故障现象：
 

获得中软Linux3.1服务版以及随后获得升级补丁光盘在联想万全服务器进行安装，在安装至分区界面发生“设备无法找到”的错误提示，安装程序异常退出安装进程。
 
 

在安装过程中击键[Ctrl]+[Alt]+F3查看安装进程日志以及[Ctrl]+[Alt]+[F4]查看系统相关消息，获得信息为无法寻找正确设备ID号。
 
 

分析：
 
 

中软3.1版本自带的AIC-78xx并不能很好的支持的SCSI硬盘的驱动。安装程序在引导时无法在initrd所解压的程序模块寻找到正确的驱动与设备ID相对应，因此需要修改升级安装光盘驱动程序，采用磁盘方式预先加载SCSI AIC78XX驱动。
 
 

解决办法：
 
 

从官方站点获取Adaptec AIC-78xx的SCSI驱动，并在RH7.2系统环境制作与中软3.1内核(2.4.18)一致的SCSI驱动。
 
 

从官方站点(ftp://updates.redhat.com/7.2/en/os/i386)下载新版本的BOOT内核程序，使用NEW_BOOT_KERNEL_RPM和NEW_BOOT_KERNEL_VERSION环境变量定义驱动盘所采用的内核版本。
 
 

export NEW_BOOT_KERNEL_RPM=”Kernel-BOOT-2.4.18-24.7.x.i386.rpm”
 
 

export NEW_BOOT_KERNEL_VERSION=”2.4.8-24.7.xBOOT”
 
临时性安装BOOT内核程序，由于只需要修改BOOT内核模块，因此在驱动盘制作完毕，需要删除此程序
 
 

rpm –ivh $NEW_BOOT_KERNEL_RPM
 

创建制作驱动模块目录
 
 

mkdir /tmp/bootdisk
 
 

cd /tmp/bootdisk
 

拷贝RH7.2光盘bootnet.img文件至/tmp/bootdisk目录，并挂载img文件于对应目录
 
 

mkdir /tmp/bootdisk/bootnet_image
 
 

mkdir /tmp/bootdisk/initrd_image
 
 
mount –o loop /tmp/bootdisk/bootnet.img /tmp/bootdisk/bootnet_image

cp /tmp/bootdisk/bootnet_image/initrd.img /tmp/bootdisk/initrd.gz
 
 

gunzip /tmp/bootdisk/initrd.gz
 
 

mv /tmp/bootdisk/initrd /tmp/bootdisk/initrd.img
 
 

mount –o loop /tmp/bootdisk/initrd.img /tmp/bootdisk/initrd_image

创建临时initrd映像文件用于升级和增加驱动模块。最后一个命令用于创建一个BOOT目录，其包含了initrd内部所有模块的列表。
 
 

mkdir /tmp/bootdisk/initrd_tmp
 
 

cp –a /tmp/bootdisk/initrd_image/* /tmp/bootdisk/initrd_tmp/
 
 

cd /tmp/bootdisk/initrd_tmp
 
 

zcat modules/modules.cgz | cpio -ivd

由于BOOT内核需要升级，所以驱动模块也需要升级。假如版本不一致，驱动模块将不能被装载。下面多个语句将在initrd_tmp目录创建包含升级模块的新BOOT目录。首先创建一个模块文件列表，使用文件列表找出新版本驱动模块，并把其添加到initrd_tmp的BOOT目录中。
 
 

mkdir /tmp/bootdisk/initrd_mtp/$NEW_BOOT_KERNEL_VERSION
 
 

cd /tmp/bootdisk/initrd_tmp
 
 

OldBootVersion=`zcat modules/modules.cgz | cpio –t | head –l | awk –F / ‘{print $1}’`
 
 

ModuleList=`ls $OldBootVersion`
 
 

cd /lib/modules/$NEW_BOOT_KERNEL_VERSION/kernel
 
 

for ModuleName in $ModuleList do NewModuleName=`find . -name $ModuleName`
 
 

cp $NewModuleName /tmp/bootdisk/initrd_tmp/$NEW_BOOT_KERNEL_VERSION/
 
 

$ModuleName

done

增加新SCSI驱动模块
 
 

cp /lib/modules/$NEW_BOOT_KERNEL_VERSION/kernel/drivers/scsi/aic7xxx/aic78xx.o
 
 

/tmp/bootdisk/initrd_tmp/$NEW_BOOT_KERNEL_VERSION
 
创建新module.cgz以包含所有升级和增加的模块
 
 

cd /tmp/bootdisk/initrd_tmp/
 
 

find $NEW_BOOT_KERNEL_VERSION | cpio -ov -H crc | gzip -c9 > \
 
 

/tmp/bootdisk/initrd_tmp/modules/modules.cgz
 
 

cd /tmp/bootdisk
 
 

rm -rf /tmp/bootdisk/initrd_tmp/*BOOT
 
为新增加的SCSI驱动模块定义依赖关系

echo "aic78xx: scsi_aic78xx" >> /tmp/bootdisk/initrd_tmp/modules/modules.dep
 

为新增驱动模块定义模块信息

/tmp/bootdisk/initrd_tmp/modules/module-info :

aic78xx

{tab}   sisc

“”””   "Adaptec SCSI aic-78xx"
 
在/odules/pcitable为增加的设备驱动制作记录，可使内核根据设备号寻找正确的驱动。可使用stage2文件的记录进行增加。(使用TAB键代替空格)

cp /tmp/bootdisk/initrd_image/modules/pcitable /tmp/bootdisk/pcitable
 
grep "\"aic78xx\"" /tmp/bootdisk/stage2_image/modules/pcitable >>

/tmp/bootdisk/pcitable
 
排序pcitable文件并写入initrd映像文件

sort /tmp/bootdisk/pcitable > /tmp/bootdisk/initrd_tmp/modules/pcitable

创建新版initrd映像文件。必须为initrd映像文件预留足够空间以便在运行期间能成功装载驱动。这是initrd在引导期间解压所需要的文件系统空间。

INITRD_SIZE=`du -k -s /tmp/bootdisk/initrd_tmp | awk '{print $1}'`

let "NEW_INITRD_SIZE=$INITRD_SIZE + 1000"

mkdir /tmp/bootdisk/initrd_new_image

dd if=/dev/zero bs=1k count=$NEW_INITRD_SIZE of=/tmp/bootdisk/initrd_new.img
 
echo "y" | mke2fs /tmp/bootdisk/initrd_new.img > /dev/null
 
mount -o loop /tmp/bootdisk/initrd_new.img /tmp/bootdisk/initrd_new_image
 
cp -a /tmp/bootdisk/initrd_tmp/* /tmp/bootdisk/initrd_new_image/

sync

umount /tmp/bootdisk/initrd_new_image

umount /tmp/bootdisk/initrd_image

压缩initrd映像文件和新版本内核至bootnet映像文件中。

gzip -9 /tmp/bootdisk/initrd_new.img
cp /tmp/bootdisk/initrd_new.img.gz /tmp/bootdisk/bootnet_image/initrd.img

cp /boot/vmlinuz-$NEW_BOOT_KERNEL_VERSION /tmp/bootdisk/bootnet_image/

vmlinuz
 
拷贝映像至磁盘

dd if=/tmp/bootdisk/bootnet.img of=/dev/fd0

删除引导文件
 
 

rpm –e
 
 
通过安装新驱动模块，解决安装故障。
 
遗留问题：

系统只能安装于一块硬盘，当加载多块硬盘，仍旧提示“设备无法找到”错误信息，原因不明，有待进一步查明。

小结：
 

通过研究Linux引导过程机制，对Linux引导装载驱动有深入了解，并掌握如何定制驱动程序，并在引导时装载，实现相关设备的驱动。通过制作initrd映像文件掌握驱动加载所必须的模块依赖文件modelue.dep和模块设备文件pcitable。
 
在定制bootnet.img文件，需要考虑给initrd解压时所必须预留的文件系统空间，而不是磁盘本身的空间。如果bootnet.img本身容量已经超过磁盘容量限制，则必须考虑删除不必要的驱动模块以减小映像文件的大小。
 
此外，对制作的bootnet.img必须采用D9高压缩比率，可增加可用资源。
LVS组件安装
故障现象：
 
安装ipvsadm套件遇到需要Glibc2.3版才可支持组件安装，否则无法顺利安装。中软3.1自带Glibc版本为2.2.3，下载新版glibc-2.3 RPM包进行强行安装，结果系统出现不稳定，使用RPM进行软件安装，系统出现故障性提示：“Cannot handle file ‘libc.so.6’ with TLS data”，软件无法正常安装。
 
分析：
 
使用GLIBC的RPM软件强制进行软件升级，导致RPM本身依赖关系遭到破坏。这是著名的Catch-22问题，即Glibc与RPM软件包是彼此相互依赖。因此必须对RPM本身进行升级。然而升级Glibc造成系统无法正常运行RPM，因此使用RPM包无法进行升级。经过查阅红帽官房站点，得知与RPM一同安装的工具rpm2cpio可以析取rpm包中内容。使用ldconfig配置链接路径，并重新建构rpm数据库就可升级RPM包，解决Glibc升级问题。
 
解决：
 
获得RPM升级相关软件包
 
rpm-4.2-0.68.i386.rpm
 
rpm-build-4.2-0.68.i386.rpm
 
rpm-devel-4.2-0.68.i386.rpm
 
rpm-python-4.2-0.68.i386.rpm
 
elfutils-0.76-2.i386.rpm
 
elfutils-devel-0.76-2.i386.rpm
 
elfutils-libelf-0.76-2.i386.rpm
 
popt-1.8-0.68.i386.rpm
 
redhat-rpm-config-8.0.20-1.noarch.rpm
 
 
使用rpm2cpio工具析取rpm包内容，使用ldconfig配置链接时动态库路径，并重新编译rpm数据库
 
cd /
 
sudo rpm2cpio ~/rpmdir/rpm-* ~/rpmdir/elfutils-* | sudo cpio -ivd
 
sudo rm -f /var/lib/rpm/__db.00*
 
sudo ldconfig
 
cd ~/rpmdir
 
sudo rpm -Uvh *.rpm
 
sudo rpm -rebuilddb
 
 
遗留问题：
 
升级RPM包本身会影响操作系统某些软件的正常运行，其遭到破坏的依赖关系可以使用软件升级的办法进行解决。然而某些软件本身只支持Glibc2.2，因此升级Glibc2.3版本会导致依赖于Glibc2.2的软件无法运行，系统将遗留垃圾软件。解决办法有待进一步研究。
 
小结：
 
通过对系统关键性组件包，诸如Glibc和RPM的升级，了解系统对软件安装和维护的基础结构。关于RPM升级时必须考虑elf文件包的升级，因为elf格式为所有unix的文件基准格式、软件包安装/升级和维护的文件都必须遵守ELF规范。
 
此外，使用rpm2cpio对rpm文件内容进行提取后，必须使用ldconfig命令指定编译链接时的动态库路径，才能成功实现RPM安装。

入侵监测系统配置
故障现象：
 
单点snort入侵监测系统，接入百兆交换机后大约每间隔2小时，传感器就发生系统崩溃。检查系统日志，发现报警日志数量巨大，日志迅速占据硬盘大量空间。
 
分析：
 
整个网络只提供WEB访问服务和FTP访问服务，snort入侵检测系统默认配置较多无关入侵规则，导致日志中出现大量误报信息，诸如远程认证登录，数据库远程访问等数据导致日志数量增长迅速；此外，入侵监测系统采用华为SB2026交换机，采用端口镜像方式使交换机所有数据流均复制到监听端口，导致交换机达到负载承受临界点，镜像端口数据交换过量，整个网络资源无法正常使用。
 
解决：
 
根据网络使使用的具体服务，使用Webmin管理界面定义所监测的入侵规则只包含HTTP和FTP的相关规则，关闭其他入侵规则，提高入侵监测系统判别能力，降低误报信息。
 
减少交换机镜像方式所监测的端口数，只对重要服务器进行端口数据镜像拷贝，缓解交换机数据交换所承载的负荷，提高网络资源利用率。
 
遗留问题：
 
暂无
 
小结：
 
通过研究Linux下snort的运行机理与入侵监测规则过滤结构，掌握开源snort下特定入侵规则编写和动态防御，了解真实网络环境中入侵监测系统所存在的缺陷和特定的补修方法。
安全策略配置
故障现象：
 
Linux服务器正常访问一段时间后系统运行速度逐渐下降，某些主机使用安全工具进行安全扫描后无法正常访问服务器。服务器重新启动后使用安全扫描的主机仍然无法正常访问。
 
分析：
 
查看iptables防火墙列表规则，发现被拒绝访问主机列表庞大，被拒绝主机永久存在列表规则之中，不会自动删除，导致系统运行效率降低，并使安全监测主机在发生安全检测扫描行为之后无法正常访问系统。
 
自动防御进程portsentry监测异常数据访问行为，并与防火墙连动，对发送异常数据流进行隔离，因此iptables列表隔离主机数目随时间呈线形增长，系统运行效率将逐步降低。
 
解决：
 
修改portsentry配置文件KILL_ROUTE参数
 
KILL_ROUTE="/usr/local/bin/iptables -I INPUT -s $TARGET$ -j DROP"
 
为：
 
KILL_ROUTE="/usr/local/bin/ip_chk $TARGET$"
 
 
 
ip_chk程序如下：
 
// ip_chk.c
 
#include
 
#include
 
#include
 
#include
 
#include
 
#include
 
#include
 
#define IP_LIST_FILE "/tmp/.iplist"
 
#define IP_DROP_TIMEOUT 2000
 
#define SEM_ID 250
 
int line_count(FILE *file){
 
int line_count = 0;
 
char ch;
 
fseek(file, SEEK_SET, 0);
 
do{
 
  ch = fgetc(file);
 
  if(ch = '\n'){
 
    line_count =+1;
 
  }
 
}while(ch = !EOF)
 
return line_count;
 
}
 
boolean is_repeat(char *ip_addr, long fpos_offset, long lpos_offset, File* file){
 
char buf[15];
 
char ch;
 
fseek(file, SEEK_SET, 0);
 
do{
 
  ch = fgetc(file);
 
}while(ftell(file < fpos_offset))
 
for(int i = 0; i <= (lpos_offset-fpos_offset); i++){
 
  if((buf = fgetc(file)) == " ")
 
    break;
 
}
 
if(strcmp(buf, ip_addr)
 
  return true
 
else
 
  return false;
 
}
 
void update(boolean need_update, File* file, char* ip_addr){
 
int i = 0;
 
int count;
 
int flg;
 
char buf[4];
 
string new_content;
 
char new_buf[50];
 
time_t t;
 
if(need_update){
 
  do{
 
    fgetc(file);
 
  }while(ch != " ");
 
  flg = (int)ftell(file) + 1;
 
  do{
 
    buf = fgetc(file);
 
    i++;
 
  }while(ch != "\n");
 
  buf[++i] = 'P';
 
  count = (int)buf + 1;
 
  buf = (string)count;
 
  i = 0;
 
  fseek(file, 0, flg);
 
  while(buf != 'P'){
 
    fputc(buf, file);
 
    i++;
 
  }
 
}else{
 
  fseek(file, 0, SEEK_END);
 
  t = time(NULL);
 
  new_content = ip_addr + " " + (string)t + " " + "1" + "\n";
 
  new_buf = new_content;
 
  i = 0;
 
  do{
 
    fputc(new_buf, file);
 
    i++;
 
  }while(new_buf != '\n');
 
}
 
}
 
void iptables(char *ip_drop){
 
  string cmdstr = "iptables -I INPUT -s "+ip_drop+" -j DROP";
 
  system(cmdstr);
 
}
 
void ip_chk(int sem_set_id, char *ip_target, char *file_name){
 
FILE* file;
 
struct sembuf sem_op;
 
char buf[50];
 
int i = 0;
 
int count;
 
char ch;
 
long f_offset, l_offset;
 
int action = false;
 
sem_op.sem_num = 0;
 
sem_op.sem_op = -1;
 
sem_op.sem_flg = 0;
 
semop(sem_set_id, &semop, 1);
 
file = fopen(file_name, "awr");
 
if(!file){
 
  fprintf(stderr, "fail to open this file!\n");
 
  return 1;
 
}
 
count = line_count(file);
 
l_offset = fseek(file, SEEK_SET, 0);
 
for(int i = 1; i <= count; i++){
 
  do{
 
    ch = fgetc(file);
 
    if(ch = '\n'){
 
    if(i == 1){
 
      f_offset = l_offset;
 
    }
 
    else{
 
      f_offset = l_offset + 1;
 
    }
 
    l_offset = ftell(file);
 
    break;
 
    }
 
  }while(ch = !EOF)
 
  if(is_repeat(ip_target, f_offset, l_offset, file)){
 
    update(action, file);
 
    action = true;
 
    break;  
 
  }  
 
}
 
if(!action){
 
  update(action, file);
 
  iptables(ip_target);
 
  action = true;
 
}
 
fclose(file);
 
sem_op.sem_num = 0;
 
sem_op.sem_op = 1;
 
sem_op.sem_flg = 0;
 
semop(sem_set_id, &sem_op, 1);
 
}
 
int main(int argc, char **argv){
 
int sem_set_id;
 
union semun sem_val;
 
char *ip_arg;
 
if(argc < 2){
 
  perror("Usage: ip_chk ");
 
  exit(1);
 
}
 
ip_arg = argv[1];
 
sem_set_id = semget(SEM_ID, 1, IPC_CREAT | 0600);
 
if(sem_set_id == -1){
 
  perror("main: semget");
 
  exit(1);
 
}
 
sem_val.val = 1;
 
rc = semctl(sem_set_id, 0, SETVAL, sem_val);
 
if(rc == -1){
 
  perror("main: semctl");
 
  exit(1);
 
}
 
ip_chk(sem_set_id, ip_arg, IP_LIST_FILE);
 
return 0;
 
}

遗留问题：
 
脚本程序还存在诸如如何判断恶意计算机IP的永久性封锁、如何维护拒绝表，如何与tcp wrapper实现连动等功能，善待完善。
 
小结：
 
掌握hostsentry主机入侵防御软件的配置及管理方法，并使用c编程开发适合自身网络情况的主机入侵防御程序。
 
远程监管配置
故障现象：
 
利用XDMCP协议配置NC远程服务监管多台Linux服务器，NC连接X服务器总提示连接失败。使用Linux操作系统进行加密隧道的XDMCP连接，系统提示无法连接。
 
查看日志记录，相关错误信息如下：“Fwd X11 connection from LinuxN refused by tcp_wrappers”。通过修改tcp_wrappers的host.deny以及host.allow文件内容，NC主机仍然无法连接X服务器。
 
使用Linux主机进行连接，屏幕显示错误信息如下：
 
xlib: Connection refused (error 111): unable to connect to X server
 
xlib: No such process (error 3): Server error
 
分析：
 
经对整个远程监管体系的网络数据包跟踪和分析，发现SSH安全加密协商会话正常，加密的安全隧道确实已经在NC主机和Linux服务器之间建立连接。但NC主机和Linux服务器所使用的XDMCP协商会话由于加密隧道而无法观察。
 
检查NC主机及Linux服务器的ssh2_config配置文件，NC主机已经启用“ForwardX11”参数项，使X客户端请求程序能实现转发；Linux服务器启用“AllowX11Forwarding”参数项，允许服务器的X应用程序请求转发。查阅ssh2参考手册，发现2.3版本以上的OpenSSH软件集成X服务安全性扩展。这将导致ssh2协议通知X服务器客户端程序默认情况是不受信任的，所以NC主机的X客户端程序运行失败。
 
解决：
 
针对X11的加密转发故障的解决策略是启用ssh2_config文件的TrustX11Applications参数项，指定X服务器承认X11客户端程序的可信度；在NC主机X启动脚本加入“+X”启动参数，以信任方式启动X11连接转发，成功实现NC与Linux服务器基于SSH加密隧道的XDMCP的远程监管。
 
遗留问题：
 
暂无
 
小结：
 
研究加密方式下XDMCP协议转发X请求，使NC以SSH方式通过网络对分散多点的Linux主机进行管理，实现集中式Linux服务管理。
 
Signal 11”现象
故障现象：
 
Linux服务器使用“xhost +”与“export DISPLAY=(your local host IP):0.0”命令分别开放X服务主机的访问，并设置DISPLAY环境变量，使客户端通过无须加密的XDMCP进行连接，可以出现远程Linux服务登录认证图形截面。但是远程监管的Linux服务器在一段时候自动断开与之连接的客户端。服务器日志文件出现：“Signal 11”错误信息记录。
 
分析：
 
“Signal 11”错误意味着程序访问一个为经分配的内存区域。一般情况是由于某些软件缺陷和硬件故障造成的。由于所安装的X服务软件包无任何程序缺陷，因此X服务器出现“Signal 11”错误而导致崩溃的起因很可能是Linux服务器硬件故障所引起。使用硬件诊断程序检测服务器，测试结果显示正常。
 
经过反复检测，发现快速鼠标移动将引发X服务器“Signal 11”错误，由于X服务需要采集诸如鼠标移动各种硬件输入操作事件，当发生鼠标滚轮迅速移动诸类事件，网络重复发送大量移动操作导致X服务器对各种X客户端程序的繁重处理无法负担，导致X服务器崩溃。
解决：
针对“Signal 11”的解决策略是在NC主机系统使用mouseconfig配置鼠标特性，关闭滚轮特性，并降低鼠标灵敏度，彻底解决X服务崩溃故障。
遗留问题：
暂无
小结：