UNIX学习日记

viptell

Solaris 10下的网络IP配置
September 30, 2007 3:16 PM |
Permalink

操作环境
PC-C204
Solaris 10 u1 x86
配置静态IP
{
内网：inner 192.168.1.1    255.255.255.0
外网：outer 192.168.224.251    255.255.255.0
}
外网接口已在安装界面配置完成，现在配置内网接口。
查看双网卡是否已安装：
ls /dev | grep rtls
rtls
rtls0
rtls1网卡型号决定了网卡的名称，我的网卡名称是：rtls开头
上面显示安装了两个网卡，rtls1就是我们下面的要配置的网卡！
配置网卡接口名称：
vi /etc/hostname.rtls1
inner
配置子网掩码：
chmod 644 /etc/inet/netmasks
vi /etc/inet/netmasks
192.168.224.0   255.255.255.0
192.168.1.0     255.255.255.0
配置网卡接口地址：
chmod 644 /etc/inet/hosts   
vi /etc/inet/hosts
127.0.0.1       localhost      
192.168.224.251 outer   outer.c204.com  loghost
192.168.1.1     inner   inner.c204.com
统一配置文件：
chmod 644 /etc/inet/ipnodes
vi /etc/inet/ipnodes
::1     localhost
127.0.0.1       localhost
192.168.224.251 outer   outer.c204.com  loghost
192.168.1.1     inner   inner.c204.com
重启：
init 6
网络配置完成后，相关文件的内容：
more /etc/nodename
outer
more /etc/hostname.rtls0
outer
more /etc/hostname.rtls1
inner
more /etc/hosts
127.0.0.1       localhost      
192.168.224.251 outer   outer.c204.com  loghost
192.168.1.1     inner   inner.c204.com
more /etc/netmasks
192.168.224.0   255.255.255.0
192.168.1.0     255.255.255.0
more /etc/defaultrouter
192.168.224.1
more /etc/resolv.conf
domain c204.com
nameserver 202.96.134.133
nameserver 202.96.128.68
search c204.com
more /etc/nsswitch.conf
hosts:      files dns
错误排除
如果出现如下错误信息，说明主机名没有在主机列表中指定：
Nov 20 15:25:04 unix /usr/lib/snmp/snmpdx: [ID 702911 daemon.error] unable to get my IP address: gethostbyname(unix) failed [h_errno: host not found(1)]
可以这样解决，将主机名加入到主机列表：
more /etc/nodename
unix
vi /etc/hosts
127.0.0.1       localhost       unix    loghost如果出现如下错误信息，说明你在安装后配置网卡接口名称时使用了主机名：
Nov 20 15:36:32 unix ip: [ID 482227 kern.notice] ip_arp_done: init failed
可以这样解决，更改网卡接口名：
vi /etc/hostname.rtls0
litchi
vi /etc/hosts
192.168.1.1    litchi    litchi.c204.com
如果出现如下错误信息，说明Sendmail在发出警告信息，不是什么错误：
Nov 20 15:37:21 unix sendmail[318]: [ID 702911 mail.crit] My unqualified host name (localhost) unknown; sleeping for retry
可以尝试这样配置hosts文件，要求全名称且注意loghost的位置：
more /etc/hosts
127.0.0.1       localhost      
192.168.224.251 outer   outer.c204.com  loghost
192.168.1.1     inner   inner.c204.com
如果你的系统不必运行Sendmail服务，可以停掉它：
svcs disable /network/smtp:sendmail
查看系统引导信息：
dmesg
完全限定域名错误
错误信息：
Nov 29 21:40:37 wan sendmail[712]: [ID 702911 mail.crit]
My unqualified host name (wan) unknown; sleeping for retry
Nov 29 21:41:37 wan sendmail[712]: [ID 702911 mail.alert]
unable to qualify my own domain name (wan) -- using short name
解决方法：
这是sendmail发出的警告信息，是由于/etc/inet/hosts文件的配置引起的，下面是正确配置：
127.0.0.1       localhost
192.168.224.111 wan     wan.c204.com    loghost
注意：主机名后有完全限定域名，可以随意选择域名；loghost要标识在完全限定域名行；
建议/etc/inet/hosts和/etc/inet/ipnodes配置内容相同。
-->
Solaris平台下的硬盘增加及设置方法小结
August 27, 2007 1:31 PM |
Permalink

Solaris平台下的硬盘具体增设方法大致如下:
1. 关闭系统,进入PROM状态 # init 0 ok (PROM状态提示)
2. 在PROM状态提示符下确认当前系统所连接的SCSI设备状况 ok probe-scsi 或 ok probe-scsi-all
这时,系统将显示所能识别的SCSI设备极其设备号(Target ID).如果新连接的硬 盘之信息没有出现时,请按下述方法进行确认.
1) 检查设备号是否重复?
Target-ID SunOS 4.xSolaris 2.x
2) 内藏硬盘　
1 硬盘 通常与SunOS 4.x一致.
2 硬盘 当ID不重复时, 4,5也
0 硬盘 可以用于硬盘.
4 磁带 　
5 磁带 　
6 CD-ROM CD-ROM
2) 检查电缆,插口,终端器等物理连接是否无误?
3) SCSI电缆的总长度是否在6米以内?
3. 重新起动系统 ok boot -r
注意,只有加入"-r"选项时, 系统在起动时才给所识别了的设备(包括SCSI设备) 生成相应的设备文件.
4. 对新增设的硬盘进行盘区划分
进入系统状态后,执行format命令,对新增设的硬盘进行盘区划分.
执行例
# format
Searching for disks...done
AVAILABLE DISK SELECTIONS:
0. c0t3d0
/sbus@1,f8000000/esp@0,800000/sd@3,0
Specify disk (enter its number): 0  partition  modify  label  
q  
q
(注1) 当改变其他分区尺寸时, 浮动区(Free Hog)用于在容量范围内进行自动调节.
(注2) 分区容量的具体指定方法为:
容量数值后面加"b": 指定块数.
容量数值后面加"c": 指定柱面数.
容量数值后面加"mb": 指定MB数.
建议采用"mb",以兆字节为单位指定分区容量.
5. 生成新的文件系统用newfs命令将所划分的分区生成为新的文件系统.
#/usr/sbin/newfs /dev/rdsk/c0t1d0s7 (CR)
如果在上述过程中将整个硬盘指定为一个分区,可执行下述命令.
# /usr/sbin/newfs /dev/rdsk/c0t1d0s2 (CR)
6. 检查新生成的文件系统
用fsck命令检查新生成的文件系统是否正确.
# /usr/sbin/fsck /dev/rdsk/c0t1d0s7 (CR)
如果在上述过程中将整个硬盘指定为一个分区,可执行下述命令.
# /usr/sbin/fsck /dev/rdsk/c0t1d0s2 (CR)
7. 安装新生成的文件系统
建立安装用目录后用mount命令进行安装.
例如,要将第7分区之文件系统用于home1时,可执行下述命令.
# mkdir /home1 (CR)
# mount /dev/dsk/c0t1d0s7 /home1 (CR)
8. 确认安装结果 用df命令确认安装结果. # df -k (CR)
9. 自动安装新设文件系统
为在系统起动时自动安装新设文件系统,修改/etc/vfstab文件. # vi /etc/vfstab (CR)
#device device mount FS fsck mount mount
#to mount to fsck point type pass at boot options
#
:
/dev/dsk/c0t3d0s7 /dev/rdsk/c0t3d0s7 /home1 ufs 6 yes -
10. 重新起动系统# sync;sync;reboot (CR)
-->
UNIX下SAR 命令详解
June 26, 2007 3:29 AM |
Permalink

sar 命令行的常用格式：
sar [options] [-A] [-o file] t [n]
在命令行中，n 和t 两个参数组合起来定义采样间隔和次数，t为采样间隔，是必须有
的参数，n为采样次数，是可选的，默认值是1，-o file表示将命令结果以二进制格式
存放在文件中，file 在此处不是关键字，是文件名。options 为命令行选项，sar命令
的选项很多，下面只列出常用选项：
　　　　　　-A：所有报告的总和。
　　　　　　　　 -u：CPU利用率
　　　　　　　　 -v：进程、I节点、文件和锁表状态。
　　　　　　　　 -d：硬盘使用报告。
　　　　　　　　 -r：没有使用的内存页面和硬盘块。
　　　　　　　　 -g：串口I/O的情况。
-b：缓冲区使用情况。
-a：文件读写情况。
-c：系统调用情况。
-R：进程的活动情况。
-y：终端设备活动情况。
-w：系统交换活动。
下面将举例说明。
例一：使用命令行 sar -u t n
例如，每60秒采样一次，连续采样5次，观察CPU 的使用情况，并将采样结果以二进制
形式存入当前目录下的文件zhou中，需键入如下命令：
# sar -u -o zhou 60 5
屏幕显示：
　　SCO_SV　　　scosysv　3.2v5.0.5　i80386　　　10/01/2001
　　　　 14:43:50　　　%usr　　　%sys　　%wio　　　　%idle(-u)
　　　　 14:44:50　　　0　　　　　1　　　　4　　　　　　94
　　　　 14:45:50　　　0　　　　　2　　　　4　　　　　　93
　　　　 14:46:50　　　0　　　　　2　　　　2　　　　　　96
　　　　 14:47:50　　　0　　　　　2　　　　5　　　　　　93
　　　　 14:48:50　　　0　　　　　2　　　　2　　　　　　96
　　　　 Average　　　 0　　　　　2　　　　4　　　　　　94
在显示内容包括：
　　%usr：CPU处在用户模式下的时间百分比。
　　 %sys：CPU处在系统模式下的时间百分比。
　　 %wio：CPU等待输入输出完成时间的百分比。
　　 %idle：CPU空闲时间百分比。
在所有的显示中，我们应主要注意%wio和%idle，%wio的值过高，表示硬盘存在I/O瓶颈，
%idle值高，表示CPU较空闲，如果%idle值高但系统响应慢时，有可能是CPU等待分配内存，
此时应加大内存容量。%idle值如果持续低于10，那么系统的CPU处理能力相对较低，表
明系统中最需要解决的资源是CPU。
如果要查看二进制文件zhou中的内容，则需键入如下sar命令：
　　　　# sar -u -f zhou
可见，sar命令即可以实时采样，又可以对以往的采样结果进行查询。
例二：使用命行sar -v t n
例如，每30秒采样一次，连续采样5次，观察核心表的状态，需键入如下命令：
# sar -v 30 5
屏幕显示：
　　　　　　 SCO_SV scosysv 3.2v5.0.5 i80386 10/01/2001
　　　　　　 10:33:23 proc-sz ov inod-sz ov file-sz ov lock-sz　　 (-v)
10:33:53　305/　321 　0　1337/2764　 0　1561/1706　0　40/　128
10:34:23　308/　321 　0　1340/2764　 0　1587/1706　0　37/　128
10:34:53　305/　321 　0　1332/2764　 0　1565/1706　0　36/　128
10:35:23　308/　321 　0　1338/2764　 0　1592/1706　0　37/　128
10:35:53　308/　321　 0　1335/2764　 0　1591/1706　0　37/　128
显示内容包括：
proc-sz：目前核心中正在使用或分配的进程表的表项数，由核心参数MAX-PROC控制。
　　inod-sz：目前核心中正在使用或分配的i节点表的表项数，由核心参数
MAX-INODE控制。
　　file-sz： 目前核心中正在使用或分配的文件表的表项数，由核心参数MAX-FILE控
制。
　　ov：溢出出现的次数。
　　Lock-sz：目前核心中正在使用或分配的记录加锁的表项数，由核心参数MAX-FLCKRE
控制。
显示格式为
实际使用表项/可以使用的表项数
显示内容表示，核心使用完全正常，三个表没有出现溢出现象，核心参数不需调整，如
果出现溢出时，要调整相应的核心参数，将对应的表项数加大。
例三：使用命行sar -d t n
例如，每30秒采样一次，连续采样5次，报告设备使用情况，需键入如下命令：
# sar -d 30 5
屏幕显示：
　　　　　　SCO_SV scosysv 3.2v5.0.5 i80386 10/01/2001
11:06:43 device　%busy　　　avque　　　r+w/s　　blks/s　　avwait avserv (-d)
11:07:13 wd-0　　　1.47　　　2.75　　　4.67　　　14.73　　 5.50 3.14
11:07:43 wd-0　　　0.43　　　18.77　　 3.07　　　8.66　　　25.11 1.41
11:08:13 wd-0　　　0.77　　　2.78　　　2.77　　　7.26　　　4.94 2.77
11:08:43 wd-0　　　1.10　　　11.18　　 4.10　　　11.26　　 27.32 2.68
11:09:13 wd-0　　　1.97　　　21.78　　 5.86　　　34.06　　　69.66 3.35
Average wd-0　　　1.15　　　12.11　　 4.09　　　15.19　　　31.12 2.80
显示内容包括：
device： sar命令正在监视的块设备的名字。
　　 %busy： 设备忙时，传送请求所占时间的百分比。
　　 avque： 队列站满时，未完成请求数量的平均值。
　　 r+w/s： 每秒传送到设备或从设备传出的数据量。
　　 blks/s： 每秒传送的块数，每块512字节。
　　 avwait： 队列占满时传送请求等待队列空闲的平均时间。
　　 avserv： 完成传送请求所需平均时间（毫秒）。
在显示的内容中，wd-0是硬盘的名字，%busy的值比较小，说明用于处理传送请求的有
效时间太少，文件系统效率不高，一般来讲，%busy值高些，avque值低些，文件系统
的效率比较高，如果%busy和avque值相对比较高，说明硬盘传输速度太慢，需调整。
例四：使用命行sar -b t n
例如，每30秒采样一次，连续采样5次，报告缓冲区的使用情况，需键入如下命令：
# sar -b 30 5
屏幕显示：
　　SCO_SV scosysv 3.2v5.0.5 i80386 10/01/2001
14:54:59 bread/s lread/s %rcache bwrit/s lwrit/s %wcache pread/s pwrit/s (-b)
14:55:29　0　　147　　100　 5　　21　　78　　 0　　　0
14:55:59　0　　186　　100　 5　　25　　79　　 0　　　0
14:56:29　4　　232 　　98　 8　　58　　86　　 0　　　0
14:56:59　0　　125　　100　 5　　23　　76　　 0　　　0
14:57:29　0　　 89　　100　 4　　12　　66　　 0　　　0
Average　 1　　156 　　99　 5　　28　　80　　 0　　　0
显示内容包括：
bread/s： 每秒从硬盘读入系统缓冲区buffer的物理块数。
lread/s： 平均每秒从系统buffer读出的逻辑块数。
%rcache： 在buffer cache中进行逻辑读的百分比。
bwrit/s： 平均每秒从系统buffer向磁盘所写的物理块数。
lwrit/s： 平均每秒写到系统buffer逻辑块数。
%wcache： 在buffer cache中进行逻辑读的百分比。
pread/s： 平均每秒请求物理读的次数。
pwrit/s： 平均每秒请求物理写的次数。
在显示的内容中，最重要的是%cache和%wcache两列，它们的值体现着buffer的使用效
率，%rcache的值小于90或者%wcache的值低于65，应适当增加系统buffer的数量，buffer
数量由核心参数NBUF控制，使%rcache达到90左右，%wcache达到80左右。但buffer参数
值的多少影响I/O效率，增加buffer，应在较大内存的情况下，否则系统效率反而得不到
提高。
例五：使用命行sar -g t n
例如，每30秒采样一次，连续采样5次，报告串口I/O的操作情况，需键入如下命令：
# sar -g 30 5
屏幕显示：
SCO_SV scosysv 3.2v5.0.5 i80386　　11/22/2001
17:07:03 　ovsiohw/s　 ovsiodma/s　　ovclist/s (-g)
17:07:33　　　0.00　　　0.00　　　0.00
17:08:03　　　0.00　　　0.00　　　0.00
17:08:33　　　0.00　　　0.00　　　0.00
17:09:03　　　0.00　　　0.00　　　0.00
17:09:33　　　0.00　　　0.00　　　0.00
Average 　　　0.00　　　0.00　　　0.00
显示内容包括：
ovsiohw/s：每秒在串口I/O硬件出现的溢出。
ovsiodma/s：每秒在串口I/O的直接输入输出通道高速缓存出现的溢出。
ovclist/s ：每秒字符队列出现的溢出。
在显示的内容中，每一列的值都是零，表明在采样时间内，系统中没有发生串口I/O溢
出现象。
sar命令的用法很多，有时判断一个问题，需要几个sar命令结合起来使用，比如，怀疑
CPU存在瓶颈，可用sar -u 和sar -q来看，怀疑I/O存在瓶颈，可用sar -b、sar -u和
sar-d来看
Sar
-A 所有的报告总和
-a 文件读，写报告
-B 报告附加的buffer cache使用情况
-b buffer cache使用情况
-c 系统调用使用报告
-d 硬盘使用报告
-g 有关串口I/O情况
-h 关于buffer使用统计数字
-m IPC消息和信号灯活动
-n 命名cache
-p 调页活动
-q 运行队列和交换队列的平均长度
-R 报告进程的活动
-r 没有使用的内存页面和硬盘块
-u CPU利用率
-v 进程，i节点，文件和锁表状态
-w 系统交换活动
-y TTY设备活动
-a 报告文件读，写报告
sar –a 5 5
SCO_SV scosvr 3.2v5.0.5 PentII(D)ISA 06/07/2002
11:45:40 iget/s namei/s dirbk/s (-a)
11:45:45 6 2 2
11:45:50 91 20 28
11:45:55 159 20 18
11:46:00 157 21 19
11:46:05 177 30 35
Average 118 18 20
iget/s 每秒由i节点项定位的文件数量
namei/s 每秒文件系统路径查询的数量
dirbk/s 每秒所读目录块的数量
＊这些值越大，表明核心花在存取用户文件上的时间越多，它反映着一些程序和应用文件系统产生的负荷。一般地，如果iget/s与namei/s的比值大于5，并且namei/s的值大于30，则说明文件系统是低效的。这时需要检查文件系统的自由空间，看看是否自由空间过少。
-b 报告缓冲区（buffer cache）的使用情况
sar -b 2 3
SCO_SV scosvr 3.2v5.0.5 PentII(D)ISA 06/07/2002
13:51:28 bread/s lread/s %rcache bwrit/s lwrit/s %wcache pread/s pwrit/s (-b)
13:51:30 382 1380 72 131 273 52 0 0
13:51:32 378 516 27 6 22 72 0 0
13:51:34 172 323 47 39 57 32 0 0
Average 310 739 58 58 117 50 0 0
bread/s 平均每秒从硬盘（或其它块设备）读入系统buffer的物理块数
lread/s 平均每秒从系统buffer读出的逻辑块数
%rcache 在buffer cache中进行逻辑读的百分比（即100％ - bread/lreads）
bwrit/s 平均每秒从系统buffer向磁盘（或其它块设备）所写的物理块数
lwrit/s 平均每秒写到系统buffer的逻辑块数
%wcache 在buffer cache中进行逻辑写的百分比（即100％ - bwrit/lwrit）.
pread/sgu 平均每秒请求进行物理读的次数
pwrit/s 平均每秒请求进行物理写的次数
＊所显示的内容反映了目前与系统buffer有关的读，写活。在所报告的数字中，最重要的是%rcache和%wcache（统称为cache命中率）两列，它们具体体现着系统buffer的效率。衡量cache效率的标准是它的命中率值的大小。
＊如果%rcache的值小于90或者%wcache的值低于65，可能就需要增加系统buffer的数量。如果在系统的应用中，系统的I/O活动十分频繁，并且在内存容量配置比较大时，可以增加buffer cache，使%rcache达到95左右，%wcache达到80左右。
＊系统buffer cache中，buffer的数量由核心参数NBUF控制。它是一个要调的参数。系统中buffer数量的多少是影响系统I/O效率的瓶颈。要增加系统buffer数量，则要求应该有较大的内存配置。否则一味增加buffer数量，势必减少用户进程在内存中的运行空间，这同样会导致系统效率下降。
-c 报告系统调用使用情况
sar -c 2 3
SCO_SV scosvr 3.2v5.0.5 PentII(D)ISA 06/07/2002
17:02:42 scall/s sread/s swrit/s fork/s exec/s rchar/s wchar/s (-c)
17:02:44 2262 169 141 0.00 0.00 131250 22159
17:02:46 1416 61 38 0.00 0.00 437279 6464
17:02:48 1825 43 25 0.00 0.00 109397 42331
Average 1834 91 68 0.00 0.00 225975 23651
scall/s 每秒使用系统调用的总数。一般地，当4~6个用户在系统上工作时，每秒大约30个左右。
sread/s 每秒进行读操作的系统调用数量。
swrit/s 每秒进行写操作的系统调用数量。
fork/s 每秒fork系统调用次数。当4~6个用户在系统上工作时，每秒大约0.5秒左右。
exec/s 每秒exec系统调用次数。
rchar/s 每秒由读操作的系统调用传送的字符（以字节为单位）。
wchar/s 每秒由写操作的系统调用传送的字符（以字节为单位）。
＊如果scall/s持续地大于300，则表明正在系统中运行的可能是效率很低的应用程序。在比较
典型的情况下，进行读操作的系统调用加上进行写操作的系统调用之和，约是scall的一半左右。
-d 报告硬盘使用情况
sar -d 2 3
SCO_SV scosvr 3.2v5.0.5 PentII(D)ISA 06/07/2002
17:27:49 device %busy avque r+w/s blks/s avwait avserv (-d)
17:27:51 ida-0 6.93 1.00 13.86 259.41 0.00 5.00
ida-1 0.99 1.00 17.33 290.10 0.00 0.57
17:27:53 ida-0 75.50 1.00 54.00 157.00 0.00 13.98
ida-1 9.50 1.00 12.00 75.00 0.00 7.92
17:27:55 ida-0 7.46 1.00 46.77 213.93 0.00 1.60
ida-1 17.41 1.00 57.71 494.53 0.00 3.02
Average ida-0 29.85 1.00 38.14 210.28 0.00 7.83
ida-1 9.29 1.00 29.02 286.90 0.00 3.20
device 这是sar命令正在监视的块设备的名字。
%busy 设备忙时，运行传送请求所占用的时间。这个值以百分比表示。
avque 在指定的时间周期内，没有完成的请求数量的平均值。仅在队列被占满时取这个值。
r+w/s 每秒传送到设备或者从设备传送出的数据量。
blks/s 每秒传送的块数。每块512个字节。
avwait 传送请求等待队列空闲的平均时间（以毫秒为单位）。仅在队列被占满时取这个值。
avserv 完成传送请求所需平均时间（以毫秒为单位）
＊ida-0和ida-1是硬盘的设备名字。在显示的内容中，如果%busy的值比较小，说明用于处理
传送请求的有效时间太少，文件系统的效率不高。要使文件系统的效率得到优化，应使%busy的数值相对高一些，而avque的值应该低一些。
-g 报告有关串口I/O情况
sar -g 3 3
SCO_SV scosvr 3.2v5.0.5 PentII(D)ISA 06/13/2002
11:10:09 ovsiohw/s ovsiodma/s ovclist/s (-g)
11:10:12 0.00 0.00 0.00
11:10:15 0.00 0.00 0.00
11:10:18 0.00 0.00 0.00
Average 0.00 0.00 0.00
ovsiohw/s 每秒在串囗I/O硬件出现的溢出。
ovsiodma/s 每秒在串囗I/O的直接输入，输出信道高速缓存出现的溢出。
ovclist/s 每秒字符队列出现的溢出。
-m 报告进程间的通信活动（IPC消息和信号灯活动）情况
sar -m 4 3
SCO_SV scosvr 3.2v5.0.5 PentII(D)ISA 06/13/2002
13:24:28 msg/s sema/s (-m)
13:24:32 2.24 9.95
13:24:36 2.24 21.70
13:24:40 2.00 36.66
Average 2.16 22.76
msg/s 每秒消息操作的次数（包括发送消息的接收信息）。
sema/s 每秒信号灯操作次数。
＊信号灯和消息作为进程间通信的工具，如果在系统中运行的应用过程中没有使用它们，那么由sar命令报告的msg 和sema的值都将等于0.00。如果使用了这些工具，并且其中或者msg/s大于100，或者sema/s大于100，则表明这样的应用程序效率比较低。原因是在这样的应用程序中，大量的时间花费在进程之间的沟通上，而对保证进程本身有效的运行时间必然产生不良的影响。
-n 报告命名缓冲区活动情况
sar -n 4 3
SCO_SV scosvr 3.2v5.0.5 PentII(D)ISA 06/13/2002
13:37:31 c_hits cmisses (hit %) (-n)
13:37:35 1246 71 (94%)
13:37:39 1853 81 (95%)
13:37:43 969 56 (94%)
Average 1356 69 (95%)
c_hits cache命中的数量。
cmisses cache未命中的数量。
(hit %) 命中数量/(命中数理+未命中数量)。
＊不难理解，(hit %)值越大越好，如果它低于90％，则应该调整相应的核心参数。
-p 报告分页活动
sar -p 5 3
SCO_SV scosvr 3.2v5.0.5 PentII(D)ISA 06/13/2002
13:45:26 vflt/s pflt/s pgfil/s rclm/s (-p)
13:45:31 36.25 50.20 0.00 0.00
13:45:36 32.14 58.48 0.00 0.00
13:45:41 79.80 58.40 0.00 0.00
Average 49.37 55.69 0.00 0.00
vflt/s 每秒进行页面故障地址转换的数量（由于有效的页面当前不在内存中）。
pflt/s 每秒来自由于保护错误出现的页面故障数量（由于对页面的非法存，取引起的页面故障）。
pgfil/s 每秒通过”页—入”满足vflt/s的数量。
rclm/s 每秒由系统恢复的有效页面的数量。有效页面被增加到自由页面队列上。
＊如果vflt/s的值高于100，可能预示着对于页面系统来说，应用程序的效率不高，也可能分页参数需要调整，或者内存配置不太合适。
-q 报告进程队列（运行队列和交换队列的平均长度）情况
sar -q 2 3
SCO_SV scosvr 3.2v5.0.5 PentII(D)ISA 06/13/2002
14:25:50 runq-sz %runocc swpq-sz %swpocc (-q)
14:25:52 4.0 50
14:25:54 9.0 100
14:25:56 9.0 100
Average 7.3 100
runq-sz 准备运行的进程运行队列。
%runocc 运行队列被占用的时间（百分比）
swpq-sz 要被换出的进程交换队列。
%swpocc 交换队列被占用的时间（百分比）。
＊如果%runocc大于90，并且runq-sz的值大于2，则表明CPU的负载较重。其直接后果，可能使系统的响应速度降低。如果%swpocc大于20，表明交换活动频繁，将严重导致系统效率下降。解决的办法是加大内存或减少缓存区数量，从而减少交换及页—入,页—出活动。
-r 报告内存及交换区使用情况（没有使用的内存页面和硬盘块）
sar -r 2 3
SCO_SV scosvr 3.2v5.0.5 PentII(D)ISA 06/14/2002
10:14:19 freemem freeswp availrmem availsmem (-r)
10:14:22 279729 6673824 93160 1106876
10:14:24 279663 6673824 93160 1106876
10:14:26 279661 6673824 93160 1106873
Average 279684 6673824 93160 1106875
freemem 用户进程可以使用的内存页面数，4KB为一个页面。
freeswp 用于进程交换可以使用的硬盘盘块，512B为一个盘块。
-u CPU利用率
sar -u 2 3
SCO_SV scosvr 3.2v5.0.5 PentII(D)ISA 06/14/2002
10:27:23 %usr %sys %wio %idle (-u)
10:27:25 2 3 8 88
10:27:27 3 3 5 89
10:27:29 0 0 0 100
Average 2 2 4 92
%usr cpu处在用户模式下时间（百分比）
%sys cpu处在系统模式下时间（百分比）
%wio cpu等待输入，输出完成（时间百分比）
%idle cpu空闲时间（百分比）
＊在显示的内容中，%usr和 %sys这两个值一般情况下对系统无特别影响，%wio的值不能太高，如果%wio的值过高，则CPU花在等待输入，输出上的时间太多，这意味着硬盘存在I/O瓶颈。如果%idle的值比较高，但系统响应并不快，那么这有可能是CPU花时间等待分配内存引起的。%idle的值可以较深入帮助人们了解系统的性能，在这种情况上，%idle的值处于40~100之间，一旦它持续低于30，则表明进程竟争的主要资源不是内存而是CPU。
＊在有大量用户运行的系统中，为了减少CPU的压力，应该使用智能多串卡，而不是非智能多串卡。智能多串卡可以承担CPU的某些负担。
＊此外，如果系统中有大型的作业运行，应该把它们合理调度，错开高峰，当系统相对空闲时再运行。
-v 报告系统表的内容（进程，i节点，文件和锁表状态）
sar -v 2 3
SCO_SV scosvr 3.2v5.0.5 PentII(D)ISA 06/14/2002
10:56:46 proc-sz ov inod-sz ov file-sz ov lock-sz (-v)
10:56:48 449/ 500 0 994/4147 0 1313/2048 0 5/ 128
10:56:50 450/ 500 0 994/4147 0 1314/2048 0 5/ 128
10:56:52 450/ 500 0 994/4147 0 1314/2048 0 5/ 128
proc-sz 目前在核心中正在使用或分配的进程表的表项数
inod-sz 目前在核心中正在使用或分配的i节点表的表项数
file-sz 目前在核心中正在使用或分配的文件表的表项数
ov 溢出出现的次数
lock-sz 目前在核心中正在使用或分配的记录加锁的表项数
＊除ov外，均涉及到unix的核心参数，它们分别受核心参数NPROC,NIMODE,NFILE和FLOCKREC的控制。
＊显示格式为：
实际使用表项/整个表可以使用的表项数
比如，proc-sz一列所显示的四个数字中，分母的100是系统中整个进程表的长度（可建立100个表项），分子上的24，26和25分别是采样的那一段时间所使用的进程表项。inod-sz，file-sz和lock-sz三列数字的意义也相同。
三列ov的值分别对应进程表，i节点表和文件表，表明目前这三个表都没有出现溢出现象，当出现溢出时，需要调整相应的核心参数，将对应表加大。
-w 系统交换活动
sar -w 2 3
SCO_SV scosvr 3.2v5.0.5 PentII(D)ISA 06/14/2002
11:22:05 swpin/s bswin/s swpot/s bswots pswch/s (-w)
11:22:07 0.00 0.0 0.00 0.0 330
11:22:09 0.00 0.0 0.00 0.0 892
11:22:11 0.00 0.0 0.00 0.0 1053
Average 0.00 0.0 0.00 0.0 757
swpin/s 每秒从硬盘交换区传送进入内存的次数。
bswin/s 每秒为换入而传送的块数。
swpot/s 每秒从内存传送到硬盘交换区的次数。
bswots 每秒为换出而传送的块数。
pswch/s 每秒进程交换的数量。
＊swpin/s，bswin/s，swpot/s和bswots描述的是与硬盘交换区相关的交换活动。交换关系到系统的效率。交换区在硬盘上对硬盘的读，写操作比内存读，写慢得多，因此，为了提高系统效率就应该设法减少交换。通常的作法就是加大内存，使交换区中进行的交换活动为零，或接近为零。如果swpot/s的值大于1，预示可能需要增加内存或减少缓冲区（减少缓冲区能够释放一部分自由内存空间）。
-y 报告终端的I/O活动（TTY设备活动）情况
sar -y 2 3
SCO_SV scosvr 3.2v5.0.5 PentII(D)ISA 06/14/2002
11:38:03 rawch/s canch/s outch/s rcvin/s xmtin/s mdmin/s (-y)
11:38:05 5 0 951 0 1 0
11:38:07 10 0 996 0 0 0
11:38:09 4 0 2264 0 0 0
Average 6 0 1404 0 1 0
rawch/s 每秒输入的字符数（原始队列）
canch/s 每秒由正则队列（canonical queue）处理的输入字符数。进行正则处理过程中，可以识别出一些有特殊意义的字符。比如，(中断字符)，(退出符)，(退格键)等。因此，canch/s中的计数不包括这些有特殊意义的字符。
outch/s 每秒输出的字符数。
rcvin/s 每秒接收的硬件中断次数。
xmtin/s 每秒发出的硬件中断次数。
mdmin/s 每秒modem中断次数。
＊应该特别说明，sar命令可以对任意终端活动进行统计，所谓任意终端，是指任意tty设备。它们可以是串行终端，主控台，伪终端等等。
＊在这几个量中，modem中断次数mdmin/s应该接近0。其它没有特殊要求，但如果每发送一个字符，中断的数量就动态地增加，这表明终端线出了差错，可能是接触不好。
-->
Solaris安全FAQ
June 26, 2007 3:26 AM |
Permalink

The Solaris Security FAQ by Peter Baer Galvin
1) (概述--略)
2) 怎样将Solaris配置得更加强壮?
2.1) 哪些文件的许可权限需要改变?
有个叫fix-modes的软件(ftp://ftp.fwi.uva.nl/pub/solaris/fix-modes.tar.gz)可以在
Solaris 2.4和2.5上运行并改变系统文件及目录的存取权限，这样会使非ROOT的用户更难
于更改系统文件或者取得ROOT权限。
2.2) 如何对ROOT的环境加以配置?
将umask设为077或者027.
查看你的环境中路径设置情况，不要有./
2.3) 我该更改哪些启动文件?
通常情况下，你要检查所有在/etc/rc2.d和/etc/rc3.d以S开头的文件,所有并非必要的设备
或者服务都可以重命名(不要再以S开头)，然后你可以重新启动，从/var/adm/messages中来
观察自启动的情况，并且从ps -elf的输出中加以检查。
2.4) 如何将ROOT的远程登陆取消?
在/etc/default/login里加上 "CONSOLE"行，在/etc/ftpusers里加上root。
2.5) 如何取消rlogin/rsh服务?
移去/etc/hosts.equiv和/.rhosts以及各home目录下的.rhosts，并且在/etc/inetd.conf中
把r系列服务都杀掉，然后找出inetd的进程号，重启它。
2.6) 哪些帐号是不必须的?
移去或者锁定那些不是必须的帐号，比如sys\uucp\nuucp\listen等等，简单的办法是在
/etc/shadow的password域中放上NP字符。
2.7) 怎样保护我的设备?
在文件/etc/logindevperm中包含了对系统设备的许可权限配置信息，应该检视里面的各项
设定并且手动赋予你所想要的许可权限。
对于抽取式的BSM设备需要设定只有single user允许进入。
2.8) 我应该将/etc的存取权限改为什么才安全?
用chmod -R g-w /etc命令来移去组用户对/etc的写权限。
2.9) Solaris机器充当路由器?
默认情况下，如果Solaris机器有超过一块的网卡的话，它将会在不同网卡间转发数据包，这一行为可
以在/etc/init.d/inetinit中得到控制。要在Solaris 2.4或者更低版本机器下关闭它，可以将
ndd -set /dev/ip ip_forwarding 0添加于/etc/init.d/inetinit的未尾。在Solaris 2.5
中，只要touch /etc/notrouter.
2.10) 如何取消automounter?
Automounter是由/etc/auto_*这些配置文件控制的，要取消它，只要简单地移去这些文件,
并且/或者将/etc/rc2.d/S74autofs改名。
2.11) 如何取消NFS服务?
NFS的共享输出是由/etc/dfs/dfstab文件管理的.可以删除它。要将NFS服务器的守护进程关闭
则可以重命名/etc/rc3.d/S15nfs.server。要防止一台机器成为NFS客户机，可以重命名文件
/etc/rc2.d/S73nfs.client——当重命名这些自启动文件时，要注意不要将文件的首字母设为
“S”。
2.12) 对cron任务我该注意些什么？
你得查看所有的cron任务——在/var/spool/cron/crontabs文件中你可以找到它们。还必须在
/etc/default/cron里设置了"CRONLOG=yes" 来记录corn的动作。
2.13) 使用动态路由有什么风险吗?
使用动态路由守护进程的机器用in.routed及in.rdisc来维护路由，这可能会大大增加路由协议的复杂程
度，而且路由更新会消耗相当大比便的可用带宽，因此在可能的情况下，还是建议你使用静态路由。
2.14) 何时及如何运用静态ARP?
ARP是联系IP地址和以太网的协议(地址转换协议) 。默认地，Solaris机器动态地确定ARP地址，arp命令
可以用来静态地设定ARP表并且刷新它，如果你的系统里仅有少量无需更改的机器，那么这是一个很好的工具。
为了防止ARP欺骗，最好将受托机器的硬件地址作为永久条目保存在ARP的高速缓存中。
2.15) 运行rpcbind是不安全的吗?
rpcbind是允许rpc请求和rpc服务之间相互连接的程序，但标准的rpc是不安全的:(,它使用的是"AUTH_UNIX"
验证, 也就是说它依靠的是远程系统的IP地址和远程用户的UID来验证。一般的系统可能需要某些rpc存在，但
对各种服务器如Web servers, ftp servers, mail servers, etc)最好将rpc服务关闭，你也可以通过
一些安全工具来确定rpc服务是否会影响到你系统的安全性。可以通过将/etc/rc2.d/S71RPC改名来禁止rpc。
2.16) /etc/utmp的权限应该如何设定?
# chmod 644 /etc/utmp
2.17) 哪些程序可以去掉SUID位?
许多setgid和setuid程序都只是由root运行的，或者是由某些特定用户或组运行，那就可以将其setuid位
移去，下面是一个Solaris 2.6上setuid程序的列表，你应该根据自己的情况进行增减。
# find / -perm -4000 -print
/usr/lib/lp/bin/netpr
/usr/lib/fs/ufs/quota
/usr/lib/fs/ufs/ufsdump
/usr/lib/fs/ufs/ufsrestore
/usr/lib/fs/vxfs/vxdump
/usr/lib/fs/vxfs/vxquota
/usr/lib/fs/vxfs/vxrestore
/usr/lib/exrecover
/usr/lib/pt_chmod
/usr/lib/sendmail
/usr/lib/utmp_update
/usr/lib/acct/accton
/usr/lib/uucp/remote.unknown
/usr/lib/uucp/uucico
/usr/lib/uucp/uusched
/usr/lib/uucp/uuxqt
/usr/lib/sendmail.orig
/usr/openwin/lib/mkcookie
/usr/openwin/bin/xlock
/usr/openwin/bin/ff.core
/usr/openwin/bin/kcms_configure
/usr/openwin/bin/kcms_calibrate
/usr/openwin/bin/sys-suspend
/usr/dt/bin/dtaction
/usr/dt/bin/dtappgather
/usr/dt/bin/sdtcm_convert
/usr/dt/bin/dtprintinfo
/usr/dt/bin/dtsession
/usr/bin/at
/usr/bin/atq
/usr/bin/atrm
/usr/bin/crontab
/usr/bin/eject
/usr/bin/fdformat
/usr/bin/login
/usr/bin/newgrp
/usr/bin/passwd
/usr/bin/ps
/usr/bin/rcp
/usr/bin/rdist
/usr/bin/rlogin
/usr/bin/rsh
/usr/bin/su
/usr/bin/tip
/usr/bin/uptime
/usr/bin/w
/usr/bin/yppasswd
/usr/bin/admintool
/usr/bin/ct
/usr/bin/cu
/usr/bin/uucp
/usr/bin/uuglist
/usr/bin/uuname
/usr/bin/uustat
/usr/bin/uux
/usr/bin/chkey
/usr/bin/nispasswd
/usr/bin/cancel
/usr/bin/lp
/usr/bin/lpset
/usr/bin/lpstat
/usr/bin/volcheck
/usr/bin/volrmmount
/usr/bin/pppconn
/usr/bin/pppdisc
/usr/bin/ppptool
/usr/sbin/allocate
/usr/sbin/mkdevalloc
/usr/sbin/mkdevmaps
/usr/sbin/ping
/usr/sbin/sacadm
/usr/sbin/whodo
/usr/sbin/deallocate
/usr/sbin/list_devices
/usr/sbin/m64config
/usr/sbin/lpmove
/usr/sbin/pmconfig
/usr/sbin/static/rcp
/usr/sbin/vxprint
/usr/sbin/vxmkcdev
/usr/ucb/ps
/usr/vmsys/bin/chkperm
/etc/lp/alerts/printer
而且还应该建立一个setuid/setgid程序的列表，日后可以对比是否有新的setuid程序出现--这可能是
入侵者光临过的征兆。
2.18) 哪些系统工具我可以去掉它?
所有的网络工具你都应该检查并且确定它在你的系统环境里是否是必需的，如果答案为否的话，就
干掉它，下面这些工具有些可以在开始文件中找到它，有些则上在/etc/inetd.conf中被启动的，注
释掉那些不必要的服务，并且kill -HUP inetd守护进程——类似的东西有：
tftp systat rexd ypupdated netstat
rstatd rusersd sprayd walld exec
comsat rquotad name uucp
最好把常规的inetd.conf替换掉——改成只开telnet和ftp服务——如果你真的需要它们的话(建议再
用防火墙建立阻塞)。
2.19) 我应该运行in.fingerd吗?
in.fingerd在过去有一些安全问题，如果你想提供finger工具，用nobody来运行它。
2.20) 如何让syslog有更大作用?
默认情况下，syslog仅提供最精简的记录，你可以通过编辑/etc/syslog.conf文件来让syslog记
录更多的信息，然后你需要重启syslog以使它读取配置文件。
你还可以通过
touch /var/adm/loginlog
chmod 600 /var/adm/loginlog
chgrp sys /var/adm/loginlog
来建立login的记录。
2.21) 对EEPROM如何做才能更安全?
将EEPROM设于安全的模式：通过设定对"ok setenv security-mode=command"的密码保护来实现。
当然这并不能真正地防止入侵，如果某人可以物理接触某控制台的话，它就能打开机器并替换掉EEPROM，
更改hostid........
2.22) 我的机器是处于“混杂模式”下吗?
在Solaris下，你只能通过安装某些工具来判断是否机器是处于混杂模式下，可以参见第三部分。只有当你
运行诸如snoop或者某些网络监听软件时机器才会处在混杂模式下，如果你并没有监听整个网络，那极大的可
能性就是黑客已经侵入到你的系统中并且开始以监听来接收数据了。
2.23) 如果我必须运行NFS，如何使它更安全?
在/etc/dfs/dfstab中的所有文件将被所有人共享，默认情况下，NFS客户会以"-o rw"或者"-o ro"选项
共享。
必须使用"nosuid"参数来使setuid程序失效。
不要通过rpcbind来运行nfs mount。而是用更安全的rpcbind替代程序或者安装SUN最新的rpcbind补丁。
在可能的情况下，尽量使用secure-RPC。否则的话，你运行的是"AUTH_UNIX"认证,它仅仅依靠客户的IP地
址来进行验证，很容易有IP欺骗的情况发生。
在可能的情况下，不要使用NFS，因为它的信息传递是通过明文的(甚至你用了"AUTH_DES"或者"AUTH_KERB"来
进行认证)所以传输的任何文件对嗅探来说是及危险的。
有程序可以猜度ROOT所mountr的文件名柄，并且获得NFS server上的文件。
2.24) 如何让sendmail更安全?
sendmail总是不断地有新漏洞被发现，怎样才能使它更安全呢？
使用最新版本的Berkeley sendmail (see section 3)
使用smrsh (section 3)
从/etc/aliases里删除decode
将/etc/aliases的权限设为644
可以考虑使用代理防火墙来过滤SMTP中不必要的命令。
2.25) NIS是安全的吗，如何使其更强壮?
NIS从来就不是一个安全的服务，如果配置得当的话NIS+会更好些，就象暴力破解密码一样，NIS域名
如果被猜出来，就会给入侵者提供相当丰富的信息，要关闭这个漏洞，可以将信任主机的地址放在
/var/yp/securenets中。并且考虑使用NIS+或者secure RPC。
2.26) 匿名FTP要怎样才会安全可靠?
Solaris 2.5 ftpd(1M)包含了一个很好的FTP配置说明
cp /etc/nsswitch.conf ~ftp/etc
确保包含~ftp的文件系统在被安装是没有用nosuid选项
在~ftp下任何文件的属主都不是"ftp"
更详细的信息参见它的配置说明及FAQ
2.27) 如何将X配置得更安全?
使用SUN-DES-1选项来调用Secure RPC来通过X鉴别，可以使用xhost +user@host来通过访问请求。
2.28) 如何打开SUN-DES-1的鉴别机制?
set DisplayManager*authorize: true
set DisplayManager._0.authName: SUN-DES-1
rm ~/.Xauthority
增加对localhost的许可权限：通过xauth local/unix:0 SUN-DES-1 unix.local@nisdomain
xauth local:0 SUN-DES-1 unix.local@nisdomain
Start X via xinit -- -auth ~/.Xauthority
把你自己加入，并移去其他所有人：xhost +user@ +unix.local@nisdomain -local -localhost
赋予用户foo进入主机"node"的权限:
允许foo进入node: xhost +foo@
建立适当的foo的xauthority： xauth add node:0 SUN-DES-1 unix.node@nisdomain
foo现在就能连上"node"了: xload -display node:0
2.29) 我需要安装哪些补丁?
用showrev -p命令来察看补丁在系统里的安装情况，在你想保护的主机以及大众都可以访问的主机
上，你应该到SUN公司的主页上去查找相关的补丁包来安装，并且应该常常查看最新的补丁发布情况。
2.30) 如何防止在堆栈中执行代码?
入侵者常常使用的一种利用系统漏洞的方式是堆栈溢出，他们在堆栈里巧妙地插入一段代码，利用
它们的溢出来执行，以获得对系统的某种权限。
要让你的系统在堆栈缓冲溢出攻击中更不易受侵害，你可以在/etc/system里加上如下语句：
set noexec_user_stack=1
set noexec_user_stack_log =1
第一句可以防止在堆栈中执行插入的代码，第二句则是在入侵者想运行exploit的时候会做记录:)
3) 应该增加或者替代哪些程序?
3.1) inetd
inetd可以用xinetd代替，以增加日志功能。
xinetd:
ftp://qiclab.scn.rain.com/pub/security/xinetd*
或 ftp://ftp.dlut.edu.cn/pub/unix/sun-source/xinetd-2.1.tar.Z(不知是否为最新版本).
3.2) ifstatus
ifstatus可以确定你的网卡是否工作于混杂模式（有人进行网络监听?）
url:
ftp://coast.cs.purdue.edu/pub/tools/unix/ifstatus/
3.3) xntp
xntp是有个更安全的网络时间协议(Network Time Protocol).
URL:
ftp://ftp.udel.edu/pub/ntp/xntp3-5.93.tar.gz (1907KB)
3.4) sendmail
用Berkeley Sendmail(http://www.sendmail.org/)替代Solaris自带的sendmail.
3.5) rpcbind
可以用如下URL中的rpcbind替换Solaris自带的rpcbind, 这个rpcbind包含了类似
于tcpwrapper的功能并关闭了通过rpcbind访问NFS.
ftp://ftp.win.tue.nl/pub/security/rcpbind_1.1.tar.Z
3.6) 口令检查程序
很不幸，Solaris 上还未发布passwd+及npasswd, 这两个程序可以用于检查在UNIX
上那些愚蠢的口令。
3.7) crack
crack可以找出/etc/shadow中那些容易猜测的口令，虽然运行crack将会使CPU的
负载加重，但它在第一次运行时就可以给出10%系统帐号的口令。
URL： （我想国内很多站点已有此程序了。）
ftp://sable.ox.ac.uk/pub/comp/security/software/crackers/
3.8) ftp
不用多说，使用wu-ftpd, 国内站点上有的是，如果找不到，试试：
URL：
ftp://ftp.dlut.edu.cn/pub/unix/ftp/wu-ftpd/
OR:
ftp://wuarchive.wustl.edu/packages/wuarchive-ftpd
3.9) fix-modes
用于纠正Solaris 2.2 ~ 2.6系统中敏感文件及目录的属性，以适应安全性需要。
URL:
ftp://ftp.dlut.edu.cn/pub/unix/security/fix-modes.tar.gz
OR:
http://www.fwi.uva.nl./pub/comp/solaris/fix-modes.tar.gz
3.10) noshell
可用于不希望登陆系统的用户的shell, 能够记录发生的事件并防止用户login.
3.11) bind
标准的Solaris里带的bind有着众所周知的安全问题(参见CERT第4部份)，现在的发行版已经做
了修补。
3.12) netcat
NetCat对系统管理员和入侵者来说都是很实用的工具，它可以在两个系统间建立灵活我TCP连接。
5) 如何使我的Solaris Web server更安全?
下面的方法可以令你的以Solaris为基础的系统十分安全，你同时还可以配以利用防火墙及过滤路由
器来组成一个完整而强大的网络拓扑，但是，没有任何系统是完美的，所以你除了关注安全动态，给机
器作好防范之外，也不应该在机器上装载其他无关的第三方的软件--webserver需要的是安全，而不是
对管理员的方便。
5.0) Web server安全检查
用下面的安全检查列表来察看你的系统是否是安全地安装的，当然如果你有特殊的安全需求则不一定以此为准：
在完成一切安全设置前将系统与互联网断开
仅仅安装系统的核心部分以及需要的软件包
安装推荐的安全补丁
修改系统的开始文件来进行
在/etc/init.d/inetinit中关闭IP转发
改变/tmp的存取权限(可以在系统的开始文件中加入脚本
用ps检查进程情况
Invoke sendmail from cron to process queued mail occasionally.
安装配置tcp_wrappers, S/Key, wu-ftp及tripwire于你的系统环境。
编辑/etc/hosts.allow来确定可进入的机器，并且编辑/etc/inetd.conf注释掉所有不需要的服务
用syslog记录下所有的telnet连接通信
Mount上的文件系统要是只读而且是no-suid的
确定/noshell是除了root之外所有不希望进入的帐号的默认shell
删除/etc/auto_*, /etc/dfs/dfstab, p/var/spool/cron/crontabs/* (except root).
使用静态路由
测试你的系统，包括允许及拒绝访问的配置及记帐系统
考虑使用更安全版本的sendmail, syslog, bind以及crontab来替代现有的
安装xntp来有更精确的时间戳
考虑更详细地系统记帐
保持监听和测试Web server的习惯
在你完成上面的配置之后，你的系统已经会比安装一个标准的UNIX系统，并配以标准配置更安全了。
5.1) 硬件上......
在系统完全安装好并且配置得更安全之前，不要将它放到互联网上——从理论上说，一些入侵者喜欢
在你把系统弄得完美之前溜进去放几个后门——而且最好从CD-ROM安装你的系统并且将二进制文件
加载在磁带机或者软盘上物理写保护.......
5.2) 安装系统
从最新的，可靠的Solaris2.x版本安装，每一版本的Solaris都会比前一版更安全一些的。
Solaris是非常灵活并且包含了大量工具可供使用的。但不幸的是，这些外带的功能软件包可能也会
导致一些潜在的危险，所以要建立一个安全的系统，最好的办法是，只安装基本的OS部份，其余的软件
包则以必要为原则，非必需的包就可以不装——这样还可以使机器更快和更稳定:)
在Solaris的安装程序里，你可以选择Core SPARC installation cluster来安装，事实上，就连
这个选项都还有些东西是不必要的确良:(，但它的确是一个安全的系统基础，另一个好处是，它需要的空
间很少，看看下面你就知道了：
s0: / 256 megabytes
s1: swap 256 megabytes
s2: overlap
s3:
s4:
s5:
s6: /local ??? megabytes (rest of the drive)
s7:
/var要足够大以放置审核记录文件，而swap分区则与你的硬件(内存)相适应就行了，当然大的swap
分区可以在应付DoS攻击时更强有力。
现在可以用另外的机器，ftp到sunsolve.sun.com:/pub/patches并且下载最新的推荐补丁，将它放
在磁带机中转到你的“安全主机”上，然后安装这些补丁，当然有些补丁可能安装不上，因为它所
要补的那个软件你没有安装:)
5.3) 系统里的Strip
在Solaris下，你可以通过对/etc/rc[S0-3].d文件来修改启动时自引导的动作：
考虑移去/etc/rc2.d中在你系统中用不到的服务，我还建议你移除/etc/init.d里除下以下列表中
文件外的所有东西：
K15rrcd S05RMTMPFILES K15solved S20sysetup
S72inetsvc S99audit S21perf
S99dtlogin K25snmpd S30sysid.net S99netconfig
K50pop3 S74syslog S75cron S92rtvc-config
K60nfs.server K65nfs.client S69inet
K92volmgt README S95SUNWmd.sync
S01MOUNTFSYS S71sysid.sys S88utmpd S95rrcd
这些文件可能会与你的不同--这取决于你机器里的图形卡/是否使用Solaris DiskSuits等等。
移除/etc/rc3.d里的文件........
举例来说，在Solaris 2.4中，你应该编辑/etc/init.d/inetinit在文件的尾部增加以下行：
ndd -set /dev/ip ip_forward_directed_broadcasts 0
ndd -set /dev/ip ip_forward_src_routed 0
ndd -set /dev/ip ip_forwarding 0
并且通过设定ndd -set /dev/ip ip_strict_dst_multihoming 1来关闭"ip_strict_dst_multihoming"
核心变量。solaris机器就不会在两块网卡间转发IP包，这可以防止host spoof。
* 在Solaris 2.5下，只要建立一个叫/etc/notrouter的文件就能阻止IP转发，要重新打开它，只要移除
/etc/notrouter并重启动系统就行了。It's important to note that there is a small time
window between when this file is created and when routing is disabled,
theoretically allowing some routing to take place.
在Solaris 2.4下,添加一个新的脚本名为/etc/init.d/tmpfix:
#!/bin/sh
#ident "@(#)tmpfix 1.0 95/08/14"
if [ -d /tmp ]
then
/usr/bin/chmod 1777 /tmp
/usr/bin/chgrp sys /tmp
/usr/bin/chown root /tmp
并且连接/etc/init.d/tmpfix到/etc/rc2.d/S79tmpfix，这样这个脚本就会在系统启动时执行了。
这可以使入侵者更难在系统里夺取root权限。在Solaris 2.5则不必如此。
另外还有一些好的建议，就是在启动时为用户设定安全的umask，下面的script就是做这事儿的：
umask 022 # make sure umask.sh gets created with the proper mode
echo "umask 022" > /etc/init.d/umask.sh
for d in /etc/rc?.d
do
ln /etc/init.d/umask.sh $d/S00umask.sh
done
Note: 脚本名称中的".sh"是必需的，这样脚本才会在本shell而不是它的子shell中执行。
删除/etc/auto_*文件，删除/etc/init.d/autofs可以防止automounter在启动时就运行。
删除/etc/dfs/dfstab，清除/etc/init.d以防止机器成为NFS服务器。
删除crontab文件，你可以将/var/spool/cron/crontabs中属主root以外的文件全部删除。
使用静态路由，建立/etc/defaultrouter来维护之，以避免spoof。如果你必须通过不同的网关，考虑增
加/usr/bin/route命令于/etc/init.d/inetinit以取代运行routed。
当地切完成时，重启机器，彻底地查看进程，ps -ef的输出应该是这样的：
UID PID PPID C STIME TTY TIME COMD
root 0 0 55 Mar 04 ? 0:01 sched
root 1 0 80 Mar 04 ? 22:44 /etc/init -
root 2 0 80 Mar 04 ? 0:01 pageout
root 3 0 80 Mar 04 ? 33:18 fsflush
root 9104 1 17 Mar 13 console 0:00 /usr/lib/saf/ttymon -g -h -p myhost console
login: -T sun -d /dev/console -l co
root 92 1 80 Mar 04 ? 5:15 /usr/sbin/inetd -s
root 104 1 80 Mar 04 ? 21:53 /usr/sbin/syslogd
root 114 1 80 Mar 04 ? 0:11 /usr/sbin/cron
root 134 1 80 Mar 04 ? 0:01 /usr/lib/utmpd
root 198 1 25 Mar 04 ? 0:00 /usr/lib/saf/sac -t 300
root 201 198 33 Mar 04 ? 0:00 /usr/lib/saf/ttymon
root 6915 6844 8 13:03:32 console 0:00 ps -ef
root 6844 6842 39 13:02:04 console 0:00 -sh
/usr/lib/sendmail守护程序并没有打开，因为你不必总在25端口监听mail的列表请求，你可以在root的
crontab文件中增加：
0 * * * * /usr/lib/sendmail -q > /var/adm/sendmail.log 2>&1
这条命令要以每小时调用sendmail进程处理排队中的邮件。
5.4) 安装第三方软件
你需要的第一个软件是TCP Wrappers软件包——由Wietse Venema写的，它提供了一个小的二
进制文件叫tcpd，能够用它来控制对系统服务的进出——比如telnet及ftp，它在/etc/inetd.conf
中启动，访问控制可以由IP地址、域名或者其它参数来限制，并且tcpd可以提升syslog的记录
级别，在系统遇到未经认证的连接时，发送email或者警告给管理员。
然后安装S/Key来控制远程连接的安全性，可以在Q5.6中看到详细的配置方法。
如果你打算打开ftp服务(不管是匿名ftp或者是出了管理目的)，你需要取得一份WU-Archive ftp，
最好要拿到它的最新版本，否则会有一些安全漏洞存在，如果你认为需要管理员的远程登陆服务的
话，可能得修改S/Key来支持ftp daemon。在Crimelabs S/Key的发行版本中，你可以在找到
S/Key/misc/ftpd.c，这个C程序示范了如何让S/Key支持WU-Archive ftp，你可以对新版的WU-FTP
做类似的改动，当然你可能要阅读wu-ftp FAQ以增加了解。
编译并且安装了这些二进制文件后(tcpd, wu-ftpd及keyinit, keysu,keysh)，它们会被安装在
/usr/local/bin中，当编译wu-ftpd时你需要指定一个配置文件及日志的存放目录，我们推荐你将
配置文件放在/etc下，将日志文件放在/var下，Q5.7更详细地说明了wu-ftp的配置。
用/noshell来阻止那些不想让他们进入的帐号，让/noshell成为那些人的shell。这些帐号不允许登陆
并且会记录下登陆的企图，入侵者无法通过这种帐号入侵。
5.5) 限制通过网络进入系统
telnet和ftp守护进程是从inetd进程启动的，inetd的配置文件是/etc/inetd.conf,还包含了其它
的各种服务，所以你可以干脆移去这个文件，新建一个只包括以下两行的文件：
ftp stream tcp nowait root /usr/local/bin/tcpd /usr/local/bin/wu-ftpd
telnet stream tcp nowait root /usr/local/bin/tcpd /usr/sbin/in.telnetd
当然这是基于你需要telnet及ftp的基础上的，如果你连这两个服务都不用的话，你就可以将它注释
掉或者删除，这样在系统启动的时候inetd甚至就起不来了:)
tcpd的访问控制是由/etc/hosts.allow和/etc/hosts.deny文件控制的，tcpd先查找/etc/hosts.allow
，如果你在这里面允许了某几台主机的telnet或ftp访问的话，那么deny访问就是对其它所有机器的了。
这是“默认拒绝”的访问控制策略，下面是一个hosts.allow文件的样本：
ALL: 172.16.3.0/255.255.255.0
这将允许172.16.3.0网络的主机上任何用户访问你的telnet及ftp服务，记住在这里要放置IP地址，因
为域名比较容易受到欺骗攻击……
现在我们准备拒绝其余所有人的连接了，将下面的语句放在/etc/hosts.deny中：
ALL: ALL: /usr/bin/mailx -s "%d: connection attempt from %c" root@mydomain.com
这条指令不仅拒绝了其它所有的连接，而且能够让tcpd发送email给root——一旦有不允许的连接尝试
发生时。
现在你可能希望用syslog记录下所有的访问记录，那么在/etc/syslog.conf放进如下语句：
auth.auth.notice;auth.info /var/log/authlog
注意两段语句间的空白是tab键，否则syslog可能会不能正常工作。
Sendmail将用以cron来调用sendmail来替代。
5.6) 配置S/Key
S/Key是一个用于实现安全的一次性口令方案的软件，它根据一系列信息（包括一个秘密口令）通过MD4
处理而形成的初始钥匙，该初始钥匙再交给MD4进行处理，资助将128位的数字签名缩成64位，该64位信息
再次传给MD4函数，这个过程一直持续直到达到期望值……
开始使用S/Key时，要建立一个以/usr/local/bin/keysh为shell的帐号：
在/etc/passwd中加入
access:x:100:100:Access Account:/tmp:/usr/local/bin/keysh
并且在/etc/shadow中加入
access:NP:6445::::::
然后使用passwd access命令来设定用户的访问密码。
由于/usr/local/bin/keysh不是一个标准的shell，所以你的/etc/shells文件中内容如下：
/sbin/sh
/usr/local/bin/keysh
只有使用这两种login shell的用户才允许接入。
然后建立一个文件/etc/skeykeys并赋予一定的许可权限：
touch /etc/skeykeys
chmod 600 /etc/skeykeys
chown root /etc/skeykeys
chgrp root /etc/skeykeys
使用keyinit access命令来初始化S/Key秘密口令。
现在你可以配置允许用户通过keysu命令来成为超级用户，首先改变/etc/group:
root::0:root,access
只有在这里列出来的用户才允许通过keysu成为超级用户。现在你可以使用不着keyinit root命令来初
始化超级用户的S/Key秘密口令，我建议该口令要与user的有所区别。
本来你可以将/bin/su删掉以确定用户只能使用keysu……，但不幸的是，许多脚本使用/bin/su来开启
进程，所以你只需用chmod 500 /bin/su来改变它的权限就行了。
5.7) 配置wu-ftp
配置wu-ftp需要经验:)，当你编译wu-ftpd时，你需要指定一个存放配置文件的地方，这个文件夹里将
包含一个pid文件夹和三个文件，一个ftp conversions文件可以是空的，但不能没有，还有ftpusers文
件包含了所有在password文件中存在但不允许登陆系统ftp的用户名称，也就是如uucp、bin之类的系统
帐号都将应该被限制。root最好是永远都被扔在这里面:)。
最后一个文件是ftpaccess：
class users real 172.16.3.*
log commands real
log transfers real inbound,outbound
这将允许从172.16.3.0的任何用户ftp而拒绝所有其它的，所有的文件与命令将被记录下来，并且存放
在你指定的记录文件目录。
至于建立匿名FTP，你要小心，因为很容易配置错误。
建立一个特殊帐户如：
ftp:*:400:400:Anonymous FTP:/var/spool/ftp:/bon/false
因为使用了chroot()功能，必须建立一个小的文件系统，包含了bin\etc\pub目录：
这里面要注意的有：
确保bin及etc下的所有文件属主都是root，且任何人不可写，只有执行权限，最好另外拷贝
一份passwd到ftp的etc中，即使被入侵者得到了，也不会泄露太多信息。
详细配置情况还需要看关于wu-ftp的faq。
5.8) 限制对文件及文件系统的存取权限
下载并使用fix-modes，这个程序会将系统里不安全的文件存取权限（文件/目录）找出来。
使用nosuid参数来配置/etc/vfstab，以防止setuid程序从UFS文件系统执行
/proc - /proc proc - no -
fd - /dev/fd fd - no -
swap - /tmp tmpfs - yes -
/dev/dsk/c0t3d0s1 - - swap - no -
/dev/dsk/c0t3d0s0 /dev/rdsk/c0t3d0s0 / ufs 1 no remount,nosuid
/dev/dsk/c0t3d0s4 /dev/rdsk/c0t3d0s4 /usr ufs 1 no ro
/dev/dsk/c0t3d0s5 /dev/rdsk/c0t3d0s5 /var ufs 1 no nosuid
/dev/dsk/c0t3d0s6 /dev/rdsk/c0t3d0s6 /local ufs 2 yes nosuid
5.9) 测试配置
重启你的机器，确定下面这些东西：
你可以从你配置为允许tcpd连接的机器telnet及ftp到你的server。
尝试从其它未被允许的机器进入，应该会拒绝并email告知当事人。
你只能以user的身份远程telnet或者ftp上站，不能以root登陆。
用户可以通过/usr/local/bin/keysu成为超级用户。
ps -ef只有少量的进程显示，最好不要有sendmail和各种NFS进程。
touch /usr/FOO会得到错误提示，因为文件系统是ro的。
成为超级用户，将ps命令复制到/，要保持它的setuid位，然后删除它的二进制文件。
好了，祝贺你，你已经建立了一个比较安全的系统了:)
5.10) 最后：一些建议
使用XNTP来确定精确的时间。
在你把机器放到网上前，用tripwire和MD5做一个校验，如果系统被入侵，你可以通过保存的校验和
来判断哪些程序被替换掉了。
考虑使用进程记录来记来系统里占用资源的情况。
定期改变你的S/Key secrets并且选择一个好的密码，在各地方的密码最好不要一样……
-->
谈谈Solaris系统性能上的维护
June 26, 2007 3:24 AM |
Permalink

　　目前，由于UNIX操作系统的诸多优点，ISP们大多采用UNIX作为提供服务的系统平台，其中Solaris占了其中的很大比例。在Solaris的维护中，经常出现的是系统性能维护上的问题，影响系统性能的因素有很多，本文从对系统的平均负荷、进程监视、CPU、I/O及内存管理、网络流量诊断等方面进行了分析阐述，给出了在Solaris性能维护上的一些方法和经验。
　　系统的性能是指该系统完成任务的情况，它的有效性、稳定性和响应速率。系统管理员们常常抱怨系统性能不好、不稳定、系统响应速度太慢等等，所有这类问题仅仅是一些表面现象。整个网络系统的性能的好坏是与网络拓朴结构，服务器系统、路由设备、路由政策、接入设备、物理线路等多个方面密切相关的，任何一个环节出现问题，都会影响整个系统的性能。在优化整个系统性能之前，必须监视、审计每一个环节中系统资源是否合理的使用和分配。服务器和工作站系统性能好坏主要取决于它怎样合理使用和分配它的资源，定期监视、审计系统的性能是非常重要的，而且应该知道要监视系统哪些资源。系统资源包括３个方面：
　　１、 CPU;
　　２、 内存子系统；
　　３、 I/O子系统。
　　
　　这３个方面，不论那一方面存在问题都会对系统性能产生影响，而审计系统性能也是从这３方面入手。审计系统性能的工具很多，在Solaris操作系统中提供了多种用来审计系统资源运行情况的工具，主要包括：
　　The uptime and sar commands,用来报告系统的平均负荷；
　　The ps command,提供系统中正在运行进程的相关信息；
　　The df command,提供有关磁盘使用方面的信息；
　　The vmstat、iostat and sar commands,报告系统活动情况，提供内存使用的相关信息、I/O系统信息、CPU活动等；
　　The swap command,用来统计系统中swap使用情况；
　　The netstat command，用来显示有关网络性能方面的信息。
　　值得注意的是，对于服务器／工作站系统，由于用户量的不断增加，系统资源的使用和分配可能在一段时间内较为合理，一段时间之后，系统资源可能处于超负荷运行状态，所以说，系统性能管理是一项长期的工作，应将系统性能管理作为日常系统管理工作的一部分，来维护系统可靠、高效运行。
　　在对系统进行性能优化之前，必须知道系统的硬件资源配置、软件资源的使用及整个系统配置是否存在问题。这些问题的发现往往建立在系统给人们的印象上。比如：系统对用户的响应速率慢，进程运行需花更多的时间等等。如果发现了这些现象，就应该采集系统主要资源数据并进行分析，找到提高系统性能的方法。
　　 一、 系统的平均负荷
　　系统在不同时间内的平均负荷（Last mimute、Last 5 minutes、Last 15
　　minutes）是用来评估系统是否超负荷运行较方便、较常用的一种方法。系统在正常运行的情况下，3个值的范围应在0-2。对于Solaris操作系统，可以用现金条命令获取系统平均负荷（以主机public.hr.hl.cn为例）：
　　1. uptime
　　public.hr.hl.cn% uptime
　　2:06下午 运行1天 5:27，7 users, 平均负荷:0.00,0.01,0.01
　　2、sar(system activity
　　reporter)命令本身能用于采集系统活动数据或从sadc建立的每日活动文件中提取系统活动数据。
　　public.hr.hl.cn%sar –q(从文件中取数据)
　　SunOS public.hr.hl.cn 5.5.1 04/08/98
　　00:00:01 runq-sz %runocc swpq-sz %swpocc
　　01:00:01 1.0 0
　　02:00:01 1.8 0
　　03:00:01 1.3 0
　　04:00:01 1.8 0
　　05:00:01 2.0 0
　　Average 1.6 0
　　或使用：“sar –options t n ”从当前开始，在t秒（t>=5）时间间隔内，采集n次系统活动数据。
　　runq-sz正常情况下它应小于2。如果此值连续大于2表明系统可能处于CPU-bound状态。如果%runocc大于90，并且runq-sz大于2，表明CPU处于超负荷状态，系统响应速率下降。
　　二、 系统进程监视
　　系统中运行的进程都不同程度的消耗系统资源，通过监视这些进程，找到对系统资源影响较大的进程，就能够采取相应措施改善系统性能。
　　
　　在Solaris系统中，可以通过ps命令采集进程数据，系统中有2条ps命令（/usr/bin/ps、/usr/ucb/ps），建议两条命令结合使用，ps命令能够用来监视系统中活动进程的执行状态,它能汇报下列信息:
　　用户名称；
　　进程的ID(PID);
　　CPU使用时间；
　　内存使用情况；
　　当前进程状态；
　　进程的优先级；
　　进程类型。
　　
　　通过观察分析ps命令输出结果，如果发现异常情况，如某个进程占用CPU/MEM过多、某个用户产生很多进程等等，此时的问题不是用户的问题，而是过重的CPU
　　load阻碍用户的访问速率。这时候可以对那些显尔易见的问题采取相应补救措施：
　　如果发现某个用户产生很多进程，占用过多的系统资源，可以kill其中的消耗资源较多的进程，释放系统资源；
　　如果发现某个进程积聚大量时间，这可能指示进程处于无限循环状态或进程出现错误。在咨询这个进程的用户后，可以终止此进程。
　　如果发现某个不很重要的进程消耗大量CPU,可以使用nice/priocntl命令改变此进程的优先级。使它在较低的优先级中运行。
　　除采取上述措施外，还应该分析其他的问题，通常关心的是那些runnable、blocked for disk I/O、or paging
　　jobs,而不是那些sleeping、stoped进程，因为这些进程并不影响整个系统的性能。如果必要的进程占用内存很大，表明系统可能需要增加内存。
　　三、 CPU与I/O监控
　　从PS得到的数据是非常详细的，通常不仅需要知道每个进程的状态，而且还需知道整个系统的状态，有许多方法可以得到整个系统的状态比如：
　　１、 df命令报告磁盘的使用情况，显示mount or unmount文件系统磁盘空间使用情况；
　　２、 iostat and vmstat命令显示系统资源状况；
　　
　　iostat命令汇报磁盘I/O状态、进程流通量、队列长度、服务时间等，vmstat命令显示内存使用情况、CPU负荷、paging、系统调用等等。
　　３、 sar命令收集、报告系统的活动情况。
　　四、 内存统计管理
　　
　　在系统运行的不同时期，可用内存能否满足程序运行的需求是影响系统性能的一个重要因素。如果可用内存不能满足程序运行的需要，那么系统就重复从物理内存中拷贝一个或多个页面到磁盘，以及从磁盘拷贝页面到内存。在从物理内存中拷贝一个或多个页面到磁盘后，系统为其它任务重新使用这些内存，这就是通常所说的“paging”。一旦系统启动paging，整个系统的性能可能会急剧下降直到系统内存又满足程序运行的需要。总之，当可用内存不能满足系统需要时会影响系统性能；当可用内存满足系统需要时则不会影响系统，因此，应该经常监视有关内存使用数据并进行分析，预测可能发生的问题，扩展内存或调整内存配置参数使系统稳定可靠运行。
　　通常，系统采取两种方式来满足所有进程对内存的需求：paging and
　　swapping.swapping移动整个进程到磁盘，从而达到回收内存的目的。在下一次系统运行该进程时，它必须从磁盘swap区中拷贝整个进程的内存映象到内存中去。Paging移动进程的部分页面到磁盘来达到回收内存的目的，进程的大多数页面仍保留在内存中。
　　五、 系统信息的自动采集
　　
　　为获取系统一段时间的活动数据，启用系统信息自动采集是非常必要的，因为它是最容易获取系统信息的一种方式，在系统信息自动采集中有2条命令：sadc、sa1.
　　Sadc命令主要是采集系统活动数据，并将它放在下一个二进制文件中，这个文件只放一天数据，它位于目录/var/adm/sa下，文件名为sadd,其中dd用当前日期代替。
　　为了获取系统不同时期的数据，应该定期运行sadc。其中最简单的方式是在/var/spool/cron/crontabs/sys文件中运行shell
　　script sa1,它运行sadc并将数据写到文件中去。可以使用sar命令从文件摘取系统活动数据。
　　六、 网络流量诊断
　　
　　网络问题是影响系统性能的问题之一，诊断网络问题最简单的工具当然是使用系统提供的命令netstat，使用“-i”选项，命令netstat能显示接口状态，举例如下：
　　public.hr.hl.cn% netstat –I
　　name mtu net/dest address
　　ipkts ierrs opkts oerrs collis queue
　　lo0 8232 loopback localhost 2616 0
　　2616 0 0 0
　　le0 1500 202.96.30.0 tech
　　75083 0 69325 1 621 0
　　命令结果显示了在每一个接口发送和接收数据包的情况，其中的3项：ierrs、oerrs and collis与网络性能问题有关：
　　ierrs，是指主机从网络接收数据包中包含有多少不正确的数据包，如果ierrs很大，通常表明硬件接口存在问题或硬件驱动器接受数据包较慢，此时应该在不同时间多次采集数据进行比较来决定采取什么措施。正常情况下，ierrs/opkts
-->
apache2同IP虚拟主机配置文档
May 12, 2007 7:34 AM |
Permalink

NameVirtualHost *
＜VirtualHost *＞
ServerName blog.ouc.edu.cn
DocumentRoot /var/dddd
ServerAdmin webmaster@localhost
＜/VirtualHost＞
＜VirtualHost *＞
ProxyPreserveHost On
ServerAdmin test@test.com
ServerName 222.195.158.135
DocumentRoot /var/ddd/gangpi
DirectoryIndex index.html index.htm index.asp
ProxyPass / http://www.ouc.edu.cn/
ProxyPassReverse / http://www.ouc.edu.cn/
＜/VirtualHost＞


本文来自ChinaUnix博客，如果查看原文请点：http://blog.chinaunix.net/u2/62561/showart_519926.html