第十八章、認識系統服務 (daemons) - for CentOS 5.x

如果依據 daemon 的啟動與管理方式來區分，基本上，可以將 daemon 分為可獨立啟動的 stand alone ， 與透過一支 super daemon 來統一管理的服務這兩大類，這兩類 daemon 的說明如下：

stand_alone：此 daemon 可以自行單獨啟動服務

就字面上的意思來說，stand alone 就是『獨立的啟動』的意思。這種類型的 daemon 可以自行啟動而不必透過其他機制的管理； daemon 啟動並載入到記憶體後就一直佔用記憶體與系統資源。最大的優點就是：因為是一直存在記憶體內持續的提供服務， 因此對於發生用戶端的要求時，stand alone 的 daemon 回應速度較快。常見的 stand alone daemon 有 WWW 的 daemon (httpd)、FTP 的 daemon (vsftpd) 等等。

super daemon： 一支特殊的 daemon 來統一管理

這一種服務的啟動方式則是藉由一個統一的 daemon 來負責喚起服務！這個特殊的 daemon 就被稱為 super daemon 。 早期的 super daemon 是 inetd 這一個，後來則被 xinetd 所取代了。這種機制比較有趣的地方在於， 當沒有用戶端的要求時，各項服務都是未啟動的情況，等到有來自用戶端的要求時， super daemon 才喚醒相對應的服務。當用戶端的要求結束後，被喚醒的這個服務也會關閉並釋放系統資源。

這種機制的好處是： (1)由於 super daemon 負責喚醒各項服務，因此 super daemon 可以具有安全控管的機制，就是類似網路防火牆的功能啦！ (2)由於服務在用戶端的連線結束後就關閉，因此不會一直佔用系統資源。但是缺點是什麼呢？ 因為有用戶端的連線才會喚醒該服務，而該服務載入到記憶體的時間需要考慮進去，因此服務的反應時間會比較慢一些啦！ 常見的 super daemon 所管理的服務例如 telnet 這個玩意兒就是啦！

圖 1.1.1、Super daemon 的運作示意圖

如上所示，Super daemon 是常駐在記憶體中的， Program 1, 2, 3 則是啟動某些服務的程式 (未被啟動狀態)。當有用戶端的要求時， Super daemon 才會去觸發相關的程式載入成為 daemon 而存在於記憶體中，此時，用戶端的要求才會被 Super daemon 導向 Daemon 1 去達成連線！當用戶端的要求結束時，Daemon 1 將會被移除，圖中實線的連線就會中斷囉！

窗口類型的解說

那麼這兩種啟動的方式哪一個比較好呢？見仁見智啦！而且還要看該主機的工作負荷與實際的用途說！ 例如當你的主機是用來作為 WWW 伺服器的，那麼 httpd 自然就以 stand alone 的啟動方式較佳！事實上，我們常常開玩笑的說明 stand alone 與 super daemon 的情況，可以銀行的窗口來作為說明的範例喔！

• 個別窗口負責單一服務的 stand alone：
  
  在銀行裡面，假設有一種單一服務的窗口，例如存錢窗口，所以當你需要存錢的時候，直接前往該窗口，就有『專人』為你服務啦！ 這就是 stand alone 的情況。
  
  
• 統一窗口負責各種業務的 super daemon：
  
  在銀行裡面假設還有另外一種複合型態的統一窗口，同時提供轉帳、資金調度、提款等等的業務，那當你需要其中一項業務的時候， 就需要前往該窗口。但是坐在窗口的這個營業員，拿到你的需求單之後，往後面一丟『喂！那個轉帳的仁兄！該你的工作了』 那麼那個仁兄就開始工作去！然而裡頭還有資金調度與提款等負責業務的仁兄呢？他們在幹嘛？嘿嘿！看看報、喝喝茶囉！
  
  那麼這裡就會引出另外一個問題啦！假設銀行今天的人潮特別的洶湧，所以這個窗口後面除了你之外還有很多的人！ 那麼想一想，這個窗口是要『一個完成再來下一個』還是『全部都把你們的單據拿來，我全部處理掉』呢？呵呵！ 是不是不太一樣？基本上，針對這種 super daemon 的處理模式有兩種，分別是這樣：
  
  
  • multi-threaded (多重執行緒)：
    就是我們提到的，全部的客戶之要求都給他拿來，一次給他交辦下去，所以一個服務同時會負責好幾個程序。
    
    
  • single-threaded (單一執行緒)：
    這個就是目前我們『人類的銀行』最常見的方式啦，不論如何，反正一個一個來，第一個沒有處理完之前，後面的請排隊！嘿嘿！ 所以如果 client 的要求突然大增的話，那麼這些晚到的 client 可得等上一等！
  
  
  圖 1.1.2、單執行與多重執行的 super daemon 運作方式
  
  如上所示，左側為多重執行的方式， daemon 會一直被觸發多支程序來提供不同 client 的服務，所以不論你是第幾個登入者， 都可以享用 daemon 的服務。至於右側則是單一執行的方式，僅會有一支 daemon 被喚醒，第一個用戶達成連線後， 後續想要連線的用戶就得要等待，因此她們的連線不會成功的。

另外，需要注意的是，既然銀行裡頭有這兩種窗口同時存在，所以囉，在 Linux 系統裡面，這兩種 daemon 的啟動方式也是可以同時存在的啦！也就是說，某些服務可以使用 stand alone 來啟動，而有些其他的服務則可以使用 xinetd 這個 super daemon 來管理，大致的情況就是這樣啦！瞭乎！

daemon 工作形態的類型

如果以 daemon 提供服務的的工作狀態來區分，又可以將 daemon 分為兩大類，分別是：

• signal-control
  這種 daemon 是透過訊號來管理的，只要有任何用戶端的需求進來，他就會立即啟動去處理！例如印表機的服務 (cupsd)。
  
  
• interval-control
  這種 daemon 則主要是『每隔一段時間就主動的去執行某項工作』，所以，你要作的是在設定檔指定服務要進行的時間與工作， 該服務在指定的時間才會去完成工作。我們在第十六章提到的 atd 與 crond 就屬於這種類型的 daemon 啦 (每分鐘偵測一次設定檔)

另外，如果你對於開發程式很有興趣的話，那麼可以自行查閱一下『 man 3 daemon 』看看系統對於 daemon 的詳細說明吧！ ^_^。

daemon 的命名規則

每一個服務的開發者，當初在開發他們的服務時，都有特別的故事啦！不過，無論如何，這些服務的名稱被建立之後，被掛上 Linux 使用時，通常在服務的名稱之後會加上一個 d ，例如例行性命令的建立的 at, 與 cron 這兩個服務， 他的程式檔名會被取為 atd 與 crond，這個 d 代表的就是 daemon 的意思。所以，在第十七章中，我們使用了 ps 與 top 來觀察程序時，都會發現到很多的 {xxx}d 的程序，呵呵！通常那就是一些 daemon 的程序囉！

從第十七章與前一小節對服務的說明後，你應該要知道的是， 系統所有的功能都是某些程序所提供的，而程序則是透過觸發程式而產生的。同樣的，系統提供的網路服務當然也是這樣的！ 只是由於網路牽涉到 TCP/IP 的概念，所以顯的比較複雜一些就是了。

玩過網際網路 (Internet) 的朋友應該知道 IP 這玩意兒，大家都說 IP 就是代表你的主機在網際網路上面的『門牌號碼』。 但是你的主機總是可以提供非常多的網路服務而不止一項功能而已，但我們僅有一個 IP 呢！當用戶端連線過來我們的主機時， 我們主機是如何分辨不同的服務要求呢？那就是透過埠號 (port number) 啦！埠號簡單的想像，他就是你家門牌上面的第幾層樓！ 這個 IP 與 port 就是網際網路連線的最重要機制之一囉。我們拿底下的網址來說明：

• http://ftp.isu.edu.tw/
• ftp://ftp.isu.edu.tw/

有沒有發現，兩個網址都是指向 ftp.isu.edu.tw 這個義守大學的 FTP 網站，但是瀏覽器上面顯示的結果卻是不一樣的？ 是啊！這是因為我們指向不同的服務嘛！一個是 http 這個 WWW 的服務，一個則是 ftp 這個檔案傳輸服務，當然顯示的結果就不同了。

圖 1.2.1、 port 與 daemon 的對應，用戶端連線協定不同，服務導向埠號亦不同

事實上，為了統一整個網際網路的埠號對應服務的功能，好讓所有的主機都能夠使用相同的機制來提供服務與要求服務， 所以就有了『通訊協定』這玩意兒。也就是說，有些約定俗成的服務都放置在同一個埠號上面啦！舉例來說， 網址列上面的 http 會讓瀏覽器向 WWW 伺服器的 80 埠號進行連線的要求！而 WWW 伺服器也會將 httpd 這個軟體啟動在 port 80， 這樣兩者才能夠達成連線的！

嗯！那麼想一想，系統上面有沒有什麼設定可以讓服務與埠號對應在一起呢？那就是 /etc/services 啦！

[root@www ~]# cat /etc/services
....(前面省略)....
ftp             21/tcp
ftp             21/udp          fsp fspd
ssh             22/tcp                          # SSH Remote Login Protocol
ssh             22/udp                          # SSH Remote Login Protocol
....(中間省略)....
http            80/tcp          www www-http    # WorldWideWeb HTTP
http            80/udp          www www-http    # HyperText Transfer Protocol
....(底下省略)....
# 這個檔案的內容是以底下的方式來編排的：
# <daemon name>   <port/封包協定>   <該服務的說明>

像上面說的是，第一欄為 daemon 的名稱、第二欄為該 daemon 所使用的埠號與網路資料封包協定， 封包協定主要為可靠連線的 TCP 封包以及較快速但為非連線導向的 UDP 封包。 舉個例子說，那個遠端連線機制使用的是 ssh 這個服務，而這個服務的使用的埠號為 22 ！就是這樣啊！

Tips

請特別注意！雖然有的時候你可以藉由修改 /etc/services 來更改一個服務的埠號，不過並不建議如此做， 因為很有可能會造成一些協定的錯誤情況！這裡特此說明一番呦！(除非你要架設一個地下網站，否則的話，使用 /etc/services 原先的設定就好啦！)

提供某個服務的 daemon 雖然只是一支程式而已，但是這支 daemon 的啟動還是需要執行檔、設定檔、執行環境等等， 舉例來說，你可以查閱一下 httpd 這個程式 (man httpd) ，裡面可談到不少的選項與參數呢！此外，為了管理上面的方便， 所以通常 distribution 都會記錄每一支 daemon 啟動後所取得程序的 PID 在 /var/run/ 這個目錄下呢！ 還有還有，在啟動這些服務之前，你可能也要自行處理一下 daemon 能夠順利執行的環境是否正確等等。鳥哥這裡要講的是， 要啟動一支 daemon 考慮的事情很多，並非單純執行一支程式就夠了。

為了解決上面談到的問題，因此通常 distribution 會給我們一個簡單的 shell script 來進行啟動的功能。 該 script 可以進行環境的偵測、設定檔的分析、PID 檔案的放置，以及相關重要交換檔案的鎖住 (lock) 動作， 你只要執行該 script ，上述的動作就一口氣連續的進行，最終就能夠順利且簡單的啟動這個 daemon 囉！ 這也是為何我們會希望你可以詳細的研究一下第十三章的原因啊。

OK！那麼這些 daemon 的啟動腳本 (shell script) 放在哪裡啊？還有， CentOS 5.x 通常將 daemon 相關的檔案放在哪裡？ 以及某些重要的設定檔又是放置到哪裡？基本上是放在這些地方：

• /etc/init.d/* ：啟動腳本放置處
  系統上幾乎所有的服務啟動腳本都放置在這裡！事實上這是公認的目錄，我們的 CentOS 實際上放置在 /etc/rc.d/init.d/ 啦！ 不過還是有設定連結檔到 /etc/init.d/ 的！既然這是公認的目錄，因此建議您記憶這個目錄即可！
  
  
• /etc/sysconfig/* ：各服務的初始化環境設定檔
  幾乎所有的服務都會將初始化的一些選項設定寫入到這個目錄下，舉例來說，登錄檔的 syslog 這支 daemon 的初始化設定就寫入在 /etc/sysconfig/syslog 這裡呢！而網路的設定則寫在 /etc/sysconfig/network 這個檔案中。 所以，這個目錄內的檔案也是挺重要的；
  
  
• /etc/xinetd.conf, /etc/xinetd.d/* ：super daemon 設定檔
  super daemon 的主要設定檔 (其實是預設值) 為 /etc/xinetd.conf ，不過我們上面就談到了， super daemon 只是一個統一管理的機制，他所管理的其他 daemon 的設定則寫在 /etc/xinetd.d/* 裡頭喔！
  
  
• /etc/* ：各服務各自的設定檔
  第六章就講過了，大家的設定檔都是放置在 /etc/ 底下的喔！
  
  
• /var/lib/* ：各服務產生的資料庫
  一些會產生資料的服務都會將他的資料寫入到 /var/lib/ 目錄中。舉例來說，資料庫管理系統 MySQL 的資料庫預設就是寫入 /var/lib/mysql/ 這個目錄下啦！
  
  
• /var/run/* ：各服務的程序之 PID 記錄處
  我們在第十七章談到可以使用訊號 (signal) 來管理程序， 既然 daemon 是程序，所以當然也可以利用 kill 或 killall 來管理啦！不過為了擔心管理時影響到其他的程序， 因此 daemon 通常會將自己的 PID 記錄一份到 /var/run/ 當中！例如登錄檔的 PID 就記錄在 /var/run/syslogd.pid 這個檔案中。如此一來， /etc/init.d/syslog 就能夠簡單的管理自己的程序囉。

上面談到的部分是設定檔，那麼 stand alone 與 super daemon 所管理的服務啟動方式怎麼作呢？他是這樣做的喔：

Stand alone 的 /etc/init.d/* 啟動

剛剛談到了幾乎系統上面所有服務的啟動腳本都在 /etc/init.d/ 底下，這裡面的腳本會去偵測環境、搜尋設定檔、 載入 distribution 提供的函數功能、判斷環境是否可以運作此 daemon 等等，等到一切都偵測完畢且確定可以運作後， 再以 shell script 的 case....esac 語法來啟動、關閉、 觀察此 daemon 喔！我們可以簡單的以 /etc/init.d/syslog 這個登錄檔啟動腳本來進行說明：

[root@www ~]# /etc/init.d/syslog
用法: /etc/init.d/syslog {start|stop|status|restart|condrestart}
# 什麼參數都不加的時候，系統會告訴你可以用的參數有哪些，如上所示。

範例一：觀察 syslog 這個 daemon 目前的狀態
[root@www ~]# /etc/init.d/syslog status
syslogd (pid 4264) 正在執行...
klogd (pid 4267) 正在執行...
# 代表 syslog 管理兩個 daemon ，這兩個 daemon 正在運作中啦！

範例二：重新讓 syslog 讀取一次設定檔
[root@www ~]# /etc/init.d/syslog restart
正在關閉核心記錄器:          [  確定  ]
正在關閉系統記錄器:          [  確定  ]
正在啟動系統記錄器:          [  確定  ]
正在啟動核心記錄器:          [  確定  ]
[root@www ~]# /etc/init.d/syslog status
syslogd (pid 4793) 正在執行...
klogd (pid 4796) 正在執行...
# 因為重新啟動過，所以 PID 與第一次觀察的值就不一樣了！這樣瞭解乎？

由於系統的環境都已經幫你製作妥當，所以利用 /etc/init.d/* 來啟動、關閉與觀察，就非常的簡單！話雖如此， CentOS 還是有提供另外一支可以啟動 stand alone 服務的腳本喔，那就是 service 這個程式。 其實 service 僅是一支 script 啦，他可以分析你下達的 service 後面的參數，然後根據你的參數再到 /etc/init.d/ 去取得正確的服務來 start 或 stop 哩！他的語法是這樣的啦：

[root@www ~]# service [service name] (start|stop|restart|...)
[root@www ~]# service --status-all
選項與參數：
service name：亦即是需要啟動的服務名稱，需與 /etc/init.d/ 對應；
start|...   ：亦即是該服務要進行的工作。
--status-all：將系統所有的 stand alone 的服務狀態通通列出來

範例三：重新啟動 crond 這支 daemon ：
[root@www ~]# service crond restart
[root@www ~]# /etc/init.d/crond restart
# 這兩種方法隨便你用哪一種來處理都可以！不過鳥哥比較喜歡使用 /etc/init.d/*

範例四：顯示出目前系統上面所有服務的運作狀態
[root@www ~]# service --status-all
acpid (pid 4536) 正在執行...
anacron 已停止
atd (pid 4694) 正在執行...
....(底下省略)....

這樣就將一堆服務的運作狀態列出，你也可以根據這個輸出的結果來查詢你的某些服務是否正確運作了啊！^_^！ 其實，在上面的範例當中，啟動方式以 service 這個程式，或者直接去到 /etc/init.d/ 底下啟動，都一樣啦！自行去解析 /sbin/service 就知道為啥了！ ^_^

Tips

事實上，在 Linux 系統中，要『開或關某個 port 』，就是需要『 啟動或關閉某個服務』啦！因此，你可以找出某個 port 對應的服務，程式對應的服務， 進而啟動或關閉他，那麼那個經由該服務而啟動的 port ，自然就會關掉了！

Super daemon 的啟動方式

其實 Super daemon 本身也是一支 stand alone 的服務，看圖 1.1.1 就知道啦！因為 super daemon 要管理後續的其他服務嘛，他當然自己要常駐在記憶體中啦！所以 Super daemon 自己啟動的方式與 stand alone 是相同的！ 但是他所管理的其他 daemon 就不是這樣做囉！必須要在設定檔中設定為啟動該 daemon 才行。設定檔就是 /etc/xinetd.d/* 的所有檔案。那如何得知 super daemon 所管理的服務是否有啟動呢？你可以這樣做：

[root@www ~]# grep -i 'disable' /etc/xinetd.d/*
....(前面省略)....
/etc/xinetd.d/rsync:          disable = yes
/etc/xinetd.d/tcpmux-server:  disable = yes
/etc/xinetd.d/time-dgram:     disable = yes
/etc/xinetd.d/time-stream:    disable = yes

因為 disable 是『取消』的意思，因此如果『 disable = yes 』則代表取消此項服務的啟動，如果是『 disable = no 』 才是有啟動該服務啦！假設我想要啟動如上的 rsync 這個服務，那麼你可以這樣做：

# 1. 先修改設定檔成為啟動的模樣：
[root@www ~]# vim /etc/xinetd.d/rsync
# 請將 disable 那一行改成如下的模樣 (原本是 yes 改成 no 就對了)
service rsync
{
        disable = no
....(後面省略)....

# 2. 重新啟動 xinetd 這個服務
[root@www ~]# /etc/init.d/xinetd restart
正在停止 xinetd:             [  確定  ]
正在啟動 xinetd:             [  確定  ]

# 3. 觀察啟動的埠口
[root@www ~]# grep 'rsync' /etc/services  <==先看看埠口是哪一號
rsync           873/tcp               # rsync
rsync           873/udp               # rsync
[root@www ~]# netstat -tnlp | grep 873
tcp    0 0 0.0.0.0:873      0.0.0.0:*     LISTEN      4925/xinetd
# 注意看！啟動的服務並非 rsync 喔！而是 xinetd ，因為他要控管 rsync 嘛！
# 若有疑問，一定要去看看圖 1.1.1 才行！

也就是說，你先修改 /etc/xinetd.d/ 底下的設定檔，然後再重新啟動 xinetd 就對了！而 xinetd 是一個 stand alone 啟動的服務！這部份得要特別留意呢！

先來看一看預設的 /etc/xinetd.conf 這個檔案的內容是什麼吧！

[root@www ~]# vim /etc/xinetd.conf
defaults
{
# 服務啟動成功或失敗，以及相關登入行為的記錄檔
        log_type        = SYSLOG daemon info  <==登錄檔的記錄服務類型
        log_on_failure  = HOST   <==發生錯誤時需要記錄的資訊為主機 (HOST)
        log_on_success  = PID HOST DURATION EXIT <==成功啟動或登入時的記錄資訊
# 允許或限制連線的預設值
        cps         = 50 10 <==同一秒內的最大連線數為 50 個，若超過則暫停 10 秒
        instances   = 50    <==同一服務的最大同時連線數
        per_source  = 10    <==同一來源的用戶端的最大連線數
# 網路 (network) 相關的預設值
        v6only          = no <==是否僅允許 IPv6 ？可以先暫時不啟動 IPv6 支援！
# 環境參數的設定
        groups          = yes
        umask           = 002
}

includedir /etc/xinetd.d <==更多的設定值在 /etc/xinetd.d 那個目錄內

為什麼 /etc/xinetd.conf 可以稱為預設值的設定檔呢？因為如果你有啟動某個 super daemon 管理的服務， 但是該服務的設定值並沒有指定上述的那些項目，那麼該服務的設定值就以上述的預設值為主！ 至於上述的預設值會將 super daemon 管理的服務設定為：『一個服務最多可以有 50 個同時連線， 但每秒鐘發起的「新」連線最多僅能有 50 條，若超過 50 條則該服務會暫停 10 秒鐘。同一個來源的用戶最多僅能達成 10 條連線。 而登入的成功與失敗所記錄的資訊並不相同。』這樣說，可以比較清楚了吧？ ^_^ 至於更多的參數說明，我們會在底下再強調的！

既然這只是個預設參數檔，那麼自然有更多的服務參數檔案囉～沒錯～而所有的服務參數檔都在 /etc/xinetd.d 裡面，這是因為上表當中的最後一行啊！這樣瞭了吧！ ^_^。那麼每個參數檔案的內容是怎樣呢？一般來說，他是這樣的：

service  <service_name>
{
       <attribute>   <assign_op>   <value>   <value> ...
       .............
}

第一行一定都有個 service ，至於那個 <service_name> 裡面的內容，則與 /etc/services 有關，因為他可以對照著 /etc/services 內的服務名稱與埠號來決定所要啟用的 port 是哪個啊！ 然後相關的參數就在兩個大刮號中間。attribute 是一些 xinetd 的管理參數， assign_op 則是參數的設定方法。 assign_op 的主要設定形式為：

 = ： 表示後面的設定參數就是這樣啦！
+= ： 表示後面的設定為『在原來的設定裡頭加入新的參數』
-= ： 表示後面的設定為『在原來的參數捨棄這裡輸入的參數！』

用途不太相同，敬請留意呦！好了！底下再來說一說那些 attribute 與 value ！

OK！我們就利用上面這些參數來架構出我們所需要的一些服務的設定吧！參考看看底下的設定方法囉！ ^_^

我們知道透過 super daemon 控管的服務可以多一層管理的手續來達成類似防火牆的機制， 那麼該如何仔細的設定這些類似防火牆機制的設定參數呢？底下我們使用 rsync 這個可以進行遠端鏡射 (mirror) 的服務來說明。 rsync 可以讓兩部主機上面的某個目錄一模一樣，在遠端異地備援系統上面是挺好用的一個機制。 而且預設一裝好 CentOS 就已經存在這玩意兒了！那就來瞧瞧預設的 rsync 設定檔吧！

[root@www ~]# vim /etc/xinetd.d/rsync
service rsync  <==服務名稱為 rsync
{
        disable = no                     <==預設是關閉的！剛剛被我們打開了
        socket_type     = stream         <==使用 TCP 的連線機制之故
        wait            = no             <==可以同時進行大量連線功能
        user            = root           <==啟動服務為 root 這個身份
        server          = /usr/bin/rsync <==就是這支程式啟動 rsync 的服務囉
        server_args     = --daemon       <==這是必要的選項啊！
        log_on_failure  += USERID        <==登入錯誤時，額外記錄使用者 ID
}

能不能修改 user 成為其他身份呢？由於在 /etc/services 當中規定 rsync 使用的埠口號碼為 873 ，這個埠口小於 1024 ，所以理論上啟動這個埠口的身份一定要是 root 才行！這裡 user 就請您先別亂改囉！ 由於鳥哥的測試主機在安裝時已經有捉到網路卡，目前有兩個介面，一個是 192.168.1.100 ，一個則是 127.0.0.1， 假設我將 192.168.1.100 設計為對外網域， 127.0.0.1 為內部網域，且內外網域的分別權限設定為：

• 對內部 127.0.0.1 網域開放較多權限的部分：
  
  • 這裡的設定值需綁在 127.0.0.1 這個介面上；
  • 對 127.0.0.0/8 開放登入權限；
  • 不進行任何連線的限制，包括總連線數量與時間；
  • 但是 127.0.0.100 及 127.0.0.200 不允許登入 rsync 服務。
  
  
• 對外部 192.168.1.100 網域較多限制的設定：
  
  • 對外設定綁住 192.168.1.100 這個介面；
  • 這個介面僅開放 140.116.0.0/16 這個 B 等級的網域及 .edu.tw 網域可以登入；
  • 開放的時間為早上 1-9 點以及晚上 20-24 點兩個時段；
  • 最多允許 10 條同時連線的限制。

Tips

有資訊背景的朋友當然知道 127.0.0.1 是內部迴圈測試用的 IP ，用他來設計網路是沒有意義的。 不過，我們這裡僅是作一個設計的介紹，而且我們尚未談到伺服器篇的網路部分，所以大家先這樣實際測試吧！ ^_^

在這樣的規劃情況下，我們可以將剛剛上頭的 /etc/xinetd.d/rsync 這個檔案修改成為：

[root@www ~]# vim /etc/xinetd.d/rsync
# 先針對對內的較為鬆散的限制來設定：
service rsync
{
        disable = no                        <==要啟動才行啊！
        bind            = 127.0.0.1         <==服務綁在這個介面上！
        only_from       = 127.0.0.0/8       <==只開放這個網域的來源登入
        no_access       = 127.0.0.{100,200} <==限制這兩個不可登入
        instances       = UNLIMITED         <==取代 /etc/xinetd.conf 的設定值
        socket_type     = stream            <==底下的設定則保留
        wait            = no
        user            = root
        server          = /usr/bin/rsync
        server_args     = --daemon
        log_on_failure  += USERID
}

# 再針對外部的連線來進行限制呢！
service rsync
{
        disable = no
        bind            = 192.168.1.100
        only_from       = 140.116.0.0/16
        only_from      += .edu.tw           <==因為累加，所以利用 += 設定
        access_times    = 01:00-9:00 20:00-23:59 <==時間有兩時段，有空格隔開
        instances       = 10                <==只有 10 條連線
        socket_type     = stream
        wait            = no
        user            = root
        server          = /usr/bin/rsync
        server_args     = --daemon
        log_on_failure  += USERID
}

在上面這個設定檔中，鳥哥共寫了兩段 service rsync 的設定，一段針對內部網域一段針對外部網域， 如果設計完畢你將他重新啟動後，就會出現如下的狀態喔！

# 0. 先看看原本的 873 狀態為何！
[root@www ~]# netstat -tnlp | grep 873
tcp    0 0 0.0.0.0:873      0.0.0.0:*     LISTEN      4925/xinetd
# 仔細看，僅針對 0.0.0.0 這個全域網域監聽而已哩！

# 1. 重新啟動 xinetd 吧！不是啟動 rsync 喔！別搞錯。
[root@www ~]# /etc/init.d/xinetd restart
[root@www ~]# netstat -tnlp | grep 873
tcp    0 0 192.168.1.100:873     0.0.0.0:*       LISTEN    7227/xinetd
tcp    0 0 127.0.0.1:873         0.0.0.0:*       LISTEN    7227/xinetd
# 有沒有看到兩個介面啊～而且， PID 會是同一個呢！

如同上面的設定，我們就可以將某個系統服務針對不同的用戶端來源指定不同的使用權限！這樣子系統服務可以安全多了！ 如果未來你的某些服務想要使用這個咚咚來設定也是 OK 的喔！更多的設定資料就有待您自己的理解了。

我們在前面幾章知道了要管制 at 的使用可以透過修訂 /etc/at.{allow|deny} 來管理，至於 crontab 則是使用 /etc/cron.{allow|deny} 來管理的。那麼有沒有辦法透過個什麼機制，就能夠管理某些程式的網路使用呢？ 就有點像管理某些程式是否能夠接受或者是拒絕來自網際網路的連線的意思啦！有的！那就是 /etc/hosts.{allow|deny} 囉。

任何以 xinetd 管理的服務，都可以透過 /etc/hosts.allow, /etc/hosts.deny 來設定防火牆。那麼什麼是防火牆呢？簡單的說，就是針對來源 IP 或網域進行允許或拒絕的設定， 以決定該連線是否能夠成功達成連接的一種方式就是了。其實我們剛剛修改 /etc/xinetd.d/rsync 裡頭的 no_access, only_from 也可以進行這方面的防火牆設定。不過，使用 /etc/hosts.allow, /etc/hosts.deny 則更容易集中控管，在設定與查詢方面也較為方便！ 那麼就讓我們談談這兩個檔案的設定技巧吧！

其實 /etc/hosts.allow 與 /etc/hosts.deny 也是 /usr/sbin/tcpd 的設定檔，而這個 /usr/sbin/tcpd 則是用來分析進入系統的 TCP 網路封包的一個軟體，TCP 是一種連線導向的網路連線封包，包括 www, email, ftp 等等都是使用 TCP 封包來達成連線的喔。 所以囉，顧名思義，這個套件本身的功能就是在分析 TCP 網路資料封包啦！而 TCP 封包的檔頭主要記錄了來源與目主機的 IP 與 port ，因此藉由分析 TCP 封包並搭配 /etc/hosts.{allow,deny} 的規則比對，就可以決定該連線是否能夠進入我們的主機啦。 所以啦，我們要使用 TCP Wrappers 來控管的就是：

1. 來源 IP 或/與 整個網域的 IP 網段；
2. port (就是服務啦，前面有談到啟動某個埠口是 daemon 的責任啊)

基本上只要一個服務受到 xinetd 管理，或者是該服務的程式支援 TCP Wrappers 函式的功能時，那麼該服務的防火牆方面的設定就能夠以 /etc/hosts.{allow,deny} 來處理囉。換個方式來說，只要不支援 TCP Wrappers 函式功能的軟體程式就無法使用 /etc/hosts.{allow,deny} 的設定值啦，這樣說，有沒有比較清楚啊。不過，那要如何得知一個服務的程式有沒有支援 TCP Wrappers 呢，你可以這樣簡單的處理喔。

範例一：測試一下達成 sshd 及 httpd 這兩個程式有無支援 TCP Wrappers 的功能
[root@www ~]# ldd $(which sshd httpd)
/usr/sbin/sshd:
        libwrap.so.0 => /usr/lib64/libwrap.so.0 (0x00002abcbfaed000)
        libpam.so.0 => /lib64/libpam.so.0 (0x00002abcbfcf6000)
....(中間省略)....
/usr/sbin/httpd:
        libm.so.6 => /lib64/libm.so.6 (0x00002ad395843000)
        libpcre.so.0 => /lib64/libpcre.so.0 (0x00002ad395ac6000)
....(底下省略)....
# 重點在於軟體有沒有支援 libwrap.so 那個函式庫囉

ldd (library dependency discovery) 這個指令可以查詢某個程式的動態函式庫支援狀態，因此透過這個 ldd 我們可以輕鬆的就查詢到 sshd, httpd 有無支援 tcp wrappers 所提供的 libwrap.so 這個函式庫檔案。從上表的輸出中我們可以發現， sshd 有支援但是 httpd 則沒有支援。因此我們知道 sshd 可以使用 /etc/hosts.{allow,deny} 進行類似防火牆的抵擋機制，但是 httpd 則沒有此項功能喔！

設定檔語法

這兩個檔案的設定語法都是一樣的，基本上，看起來應該像這樣：

<service(program_name)> : <IP, domain, hostname> : <action>
<服務   (亦即程式名稱)> : <IP 或領域 或主機名稱> : < 動作 >
# 上頭的 < > 是不存在於設定檔中的喔！

重點是兩個，第一個是找出你想要管理的那個程式的檔名，第二個才是寫下來你想要放行或者是抵擋的 IP 或網域呢。 那麼程式的檔名要如何寫呢？其實就是寫下檔名啦！舉例來說上面我們談到過 rsync 設定檔內不是有 server 的參數嗎？ rsync 設定檔內 /usr/bin/rsync 為其參數值，那麼在我們這裡就得要寫成 rsync 即可喔！依據 rsync 的設定檔資料，我們將抵擋的 127.0.0.100, 127.0.0.200, 及放行的 140.116.0.0/16 寫在這裡，內容有點像這樣：

Tips

關於 IP, 網域, 網段, 還有相關的網路知識，在這個基礎篇當中我們不會談到，你只要記得底下寫的 140.116.0.0/255.255.0.0 代表一個網域就是了。詳細的資料請先自行參考伺服器架設篇的內容！

[root@www ~]# vim /etc/hosts.deny
rsync : 127.0.0.100 127.0.0.200 : deny

當然也可以寫成兩行，亦即是：

[root@www ~]# vim /etc/hosts.deny
rsync : 127.0.0.100       : deny
rsync : 127.0.0.200       : deny

這樣一來，對方就無法以 rsync 進入你的主機啦！方便吧！不過，既然如此，為什麼要設定成 /etc/hosts.allow 及 /etc/hosts.deny 兩個檔案呢？其實只要有一個檔案存在就夠了， 不過，為了設定方便起見，我們存在兩個檔案，其中需要注意的是：

• 寫在 hosts.allow 當中的 IP 與網段，為預設『可通行』的意思，亦即最後一個欄位 allow 可以不用寫；
• 而寫在 hosts.deny 當中的 IP 與網段則預設為 deny ，第三欄的 deny 亦可省略；
• 這兩個檔案的判斷依據是： (1) 以 /etc/hosts.allow 為優先，而 (2) 若分析到的 IP 或網段並沒有記錄在 /etc/hosts.allow ，則以 /etc/hosts.deny 來判斷。

也就是說， /etc/hosts.allow 的設定優先於 /etc/hosts.deny 囉！基本上，只要 hosts.allow 也就夠了，因為我們可以將 allow 與 deny 都寫在同一個檔案內，只是這樣一來似乎顯得有點雜亂無章，因此，通常我們都是：

1. 允許進入的寫在 /etc/hosts.allow 當中；
2. 不許進入的則寫在 /etc/hosts.deny 當中。

此外，我們還可以使用一些特殊參數在第一及第二個欄位喔！內容有：

• ALL：代表全部的 program_name 或者是 IP 都接受的意思，例如 ALL: ALL: deny
• LOCAL：代表來自本機的意思，例如： ALL: LOCAL: allow
• UNKNOWN：代表不知道的 IP 或者是 domain 或者是服務時；
• KNOWN：代表為可解析的 IP, domain 等等資訊時；

再強調一次，那個 service_name 其實是啟動該服務的程式，舉例來說， /etc/init.d/sshd 這個 script 裡面， 實際上啟動 ssh 服務的是 sshd 這個程式，所以，你的 service_name 自然就是 sshd 囉！ 而 /etc/xinetd.d/telnet (你的系統可能尚未安裝) 內有個 server 的設定項目， 那個項目指到 in.telnetd 這個程式來啟動的喔！要注意的很！(請分別使用 vi 進這兩支 scripts 查閱) 好了，我們還是以 rsync 為例子來說明好了，現在假設一個比較安全的流程來設定，就是：

1. 只允許 140.116.0.0/255.255.0.0 與 203.71.39.0/255.255.255.0 這兩個網域，及 203.71.38.123 這個主機可以進入我們的 rsync 伺服器；
2. 此外，其他的 IP 全部都擋掉！

[root@www ~]# vim /etc/hosts.allow
rsync:  140.116.0.0/255.255.0.0
rsync:  203.71.39.0/255.255.255.0
rsync:  203.71.38.123
rsync:  LOCAL

[root@www ~]# vim /etc/hosts.deny
rsync: ALL  <==利用 ALL 設定讓所有其他來源不可登入

那麼有沒有更安全的設定？例如，當有其他人掃瞄我的 rsync port 時，我就將他的 IP 記住，以做為未來的查詢與認證之用呢？ 是有的！只是，那就得要有額外的動作參數加在第三欄了，而且你還需要安裝了 TCP Wrappers 軟體才行。要確定有沒有安裝 TCP Wrappers 可以使用『 rpm -q tcp_wrappers 』來查詢喔。至於更加細部的主要動作則有：

• spawn (action)
  可以利用後續接的 shell 來進行額外的工作，且具有變數功能，主要的變數內容為： %h (hostname), %a (address), %d (daemon)等等；
  
  
• twist (action)
  立刻以後續的指令進行，且執行完後終止該次連線的要求 (DENY)

為了達成追蹤來源目標的相關資訊的目的，此時我們需要 safe_finger 這個指令的輔助才行。而且我們還希望用戶端的這個惡意者能夠被警告。 整個流程可以是這樣的：

1. 利用 safe_finger 去追蹤出對方主機的資訊 (包括主機名稱、使用者相關資訊等)；
2. 將該追蹤到的結果以 email 的方式寄給我們本機的 root ；
3. 在對方螢幕上面顯示不可登入且警告他已經被記錄的訊息

由於是抵擋的機制，因此我們這個 spawn 與 twist 的動作大多是寫在 /etc/hosts.deny 檔案中的。我們將上述的動作寫成類似如下的東東：

[root@www ~]# vim /etc/hosts.deny
rsync : ALL: spawn (echo "security notice from host $(/bin/hostname)" ;\
	echo; /usr/sbin/safe_finger @%h ) | \
	/bin/mail -s "%d-%h security" root & \
	: twist ( /bin/echo -e "\n\nWARNING connection not allowed.\n\n" )

上面其實是針對一個 rsync 所寫的資訊，你可以看到上面這四行共有三個冒號來隔開成四個咚咚，這四個咚咚的意義是：

1. rsync： 指的就是 rsync 這個服務的程式囉；
   
   
2. ALL： 指的是來源，這個範圍指的當然是全部的所有來源囉，因為是 ALL 嘛！
   
   
3. spawn (echo "security notice from host $(/bin/hostname)" ; echo ; /usr/sbin/safe_finger @%h ) | /bin/mail -s "%d-%h security" root &： 由於要將一些偵測的資料送給 root 的郵件信箱，因此需要使用資料流匯整的括號( )，括號內的重點在於 safe_finger 的項目，他會偵測到用戶端主機的相關資訊，然後使用管線命令將這些資料送給 mail 處理， mail 會將該資訊以標頭為 security 的字樣寄給 root 啦！由於 spawn 只是中間的過程，所以還能夠有後續的動作哩！
   
   
4. twist ( /bin/echo -e "\n\nWARNING connection not allowed.\n\n" )： 這個動作會將 Warning 的字樣傳送到用戶端主機的螢幕上！ 然後將該連線中斷。

在上面的例子中，第三行的 root 那個帳號，可以寫成你的個人帳號或者其他 e-mail ，這樣就能夠寄到你常用的 email 囉， 這樣也比較好管理囉。如此一來，當未經允許的電腦嘗試登入你的主機時，對方的螢幕上就會顯示上面的最後一行，並且將他的 IP 寄到 root ( 或者是你自己的信箱 )那裡去！

觀察系統已啟動的服務方式很多，不過，我們最常使用 netstat 來觀察。基本上，以 ps 來觀察整個系統上面的服務是比較妥當的，因為他可以將全部的 process 都找出來。不過，我們比較關心的還是在於有啟動網路監聽的服務啊， 所以鳥哥會比較喜歡使用 netstat 來查閱啦。

範例一：找出目前系統開啟的『網路服務』有哪些？
[root@www ~]# netstat -tulp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address       Foreign Address State  PID/Program name
tcp        0      0 www.vbird.tsai:2208 *:*             LISTEN 4575/hpiod
tcp        0      0 *:737               *:*             LISTEN 4371/rpc.statd
tcp        0      0 *:sunrpc            *:*             LISTEN 4336/portmap
tcp        0      0 www.vbird.tsai:ipp  *:*             LISTEN 4606/cupsd
tcp        0      0 www.vbird.tsai:smtp *:*             LISTEN 4638/sendmail: acce
tcp        0      0 *:ssh               *:*             LISTEN 4595/sshd
udp        0      0 *:filenet-tms       *:*                    4755/avahi-daemon:
....(底下省略)....
# 看一下上頭， Local Address 的地方會出現主機名稱與服務名稱的，要記得的是，
# 可以加上 -n 來顯示 port number ，而服務名稱與 port 對應則在 /etc/services

範例二：找出所有的有監聽網路的服務 (包含 socket 狀態)：
[root@www ~]# netstat -lnp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address  Foreign Address  State   PID/Program name
tcp        0      0 127.0.0.1:2208 0.0.0.0:*        LISTEN  4575/hpiod
....(中間省略)....
Active UNIX domain sockets (only servers)
Proto RefCnt Flags   Type   State     I-Node PID/Program name Path
....(中間省略)....
unix  2      [ ACC ] STREAM LISTENING 10624  4701/xfs         /tmp/.font-unix/fs7100
unix  2      [ ACC ] STREAM LISTENING 12824  5015/Xorg        /tmp/.X11-unix/X0
unix  2      [ ACC ] STREAM LISTENING 12770  4932/gdm-binary  /tmp/.gdm_socket
....(以下省略)....
# 仔細的瞧一瞧啊，除了原有的網路監聽 port 之外，還會有 socket 顯示在上面，
# 我們可以清楚的知道有哪些服務被啟動呢！

範例三：觀察所有的服務狀態
[root@www ~]# service --status-all
# 這個指令有趣喔！本章之前有談過這指令，自行查詢囉！

利用 netstat 可以取得很多跟網路有關的服務資訊，透過這個指令，我們可以輕易的瞭解到網路的狀態， 並且可以透過 PID 與 kill 的相關功能，將有問題的資料給他剔除說～ 當然啦，要更詳細的取得 PPID 的話，才能夠完全的抵擋有問題的程序啦！

另外，除了已經存在系統當中的 daemon 之外，如何在一開機就完整的啟動我們所需要的服務呢？ 底下我們就來談一談 chkconfig 及 ntsysv 這兩個好用的東西！

就如同上面提到的，我們使用 netstat 僅能觀察到目前已經啟動的 daemon ，使用 service 這個指令或者是『 /etc/init.d/* start 』的方法則僅能在目前的環境下立即啟動某個服務而已。 那麼重新開機後呢？該服務是否還是繼續的自動啟動？這個時候我們就得要了解一下，到底我的 Linux 主機是怎麼開機的呢？

1. 打開電腦電源，開始讀取 BIOS 並進行主機的自我測試；
2. 透過 BIOS 取得第一個可開機裝置，讀取主要開機區 (MBR) 取得開機管理程式；
3. 透過開機管理程式的設定，取得 kernel 並載入記憶體且偵測系統硬體；
4. 核心主動呼叫 init 程式；
5. init 程式開始執行系統初始化 (/etc/rc.d/rc.sysinit)
6. 依據 init 的設定進行 daemon start (/etc/rc.d/rc[0-6].d/*)
7. 載入本機設定 (/etc/rc.d/rc.local)

關於更多開機流程的詳細說明，我們會在第二十章時再來跟大家說明。 由上面的流程你可以看到系統服務在開機時就可以被啟動的地方是在第六個步驟，而事實上第六個步驟就是以不同的執行等級呼叫不同的服務啦！ 那麼什麼叫做執行等級呢？

我們在啟動 Linux 系統時，可以進入不同的模式喔，這模式我們稱為執行等級 (run level)。不同的執行等級有不同的功能與服務， 目前你先知道正常的執行等級有兩個，一個是具有 X 視窗介面的 run level 5 ，另一個則是純文字介面的 run level 3。 由於預設我們是以圖形介面登入系統的，因此可以想像得到的是，我們應該是在 run level 5 的環境中啦！ 那你怎麼知道 run level 5 有哪些服務預設可以啟動呢？這就得要使用特殊的指令來查詢啊！

chkconfig： 管理系統服務預設開機啟動與否

[root@www ~]# chkconfig --list [服務名稱]
[root@www ~]# chkconfig [--level [0123456]] [服務名稱] [on|off]
選項與參數：
--list ：僅將目前的各項服務狀態列出來
--level：設定某個服務在該 level 下啟動 (on) 或關閉 (off)

範例一：列出目前系統上面所有被 chkconfig 管理的服務
[root@www ~]# chkconfig --list |more
NetworkManager  0:off   1:off   2:off   3:off   4:off   5:off   6:off
acpid           0:off   1:off   2:off   3:on    4:on    5:on    6:off
....(中間省略)....
yum-updatesd    0:off   1:off   2:on    3:on    4:on    5:on    6:off

xinetd based services:  <==底下為 super daemon 所管理的服務
        chargen-dgram:  off
        chargen-stream: off
....(底下省略)....
# 你可以發現上面的表格有分為兩個區塊，一個具有 1, 2, 3 等數字，一個則被 xinetd 
# 管理。沒錯！從這裡我們就能夠發現服務有 stand alone 與 super daemon 之分。

範例二：顯示出目前在 run level 3 為啟動的服務
[root@www ~]# chkconfig --list | grep '3:on'

範例三：讓 atd 這個服務在 run level 為 3, 4, 5 時啟動：
[root@www ~]# chkconfig --level 345 atd on

瞧！ chkconfig 是否很容易管理我們所需要的服務呢？真的很方便啦～ 你可以輕鬆的透過 chkconfig 來管理 super daemon 的服務喔！另外，你得要知道的是， chkconfig 僅是設定開機時預設會啟動的服務而已， 所以該服務目前的狀態如何是不知道的。我們舉個底下的例子來說明好了：

範例四：先觀察 httpd ，再觀察預設有無啟動，之後以 chkconfig 設定為預設啟動
[root@www ~]# /etc/init.d/httpd status
httpd 已停止  <==根本就沒有啟動

[root@www ~]# chkconfig --list httpd
httpd           0:off   1:off   2:off   3:off   4:off   5:off   6:off
# 原因是預設並沒有啟動啊！

[root@www ~]# chkconfig httpd on; chkconfig --list httpd
httpd           0:off   1:off   2:on    3:on    4:on    5:on    6:off
# 已經設定為『開機預設啟動』了，再來觀察看看到底該服務啟動沒？

[root@www ~]# /etc/init.d/httpd status
httpd 已停止
# 哈！竟然還是沒有啟動喔！怎麼會這樣啊？

上面的範例四並沒有啟動 httpd 的原因很簡單，因為我們並沒有使用 /etc/init.d/httpd start 嘛！我們僅是設定開機時啟動而已啊！那我們又沒有重新開機，所以當然使用 chkconfig 並不會導致該服務立即被啟動！也不會讓該服務立即被關閉，而是只有在開機時才會被載入或取消載入而已喔。而既然 chkconfig 可以設定開機是否啟動，那麼我們能不能用來管理 super daemon 的啟動與關閉呢？非常好！我們就來試看看底下的案例：

範例五：查閱 rsync 是否啟動，若要將其關閉該如何處理？
[root@www ~]# /etc/init.d/rsync status
-bash: /etc/init.d/rsync: No such file or directory
# rsync 是 super daemon 管理的，所以當然不可以使用 stand alone 的啟動方式來觀察

[root@www ~]# netstat -tlup | grep rsync
tcp  0 0 192.168.201.110:rsync  *:*     LISTEN     4618/xinetd
tcp  0 0 www.vbird.tsai:rsync   *:*     LISTEN     4618/xinetd

[root@www ~]# chkconfig --list rsync
rsync           on   <==預設啟動呢！將它處理成預設不啟動吧

[root@www ~]# chkconfig rsync off; chkconfig --list rsync
rsync           off  <==看吧！關閉了喔！現在來處理一下 super daemon 的東東！

[root@www ~]# /etc/init.d/xinetd restart; netstat -tlup | grep rsync

最後一個指令你會發現原本 rsync 不見了！這樣是否很輕易的就能夠啟動與關閉你的 super daemon 管理的服務呢！

ntsysv： 類圖形介面管理模式

基本上， chkconfig 真的已經很好用了，不過，我們的 CentOS 還有提供一個更不錯用的， 那就是 ntsysv 了！注意喔， chkconfig 很多的 distributions 都存在，但是 ntsysv 則是 Red Hat 系統特有的！

[root@www ~]# ntsysv [--level <levels>]
選項與參數：
--level ：後面可以接不同的 run level ，例如 ntsysv --level 35

一般我們都是直接輸入 ntsysv 即可進入管理畫面了，整個畫面如下圖所示：

圖 4.2.1、 ntsysv 的執行示意圖

上圖中的中間部分是每個服務預設開機是否會啟動的設定值，若中括號內出現星號 (*) 代表預設開機會啟動，否則就是不會在開機時啟動啦。 你可以使用上下鍵來移動中括號內的游標到你想要變更的那個服務上頭，然後按下空白鍵就能夠選取或取消囉。如果一切都選擇完畢後， 你可以使用 [tab] 按鍵來移動游標到 [OK] [Cancel] 等按鈕上面，當然啦，按下 [Ok] 就是確認你的選取會生效囉。 總結一下上述的按鈕功能：

• 上下鍵： 可以在中間的方框當中，在各個服務之間移動；
• 空白鍵： 可以用來選擇你所需要的服務，前面的 [*] 會有 * 出現；
• tab 鍵： 可以在方框、OK、Cancel 之間移動；
• [F1]鍵： 可以顯示該服務的說明

圖 4.2.2、 ntsysv 的執行示意圖

上圖是鳥哥將游標游動到 atd 這個服務上頭後，再按下 [F1] 所出現的結果，所以囉，你可以透過 ntsysv 去觀察預設開機啟動的服務， 還能夠查閱該服務的基本功能為何，這樣就能夠稍微釐清一下該服務是否需要存在囉！這樣理解了吧！

chkconfig： 設定自己的系統服務

[root@www ~]# chkconfig [--add|--del] [服務名稱]
選項與參數：
--add ：增加一個服務名稱給 chkconfig 來管理，該服務名稱必須在 /etc/init.d/ 內
--del ：刪除一個給 chkconfig 管理的服務

現在你知道 chkconfig 與 ntsysv 是真好用的東西，那麼如果我自己寫了一個程式並且想要讓該程式成為系統服務好讓 chkconfig 來管理時， 可以怎麼進行呢？只要將該服務加入 init 可以管理的 script 當中，亦即是 /etc/init.d/ 當中即可。 舉個例子，我們在 /etc/init.d/ 裡面建立一個 myvbird 檔案，該檔案僅是一個簡單的服務範例，基本上，沒有任何用途.... 對於該檔案的必須性是這樣的：

• myvbird 將在 run level 3 及 5 啟動；
• myvbird 在 /etc/rc.d/rc[35].d 當中啟動時，以 80 順位啟動，以 70 順位結束。

關於所謂的順位問題，我們會在第二十章介紹，這裡你先看看即可。 你該如何進行呢？可以這樣做：

[root@www ~]# vim /etc/init.d/myvbird
#!/bin/bash
# chkconfig: 35 80 70
# description: 沒啥！只是用來作為練習之用的一個範例
echo "Nothing"

這個檔案很好玩喔！你可以參考你自己系統上面的檔案；基本上，比較重要的是第二行，他的語法是： 『 chkconfig: [runlevels] [啟動順位] [停止順位] 』其中， runlevels 為不同的 run level 狀態，啟動順位 (start number) 與 結束順位 (stop number) 則是在 /etc/rc.d/rc[35].d 內建立以 S80myvbird 及 K70myvbird 為檔名的設定方式！

[root@www ~]# chkconfig --list myvbird
service myvbird supports chkconfig, but is not referenced in any 
runlevel (run 'chkconfig --add myvbird')
# 尚未加入 chkconfig 的管理機制中！所以需要再動點手腳

[root@www ~]# chkconfig --add myvbird; chkconfig --list myvbird
myvbird         0:off   1:off   2:off   3:on    4:off   5:on    6:off
# 看吧！加入了 chkconfig 的管理當中了！
# 很有趣吧！如果要將這些資料都刪除的話，那麼就下達這樣的情況：

[root@www ~]# chkconfig --del myvbird
[root@www ~]# rm /etc/init.d/myvbird

chkconfig 真的是個不錯用的工具吧！尤其是當你想要自己建立自己的服務時！ ^_^

隨著 Linux 上面軟體支援性越來越多，加上自由軟體蓬勃的發展，我們可以在 Linux 上面用的 daemons 真的越來越多了。所以，想要寫完所有的 daemons 介紹幾乎是不可能的，因此，鳥哥這裡僅介紹幾個很常見的 daemons 而已， 更多的資訊呢，就得要麻煩你自己使用 ntsysv 或者是 vi /etc/init.d/* 裡面的檔案去瞧一瞧囉～ ^_^！ 底下的建議主要是針對 Linux 單機伺服器的角色來說明的，不是桌上型的環境喔！

上面的服務是 CentOS 5.x 預設有啟動的，這些預設啟動的服務很多是針對桌上型電腦所設計的，所以囉，如果你的 Linux 主機用途是在伺服器上面的話，那麼有很多服務是可以關閉的啦！如果你還有某些不明白的服務想要關閉的， 請務必要搞清楚該服務的功能為何喔！舉例來說，那個 syslog 就不能關閉，如果你關掉他的話，系統就不會記錄登錄檔， 那你的系統所產生的警告訊息就無法記錄起來，你將無法進行 debug 喔。

底下鳥哥繼續說明一些可能在你的系統當中的服務，只是預設並沒有啟動這個服務就是了。只是說明一下， 各服務的用途還是需要您自行查詢相關的文章囉。