在前面的几篇文章里我们介绍了基于iptables和ipvs模式下cluster ip类型的service和node port类型的service实现原理，这里我们做一下回顾总结和对比，相关文章可以参考如下：
在上一篇文章中我们概括了k8s集群网络大致包含哪些方面，包括服务在网络中的负载均衡方式(iptable和ipvs)，以及underlay和overlay的组网。在这里我们介绍宿主内的容器网络，当然我们还是以docker环境为例，介绍docker宿主环境中的容器网络。
在以前系列文章中我们以学习为目的介绍了二进制手动安装k8s集群，这里也是一个系列文章，同样以学习为目的，我们介绍k8s集群网络。对于网络基本涉及两个方面，一是到各个服务的网络间负载均衡，另一个是网络间的通讯。
这个当初我理解不了，主要是没把netfilter理解清楚。 Netfilter是集成在内核中的，用来定义存储各种规则的。Iptalbe是修改这些规则的工具，修改后存在netfilter里面。
在之前文章中我们介绍了基于iptable方式实现的k8s集群中cluster ip类型和node port类型service的负载均衡。其本质上是当网络数据包从pod的network namespace中通过linux veth pair设备进入到host宿主中的network namespace时，经过iptable一系列的NAT转换，把service的cluster ip和端口DNAT成pod的ip和端口。同时leverage linux iptable的random模块，实现了对pod的负载均衡，然后再交由host对目标pod的路由策略来实现将数据包发往pod。当然，这一切都是在linux内核空间实现的，和应用程序的用户空间没有关系。在这里我们主要介绍基于ipvs的cluster ip类型service的实现原理。如果对于ipvs不熟悉的同学可以浏览一下网站http://www.linuxvirtualserver.org/，大名鼎鼎的LVS负载均衡就是基于ipvs来实现的。
1.首先在/etc/sysconfig/iptables-config中修改或者添加以下内容
防火墙是一套规则。当数据包进入或离开受保护的网络空间时，将根据防火墙规则测试数据包的内容(特别是有关其来源、目标和计划使用的协议的信息)，以确定是否应该允许数据包通过。下面是一个简单的例子：
在 Linux 上通过 veth 我们可以创建出许多的虚拟设备。通过 Bridge 模拟以太网交换机的方式可以让这些网络设备之间进行通信。不过虚拟化中还有很重要的一步，那就是隔离。借用 Docker 的概念来说，那就是不能让 A 容器用到 B 容器的设备，甚至连看一眼都不可以。只有这样才能保证不同的容器之间复用硬件资源的同时，还不会影响其它容器的正常运行。
kubernetes的服务发现到node创建启动，最终到提供服务，中间都离不开iptable的nat模块，在业务高访问量的情况下，这是无法满足性能要求的。
防火墙大家都不陌生，或者说都听说过，现实中的防火墙是将一个区域内的火隔离开来使之不蔓延到另一个区域，计算机领域的防火墙与之功能类似，也是为了隔离危险。在如今广阔的互联网领域内，我们一般会相信一个叫做“黑暗森林”的法则。对于这个法则大家可以去搜索一下，它是在《三体》系列小说中写出来的，大致意思是在黑暗丛林中我们无法判断对方对自己是否有恶意， 对方也无法判断我们是否有恶意，所以一见面就把对方灭掉。互联网中的恶意攻击者太多了，我们无法确定它们都是水更无法把它们灭掉，但是我们可以把自己与它们隔离开来，启隔离作用的那个东西就叫防火墙。
Docker的默认网络是非常弱的，他使用的是一个虚拟网桥和container中的veth pair通信，在container中，默认是没有对外的IP的，外部主机或容器只能通过NAT，或者自定义iptable来实现主机或容器间的互联互通。 这种局限性非常明显: 如果我要配置一个sshd service，需要手工配置转发规则，非常不便 无法使用DHCP NAT无法在宿主机上用一个端口提供不同服务，所以有多个container绑定到一个物理网卡时，因为无法分配多个对外IP，所以诸如Http 这样的服务只能跑在同一
另一个关于内核升级的文档：《NFS》目录里《centos5.5 x86-64升级内核到2.6.20,安装iotop及fscache》
实验室拟态存储的项目需要通过LVS-NAT模式通过LVS服务器来区隔内外网的服务，所以安全防护的重心则落在了LVS服务器之上。笔者最终选择通过firewalld放行端口的方式来实现需求，由于firewall与传统Linux使用的iptable工具有不小的区别，接下来通过博客来记录一下firewalld的配置流程。
· iptables是在Linux内核中配置防火墙规则的用户空间工具。在内核版本更新到2.4以来，iptable一直作为系统中主要的防火墙解决方案。CentOS7将原来的iptable替换为firewall，而firewall提供了对ipset的支持。 · ipset相当于iptable的扩展，它和iptable 处理方式，iptable通过链表线性存储然后遍历来实现匹配。而ipset通过通过索引的数据结构设计达到快速匹配。这种设计使得当set配置比较庞大的时候，也可以高效地进行匹配。
在上一篇文章里我们主要介绍worker组件kubelet的安装，这里我们开始介绍安装另一个worker组件kube-proxy，这里我们采用下载二进制binary制作linux systemd的方式安装。这个组件也在下载的kubenetes包里(1.15.1版本)，在以前文章里已经下载过(要科学上网或者搭个梯子)，这里就不再重复。另外kube-proxy与kube-apiserver交互我们开启ssl，所以请提前制作好相关ssl证书(可以参考以前文章里制作docker的证书)，并copy到配置目录里。
一.>>>>>>启用centos7 iptables防火墙Centos7 防火墙firewall设置方法
iSCSI 是一种块级别的协议，用于通过TCP/IP网络共享原始存储设备，可以用已经存在的IP和以太网如网卡、交换机、路由器等通过iSCSI协议共享和访问存储。iSCSI target是一种由远程iSCSI服务器（target）提供的远程硬盘。
Netd是Android系统中专门负责网络管理和控制的后台daemon程序，其功能主要分三大块：
大家都认为 Linux 默认是安全的，我大体是认可的 (这是个有争议的话题)。Linux默认确实有内置的安全模型。你需要打开它并且对其进行定制，这样才能得到更安全的系统。Linux更难管理，不过相应也更灵活，有更多的配置选项。 对于系统管理员，让产品的系统更安全，免于骇客和黑客的攻击，一直是一项挑战。这是我们关于“如何让Linux系统更安全” 或者 “加固Linux系统“之类话题的第一篇文章。本文将介绍 25个有用的技巧和窍门 ，帮助你让Linux系统更加安全。希望下面的这些技巧和窍门可以帮助你加强你的系统
VNC（ Virtual Network Computing）允许Linux系统,实现可以像Windows中的远程桌面访问那样访问Linux桌面。本文配置是在rhel7.3服务器环境下运行。
Netfilter/Iptables（以下简称Iptables）是unix/linux自带的一款优秀且开放源代码的安全自由的**基于包过滤的防火墙工具**，它的功能十分强大，使用非常灵活，可以对流入和流出服务器的数据包进行很精细的控制。特别是它可以在一台非常低的硬件配置下跑的非常好
修改/etc/docker/daemon.json —- 先配置好国内镜像，不然后面加入节点image pull不下来
CentOS7默认的防火墙不是iptables,而是firewalle. 1、安装iptable iptable-service #先检查是否安装了iptables service iptables status #安装iptables yum install -y iptables #升级iptables（安装的最新版本则不需要） yum update iptables #安装iptables-services yum install iptables-services 2、禁用/停止自带的firew
Linkerd 控制平面带有自己的最低特权 Pod Security Policy 和相关的 RBAC 资源。仅当启用 PodSecurityPolicy admission controller 时，才会强制执行此 Pod 安全策略。
Netfilter （配合 iptables）使得用户空间应用程序可以注册内核网络栈在处理数据包时应用的处理规则，实现高效的网络转发和过滤。很多常见的主机防火墙程序以及 Kubernetes 的 Service 转发都是通过 iptables 来实现的。
linux防火墙主要工作在网络层，针对TCP/IP数据包实施过滤和限制（包过滤防火墙或网络层防火墙），linux防火墙
下午回到家就想睡觉，醒来以为快早上了，一看时间原来才晚上十一点了，感冒了两周，颓废了半个月，心态不咋好，现在又来和你们见面了，加油！
这篇主要是介绍“linux系统常见服务及其对应端口”的内容了，下文有实例供大家参考，对大家了解操作过程或相关知识有一定的帮助，而且实用性强，希望这篇文章能帮助大家解决linux系统常见服务及其对应端口的问题，下面我们一起来了解看看吧。 一、端口和服务的关系 端口号与相应服务的对应关系存放在/etc/services文件中，这个文件中可以找到大部分端口。使用netstat命令 显示的服务名称也是从这个文件中找的。有人说将这个文件中的相应端口号注释掉，就可以禁用该端口。 我试了却不起作用，这种方法应该是没有
iptables是linux系统下的一个功能强大的模块，不仅可以用作防火墙，还可以实现NAT等众多路由功能。iptables的容器有很清晰的层次关系：
本篇是自己的一篇学习笔记，主要是为了学明白，iptable是如何在envoy里面进行流量劫持的，会从下面几个方面来介绍：
我今天和大家分享一下Docker的网络，主要是基于我的使用体验和对这里面的一些技术的理解，也顺便听取一下大家的建议。我是做培训的，大多数时候和理论的东西打交道， 顺便做一些实验，为了讲课的时候不那么虚
本文操作基于CentOS7，其它Linux发行版本可能存在差异，分基于yum的在线安装和基于二进制包的离线安装（实际还有基于rpm包的离线安装），离线安装可以更多地了解Docker及相关体系。
iptables不是一个真正的防火墙，是位于用户空间的一个命令行工具，用户通过iptables这个代理将用户的安全设定执行到对应的“安全框架”-netfilter，netfilter位于内核空间，他才是防火墙的真正安全框架
关于 netfilter 的介绍文章大部分只描述了抽象的概念，实际上其内核代码的基本实现不算复杂，本文主要参考 Linux 内核 2.6 版本代码（早期版本较为简单），与最新的 5.x 版本在实现上可能有较大差异，但基本设计变化不大，不影响理解其原理。
[root@localhost ~]# firewall-cmd --zone=public --add-port=6379/tcp --permanent
大家好，又见面了，我是你们的朋友全栈君。简介:iptables 是与最新的 2.4.x 版本 Linux 内核集成的 IP 信息包过滤系统。如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器， 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。 —来自百度百科
一天，发现服务器上 80 端口不能正常访问了， 无论怎么都是 404 page not found 。这就奇怪了。
环境：一台Linux机器单网卡，一台window机器单网卡，一个四口集线器。背景：房东只提供了一条上网线，并且限定了只能用一个网卡上网(就是我的Linux机器的网卡)。目的：通过Linux共享上网设置将window机器也带入网络中。方法：利用Linux机器做个DHCP服务器，用集线器做成一个局域网。再转发此网段的IP请求。
堆栈的打印过程类似于xfs 告警处理 , 大致的过程为内核开启 sack, fack 功能后, 网络传输过程中需要的快速重传和选择性重传会通过 tcp_input.c 文件的 tcp_mark_head_lost 函数进行处理, 其主要标记传输过程中丢失的报文的数量, 如下所示, 系统报的 kernel 堆栈信息由 tcp_mark_head_lost 函数中的 tcp_verify_left_out 函数调用触发:
传统的Linux内核网络协议栈由于更加注重通用性，其网络处理存在着固有的性能瓶颈，随着10G、25G、40G、100G甚至更高速率的网卡出现，这种性能瓶颈变得更加突出，传统内核网络协议栈已经难以满足高性能网络处理的要求。
C&C服务器，其全称为command and control server。我们在诸多文章中曾看到过，C&C服务器不仅可以为攻击者提供便利的资源管理平台，也可以保障其个人隐私安全。今天，我们就通过一个几个C&C服务器的搭建实验教程让大家了解一下什么是C&C服务器，以了解如何应对利用C&C的攻击行为。 无C&C服务器通讯 故事 *本文中涉及的故事纯属虚构，如有雷同实数巧合 某天，某攻击者通过固定的外网IP控制了一个处在外网的用户。两台设备的交流完全是点对点交流的，并且交流方式是主动式交流。
对于系统管理员，让产品的系统更安全，免于骇客和黑客的攻击，一直是一项挑战。这是我们关于“如何让Linux系统更安全” 或者 “加固Linux系统“之类话题的第一篇文章。本文将介绍 25个有用的技巧和窍门 ，帮助你让Linux系统更加安全。希望下面的这些技巧和窍门可以帮助你加强你的系统的安全。 1. 物理系统的安全性 配置BIOS，禁用从CD/DVD、外部设备、软驱启动。下一步，启用BIOS密码，同时启用GRUB的密码保护，这样可以限制对系统的物理访问。 通过设置GRUB密码来保护Linux服务器 2. 磁盘
TorghostNG是一款功能强大的网络流量匿名化工具，该工具基于Python3开发，并对TorGhost工具进行了重构。TorghostNG的匿名化功能通过Tor网络实现，可以帮助广大研究人员让自己所有的网络通信流量匿名化。
在上一篇文章中我们介绍了基于ipvs的cluster ip类型service的实现原理，本质上是在iptable的PREROUTING chain以及相关target中利用ipset来匹配cluster ip，完成对即将做MASQUERADE伪装的items的mark标记，同时结合ipset也减少了iptable中的entry数量。另外在host network namespace里创建kube-ipvs0网络设备，绑定所有cluster ip，保证网络数据包可以进入INPUT chain。在INPUT chain中ipvs利用映射规则(可由ipvsadm查看该规则)完成对cluster ip的DNAT和目标pod endpoints选择的负载均衡，然后直接把数据送入POSTROUTING chain。当数据包进入POSTROUTING chain，经过相关的iptable target，匹配在PREROUTING chain中的mark标记，完成MASQUERADE伪装(SNAT host的ip地址)。最后数据包根据host network namespace的路由表做下一跳路由选择。在这里我们主要介绍基于ipvs的node port类型service的实现原理，如果对上一篇文章内容有所理解，那么这里也比较简单。
在上一篇文章中我们结合实际例子来查看了docker宿主环境中的容器网络，在这里我们主要介绍集群内的负载均衡。对于k8s集群中的服务是需要相互访问的，一般我们都会为之创建相应的service，对于集群内部的service类型我们一般设置成cluster ip。对于一个cluster ip后面会关联多个endpoints，也就是实际的pod。对于cluster ip的访问，也就是实现了对cluster ip关联的多个endpoints访问。关于cluster ip和endpoints的流量负载均衡，一般有iptable方式和ipvs方式，在以前文章里有所介绍。这里我们主要以实际例子来介绍iptable的实现方式。另外cluster ip是虚拟ip，言外之意就是这个ip没有和任何device绑定，所以当你对这个ip进行例如ping或者traceroute命令的时候是不会得到应答的。
web日志、log4j、命令、漏洞：docker yam fastjiosn、邮件、下载恶意软件（doc、rar、恶意源、docker、wget）
针对蓝队的一些Linux应急响应的一些常规的命令以及一些思路总结一下分享给大家，内容稍长，可以收藏以备不时之需。
马哥linux运维 | 最专业的linux培训机构 ---- 采集和防止采集是一个经久不息的话题，一方面都想搞别人的东西，另一方面不想自己的东西被别人搞走。 本文介绍如何利用nginx屏蔽ip来实现防止采集，当然也可以通过iptable来实现。 1.查找要屏蔽的ip awk '{print $1}' nginx.access.log |sort |uniq -c|sort -n nginx.access.log 为日志文件， 会到如下结果，前面是ip的访问次数，后面是ip，很明显我们需要把访问次数多的ip
Linux 操作系统的启动首先从 BIOS 开始，接下来进入 boot loader，由 bootloader 载入内核，进行内核初始化。内核初始化的最后一步就是启动 pid 为 1 的 init 进程。这个进程是系统的第一个进程。它负责产生其他所有用户进程。init 以守护进程方式存在，是所有其他进程的祖先。init 进程非常独特，能够完成其他进程无法完成的任务。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
