20.1 系统基本设置

我们的 CentOS 7 系统其实有很多东西需要来设置的，包括之前稍微谈过的语系、日期、时间、网络设置等等。 CentOS 6.x 以前有个名为 setup 的软件将许多的设置做成类图形界面，连防火墙都可以这样搞定！不过这个功能在 CentOS 7 已经式微～ 这是因为 CentOS 7 已经将很多的软件指令作的还不赖，又加入了 bash-complete 的功能，指令下达确实还 OK 啦！ 如果不习惯指令，很多的图形界面也可以使用～因此，setup 的需求就减少很多了！ 下面我们会介绍基本的系统设置需求，其实也是将之前章节里面稍微谈过个数据做个汇整就是了！

20.1.1 网络设置 （手动设置与DHCP自动取得）

网络其实是又可爱又麻烦的玩意儿，如果你是网络管理员，那么你必须要了解区域网络内的 IP, gateway, netmask 等参数，如果还想要连上 Internet ，那么就得要理解 DNS 代表的意义为何。如果你的单位想要拥有自己的网域名称， 那么架设 DNS 服务器则是不可或缺的。总之，要设置网络服务器之前，你得要先理解网络基础就是了！ 没有人愿意自己的服务器老是被攻击或者是网络问题层出不穷吧！^_^

但鸟哥这里的网络介绍仅止于当你是一部单机的 Linux 用户端，而非服务器！所以你的各项网络参数只要找到网络管理员， 或者是找到你的 ISP （Internet Service Provider） ，向他询问网络参数的取得方式以及实际的网络参数即可。 通常网络参数的取得方式在台湾常见的有下面这几种：

  • 手动设置固定 IP
    常见于学术网络的服务器设置、公司行号内的特定座位等。这种方式你必须要取得下面的几个参数才能够让你的 Linux 上网的：

  • IP

  • 子网络遮罩（netmask）
  • 通讯闸（gateway）

  • DNS 主机的 IP （通常会有两个，若记不住的话，硬背 168.95.1.1 即可）

  • 网络参数可自动取得 （dhcp 协定自动取得）

常见于 IP 分享器后端的主机，或者是利用电视线路的缆线上网 （cable modem），或者是学校宿舍的网络环境等。 这种网络参数取得方式就被称为 dhcp ，你啥事都不需要知道，只要知道设置上网方式为 dhcp 即可。

  • 台湾的光纤到府与 ADSL 宽带拨接
    不论你的 IP 是固定的还是每次拨接都不相同 （被称为浮动式 IP），只要是通过光纤到府或宽带调制解调器“拨接上网”的，就是使用这种方式。 拨接上网虽然还是使用网卡连接到调制解调器上，不过，系统最终会产生一个替代调制解调器的网络接口 （ppp0） ， 那个 ppp0 也是一个实体网络接口啦！

不过，因为台湾目前所谓的“光世代”宽带上网的方式所提供的调制解调器中，内部已经涵盖了 IP 分享与自动拨接功能， 因此，其实你在调制解调器后面也还是只需要“自动取得IP”的方式来取得网络参数即可喔！

了解了网络参数的取得方法后，你还得要知道一下我们通过啥硬件连上 Internet 的呢？其实就是网卡嘛。 目前的主流网卡为使用以太网络协定所开发出来的以太网卡 （Ethernet），因此我们 Linux 就称呼这种网络接口为 ethN （N 为数字）。 举例来说，鸟哥的这部测试机上面有一张以太网卡，因此鸟哥这部主机的网络接口就是 eth0 啰 （第一张为 0 号开始）。

不过新的 CentOS 7 开始对于网卡的编号则有另一套规则，网卡的界面代号现在与网卡的来源有关～基本上的网卡名称会是这样分类的：

  • eno1 ：代表由主板 BIOS 内置的网卡
  • ens1 ：代表由主板 BIOS 内置的 PCI-E 界面的网卡
  • enp2s0 ：代表 PCI-E 界面的独立网卡，可能有多个插孔，因此会有 s0, s1… 的编号～

  • eth0 ：如果上述的名称都不适用，就回到原本的默认网卡编号
    其实不管什么网卡名称啦！想要知道你有多少网卡，直接下达“ ifconfig -a ”全部列出来即可！此外，CentOS 7 也希望我们不要手动修改配置文件， 直接使用所谓的 nmcli 这个指令来设置网络参数即可～因为鸟哥的测试机器是虚拟机，所以上述的网卡代号只有 eth0 能够支持～ 你得要自己看自己的系统上面的网卡代号才行喔！

  • 手动设置 IP 网络参数
    假设你已经向你的 ISP 取得你的网络参数，基本上的网络参数需要这些数据的：

  • method: manual （手动设置）

  • IP: 172.16.1.1
  • netmask: 255.255.0.0
  • gateway: 172.16.200.254
  • DNS: 172.16.200.254
  • hostname: study.centos.vbird
    上面的数据除了 hostname 是可以暂时不理会的之外，如果你要上网，就得要有上面的这些数据才行啊！然后通过 nmcli 来处理！ 你得要先知道的是，nmcli 是通过一个名为“连线代号”的名称来设置是否要上网，而每个“连线代号”会有个“网卡代号”， 这两个东西通常设置成相同就是了。那就来先查查看目前系统上默认有什么连线代号吧！
  1. [root@study ~]# nmcli connection show [网卡代号]
  2. [root@study ~]# nmcli connection show
  3. NAME  UUID                                  TYPE            DEVICE
  4. eth0  505a7445-2aac-45c8-92df-dc10317cec22  802-3-ethernet  eth0
  5. # NAME    就是连线代号，通常与后面的网卡 DEVICE 会一样！
  6. # UUID    这个是特殊的设备识别，保留就好不要理他！
  7. # TYPE    就是网卡的类型，通常就是以太网卡！
  8. # DEVICE  当然就是网卡名称啰！
  9. # 从上面我们会知道有个 eth0 的连线代号，那么来查察这个连线代号的设置为何？
  11. [root@study ~]# nmcli connection show eth0
  12. connection.id:                          eth0
  13. connection.uuid:                        505a7445-2aac-45c8-92df-dc10317cec22
  14. connection.interface-name:              eth0
  15. connection.type:                        802-3-ethernet
  16. connection.autoconnect:                 yes
  17. .....（中间省略）.....
  18. ipv4.method:                            manual
  19. ipv4.dns:
  20. ipv4.dns-search:
  21. ipv4.addresses:                         192.168.1.100/24
  22. ipv4.gateway:                           --
  23. .....（中间省略）.....
  24. IP4.ADDRESS[1]:                         192.168.1.100/24
  25. IP4.GATEWAY:
  26. IP6.ADDRESS[1]:                         fe80::5054:ff:fedf:e174/64
  27. IP6.GATEWAY:

如上表的输出，最下面的大写的 IP4, IP6 指的是目前的实际使用的网络参数，最上面的 connection 开头的部份则指的是连线的状态！ 比较重要的参数鸟哥将它列出来如下：

  • connection.autoconnect [yes|no] ：是否于开机时启动这个连线，默认通常是 yes 才对！
  • ipv4.method [auto|manual] ：自动还是手动设置网络参数的意思
  • ipv4.dns [dns_server_ip] ：就是填写 DNS 的 IP 位址～
  • ipv4.addresses [IP/Netmask] ：就是 IP 与 netmask 的集合，中间用斜线 / 来隔开～
  • ipv4.gateway [gw_ip] ：就是 gateway 的 IP 位址！
    所以，根据上面的设置项目，我们来将网络参数设置好吧！
  1. [root@study ~]# nmcli connection modify eth0 \
  2. >  connection.autoconnect yes \
  3. >  ipv4.method manual \
  4. >  ipv4.addresses 172.16.1.1/16 \
  5. >  ipv4.gateway 172.16.200.254 \
  6. >  ipv4.dns 172.16.200.254
  7. # 上面只是“修改了配置文件”而已，要实际生效还得要启动 （up） 这个 eth0 连线界面才行喔！
  9. [root@study ~]# nmcli connection up eth0
  10. [root@study ~]# nmcli connection show eth0
  11. .....（前面省略）.....
  12. IP4.ADDRESS[1]:                         172.16.1.1/16
  13. IP4.GATEWAY:                            172.16.200.254
  14. IP4.DNS[1]:                             172.16.200.254
  15. IP6.ADDRESS[1]:                         fe80::5054:ff:fedf:e174/64
  16. IP6.GATEWAY:

最终执行“ nmcli connection show eth0 ”然后看最下方，是否为正确的设置值呢？如果是的话，那就万事 OK 啦！

  • 自动取得 IP 参数
    如果你的网络是由自动取得的 DHCP 协定所分配的，那就太棒了！上述的所有功能你通通不需要背～只需要知道 ipv4.method 那个项目填成 auto 即可！ 所以来查察，如果变成自动取得，网络设置要如何处理呢？
  1. [root@study ~]# nmcli connection modify eth0 \
  2. >  connection.autoconnect yes \
  3. >  ipv4.method auto
  5. [root@study ~]# nmcli connection up eth0
  6. [root@study ~]# nmcli connection show eth0
  7. IP4.ADDRESS[1]:                         172.16.2.76/16
  8. IP4.ADDRESS[2]:                         172.16.1.1/16
  9. IP4.GATEWAY:                            172.16.200.254
  10. IP4.DNS[1]:                             172.16.200.254

自动取得 IP 要简单太多了！同时下达 modify 之后，整个配置文件就写入了！因此你无须使用 vim 去重新改写与设置！ 鸟哥是认为， nmcli 确实不错用喔！另外，上面的参数中，那个 connection…, ipv4… 等等的，你也可以使用 [tab] 去调用出来喔！ 也就是说， nmcli 有支持 bash-complete 的功能，所以指令下达也很方便的！

  • 修改主机名称
    主机名称的修改就得要通过 hostnamectl 这个指令来处理了！
  1. [root@study ~]# hostnamectl [set-hostname 你的主机名]
  3. # 1\. 显示目前的主机名称与相关信息
  4. [root@study ~]# hostnamectl
  5.    Static hostname: study.centos.vbird                # 这就是主机名称
  6.          Icon name: computer
  7.            Chassis: n/a
  8.         Machine ID: 309eb890d09f440681f596543d95ec7a
  9.            Boot ID: b2de392ff1f74e568829c716a7166ecd
  10.     Virtualization: kvm
  11.   Operating System: CentOS Linux 7 （Core）             # 操作系统名称！
  12.        CPE OS Name: cpe:/o:centos:centos:7
  13.             Kernel: Linux 3.10.0-229.el7.x86_64       # 核心版本也提供！
  14.       Architecture: x86_64                            # 硬件等级也提供！
  16. # 2\. 尝试修改主机名称为 www.centos.vbird 之后再改回来～
  17. [root@study ~]# hostnamectl set-hostname www.centos.vbird
  18. [root@study ~]# cat /etc/hostname
  19. www.centos.vbird
  21. [root@study ~]# hostnamectl set-hostname study.centos.vbird

20.1.2 日期与时间设置

在第四章的 date 指令解释中，我们曾经谈过这家伙可以进行日期、时间的设置。 不过，如果要改时区呢？例如台湾时区改成日本时区之类的，该如何处理？另外，真的设置了时间，那么下次开机可以是正确的时间吗？还是旧的时间？ 我们也知道有“网络校时”这个功能，那如果有网络的话，可以通过这家伙来校时吗？这就来谈谈。

  • 时区的显示与设置
    因为地球是圆的，每个时刻每个地区的时间可能都不一样。为了统一时间，所以有个所谓的“GMT、格林威治时间”这个时区！ 同时，在太平洋上面还有一条看不见的“换日线”哩！台湾地区就比格林威治时间多了 8 小时，因为我们会比较早看到太阳啦！ 那我怎么知道目前的时区设置是正确的呢？就通过 timedatectl 这个指令吧！
  1. [root@study ~]# timedatectl [commamd]
  2. 选项与参数：
  3. list-timezones ：列出系统上所有支持的时区名称
  4. set-timezone   ：设置时区位置
  5. set-time       ：设置时间
  6. set-ntp        ：设置网络校时系统
  8. # 1\. 显示目前的时区与时间等信息
  9. [root@study ~]# timedatectl
  10.       Local time: Tue 2015-09-01 19:50:09 CST  # 本地时间
  11.   Universal time: Tue 2015-09-01 11:50:09 UTC  # UTC 时间，可称为格林威治标准时间
  12.         RTC time: Tue 2015-09-01 11:50:12
  13.         Timezone: Asia/Taipei （CST, +0800）     # 就是时区啰！
  14.      NTP enabled: no
  15. NTP synchronized: no
  16.  RTC in local TZ: no
  17.       DST active: n/a
  19. # 2\. 显示出是否有 New_York 时区？若有，则请将目前的时区更新一下
  20. [root@study ~]# timedatectl list-timezones | grep -i new
  21. America/New_York
  22. America/North_Dakota/New_Salem
  24. [root@study ~]# timedatectl set-timezone "America/New_York"
  25. [root@study ~]# timedatectl
  26.       Local time: Tue 2015-09-01 07:53:24 EDT
  27.   Universal time: Tue 2015-09-01 11:53:24 UTC
  28.         RTC time: Tue 2015-09-01 11:53:28
  29.         Timezone: America/New_York （EDT, -0400）
  31. [root@study ~]# timedatectl set-timezone "Asia/Taipei"
  32. # 最后还是要记得改回来台湾时区喔！不要忘记了！
  • 时间的调整
    由于鸟哥的测试机使用的是虚拟机，默认虚拟机使用的是 UTC 时间而不是本地时间，所以在默认的情况下，测试机每次开机都会快上 8 小时… 所以就需要来调整一下时间啰！时间的格式可以是“ yyyy-mm-dd HH:MM ”的格式！比较方便记忆喔！
  1. # 1\. 将时间调整到正确的时间点上！
  2. [root@study ~]# timedatectl set-time "2015-09-01 12:02"

过去我们使用 date 去修改日期后，还得要使用 hwclock 去订正 BIOS 记录的时间～现在通过 timedatectl 一口气帮我们全部搞定，方便又轻松！

  • 用 ntpdate 手动网络校时
    其实鸟哥真的不太爱让系统自动网络校时，比较喜欢自己手动网络校时。当然啦，写入 crontab 也是不错的想法～ 因为系统默认的自动校时会启动 NTP 协定相关的软件，会多开好几个 port ～想到就不喜欢的缘故啦！没啥特别的意思～ 那如何手动网络校时呢？很简单，通过 ntpdate 这个指令即可！
  1. [root@study ~]# ntpdate tock.stdtime.gov.tw
  2.  1 Sep 13:15:16 ntpdate[21171]: step time server 211.22.103.157 offset -0.794360 sec
  4. [root@study ~]# hwclock -w

上述的 tock.stdtime.gov.tw 指的是台湾地区国家标准实验室提供的时间服务器，如果你在台湾本岛上，建议使用台湾提供的时间服务器来更新你的服务器时间， 速度会比较快些～至于 hwclock 则是将正确的时间写入你的 BIOS 时间记录内！如果确认可以执行，未来应该可以使用 crontab 来更新系统时间吧！

20.1.3 语系设置

我们在第四章知道有个 LANG 与 locale 的指令能够查询目前的语系数据与变量，也知道 /etc/locale.conf 其实就是语系的配置文件。 此外，你还得要知道的是，系统的语系与你目前软件的语系数据可能是可以不一样的！如果想要知道目前“系统语系”的话， 除了调用配置文件之外，也能够使用 localectl 来查阅：

  1. [root@study ~]# localectl
  2.    System Locale: LANG=zh_TW.utf8             # 下面这些数据就是“系统语系”
  3.                   LC_NUMERIC=zh_TW.UTF-8
  4.                   LC_TIME=zh_TW.UTF-8
  5.                   LC_MONETARY=zh_TW.UTF-8
  6.                   LC_PAPER=zh_TW.UTF-8
  7.                   LC_MEASUREMENT=zh_TW.UTF-8
  8.        VC Keymap: cn
  9.       X11 Layout: cn
  10.      X11 Options: grp:ctrl_shift_toggle
  12. [root@study ~]# locale
  13. LANG=zh_TW.utf8            # 下面的则是“当前这个软件的语系”数据！
  14. LC_CTYPE="en_US.utf8"
  15. LC_NUMERIC="en_US.utf8"
  16. .....（中间省略）.....
  17. LC_ALL=en_US.utf8

从上面的两个指令结果你会发现到，系统的语系其实是中文的万国码 （zh_TW.UTF8） 这个语系。不过鸟哥为了目前的教学文件制作， 需要取消中文的显示，而以较为单纯的英文语系来处理～因此使用 locale 指令时，就可以发现“鸟哥的 bash 使用的语系环境为 en_US.utf8”这一个！ 我们知道直接输入的 locale 查询到的语系，就是目前这个 bash 默认显示的语言，那你应该会觉得怪，那系统语系 （localectl） 显示的语系用在哪？

其实鸟哥一登陆系统时，取得的语系确实是 zh_TW.utf8 这一个的，只是通过“ export LC_ALL=en_US.utf8 ”来切换为英文语系而已。 此外，如果你有启用图形界面登陆的话，那么默认的显示语系也是通过这个 localectl 所输出的系统语系喔！

问：如果你跟着鸟哥的测试机器一路走来，图形界面将会是中文万国码的提示登陆字符。如何改成英文语系的登陆界面？答：就是将 locale 改成 en_US.utf8 之后，再转成图形界面即可！

  1. [root@study ~]# localectl set-locale LANG=en_US.utf8
  2. [root@study ~]# systemctl isolate multi-user.target
  3. [root@study ~]# systemctl isolate graphical.target

接下来你就可以看到英文的登陆画面提示了！未来的默认语系也都会是英文界面喔！

20.1.4 防火墙简易设置

有网络没有防火墙还挺奇怪的，所以这个小节我们简单的来谈谈防火墙的一点点数据好了！

防火墙其实是一种网络数据的过滤方式，它可以依据你服务器启动的服务来设置是否放行，也能够针对你信任的用户来放行！ 这部份应该要对网络有点概念之后才来谈比较好，所以详细的数据会写入在服务器篇的内容。由于目前 CentOS 7 的默认防火墙机制为 firewalld， 他的管理界面主要是通过命令行 firewall-cmd 这个详细的指令～既然我们还没有谈到更多的防火墙与网络规则，想要了解 firewall-cmd 有点难！ 所以这个小节我们仅使用图形界面来介绍防火墙的相关数据而已！

要启动防火墙的图形管理界面，你当然就得要先登陆 X 才行！然后到“应用程序”—>“杂项”—>“防火墙”给它点下去，如下面的图示：

防火墙启动的链接画面图20.1.1、防火墙启动的链接画面

之后出现的图形管理界面会有点像下面这样：

防火墙图形管理界面示意图图20.1.2、防火墙图形管理界面示意图

  • 组态：“执行时期”与“永久记录”的差异
    如图 20.1.2 的箭头 1 处，基本上，防火墙的规则拟定大概有两种情况，一种是“暂时用来执行”的规则，一种则是“永久记录”的规则。 一般来说，刚刚启动防火墙时，这两种规则会一模一样。不过，后来可能你会暂时测试而加上几条规则，如果该规则没有写入“永久记录”区的话， 那下次重新载入防火墙时，该规则就会消失喔！所以请特别注意：“不要只是在执行阶段增加规则设置，而是必须要在永久记录区增加规则才行！”

  • 界域 （zone）：依据不同的环境所设计的网络界域 （zone）
    玩过网络后，你可能会听过所谓的本机网络、NAT 与 DMZ 等网域，同时，可能还有可信任的 （trusted） 网域，或者是应该被抵挡 （drop/block） 的网域等等。 这些网域各有其功能～早期的 iptables 防火墙服务，所有的规则你都得要自己手动来撰写，然后规则的细分得要自己去规划， 所以很可能会导致一堆无法理解的规则。

新的 firewalld 服务就预先设计这些可能会被用到的网络环境，里面的规则除了 public （公开网域） 这个界域 （zone） 之外，其它的界域则暂时为没有启动的状况。 因此，在默认的情况下，如图 20.1.2 当中的 2 号箭头与 3 号箭头处，你只要考虑 public 那个项目即可！其他的领域等到读完服务器篇之后再来讨论。 所以，再说一次～你只要考虑 public 这个 zone 即可喔！

  • 相关设置项目
    接下来图 20.1.2 4 号箭头的地方就是重点啦！防火墙规则通常需要设置的地方有：

  • 服务：一般来说，如果你的 Linux server 是作为 Internet 的服务器，提供的是比较一般的服务，那么只要处理“服务”项目即可。默认你的服务器已经提供了 ssh 与 dhcpv6-client 的服务端口喔！

  • 端口：如果你提供的服务所启用的端口并不是正规的端口，举例来说，为了玩 systemd 与 SELinux 我们曾经将 ssh 的端口调整到 222 ，同时也曾经将 ftp 的端口调整到 555 对吧！那如果你想要让人家连进来，就不能只开放上面的“服务”项目，连这个“端口”的地方也需要调整才行！另外， 如果有某些比较特别的服务是 CentOS 默认没有提供的，所以“服务”当然也就没有存在！这时你也可以直接通过端口来搞定它！
  • 丰富规则（rich rule）：如果你有“整个网域”需要放行或者是拒绝的时候，那么前两个项目就没有办法适用， 这时就得要这个项目来处理了。不过鸟哥测试了 7.1 这一版的设置，似乎怪怪的～因此，下面我们会以 firewall-cmd 来增加这一个项目的设置。

  • 接口：就是这个界域主要是针对哪一个网卡来做规范的意思，我们只有一张网卡，所以当然就是 eth0 啰！
    至于“伪装”、“端口转送”、“ICMP过滤器”、“来源”等等我们就不介绍了！毕竟那个是网络的东西，还不是在基础篇应该要告诉你的项目。 好了！现在假设我们的 Linux server 是要作为下面的几个重要的服务与相关的网域功能，你该如何设置防火墙呢？

  • 要作为 ssh, www, ftp, https 等等正规端口的服务；

  • 同时与前几章搭配，还需要放行 port 222 与 port 555 喔！
  • 区域网络 192.168.1.0/24 这一段我们目前想要直接放行这段网域对我们服务器的连线
    请注意，因为未来都要持续生效，所以请一定要去到“永久”的防火墙设置项目里头去处理！不然只有这次开机期间会生效而已～注意注意！ 好了，首先就来处理一下正规的服务端口的放行吧！不过因为永久的设置比较重要，因此你得要先经过授权认证才行！如下图所示。

永久的设置需要权限的认证图20.1.3、永久的设置需要权限的认证

注意如下图所示，你要先确认箭头 1, 2, 3 的地方是正确的，然后再直接勾选 ftp, http, https, ssh 即可！因为 ssh 默认已经被勾选， 所以鸟哥仅截图上头的项目而已！比较特别的是，勾选就生效～没有“确认”按钮喔！呵呵！相当有趣！

以图形界面的方式放行正规服务的防火墙设置图20.1.4、以图形界面的方式放行正规服务的防火墙设置

接下来按下“端口”的页面，如下图所示，按下“加入”之后在出现的窗口当中填写你需要的端口号码，通常也就是 tcp 协定保留它不动！ 之后按下“确定”就好了！

以图形界面的方式放行部份非正规端口的防火墙设置图20.1.5、以图形界面的方式放行部份非正规端口的防火墙设置

因为我们有两个端口要增加，所以请实作两次产生 222 与 555 的端口如下：

以图形界面的方式放行部份非正规端口的防火墙设置图20.1.6、以图形界面的方式放行部份非正规端口的防火墙设置

最后一个要处理的是区域网络的放行，我们刚刚谈到这个部份恐怕目前的图形界面软件有点怪异～所以，这时你可以这样下达指令即可！ 注意，下列的指令全部都是必要参数，只有 IP 网段的部份可以变动掉即可！

  1. [root@study ~]# firewall-cmd --permanent --add-rich-rule='rule family="ipv4" \
  2. >  source address="192.168.1.0/24" accept'
  3. success
  4. [root@study ~]# firewall-cmd --reload

最后一行很重要喔！我们上面的图示通通是作用于“永久”设置中，只是变更配置文件，要让这些设置实际生效，那么就得要使用上面的 reload 项目， 让防火墙系统整个完整的再载入一下～那就 OK 啰！这样会使用简易的防火墙设置了吗？ ^_^

原文: https://wizardforcel.gitbooks.io/vbird-linux-basic-4e/content/174.html