BRAVO ATANS

CentOS 5自身的php版本为5.1.6,mysql 为5.0.x,官方更新速度慢。

如果想用最新的php版本，就需要通过编译才能用上最新的版本

IUS Packages 可以帮你解决CentOS 5 php mysql RPM包更新的问题

IUS Packages 安装

#wget http://dl.iuscommunity.org/pub/ius/stable/Redhat/5/i386/epel-release-1-1.ius.el5.noarch.rpm
#wget http://dl.iuscommunity.org/pub/ius/stable/Redhat/5/i386/ius-release-1-2.ius.el5.noarch.rpm
rpm -Uvh  ius-release*.rpm epel-release*.rpm

查看最新的IUS Packages 最新的RPM包

[root@el5-i386 ~]# yum list | grep -w \.ius\.
mod_python26-debuginfo.i386            3.3.1-10.ius.el5       ius-testing      
mysql50.i386                           5.0.83-2.ius.el5       ius-testing      
mysql50-bench.i386                     5.0.83-2.ius.el5       ius-testing      
mysql50-debuginfo.i386                 5.0.83-2.ius.el5       ius-testing      
mysql50-devel.i386                     5.0.83-2.ius.el5       ius-testing      
mysql50-server.i386                    5.0.83-2.ius.el5       ius-testing      
mysql51.i386                           5.1.36-2.ius.el5       ius-testing      
mysql51-bench.i386                     5.1.36-2.ius.el5       ius-testing      
mysql51-debuginfo.i386                 5.1.36-2.ius.el5       ius-testing      
mysql51-devel.i386                     5.1.36-2.ius.el5       ius-testing      
mysql51-plugins-archive.i386           5.1.36-2.ius.el5       ius-testing      
mysql51-plugins-blackhole.i386         5.1.36-2.ius.el5       ius-testing      
mysql51-plugins-example.i386           5.1.36-2.ius.el5       ius-testing      
mysql51-plugins-federated.i386         5.1.36-2.ius.el5       ius-testing      
mysql51-server.i386                    5.1.36-2.ius.el5       ius-testing      
php52.i386                             5.2.10-1.2.ius.el5     ius-testing        
php52-cli.i386                         5.2.10-1.2.ius.el5     ius-testing
php52-common.i386                      5.2.10-1.2.ius.el5     ius-testing        
php52-gd.i386                          5.2.10-1.2.ius.el5     ius-testing      
php52-imap.i386                        5.2.10-1.2.ius.el5     ius-testing      
php52-ldap.i386                        5.2.10-1.2.ius.el5     ius-testing      
php52-mbstring.i386                    5.2.10-1.2.ius.el5     ius-testing      
php52-mysql.i386                       5.2.10-1.2.ius.el5     ius-testing      
php52-odbc.i386                        5.2.10-1.2.ius.el5     ius-testing      
php52-pdo.i386                         5.2.10-1.2.ius.el5     ius-testing      
php52-xml.i386                         5.2.10-1.2.ius.el5     ius-testing
php52-bcmath.i386                      5.2.10-1.2.ius.el5     ius-testing      
php52-dba.i386                         5.2.10-1.2.ius.el5     ius-testing      
php52-debuginfo.i386                   5.2.10-1.2.ius.el5     ius-testing      
php52-devel.i386                       5.2.10-1.2.ius.el5     ius-testing      
php52-mcrypt.i386                      5.2.10-1.2.ius.el5     ius-testing      
php52-mssql.i386                       5.2.10-1.2.ius.el5     ius-testing      
php52-ncurses.i386                     5.2.10-1.2.ius.el5     ius-testing      
php52-pgsql.i386                       5.2.10-1.2.ius.el5     ius-testing      
php52-snmp.i386                        5.2.10-1.2.ius.el5     ius-testing      
php52-soap.i386                        5.2.10-1.2.ius.el5     ius-testing      
php52-tidy.i386                        5.2.10-1.2.ius.el5     ius-testing      
php52-xmlrpc.i386                      5.2.10-1.2.ius.el5     ius-testing      
php53.i386                             5.3.0-1.ius.el5        ius-testing      
php53-bcmath.i386                      5.3.0-1.ius.el5        ius-testing      
php53-cli.i386                         5.3.0-1.ius.el5        ius-testing      
php53-common.i386                      5.3.0-1.ius.el5        ius-testing      
php53-dba.i386                         5.3.0-1.ius.el5        ius-testing      
php53-debuginfo.i386                   5.3.0-1.ius.el5        ius-testing      
php53-devel.i386                       5.3.0-1.ius.el5        ius-testing      
php53-gd.i386                          5.3.0-1.ius.el5        ius-testing      
php53-imap.i386                        5.3.0-1.ius.el5        ius-testing      
php53-ldap.i386                        5.3.0-1.ius.el5        ius-testing      
php53-mbstring.i386                    5.3.0-1.ius.el5        ius-testing      
php53-mcrypt.i386                      5.3.0-1.ius.el5        ius-testing      
php53-mssql.i386                       5.3.0-1.ius.el5        ius-testing      
php53-mysql.i386                       5.3.0-1.ius.el5        ius-testing      
php53-odbc.i386                        5.3.0-1.ius.el5        ius-testing      
php53-pdo.i386                         5.3.0-1.ius.el5        ius-testing      
php53-pgsql.i386                       5.3.0-1.ius.el5        ius-testing      
php53-snmp.i386                        5.3.0-1.ius.el5        ius-testing      
php53-soap.i386                        5.3.0-1.ius.el5        ius-testing      
php53-tidy.i386                        5.3.0-1.ius.el5        ius-testing      
php53-xml.i386                         5.3.0-1.ius.el5        ius-testing      
php53-xmlrpc.i386                      5.3.0-1.ius.el5        ius-testing   
python26-debuginfo.i386                2.6-4.5.ius.el5        ius-testing
python26-devel.i386                    2.6-4.5.ius.el5        ius-testing
python26-libs.i386                     2.6-4.5.ius.el5        ius-testing
python26-setuptools.noarch             0.6c9-1.1.ius.el5      ius-testing
python26-test.i386                     2.6-4.5.ius.el5        ius-testing
python26-tools.i386                    2.6-4.5.ius.el5        ius-testing
 

IUS Packages 更新方法

[root@el5-i386 ~]# yum shell
删除旧的centos php RPM包
> remove php-gd php-cli php-odbc php-mbstring php-pdo php php-xml php-common php-ldap php-mysql php-imap
Setting up Remove Process
更新的php52 RPM包
> install php52-gd php52-cli php52-odbc php52-mbstring php52-pdo php52 php52-xml php52-common php52-ldap php52-mysql php52-imap

> transaction solve

> transaction run

Nginx是一个高性能的 HTTP 和 反向代理 服务器，也是一个 IMAP/POP3/SMTP 代理服务器。 Nginx 是由 Igor Sysoev 为俄罗斯访问量第二的 Rambler.ru 站点开发的。

Igor 将源代码以类 BSD 许可证的形式发布。尽管还是测试版，但是，Nginx 已经因为它的稳定性、丰富的功能集、示例配置文件和低系统资源的消耗而闻名了。

如新浪、网易、腾讯等；国内几个重要的视频分享网站也部署了Nginx，如六房间、酷6等。新近发现Nginx 技术在国内日趋火热，越来越多的网站开始部署Nginx。

在 CentOS下安装 Nginx

ftp://ftp.csx.cam.ac.uk/pub/software/programming/pcre/ 下载最新的 PCRE 源码包
# wget ftp://ftp.csx.cam.ac.uk/pub/software/programming/pcre/pcre-7.7.tar.gz
# tar zxvf pcre-7.7.tar.gz
# cd pcre-7.7
# ./configure
# make
# make install
 

Nginx 一般有两个版本，分别是稳定版和开发版
您可以根据您的目的来选择这两个版本的其中一个
# wget http://sysoev.ru/nginx/nginx-0.6.31.tar.gz
# tar zxvf nginx-0.6.31.tar.gz
# cd nginx-0.6.31
# ./configure --with-http_stub_status_module –prefix=/opt/nginx
# make
# make install  

# wget http://nchc.dl.sourceforge.net/project/phpmyadmin/phpMyAdmin/2.11.9.5/phpMyAdmin-2.11.9.5-all-languages.zip
# unzip phpMyAdmin-2.11.9.5-all-languages.zip
# cd phpMyAdmin-2.11.9.5-all-languages
# cp config.sample.inc.php config.inc.php
# vi config.inc.php
$cfg['blowfish_secret'] = '在此填入口令';
$cfg['Servers'][$i]['auth_type'] = 'cookie'; ← 变为此状态，使认证方式为cookie方式
访问 http://127.00.1/phpmyadmin/index.php

在CentOS5 下的nginx+php+mysql的解决方案有多个，本文介绍其中的解决方案之一。

本文基于64位的CentOS 5 ，如果是32位的，请在相应部分做修改。

本解决方案使用瑞豪开源自己编译的最新稳定版本的Nginx，fastcgi进程管理使用spawn-fcgi，还有CentOS 5自带的5.0.45版本的MySQL和5.1.6版本的php。

优缺点
本方案的优点是使用CentOS5自带的php和mysql，扩展性好，php的各种扩展yum库里面都有，都可以直接使用；另外，由于使用系统自带的php和mysql，安全性要好一些，如果有什么漏洞都可以直接升级为centos官方的最新版本。由于使用spawn-fcgi，所以无须重新编译php。

本方案的缺点有：
php和mysql都是centos自带的版本，不是最新版本，万一用到php最新版本的某些特性则就不行了。

安装Nginx

到 http://rashost.com/download 下载nginx-0.7.61-1.x86_64.rpm

#rpm -ivh nginx-0.7.61-1.x86_64.rpm
service nginx start
ntsysv nginx on
rpm -ql nginx

上面的rpm -ql nginx命令是看看nginx的文件都安装在哪些目录下面了，可以看到nginx的缺省网页目录应该是/usr/share/nginx/html/

通过浏览器访问，应该能看到nginx的缺省网页了，说明nginx正常工作了！

安装MySQL

#yum -y install mysql-server
##ntsysv
选中mysql
#service mysql start
或者 /etc/init.d/mysqld start

改密码
/usr/bin/mysqladmin -u root password '123456'

安装PHP

yum install -y php-cgi php-mysql

安装spawn-fcgi
到http://rashost.com/download 下载 spawn-fcgi-1.6.2-1.32.x86_64.rpm

rpm -ivh spawn-fcgi-1.6.2-1.32.x86_64.rpm

然后在/etc/rc.local里面加入spawn-fcgi的启动命令：

#spawn-fcgi -C 10 -a 127.0.0.1 -p 9000 -u nginx -d /tmp -f php-cgi

其中的-C 10参数是指启动的php fastcgi的进程数目，这个数值可以根据网站的访问量和内存大小修改。

然后先手工启动一下php:

spawn-fcgi -C 10 -a 127.0.0.1 -p 9000 -u nginx -d /tmp -f php-cgi

整合
首先在/usr/share/nginx/html目录下创建文件test.php，其内容很简单，只要下面一行：

<?phpinfo();?>

通过浏览器访问http://192.168.1.5/test.php是得不到正确的显示结果的。

修改nginx的配置文件/etc/nginx/nginx.conf，在文件内搜索fastcgi_pass，修改该部分内容为：

      location ~ \.php$ {
            root           html;
            fastcgi_pass   127.0.0.1:9000;
            fastcgi_index  index.php;
            fastcgi_param  SCRIPT_FILENAME  $document_root/$fastcgi_script_name;
            include        fastcgi_params;
        }

然后重启nginx:

/etc/init.d/nginx/restart

然后在浏览器中访问test.php页面，就应该能正确显示了，reboot 测试一下，各个模块应该都能自带启动。

来源:http://rashost.com/blog/centos5-vps-nginx-solution1

从Nginx官网下载Nginx的源代码然后自己制作Nginx的SRPM包
ftp://rpmfind.net/linux/fedora/updates/11/SRPMS/nginx-0.7.62-1.fc11.src.rpm

安装SRPM包：

rpm -ivh nginx-0.7.62-1.fc11.src.rpm

上面命令把源代码安装在了/usr/src/redhat目录下，要编译RPM，需要rpmbuild命令：

# yum install -y rpm-build

然后就可以开始build了：

#cd /usr/src/redhat/SPECS
#rpmbuild -bb nginx.spec

build报错了，少了几个必须的库文件，我们来安装：

#yum install -y pcre-devel zlib-devel openssl-devel mod_perl-devel

然后修改nginx.spec文件，将其中的perl-devel修改成mod_perl-devel。继续build:

#rpmbuild -bb nginx.spec

大功告成！build出来的RPM包就是/usr/src/redhat/RPMS/x86/nginx-0.7.62-1.rpm

来源:http://rashost.com/blog/centos5-build-nginx-rpm

[root@www ~]# tar [-j|-z] [cv] [-f 建立的档名] filename... <==打包与压缩
[root@www ~]# tar [-j|-z] [tv] [-f 建立的档名] <==察看档名
[root@www ~]# tar [-j|-z] [xv] [-f 建立的档名] [-C 目录] <==解压缩
选项与参数：
-c ：建立打包档案，可搭配 -v 来察看过程中被打包的档名(filename)
-t ：察看打包档案的内容含有哪些档名，重点在察看『档名』就是了；
-x ：解打包或解压缩的功能，可以搭配 -C (大写) 在特定目录解开
特别留意的是， -c, -t, -x 不可同时出现在一串指令列中。
-j ：透过 bzip2 的支援进行压缩/解压缩：此时档名最好为 *.tar.bz2
-z ：透过 gzip 的支援进行压缩/解压缩：此时档名最好为 *.tar.gz
-v ：在压缩/解压缩的过程中，将正在处理的档名显示出来！
-f filename：-f 后面要立刻接要被处理的档名！建议 -f 单独写一个选项囉！
-C 目录 ：这个选项用在解压缩，若要在特定目录解压缩，可以使用这个选项。

其他后续练习会使用到的选项介绍：
-p ：保留备份资料的原本权限与属性，常用於备份(-c)重要的设定档
-P ：保留绝对路径，亦即允许备份资料中含有根目录存在之意；
--exclude=FILE：在压缩的过程中，不要将 FILE 打包！
 

iptables 安全配置
# vi /etc/sysconfig/iptabels
# Firewall configuration written by system-config-securitylevel
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -i eth0 -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 10000 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
COMMIT

2.参考网址：
http://phorum.study-area.org/viewtopic.php?t=41142
 

3.使用 setup 设定规则 filter table 中除了预设的 INPUT 、 OUTPUT 及 FORWARD 外再自行建立了 RH-Firewall-1-INPUT。
 

4.将 INPUT 及 FORWARD 导向 RH-Firewall-1-INPUT 中。
注：INPUT是指进入本机；FORWARD是指由一个介面流向另一个介面（例：eth0 <--> eth1）。
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
 

5.完全接受 loopback interface 的封包（主机可以存取本身的所有服务项目）
-A RH-Firewall-1-INPUT -i lo -j ACCEPT

6.允许主机可以接受 ping 等 icmp 封包
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT

7.下面这叁行与ipv6 有关，（224.0.0.251 is a multicast address ... you can disable it if you don't want to use mdns ...）
注：可删除规则下列规则
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT

8.网际网路印表机服务
631/tcp # Internet Printing Protocol
631/udp # Internet Printing Protocol
注：可删除规则下列规则
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT

9.允许连线出去后对方主机回应进来的封包（包括主动式与被动式的ftp连线）。
当主机对外要建立连线时，远端主机势必也要回应封包到原主机，所以回应的封包是要被允许的。
-m state --state ESTABLISHED 扮演很重要角色，那就是允许连线出去后对方主机回应进来的封包。
RELATED 配合 ip_conntrack_ftp （ip_nat_ftp）模组 可以针对连入与连外目的 port 为 21 的 ftp 协定命令沟通进行拦截
在 /etc/sysconfig/iptables-config 中加入
IPTABLES_MODULES="ip_conntrack_ftp"
重新啟动 iptables 服务即可载入指定的模组！

-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

10.允许连线服的项目（tcp/1000、tcp/873、tcp/22、tcp/80等）
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 1000 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 873 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT

11.除了允许的服务外其它回应 icmp封包 「icmp-host-prohibited」
每个type所对应的讯息如下：
icmp-net-unreachable => Destination Net Unreachable
icmp-host-unreachable => Destination Host Unreachable
icmp-port-unreachable => Destination Port Unreachable
icmp-proto-unreachable => Destination Protocol Unreachable
icmp-net-prohibited => Dest Unreachable, Bad Code: 9
icmp-host-prohibited => Dest Unreachable, Bad Code: 10

-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited

参考文章
http://treasure.cgjh.tcc.edu.tw/~kwang/share/iptables/iptables.html
 

vsFTPd简介

vsFTPd是一款在Linux发行版中最受推崇的FTP服务器程序。特点是小巧轻快，安全易用。
vsftpd 的名字代表"very secure FTP daemon", 安全是它的开发者 Chris Evans 考虑的首要问题之一。在这个 FTP 服务器设计开发的最开始的时候，高安全性就是一个目标。
 

CentOS yum安装vsFTPd

#yum -y install vsftpd

selinux 放行vsftpd
 

解决能登录不能上传的问题
# getsebool -a | grep ftp
ftp_home_dir --> off 需要开启这个
ftpd_disable_trans --> off

#setsebool -P ftpd_home 1
# getsebool -a | grep ftp
ftp_home_dir --> on 这个开启了
ftpd_disable_trans --> off

设置上传的目录权根 为该登录用户名和组

#useradd -u 502 atans
#vi /etc/passwd
设为虚拟非登录用户
/sbin/nologin
设置家目录
/var/ftp
#chown -R atans:atans /var/ftp
#chmod -R 755 /var/ftp
 

编辑vsFTPd设置文件

与匿名者相关的资讯，在这个案例中将匿名登入取消
anonymous_enable=NO 将匿名登入取消

与实体用户相关的资讯
# 可写入，且新增目录、档案权限为 775，因为 umask 为 002 嘛！
local_enable=YES
write_enable=YES
local_umask=002

限制用户于家目录
chroot_local_user=YES 这个须自己加上
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd/chroot_list 需要新建文件 列表内为不限制用户于家目录

与主机有关的设定
use_localtime=YES
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
pam_service_name=vsftpd
listen=YES
tcp_wrappers=YES
banner_file=/etc/vsftpd/welcome.txt

限制不能登录的帐号
vi /etc/vsftpd/ftpusers
# Users that are not allowed to login via ftp
root
bin
daemon
adm
lp
sync
shutdown
halt
mail
news
uucp
operator
games
nobody
---------------------
gopher
ftp 删除
mysql
dbus
lnxa

 

建立分区
# fdisk /dev/sda #sda后面是没有数字的
Command (m for help): m <== 输入 m 后，就会看到底下这些指令介绍
Command action
a toggle a bootable flag
b edit bsd disklabel
c toggle the dos compatibility flag
d delete a partition <==删除一个partition
l list known partition types
m print this menu
n add a new partition <==新增一个partition
o create a new empty DOS partition table
p print the partition table <==在萤幕上显示分割表
q quit without saving changes <==不储存离开fdisk程式
s create a new empty Sun disklabel
t change a partition's system id
u change display/entry units
v verify the partition table
w write table to disk and exit <==将刚刚的动作写入分割表
x extra functionality (experts only)
选择 n 新建一个分区
Command action
e extended
p primary partition (1-4)
选e或p 根据4P 或 3P+E
Partition number (1-4):3
First cylinder (64-5005, default 64): <=[enter]
Last cylinder or +size or +sizeM or +sizeK (64-5005, default 5005): +2048M 输入Last cylinder或+20048m
w 保存

# partprobe
不要忘记让核心更新 partition table 喔！
 

格式化新建的分区
#mkfs -t ext3 /dev/sda3

标签分区for开机挂载
#e2label /dev/sda3 /backup
#dumpe2fs -h /dev/sda5
会显 Filesystem volume name: /backup <==改過來啦！

开机挂载
vi /etc/fstab
LABEL=/backup /backup ext3 defaults 1 2

参考文章 http://net.csai.cn/windows_Server/200808131343191014.htm