)處理類似問(wèn)題的思路和方法。
　　5．檢查訪問(wèn)權(quán)限是否打開(kāi)
　　（1）檢查系統(tǒng)防火墻iptables的狀態(tài)
　　當(dāng)某些服務(wù)不能訪問(wèn)時(shí)，一定要檢查是否被linux本機(jī)防火墻iptables屏蔽了，可以通過(guò)iptables -L指令查看iptables的配置策略，例如我們不能訪問(wèn)某臺(tái)linux服務(wù)器提供的www服務(wù)，通過(guò)檢查，系統(tǒng)網(wǎng)絡(luò)、域名解析都正常，并且服務(wù)也正常啟動(dòng)，然后檢查了服務(wù)器的iptables策略配置，信息如下：
　　[root@localhost ~]# iptables -L -n
　　Chain INPUT (policy DROP)
　　target     prot opt source               destination
　　Chain FORWARD (policy ACCEPT)
　　target     prot opt source               destination
　　Chain OUTPUT (policy DROP)
　　target     prot opt source               destination
　　從上面的輸出可知，這個(gè)linux服務(wù)器僅僅設(shè)置了預(yù)設(shè)策略，而致命的是將INPUT鏈和OUTPUT鏈都設(shè)置為DROP，也就是所有外部數(shù)據(jù)不能進(jìn)入服務(wù)器，服務(wù)器數(shù)據(jù)也不能出去，這樣的設(shè)置相當(dāng)于沒(méi)有網(wǎng)絡(luò)。
　　為了能訪問(wèn)這臺(tái)服務(wù)器提供的www服務(wù)，增加兩條策略即可：
　　[root@localhost ~]#iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
　　[root@localhost ~]#iptables -A OUTPUT -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
　　這樣以來(lái)，internet上的其他人就能訪問(wèn)我們的www服務(wù)了。
　　（2）檢查selinux是否打開(kāi)
　　在前面的章節(jié)，我們已經(jīng)講述過(guò)selinux的含義和功能，它可以最大限度地保證Linux系統(tǒng)的安全，但是selinux有時(shí)也會(huì)給linux下軟件的運(yùn)行帶來(lái)一些問(wèn)題，這些問(wèn)題大部分是對(duì)selinux不了解造成的，為了迅速定位問(wèn)題，最簡(jiǎn)單的方法是先關(guān)閉selinux，然后測(cè)試軟件運(yùn)行是否正常，這不是個(gè)好方法，但是對(duì)于判斷問(wèn)題往往是很有用的，selinux是個(gè)很好的安全訪問(wèn)控制軟件，可是如果你還不能熟練運(yùn)用selinux訪問(wèn)控制策略的話，還是建議將它暫時(shí)關(guān)閉，等到對(duì)linux有了更深入的認(rèn)識(shí)后，再開(kāi)啟selinux不失為一個(gè)明智的策略。
　　6．檢查局域網(wǎng)主機(jī)之間聯(lián)機(jī)是否正常
　　通過(guò)上面5步的檢查，linux系統(tǒng)自身的問(wèn)題已經(jīng)基本排除，接下來(lái)需要擴(kuò)展到linux主機(jī)之外的網(wǎng)絡(luò)環(huán)境，檢查網(wǎng)絡(luò)之間的連通是否存在故障，可以先通過(guò)ping命令測(cè)試局域網(wǎng)主機(jī)之間的連通性，然后ping網(wǎng)關(guān)，檢測(cè)主機(jī)到網(wǎng)關(guān)的通信是否正常。
　　任何網(wǎng)絡(luò)故障的出現(xiàn)，都是有原因的，只要我們根據(jù)上面給出的解決問(wèn)題流程，逐一排查，99%的問(wèn)題都能得到很好的解決。