分类: 菜鸟Linux笔记

菜鸟学习LINUX笔记

  • samba搭建

    安装samba

    #yum install samba

     

    配置samba

    #vi /etc/samba/smb.conf

    添加修改如下内容

    workgroup = MYGROUP //更改为你所在的工作组

    server string = Samba Server %U %G //更改显示信息,会在windows访问时最上方显示相关信息

    设定机器的描述,当我们通过网络邻居访问的时候可以在备注里面看见这个内容,而且还可以使用samba设定的变量。这里说一下samba定义的变量:

    %S = 当前服务名(如果有的话)

    %P = 当前服务的根目录(如果有的话)

    %u = 当前服务的用户名(如果有的话)

    %g = 当前用户说在的主工作组

    %U = 当前对话的用户名

    %G = 当前对话的用户的主工作组

    %H = 当前服务的用户的Home目录

    %v = Samba服务的版本号。

    %h = 运行Samba服务机器的主机名

    %m = 客户机的NETBIOS名称

    %L = 服务器的NETBIOS名称

    %M = 客户机的主机名

    %N = NIS服务器名

    %p = NIS服务的Home目录

    %R = 说采用的协议等级(值可以是CORE, COREPLUS, LANMAN1, LANMAN2,NT1)

    %d = 当前服务进程的ID

    %a = 客户机的结构(只能识别几项:Samba,WfWg,WinNT,Win95)

    %I = 客户机的IP

    %T = 当前日期和时间

    灰色信息不添加

    #interfaces = 192.168.0.0/24 //可使用samba的网段,注释掉为全部

    [share] //显示的共享名

    path = /var/share //共享路径

    valid users = @test1,@test2 //共享文件属主,可以是用户也可以是组,组前加@

    browseable = no //非本共享用户是否可以看到,no为看不到,yes或注释掉就可看到

    writable = no //缺省是否可写

    read list = @test1 //只读用户组也可以加用户

    write list = @test2 //可写用户组也可以加用户

    create mode = 0755 //创建的文件权限

    directory mode = 0755 //创建的文件夹权限

    保存以上信息

    #mkdir /var/share //创建share目录

    #chmod 777 /var/share //将share目录权限设为777

    #groupadd test1 //添加test1组

    #groupadd test2

    #useradd -M -g test1 -s /sbin/nologin test1 //新建系统用户,无home,无shell,添加到test1组

    #useradd -M -g test2 -s /sbin/nologin test2

    #smbpasswd -a test1 //添加samba用户必添加密码,修改密码不用加-a

    #smbpasswd -a test2

    好了,重启samba就可以用windows登录了

    —————————————————————–

    以下是一些相关说明

    comment指的是对改共享的备注。

    path 指定共享的路径,其中可以配合samba变量使用。比如你可以指定path=/data/%m,这样如果一台机器的NETBIOS名字是

    grind,它访问MyShare这个共享的时候就是进入/data/grind目录,而对于NETBIOS名是glass的机器,则进入/data/

    glass目录。

    allow hosts和deny hosts和前面的全局设置的方法一样这里不再提及。

    writeable指定了这个目录缺省是否可写,也可以用readonly = no来设置可写。

    user设置所有可能使用该共享资源的用户,也可以用@group代表group这个组的所有成员,不同的项目之间用空格或者逗号隔开。

    valid users指定能够使用该共享资源的用户和组。

    invalid users指定不能够使用该共享资源的用户和组。

    read list 指定只能读取该共享资源的用户和组。

    write list指定能读取和写该共享资源的用户和组。

    admin list指定能管理该共享资源(包括读写和权限赋予等)的用户和组。

    public指明该共享资源是否能给游客帐号访问,这个开关有时候也叫guest ok,所以有的配置文件中出现guest ok = yes其实和

    public = yes是一样的。

    hide dot files指明是不是像unix那样隐藏以”.”号开头的文件。

    create mode指明新建立的文件的属性,一般是0755。

    directory mode指明新建立的目录的属性,一般是0755。

    sync always指明对该共享资源进行写操作后是否进行同步操作。

    short preserve case指明不管文件名大小写。

    preserve case指明保持大小写。

    case sensitive指明是否对大小写敏感,一般选no,不然可能引起错误。

    mangle case指明混合大小写。

    default case指明缺省的文件名是全部大写还是小写。

    force user强制把建立文件的属主是谁。如果我有一个目录,让guest可以写,那么guest就可以删除,如果我用force user=

    grind强制建立文件的属主是grind,同时限制create mask = 0755,这样guest就不能删除了。

    wide links指明是否允许共享外符号连接,比如共享资源里面有个连接指向非共享资源里面的文件或者目录,如果设置wide links =

    no将使该连接不可用。

    max connections = n设定同时连接数是n。

    delete readonly指明能否删除共享资源里面已经被定义为只读的文件。

  • 解决phpmyadmin使用链接表的额外特性尚未激活的方法

    解决方案:

    libraries/config.default.php,将$cfg[‘PmaNoRelation_DisableWarning’]的值改为ture。

    分别修改:

    $cfg[‘Servers’][$i][‘pmadb’] = ”; // ‘phpmyadmin’ – see scripts/create_tables.sql

    $cfg[‘Servers’][$i][‘bookmarktable’] = ”; // ‘pma_bookmark’

    $cfg[‘Servers’][$i][‘relation’] = ”; // ‘pma_relation’

    $cfg[‘Servers’][$i][‘table_info’] = ”; // ‘pma_table_info’

    $cfg[‘Servers’][$i][‘table_coords’] = ”; // ‘pma_table_coords’

    $cfg[‘Servers’][$i][‘pdf_pages’] = ”; // ‘pma_pdf_pages’

    $cfg[‘Servers’][$i][‘column_info’] = ”; // ‘pma_column_info’

    $cfg[‘Servers’][$i][‘history’] = ”; // ‘pma_history’

    $cfg[‘Servers’][$i][‘designer_coords’] = ”;

    修改为:

    $cfg[‘Servers’][$i][‘pmadb’] = ‘phpmyadmin’; // ‘phpmyadmin’ – see scripts/create_tables.sql

    $cfg[‘Servers’][$i][‘bookmarktable’] = ‘pma_bookmark’; // ‘pma_bookmark’

    $cfg[‘Servers’][$i][‘relation’] = ‘pma_relation’; // ‘pma_relation’

    $cfg[‘Servers’][$i][‘table_info’] = ‘pma_table_info’; // ‘pma_table_info’

    $cfg[‘Servers’][$i][‘table_coords’] = ‘pma_table_coords’; // ‘pma_table_coords’

    $cfg[‘Servers’][$i][‘pdf_pages’] = ‘pma_pdf_pages’; // ‘pma_pdf_pages’

    $cfg[‘Servers’][$i][‘column_info’] = ‘pma_column_info’; // ‘pma_column_info’

    $cfg[‘Servers’][$i][‘history’] = ‘pma_history’; // ‘pma_history’

    $cfg[‘Servers’][$i][‘designer_coords’] = ‘pma_designer_coords’;

  • 利用iptables来配置linux禁止所有端口登陆和开放指定端口

    1、关闭所有的 INPUT FORWARD OUTPUT 只对某些端口开放。

    下面是命令实现:

     

    iptables -P INPUT DROP

    iptables -P FORWARD DROP

    iptables -P OUTPUT DROP

     

    再用命令 iptables -L -n 查看 是否设置好, 好看到全部 DROP 了

    这样的设置好了,我们只是临时的, 重启服务器还是会恢复原来没有设置的状态

    还要使用 service iptables save 进行保存

    看到信息 firewall rules 防火墙的规则 其实就是保存在 /etc/sysconfig/iptables

    可以打开文件查看 vi /etc/sysconfig/iptables

    2、

    下面我只打开22端口,看我是如何操作的,就是下面2个语句

     

    iptables -A INPUT -p tcp –dport 22 -j ACCEPT

    iptables -A OUTPUT -p tcp –sport 22 -j ACCEPT

     

    再查看下 iptables -L -n 是否添加上去, 看到添加了

     

    Chain INPUT (policy DROP)

    target prot opt source destination

    ACCEPT tcp — 0.0.0.0/0 0.0.0.0/0 tcp dpt:22

     

    Chain FORWARD (policy DROP)

    target prot opt source destination

     

    Chain OUTPUT (policy DROP)

    target prot opt source destination

    ACCEPT tcp — 0.0.0.0/0 0.0.0.0/0 tcp spt:22

     

    现在Linux服务器只打开了22端口,用putty.exe测试一下是否可以链接上去。

    可以链接上去了,说明没有问题。

     

    最后别忘记了保存 对防火墙的设置

    通过命令:service iptables save 进行保存

     

    iptables -A INPUT -p tcp –dport 22 -j ACCEPT

    iptables -A OUTPUT -p tcp –sport 22 -j ACCEPT

    针对这2条命令进行一些讲解吧

    -A 参数就看成是添加一条 INPUT 的规则

    -p 指定是什么协议 我们常用的tcp 协议,当然也有udp 例如53端口的DNS

    到时我们要配置DNS用到53端口 大家就会发现使用udp协议的

     

    而 –dport 就是目标端口 当数据从外部进入服务器为目标端口

    反之 数据从服务器出去 则为数据源端口 使用 –sport

     

    -j 就是指定是 ACCEPT 接收 或者 DROP 不接收

    3、禁止某个IP访问

    1台Linux服务器,2台windows xp 操作系统进行访问

    Linux服务器ip 192.168.1.99

    xp1 ip: 192.168.1.2

    xp2 ip: 192.168.1.8

     

    下面看看我2台xp 都可以访问的

     

    192.168.1.2 这是 xp1 可以访问的,

    192.168.1.8 xp2 也是可以正常访问的。

     

    那么现在我要禁止 192.168.1.2 xp1 访问, xp2 正常访问,

    下面看看演示

     

    通过命令 iptables -A INPUT -p tcp -s 192.168.1.2 -j DROP

    这里意思就是 -A 就是添加新的规则, 怎样的规则呢? 由于我们访问网站使用tcp的,

    我们就用 -p tcp , 如果是 udp 就写udp,这里就用tcp了, -s就是 来源的意思,

    ip来源于 192.168.1.2 ,-j 怎么做 我们拒绝它 这里应该是 DROP

     

    好,看看效果。好添加成功。下面进行验证 一下是否生效

     

    一直出现等待状态 最后 该页无法显示 ,这是 192.168.1.2 xp1 的访问被拒绝了。

     

    再看看另外一台 xp 是否可以访问, 是可以正常访问的 192.168.1.8 是可以正常访问的

    4、如何删除规则

    首先我们要知道 这条规则的编号,每条规则都有一个编号

     

    通过 iptables -L -n –line-number 可以显示规则和相对应的编号

    num target prot opt source destination

    1 DROP tcp — 0.0.0.0/0 0.0.0.0/0 tcp dpt:3306

    2 DROP tcp — 0.0.0.0/0 0.0.0.0/0 tcp dpt:21

    3 DROP tcp — 0.0.0.0/0 0.0.0.0/0 tcp dpt:80

    多了 num 这一列, 这样我们就可以 看到刚才的规则对应的是 编号2

     

    那么我们就可以进行删除了

    iptables -D INPUT 2

    删除INPUT链编号为2的规则。

     

    再 iptables -L -n 查看一下 已经被清除了。

    5、过滤无效的数据包

    假设有人进入了服务器,或者有病毒木马程序,它可以通过22,80端口像服务器外传送数据。

    它的这种方式就和我们正常访问22,80端口区别。它发向外发的数据不是我们通过访问网页请求

    而回应的数据包。

     

    下面我们要禁止这些没有通过请求回应的数据包,统统把它们堵住掉。

     

    iptables 提供了一个参数 是检查状态的,下面我们来配置下 22 和 80 端口,防止无效的数据包。

     

    iptables -A OUTPUT -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT

     

    可以看到和我们以前使用的:

    iptables -A OUTPUT -p tcp –sport 22 -j ACCEPT

    多了一个状态判断。

     

    同样80端口也一样, 现在删掉原来的2条规则,

    iptables -L -n –line-number 这个是查看规则而且带上编号。我们看到编号就可以

    删除对应的规则了。

     

    iptables -D OUTPUT 1 这里的1表示第一条规则。

     

    当你删除了前面的规则, 编号也会随之改变。看到了吧。

     

    好,我们删除了前面2个规则,22端口还可以正常使用,说明没问题了

     

    下面进行保存,别忘记了,不然的话重启就会还原到原来的样子。

     

    service iptables save 进行保存。

     

    Saving firewall rules to /etc/sysconfig/iptables: [ OK ]

    其实就是把刚才设置的规则写入到 /etc/sysconfig/iptables 文件中。

    6、DNS端口53设置

    下面我们来看看如何设置iptables来打开DNS端口,DNS端口对应的是53

     

    大家看到我现在的情况了吧,只开放22和80端口, 我现在看看能不能解析域名。

     

    host www.google.com 输入这个命令后,一直等待,说明DNS不通

     

    出现下面提示 :

    ;; connection timed out; no servers could be reached

     

    ping 一下域名也是不通

    [root@localhost ~ping www.google.com

    ping: unknown host www.google.com

     

    我这里的原因就是 iptables 限制了53端口。

     

    有些服务器,特别是Web服务器减慢,DNS其实也有关系的,无法发送包到DNS服务器导致的。

     

    下面演示下如何使用 iptables 来设置DNS 53这个端口,如果你不知道 域名服务端口号,你

    可以用命令 : grep domain /etc/services

    [root@localhost ~grep domain /etc/services

    domain 53/tcp # name-domain server

    domain 53/udp

    domaintime 9909/tcp # domaintime

    domaintime 9909/udp # domaintime

     

    看到了吧, 我们一般使用 udp 协议。

    好了, 开始设置。。。

    iptables -A OUTPUT -p udp –dport 53 -j ACCEPT

    这是我们 ping 一个域名,数据就是从本机出去,所以我们先设置 OUTPUT,

    我们按照ping这个流程来设置。

    然后 DNS 服务器收到我们发出去的包,就回应一个回来

    iptables -A INPUT -p udp –sport 53 -j ACCEPT

    同时还要设置

    iptables -A INPUT -p udp –dport 53 -j ACCEPT

    iptables -A OUTPUT -p udp –sport 53 -j ACCEPT

    好了, 下面开始测试下, 可以用 iptables -L -n 查看设置情况,确定没有问题就可以测试了

    [root@localhost ~iptables -L -n

    Chain INPUT (policy DROP)

    target prot opt source destination

    ACCEPT tcp — 0.0.0.0/0 0.0.0.0/0 tcp dpt:22

    ACCEPT tcp — 0.0.0.0/0 0.0.0.0/0 tcp dpt:80

    ACCEPT udp — 0.0.0.0/0 0.0.0.0/0 udp spt:53

    ACCEPT udp — 0.0.0.0/0 0.0.0.0/0 udp dpt:53

    Chain FORWARD (policy DROP)

    target prot opt source destination

    Chain OUTPUT (policy DROP)

    target prot opt source destination

    ACCEPT tcp — 0.0.0.0/0 0.0.0.0/0 tcp spt:22 state ESTABLISHED

    ACCEPT tcp — 0.0.0.0/0 0.0.0.0/0 tcp spt:80 state ESTABLISHED

    ACCEPT udp — 0.0.0.0/0 0.0.0.0/0 udp dpt:53

    ACCEPT udp — 0.0.0.0/0 0.0.0.0/0 udp spt:53

    可以测试一下 是否 DNS 可以通过iptables 了。

    [root@localhost ~host www.google.com

    www.google.com is an alias for www.l.google.com.

    www.l.google.com is an alias for www-china.l.google.com.

    www-china.l.google.com has address 64.233.189.104

    www-china.l.google.com has address 64.233.189.147

    www-china.l.google.com has address 64.233.189.99

    正常可以解析 google 域名。

    ping 方面可能还要设置些东西。

    用 nslookup 看看吧

    [root@localhost ~nslookup

    > www.google.com

    Server: 192.168.1.1

    Address: 192.168.1.1#53

     

    Non-authoritative answer:

    www.google.com canonical name = www.l.google.com.

    www.l.google.com canonical name = www-china.l.google.com.

    Name: www-china.l.google.com

    Address: 64.233.189.147

    Name: www-china.l.google.com

    Address: 64.233.189.99

    Name: www-china.l.google.com

    Address: 64.233.189.104

     

    说明本机DNS正常, iptables 允许53这个端口的访问。

    7、iptables对ftp的设置

    现在我开始对ftp端口的设置,按照我们以前的视频,添加需要开放的端口

    ftp连接端口有2个 21 和 20 端口,我现在添加对应的规则。

    [root@localhost rootiptables -A INPUT -p tcp –dport 21 -j ACCEPT

    [root@localhost rootiptables -A INPUT -p tcp –dport 20 -j ACCEPT

    [root@localhost rootiptables -A OUTPUT -p tcp –sport 21 -j ACCEPT

    [root@localhost rootiptables -A OUTPUT -p tcp –sport 20 -j ACCEPT

    好,这样就添加完了,我们用浏览器访问一下ftp,出现超时。

    所以我刚才说 ftp 是比较特殊的端口,它还有一些端口是 数据传输端口,

    例如目录列表, 上传 ,下载 文件都要用到这些端口。

    而这些端口是 任意 端口。。。 这个 任意 真的比较特殊。

    如果不指定什么一个端口范围, iptables 很难对任意端口开放的,

    如果iptables允许任意端口访问, 那和不设置防火墙没什么区别,所以不现实的。

    那么我们的解决办法就是 指定这个数据传输端口的一个范围。

    下面我们修改一下ftp配置文件。

    我这里使用vsftpd来修改演示,其他ftp我不知道哪里修改,大家可以找找资料。

    [root@localhost rootvi /etc/vsftpd.conf

    在配置文件的最下面 加入

    pasv_min_port=30001

    pasv_max_port=31000

    然后保存退出。

    这两句话的意思告诉vsftpd, 要传输数据的端口范围就在30001到31000 这个范围内传送。

    这样我们使用 iptables 就好办多了,我们就打开 30001到31000 这些端口。

    [root@localhost rootiptables -A INPUT -p tcp –dport 30001:31000 -j ACCEPT

    [root@localhost rootiptables -A OUTPUT -p tcp –sport 30001:31000 -j ACCEPT

    [root@localhost rootservice iptables save

    最后进行保存, 然后我们再用浏览器范围下 ftp。可以正常访问

    用个账号登陆上去,也没有问题,上传一些文件上去看看。

    看到了吧,上传和下载都正常。。 再查看下 iptables 的设置

    [root@localhost rootiptables -L -n

    Chain INPUT (policy DROP)

    target prot opt source destination

    ACCEPT tcp — 0.0.0.0/0 0.0.0.0/0 tcp dpt:22

    ACCEPT tcp — 0.0.0.0/0 0.0.0.0/0 tcp dpt:21

    ACCEPT tcp — 0.0.0.0/0 0.0.0.0/0 tcp dpt:20

    ACCEPT tcp — 0.0.0.0/0 0.0.0.0/0 tcp dpts:30001:31000

     

    Chain FORWARD (policy DROP)

    target prot opt source destination

     

    Chain OUTPUT (policy DROP)

    target prot opt source destination

    ACCEPT tcp — 0.0.0.0/0 0.0.0.0/0 tcp spt:22

    ACCEPT tcp — 0.0.0.0/0 0.0.0.0/0 tcp spt:21

    ACCEPT tcp — 0.0.0.0/0 0.0.0.0/0 tcp spt:20

    ACCEPT tcp — 0.0.0.0/0 0.0.0.0/0 tcp spts:30001:31000

     

    这是我为了演示ftp特殊端口做的简单规则,大家可以添加一些对数据包的验证

    例如 -m state –state ESTABLISHED,RELATED 等等要求更加高的验证

  • 转发一篇写得不错的关于iptables的文章

    iptables是一个Linux下优秀的nat+防火墙工具,我使用该工具以较低配置的传统pc配置了一个灵活强劲的防火墙+nat系统,小有心得,看了网上也有很多这方面的文章,但是似乎要么说的比较少,要么就是比较偏,内容不全,容易误导,我研究了一段时间的iptables同时也用了很久,有点滴经验,写来供大家参考,同时也备日后自己翻阅。

    首先要说明的是,iptables操作的是2.4以上内核的netfilter.所以需要linux的内核在2.4以上。其功能与安全性远远比其前辈 ipfwadm,ipchains强大,iptables大致是工作在OSI七层的二、三、四层,其前辈ipchains不能单独实现对tcp/udp port以及对mac地址的的定义与操作,所以我想ipchains应该是仅仅工作在三层上的。

     

    我们先简单介绍一下netfilter的大致工作流程,也就是一个数据包(或者叫分组、packet,我个人习惯叫包)在到达linux的网络接口的时候(网卡)如何处理这个包,然后再介绍一下如何用iptables改变或者说控制对这个数据包进行操作。netfilter内部分为三个表,分别是 filter,nat,mangle,每个表又有不同的操作链(Chains)。在filter(过滤)表中,也就是他的防火墙功能的这个表,定义了三个 Chain。分别是INPUT,FORWARD,OUTPUT。也就是对包的入、转发、出进行定义的三个过滤链。对于这个filter表的操作和控制也是我们实现防火墙功能的一个重要手段;在nat(Network Address Translation、网络地址翻译)表中,也就是我们用以实现地址转换和端口转发功能的这个表,定义了PREROUTING, POSTROUTING,OUTPUT三个链,下面我们会对这三个链作详细的说明;而netfilter的mangle表则是一个自定义表,里面包括上面的filter以及nat表中的各种chains,它可以让我们进行一些自定义的操作,同时这个mangle表中的chains在netfilter对包的处理流程中处在一个比较优先的位置,下面有一张图清晰的描绘了netfilter对包的处理流程(该图摘自网上,不知作者是谁,在此深表敬意!),一般情况下,我们用不到这个mangle表,在这里我们就不做介绍了。

    大家可以看到,PREROUTING这个chain在最前面,当一个包来到linux的网络接口的时候先过mangle的PREROUTING,然后是 nat的PREROUTING,从这个chain的名字我们可以看出,这个chain是在路由之前(pre-routing)要过的。为什么要在路由之前过呢?大家可以看到这个图上,上面有一个菱形的部分叫ROUTING,这个ROUTING部分就是Linux的route box,也就是路由系统,它同样有很高深的功能,可以实现策略路由等等一些高级特性,此处我们不做详细解释。单说这个PREROUTING链,因为在这个链里面我们对包的操作是DNAT,也就是改变目的地址和(或端口),通常用在端口转发,或者nat到内网的DMZ区,也就是说当一个包过来的时候我们要改变它的目的地址,大家可以想想,如果一个包在改变目的地址之前就被扔进了route box,让系统选好路之后再改变目的地址,那么选路就可能是错的,或者说毫无意义了,所以,PREROUTING这个Chain一定要在进Routing 之前做。比如说,我们的公网ip是60.1.1.1/24,位于linux中的eth0,内网ip是10.1.1.1/24位于linux中的eth1, 我们的内网有一台web服务器,地址是10.1.1.2/24,我们怎么样能让internet用户通过这个公网ip访问我们内部的这个web服务器呢?我们就可以在这个PREROUTING链上面定义一个规则,把访问60.1.1.1:80的用户的目的地址改变一下,改变为10.1.1.2:80,这样就实现了internet用户对内网服务器的访问了,当然了,这个端口是比较灵活的,我们可以定义任何一个端口的转发,不一定是80–>80,具体的命令我们在下面的例子中介绍,这里我们只谈流程与概念上的实现方法。

     

    好了,我们接着往下走,这个包已经过了两个PREROUTING链了,这个时候,出现了一个分支转折的地方,也就是图中下方的那个菱形(FORWARD),转发!这里有一个对目的地址的判断(这里同样说明了PREROUTING一定要在最先,不仅要在route box之前,甚至是这个对目的地址的判断之前,因为我们可能做一个去某某某ip的地方转到自己的ip的规则,所以PREROUTING是最先处理这个包的 Chain)!如果包的目的地是本机ip,那么包向上走,走入INPUT链处理,然后进入LOCAL PROCESS,如果非本地,那么就进入FORWARD链进行过滤,我们在这里就不介绍INPUT,OUTPUT的处理了,因为那主要是对于本机安全的一种处理,我们这里主要说对转发的过滤和nat的实现。

     

    这里的FORWARD我简单说一下,当linux收到了一个目的ip地址不是本地的包,Linux会把这个包丢弃,因为默认情况下,Linux的三层包转发功能是关闭的,如果要让我们的linux实现转发,则需要打开这个转发功能,可以改变它的一个系统参数,使用sysctl net.ipv4.ip_forward=1或者echo “1” > /proc/sys/net/ipv4/ip_forward命令打开转发功能。好了,在这里我们让linux允许转发,这个包的目的地址也不是本机,那么它将接着走入FORWARD链,在FORWARD链里面,我们就可以定义详细的规则,也就是是否允许他通过,或者对这个包的方向流程进行一些改变,这也是我们实现访问控制的地方,这里同样也是Mangle_FORWARD然后filter_FORWARD,我们操作任何一个链都会影响到这个包的命运,在下面的介绍中,我们就忽略掉mangle表,我们基本用不到操作它,所以我们假设它是透明的。假设这个包被我们的规则放过去了,也就是ACCEPT了,它将进入POSTROUTING部分,注意!这里我注意到一个细节问题,也就是上面的图中数据包过了FORWARD链之后直接进入了POSTROUITNG 链,我觉得这中间缺少一个环节,也就是route box,对于转发的包来说,linux同样需要在选路(路由)之后才能将它送出,这个图却没有标明这一点,我认为它是在过了route box之后才进入的POSTROUITNG,当然了,这对于我们讨论iptables的过滤转发来说不是很重要,只是我觉得流程上有这个问题,还是要说明一下。

     

    同样的,我们在这里从名字就可以看出,这个POSTROUTING链应该是路由之后的一个链,也就是这个包要送出这台Linux的最后一个环节了,这也是极其重要的一个环节!!这个时候linux已经完成(has done..^_^)了对这个包的路由(选路工作),已经找到了合适的接口送出这个包了,在这个链里面我们要进行重要的操作,就是被Linux称为 SNAT的一个动作,修改源ip地址!为什么修改源ip地址?很多情况需要修改源地址阿,最常见的就是我们内网多台机器需要共享一个或几个公网ip访问 internet,因为我们的内网地址是私有的,假如就让linux给路由出去,源地址也不变,这个包应该能访问到目的地,但是却回不来,因为 internet上的N多个路由节点不会转发私有地址的数据包,也就是说,不用合法ip,我们的数据包有去无回。有人会说:“既然是这样,我就不用私有 ip了,我自己分配自己合法的地址不行吗?那样包就会回来了吧?”答案是否定的,ip地址是ICANN来分配的,你的数据包或许能发到目的地,但是回来的时候人家可不会转到你那里,internet上的路由器中的路由信息会把这个返回包送到那个合法的获得ip的地方去,你同样收不到,而你这种行为有可能被定义为一种ip欺骗,很多设备会把这样的包在接入端就给滤掉了,可能都到不了你要访问的那个服务器,呵呵。

     

    那么Linux如何做SNAT呢?比如一个内网的10.1.1.11的pc访问202.2.2.2的一个web服务器,linux的内网接口10.1.1.1在收到这个包之后把原来的PC的 ip10.1.1.11改变为60.1.1.1的合法地址然后送出,同时在自己的ip_conntrack表里面做一个记录,记住是内网的哪一个ip的哪个端口访问的这个web服务器,自己把它的源地址改成多少了,端口改成多少了,以便这个web服务器返回数据包的时候linux将它准确的送回给发送请求的这个pc.

     

    大体的数据转发流程我们说完了,我们看看iptables使用什么样的参数来完成这些操作。

     

    在描述这些具体的操作之前,我还要说几个我对iptables的概念的理解(未必完全正确),这将有助于大家理解这些规则,以实现更精确的控制。上文中我们提到过,对包的控制是由我们在不同的Chain(链)上面添加不同的规则来实现的,比如我们对过滤表(filter table)添加规则来执行对包的操控。那么既然叫链,一定就是一条或者多条规则组成的了,这时就有一个问题了,如果多个规则对同一种包进行了定义,会发生什么事情呢?在Chain中,所有的规则都是从上向下来执行的,也就是说,如果匹配了第一行,那么就按照第一行的规则执行,一行一行的往下找,直到找到符合这个类型的包的规则为止。如果找了一遍没有找到符合这个包的规则怎么办呢?itpables里面有一个概念,就是Policy,也就是策略。一说这个东西大家可能就会觉得比较麻烦,什么策略阿,我对于它的理解就是所谓这个策略就是chain中的最后一条规则,也就是说如果找了一遍找不到符合处理这个包的规则,就按照policy来办。这样理解起来就容易多了。iptables 使用-P来设置Chain的策略。

     

    好了,我们言归正传,来说说iptables到底怎样实现对包的控制

     

    先介绍一下iptables如何操作链

     

    对链的操作就那么几种,-I(插入) -A(追加) -R(替换) -D(删除) -L(列表显示)

     

    这里要说明的就是-I将会把规则放在第一行,-A将会放在最后一行。

     

    比如我们要添加一个规则到filter表的FORWARD链

     

    iptables -t filter -A FORWARD -s 10.1.1.11 -d 202.1.1.1 -j ACCEPT

     

    上面的命令意思为:追加一个规则至filter表中的FORWARD链尾,允许(-j ACCEPT)源地址为10.1.1.11目的地址为202.1.1.1的数据包通过。其中-t后面跟的是表名,在-A后面跟Chain名,后面的小写的 -s为源地址,-d为目的地址,-j为处理方向。

     

    在iptables中,默认的表名就是filter,所以这里可以省略-t filter直接写成:iptables -A FORWARD -s 10.1.1.11 -d 202.1.1.1 -j ACCEPT

     

     

     

    iptables中的匹配参数:

     

    我们在这里就介绍几种常用的参数,详细地用法可以man iptables看它的联机文档,你会有意外的收获。

     

    -s匹配源地址

     

    -d匹配目的地址

     

    -p协议匹配

     

    -i入接口匹配

     

    -o出接口匹配

     

    –sport,–dport源和目的端口匹配

     

    -j跳转,也就是包的方向

     

    其中还有一个!参数,使用!就是取反的意思。下面我们简单举几个例子介绍一下。

     

    -s这个参数呢就是指定源地址的,如果使用这个参数也就是告诉netfilter,对于符合这样一个源地址的包怎么去处理,可以指定某一个单播ip地址,也可以指定一个网络,如果单个的ip地址其实隐含了一个32位的子网掩码,比如-s 10.1.1.11 其实就是-s 10.1.1.11/32 同样我们可以指定不同的掩码用以实现源网络地址的规则,比如一个C类地址我们可以用-s 10.1.1.0/24来指定。

     

    -d参数与-s格式一样。

     

    -i参数是指定入接口的网络接口,比如我仅仅允许从eth3接口过来的包通过FORWARD链,就可以这样指定iptables -A FORWARD -i eth3 -j ACCEPT

     

    -o是出接口,与上同.

     

     

     

    我们下面用一些简单的实例来step by step看看iptables的具体配置方法。

     

     

     

    实例一:简单的nat路由器

     

    环境介绍:

     

    linux 2.4 +

     

    2个网络接口

     

    Lan口:10.1.1.254/24 eth0

     

    Wan口:60.1.1.1/24 eth1

     

    目的:实现内网中的节点(10.1.1.0/24)可控的访问internet。

     

    首先将Lan的节点pc的网关指向10.1.1.254

     

    确定你的linux的ip配置无误,可以正确的ping通内外的地址。同时用route命令查看linux的本地路由表,确认指定了可用的ISP提供的默认网关。

     

    使用sysctl net.ipv4.ip_forward=1打开linux的转发功能。

     

    iptables -P FORWARD DROP

     

    将FORWARD链的策略设置为DROP,这样做的目的是做到对内网ip的控制,你允许哪一个访问internet就可以增加一个规则,不在规则中的ip将无法访问internet.

     

     

     

    iptables -A FORWARD -m state –state ESTABLISHED,RELATED -j ACCEPT

     

    这条规则规定允许任何地址到任何地址的确认包和关联包通过。一定要加这一条,否则你只允许lan IP访问没有用,至于为什么,下面我们再详细说。

     

     

     

    iptables -t nat -A POSTROUTING -s 10.1.1.0/24 -j SNAT –to 60.1.1.1

     

    这条规则做了一个SNAT,也就是源地址转换,将来自10.1.1.0/24的地址转换为60.1.1.1

     

    有这几条规则,一个简单的nat路由器就实现了。这时你可以将允许访问的ip添加至FORWARD链,他们就能访问internet了。

     

    比如我想让10.1.1.9这个地址访问internet,那么你就加如下的命令就可以了。

     

    iptables -A FORWARD -s 10.1.1.9 -j ACCEPT

     

     

     

    也可以精确控制他的访问地址,比如我就允许10.1.1.99访问3.3.3.3这个ip

     

    iptables -A FORWARD -s 10.1.1.99 -d 3.3.3.3 -j ACCEPT

     

     

     

    或者只允许他们访问80端口。

     

    iptables -A FORWARD -s 10.1.1.0/24 -p tcp –dport http -j ACCEPT

     

    更多的控制可以自己灵活去做,或者查阅iptables的联机文档。

     

    实例二:端口转发

    环境介绍:

     

    linux 2.4 +

     

    2个网络接口

     

    Lan口:10.1.1.254/24 eth0

     

    Lan内web server: 10.1.1.1:80

     

    Lan内ftp server: 10.1.1.2:21

     

    Wan口:60.1.1.1/24 eth1

     

    目的:对内部server进行端口转发实现internet用户访问内网服务器

     

     

     

     

     

    同样确认你的linux的各项配置正常,能够访问内外网。

     

    iptables -P FORWARD DROP

     

    iptables -A FORWARD -m state –state ESTABLISHED,RELATED -j ACCEPT

     

    也需要加入确认包和关联包的允许通过

     

     

     

    如果你要把访问60.1.1.1:80的数据包转发到Lan内web server,用下面的命令

     

    iptables -t nat -A PREROUTING -d 60.1.1.1 -p tcp –dport 80 -j DNAT –to 10.1.1.1:80

     

    ftp服务也同样,命令如下:

     

    iptables -t nat -A PREROUTING -d 60.1.1.1 -p tcp –dport 21 -j DNAT –to 10.1.1.2:21

     

    好了,命令完成了,端口转发也做完了,本例能不能转发呢?不能,为什么呢?我下面详细分析一下。对于iptables好像往外访问的配置比较容易,而对内的转发似乎就有一些问题了,在一开始的时候我就先说了一些关于netfilter的流程问题,那么我就简单说说做了这些配置之后为什么有可能还不行呢?

     

    能引起这个配置失败的原因有很多,我们一个个的来说:

     

    第一,本例中,我们的FORWARD策略是DROP,那么也就是说,没有符合规则的包将被丢弃,不管内到外还是外到内,我们在这里依然不讨论那个确认包和关联包的问题,我们不用考虑他的问题,下面我会详细说一下这个东西,那么如何让本例可以成功呢?加入下面的规则。

     

    iptables -A FORWARD -d 10.1.1.1 -p tcp –dport 80 -j ACCEPT

     

    iptables -A FORWARD -d 10.1.1.2 -p tcp –dport 21 -j ACCEPT

     

    有没有觉得有一些晕?为什么目的地址是10.xxx而不是60.xxx人家internet用户不是访问的60.xxx吗?呵呵,回到上面看看那个图吧, FORWARD链在什么位置上,它是在PREROUTING之后,也就是说当这个包到达FORWARD链的时候,目的地址已经变成10.xxx了,假如 internet用户的请求是这样202.1.1.1:1333–>60.1.1.1:80,在经过了我们的PREROUTING链之后将变成 202.1.1.1:1333–>10.1.1.1:80,这个时候如果你设置一个目的地址为60.xxx的规则有用吗?呵呵,这是问题一。这个时候应该可以完成端口转发的访问了,但是有一些时候还是不行?为什么?看问题二。

     

    第二,内网server的ip配置问题,这里我们以web server为例说明一下(ftp情况有一些特殊,下面我们再详细讨论,说确认包和关联包的时候讨论这个问题),上面说到,有的时候可以访问了,有的时候却不行,就是这个web server的ip设置问题了,如果web server没有指定默认的网关,那么在作了上面的配置之后,web server会收到internet的请求,但是,他不知道往哪里回啊,人家的本地路由表不知道你那个internet的ip,202.1.1.1该怎么走。如果你使用截包工具在web server上面察看,你会发现server收到了来自202.1.1.1:1333–>10.1.1.1:80的请求,由于你没有给web server配置默认网关,它不知道怎么回去,所以就出现了不通的情况。怎么办呢?两个解决方法:一就是给这个server配置一个默认网关,当然要指向这个配置端口转发的linux,本例是10.1.1.254,配置好了,就一定能访问了。有一个疑问?难道不需要在FORWARD链上面设置一个允许 web server的ip地址访问外网的规则吗?它的包能出去?答案是肯定的,能出去。因为我们那一条允许确认包与关联包的规则,否则它是出不去的。第二种方法,比较麻烦一些,但是对服务器来说这样似乎更安全一些。方法就是对这个包再作一次SNAT,也就是在POSTROUTING链上添加规则。命令如下:

     

    iptables -t nat -A POSTROUTING -d 10.1.1.1 -p tcp –dport 80 -j SNAT –to 10.1.1.254

     

    ftp的方法相同。这条命令不太好懂??其实很简单,如果使用这条命令,那么你的web server不需要再设置默认网关,就能收到这个请求,只要他和linux的lan ip地址是能互访的(也就是说web server和Linux的Lan ip在一个广播域),我们在根据上面的netfilter流程图来分析这个包到底被我们怎么样了,首先一个请求202.1.1.1:1333–> 60.1.1.1:80被linux收到了,进入PREROUTING,发现一个规则(iptables -t nat -A PREROUTING -d 60.1.1.1 -p tcp –dport 80 -j DNAT –to 10.1.1.1:80)符合,好了,改你的目的地址,于是这个包变成了202.1.1.1:1333–>10.1.1.1:80,继续往前走,进入FORWARD链,okay,也有一条规则允许通过(iptables -A FORWARD -d 10.1.1.1 -p tcp –dport 80 -j ACCEPT),进入route box选路,找到合适的路径了,继续进入POSTROUTING链,耶?又发现一个符合的规则(iptables -t nat -A POSTROUTING -d 10.1.1.1 -p tcp –dport 80 -j SNAT –to 10.1.1.254),原来是一个SNAT,改你的源地址,于是这个包变成了10.1.1.254:xxxx–>10.1.1.1:80。为什么用xxxx了,这里的端口是随机的,我也不知道会是什么。而整个的两次变化的过程都会记录在linux的ip_conntrack中,当web server收到这个包的时候,发现,原来是一个内网自己兄弟来的请求阿,又在一个广播域,不用找网关,把返回包直接扔给交换机了,linux在收到返回包之后,会根据他的ip_conntrack中的条目进行两次变换,返回真正的internet用户,于是完成这一次的访问。

     

     

     

     

     

    看了上面的两个例子,不知道大家是否清楚了iptables的转发流程,希望对大家有所帮助,下面我们就说说我一直在上面提到的关于那个 ESTABLISHED,RELATED的规则是怎么回事,到底有什么用处。说这个东西就要简单说一下网络的数据通讯的方式,我们知道,网络的访问是双向的,也就是说一个Client与Server之间完成数据交换需要双方的发包与收包。在netfilter中,有几种状态,也就是new, established,related,invalid。当一个客户端,在本文例一中,内网的一台机器访问外网,我们设置了规则允许他出去,但是没有设置允许回来的规则阿,怎么完成访问呢?这就是netfilter的状态机制,当一个lan用户通过这个linux访问外网的时候,它发送了一个请求包,这个包的状态是new,当外网回包的时候他的状态就是established,所以,linux知道,哦,这个包是我的内网的一台机器发出去的应答包,他就放行了。而外网试图对内发起一个新的连接的时候,他的状态是new,所以linux压根不去理会它。这就是我们为什么要加这一句的原因。还有那个 related,他是一个关联状态,什么会用到呢?tftp,ftp都会用到,因为他们的传输机制决定了,它不像http访问那样,Client_IP: port–>server:80 然后server:80–>Client_IP:port,ftp使用tcp21建立连接,使用20端口发送数据,其中又有两种方式,一种主动 active mode,一种被动passive mode,主动模式下,client使用port命令告诉server我用哪一个端口接受数据,然后server主动发起对这个端口的请求。被动模式下, server使用port命令告诉客户端,它用那个端口监听,然后客户端发起对他的数据传输,所以这对于一个防火墙来说就是比较麻烦的事情,因为有可能会有new状态的数据包,但是它又是合理的请求,这个时候就用到这个related状态了,他就是一种关联,在linux中,有个叫 ftp_conntrack的模块,它能识别port命令,然后对相应的端口进行放行。

     

    一口气写了这么多东西,不知道质量如何,大家凑和着看吧,希望多多交流共同进步,我还是一个linux的初学者,难免很多谬误,希望高手赐教指正,以期不断进步。

     

    对了,还有几个在实际中比较实用(也比较受用:-))的命令参数,写出来供大家参考

     

    iptables -L -n

     

    这样的列表会跳过linux的domain lookup,有的时候使用iptables -L会比较慢,因为linux会尝试解析ip的域名,真是罗嗦,如果你的dns server比较不爽的话,iptables -L就会让你很不爽,加一个-n参数就好了。列表刷的就出来。当然了,如果你的linux就是做防火墙,建议把nameserver去掉,在 /etc/resolve.conf里面,因为有时候使用route命令也会比较慢列出来,很是不爽。

     

     

     

    iptables -L -v

     

    这个命令会显示链中规则的包和流量计数,嘿嘿,看看哪些小子用的流量那么多,用tc限了他。

     

     

     

    cat /proc/net/ip_conntrack

     

    查看目前的conntrack,可能会比较多哦,最好加一个|grep “关键字”,看看你感兴趣的链接跟踪

     

    wc -l /proc/net/ip_conntrack

     

    看看总链接有多少条。

     

    iptables-save >/etc/iptables

     

    把当前的所有链备份一下,之所以放到/etc下面叫iptables,因为这样重起机器的时候会自动加载所有的链,经常地备份一下吧,否则如果链多,万一掉电重启,你还是会比较痛苦。

     

  • MySQL配置外网远程访问管理数据库的方法

    MySQL安装后,默认只允许通过127.0.0.1的方式在服务器访问3306端口

    1). 3306端口是不是没有打开?

    使用nestat命令查看3306端口状态:

    ~# netstat -an | grep 3306

    tcp 0 0 127.0.0.1:3306 0.0.0.0:* LISTEN

    从结果可以看出3306端口只是在IP 127.0.0.1上监听,所以拒绝了其他IP的访问。

    解决方法:修改/etc/mysql/my.cnf文件。打开文件,找到下面内容:

    # Instead of skip-networking the default is now to listen only on

    # localhost which is more compatible and is not less secure.

    bind-address = 127.0.0.1

    把上面这一行注释掉或者把127.0.0.1换成合适的IP,建议注释掉。

    重新启动后,重新使用netstat检测:

     

    ~# netstat -an | grep 3306

    tcp 0 0 0.0.0.0:3306 0.0.0.0:* LISTEN

    2). 问题解决了吗?

    现在使用下面命令测试:

    ~# mysql -h 10.1.1.2 -u root -p

    Enter password:

    ERROR 1130 (00000): Host ‘B0324-Desktop.local’ is not allowed to connect to this MySQL server

    结果出乎意料,还是不行。

    解决方法:原来还需要把用户权限分配各远程用户, MySQL默认root账户不带%而是127.0.0.1,因此需要修改。

    登录到mysql服务器,使用grant命令分配权限

    mysql> grant all on database_name.* to user_name@’%’ identified by ‘user_password’;

    其中database_name、user_name和user_password根据实际情况设置。

    完成后使用mysql命令连接,提示成功,为了确保正确可以再远程登陆测试一下。

  • 新购VPS后的一些必要设置

    以下是在LNMP环境下设置,其他环境可能稍有不同。

    1.Mysql禁用日志(可选,如果你觉得日志对你来说没有用,建议禁用)

    /etc/my.cnf

    把这两行注释掉

    #log-bin=mysql-bin

    #binlog_format=mixed

    2.修改nginx的进程数量

    /usr/local/nginx/conf/nginx.conf

    一般不用修改,如果你的VPS给了你双核,可以修改worker_processes值为2

    3.修改php-cgi的进程数量

    /usr/local/php/etc/php-fpm.conf

    修改12

    一般256M内存,大概可以设为12个。

    4.修改最大同时连接文件数

    系统默认是1024,最好改大些

    使用 ulimit -a 可以查看当前系统的所有限制值,使用ulimit -n 可以查看当前的最大打开文件数。

    新装的linux默认只有1024,当作负载较大的服务器时,很容易遇到error: too many open files。因此,需要将其改大。

    使用 ulimit -n 65535 可即时修改,但重启后就无效了。(注ulimit -SHn 65535 等效 ulimit -n 65535,-S指soft,-H指hard)

    有如下三种修改方式:

    1.在/etc/rc.local 中增加一行 ulimit -SHn 65535

    2.在/etc/profile 中增加一行 ulimit -SHn 65535

    3.在/etc/security/limits.conf最后增加如下两行记录

    * soft nofile 65535

    * hard nofile 65535

    具体使用哪种,试试哪种有效吧,我在 CentOS中使用第1种方式无效果,使用第3种方式有效果,而在Debian中使用第2种有效果.

  • mysql命令行下用户管理

    mysql安装后好,会有一个名字为mysql的数据库,存放用户的表是user,mysql数据库的用户管理就是围绕这个表展开的,当然还有一些表,例如:tables_priv,procs_priv,clumns_priv,information_schema数据库里面的USER_PRIVILEGES等。

    安装完成后,如果需要远程连接,可以这样:

    1、MYSQL服务器上:

    比如:

    C:\>mysql -uroot -p

    Enter password: ******

    Welcome to the MySQL monitor. Commands end with ; or \g.

    Your MySQL connection id is 2

    Server version: 5.1.22-rc-community-log MySQL Community Server (GPL)

    Type ‘help;’ or ‘\h’ for help. Type ‘\c’ to clear the buffer.

    mysql> grant all privileges on *.* to ‘yourname’@’%’ identified by ‘youpasswd’;

    Query OK, 0 rows affected (0.05 sec)

    mysql> flush privileges;

    Query OK, 0 rows affected (0.06 sec)

    mysql> exit

    Bye

    再把/etc/mysql/my.cnf中的bind-address=127.0.0.1注释了就可以远程连接了。

    grant 权限名(sqlserver和mysql不一样的,可以看手册知道,分所有的权限用all) on 库名(*表全部).表名 to 要授权的用户名@”%”(%表示所有的IP,可以只些一个IP) identified by “密码”;

    例: grant all privileges on *.* to root@”%” identified by “密码”;

    查询mysql所有用户名: select user,host,password from mysql.user;

    如果有mysql管理工具phpmyadmin的话,我们可以通过图形画界面来对用户进行管理,但是如果没有phpmyadmin这样的管理工具怎么办呢?这个时候,我们可以通过命令行执行sql语句来管理mysql的用户。

    一,添加用户

    1,create database user

    语法:

    CREATE DATABASE USER user_specification

    [, user_specification] …

    user_specification:

    user [IDENTIFIED BY [PASSWORD] ‘password’]

    实例:

    mysql> create user ’44’@’127.0.0.1′; //创建一个44用户

    Query OK, 0 rows affected (0.00 sec)

     

    mysql> create user ’33’@’localhost’ identified by ‘aaaa’; //创建一个33用户,密码为aaaa

    Query OK, 0 rows affected (0.00 sec)

     

    mysql> select * from mysql.user where user=’33’ or user=’44’\G; //查看一下mysql下的user

    create user 虽然可以创建用户,但是它只是创建用户,并没有给用户分配置权限,所以一般被 grant命令所取代。

    2,grant

    语法:

    GRANT

    priv_type [(column_list)]

    [, priv_type [(column_list)]] …

    ON [object_type] priv_level

    TO user_specification [, user_specification] …

    [REQUIRE {NONE | ssl_option [[AND] ssl_option] …}]

    [WITH with_option …]

     

    object_type:

    TABLE

    | FUNCTION

    | PROCEDURE

     

    priv_level:

    *

    | *.*

    | db_name.*

    | db_name.tbl_name

    | tbl_name

    | db_name.routine_name

     

    user_specification:

    user [IDENTIFIED BY [PASSWORD] ‘password’]

     ssl_option:

    SSL

    | X509 #要求x509证书

    | CIPHER ‘cipher’ #加密算法

    | ISSUER ‘issuer’ #证书发行商

    | SUBJECT ‘subject’ #主题

     

    with_option:

    GRANT OPTION

    | MAX_QUERIES_PER_HOUR count #每小时最多执行多少条sql

    | MAX_UPDATES_PER_HOUR count #每小时最多更新多少条数据

    | MAX_CONNECTIONS_PER_HOUR count #每小时最大的联接数是多少

    | MAX_USER_CONNECTIONS count #最大用户联接数

    不要被上面的语法吓倒,其实理解什么意思,就很容易掌握。我是这样理解的。

    grant 权限 on 应用范围(数据库表,方法等) to 用户(用@隔开,前面是用户名后面是主机名’用户名’@’主机名’) identified by 密码 require 要求什么的 with 对用户的进行的执行sql的条数控制。

    个人觉得,只要记得上面几个红色的关键词,基本上这个命令就掌握了。

    Privilege Meaning
    ALL [PRIVILEGES] 所有权限
    ALTER 可以使用alter table
    ALTER ROUTINE 可以使用alter routine
    CREATE 可以创建数据库和表
    CREATE ROUTINE 可以使用create routine
    CREATE TEMPORARY TABLES 可以使用临时表
    CREATE USER 可以对用户进添加,删除,重命名,撤销权限
    CREATE VIEW 可以创建和修改视图
    DELETE 可以删除数据
    DROP 可能删除数据库,表,视图等
    EVENT 可以使用事件高度器
    EXECUTE 可以执行routine
    FILE 可以在服务器读写文件
    GRANT OPTION 用户有权对自己添加的用衣授权
    INDEX 可以创建,删除索引
    INSERT 可以插入
    LOCK TABLES 可以锁定表
    PROCESS 可以使用SHOW PROCESSLIST来查看mysql当前用户的执行sql情况
    REFERENCES Not implemented
    RELOAD 可以使用刷新功能
    REPLICATION CLIENT 用户可以进行主从同步
    REPLICATION SLAVE 主从同步时,从服务器可以从主服务器读取binary log
    SELECT 可以查找
    SHOW DATABASES 可以使用show databases来查看所有数据库
    SHOW VIEW 可以使用show view来查看视图
    SHUTDOWN 可以使用mysqladmin中的参数shutdown
    SUPER Enable use of other adminstrative operations such as CHANGE MASTER TO, KILL, PURGE BINARY LOGS, SET GLOBAL, and mysqladmin debug command
    TRIGGER 可以使用触发器
    UPDATE 可以进行理会新操作
    USAGE 无特权

    实例:

    grant all ON test.* TO ‘test’@’localhost’; //test用户拥有test数据库下的所有操作

    grant select,update on test.user to ‘test’@’localhost’; //test用户可以对test数据库下user表,进行查找和更新操作

    //test用户的的密码是111111,对user表中的name字段有读取权限,对id,name有更新权限

    grant select(name),update(id,name) on test.user to ‘test’@’localhost’ identified by ‘111111’;

    //test用户对所有数据库拥有所有权力,并且要求ssl加密

    grant all privileges on *.* to ‘test’@’%’ identified by ‘123456’ require ssl

    当添加完用户后,别忘 了 flush privileges;

    二,删除用户

    语法:

    DROP USER user [, user] …

    实例:

    drop user ‘test2’@’localhost’; //当用drop删除用户进,tables_priv,procs_priv等表中的数据也会被删除

    在这里为什么要用’test2’@’localhost’当用户名,而不是直接test2呢,因为mysql.user这张表,是根用户名和host名决定一个用户,你可查看一下表结构就知道了。

    show create table mysql.user\G;你会发现有这个东西PRIMARY KEY (`Host`,`User`),表示联合主键

    三,修改用户

    语法:

    RENAME USER old_user TO new_user

    [, old_user TO new_user] …

    实例:

    rename user ‘test2’@’localhost’ to ‘test’@’%’;

    四,修改权限

    语法:

    REVOKE

    priv_type [(column_list)]

    [, priv_type [(column_list)]] …

    ON [object_type] priv_level

    FROM user [, user] …

    REVOKE ALL PRIVILEGES, GRANT OPTION

     

    FROM user [, user] …

    grant就给用户分配权限,revoke是把权限从用户的身上拿走。

    实例:

    mysql> revoke update on *.* from ‘tank’@’localhost’;

    Query OK, 0 rows affected (0.00 sec)

     mysql> select mysql.user.update_priv from mysql.user where user=’tank’ and host=’localhost’;

    +————-+

    | update_priv |

    +————-+

    | N |

    +————-+

    1 row in set (0.00 sec)

    去掉tank@localhost这个用户的更新功能,这个是去掉一个权限,如果我要全部去掉怎么办呢,一个一个写太麻烦了,看下面的一个例子

    mysql> revoke all privileges ,grant option from ’33’@’localhost’;

    Query OK, 0 rows affected (0.00 sec)

    mysql> flush privileges;

    Query OK, 0 rows affected (0.01 sec)

    用掉33@localhost这个用户的所有权限

  • MYSQL常用命令

    1.导出整个数据库

    mysqldump -u 用户名 -p –default-character-set=latin1 数据库名 > 导出的文件名(数据库默认编码是latin1)

    mysqldump -u wcnc -p smgp_apps_wcnc > wcnc.sql

    2.导出一个表

    mysqldump -u 用户名 -p 数据库名 表名> 导出的文件名

    mysqldump -u wcnc -p smgp_apps_wcnc users> wcnc_users.sql

    3.导出一个数据库结构

    mysqldump -u wcnc -p -d –add-drop-table smgp_apps_wcnc >d:wcnc_db.sql

    -d 没有数据 –add-drop-table 在每个create语句之前增加一个drop table

    4.导入数据库

    A:常用source 命令

    进入mysql数据库控制台,

    如mysql -u root -p

    mysql>use 数据库

    然后使用source命令,后面参数为脚本文件(如这里用到的.sql)

    mysql>source wcnc_db.sql

     

    B:使用mysqldump命令

     

    mysqldump -u username -p dbname < filename.sql

     

    C:使用mysql命令

     

    mysql -u username -p -D dbname < filename.sql

     

    一、启动与退出

    1、进入MySQL:启动MySQL Command Line Client(MySQL的DOS界面),直接输入安装时的密码即可。此时的提示符是:mysql>

    2、退出MySQL:quit或exit

    二、库操作

    1、、创建数据库

    命令:create database <数据库名>

    例如:建立一个名为xhkdb的数据库

    mysql> create database xhkdb;

    2、显示所有的数据库

    命令:show databases (注意:最后有个s)

    mysql> show databases;

    3、删除数据库

    命令:drop database <数据库名>

    例如:删除名为 xhkdb的数据库

    mysql> drop database xhkdb;

    4、连接数据库

    命令: use <数据库名>

    例如:如果xhkdb数据库存在,尝试存取它:

    mysql> use xhkdb;

    屏幕提示:Database changed

    5、查看当前使用的数据库

    mysql> select database();

     

    6、当前数据库包含的表信息:

    mysql> show tables; (注意:最后有个s)

     

    三、表操作,操作之前应连接某个数据库

    1、建表

    命令:create table <表名> ( <字段名1> <类型1> [,..<字段名n> <类型n>]);

     

    mysql> create table MyClass(

    > id int(4) not null primary key auto_increment,

    > name char(20) not null,

    > sex int(4) not null default ‘0’,

    > degree double(16,2));

    2、获取表结构

    命令: desc 表名,或者show columns from 表名

    mysql>DESCRIBE MyClass

    mysql> desc MyClass;

    mysql> show columns from MyClass;

    3、删除表

    命令:drop table <表名>

    例如:删除表名为 MyClass 的表

    mysql> drop table MyClass;

    4、插入数据

    命令:insert into <表名> [( <字段名1>[,..<字段名n > ])] values ( 值1 )[, ( 值n )]

    例如,往表 MyClass中插入二条记录, 这二条记录表示:编号为1的名为Tom的成绩为96.45, 编号为2 的名为Joan 的成绩为82.99,编号为3 的名为Wang 的成绩为96.5.

    mysql> insert into MyClass values(1,’Tom’,96.45),(2,’Joan’,82.99), (2,’Wang’, 96.59);

    5、查询表中的数据

    1)、查询所有行

    命令: select <字段1,字段2,…> from < 表名 > where < 表达式 >

    例如:查看表 MyClass 中所有数据

    mysql> select * from MyClass;

    2)、查询前几行数据

    例如:查看表 MyClass 中前2行数据

    mysql> select * from MyClass order by id limit 0,2;

     

    或者:

     

    mysql> select * from MyClass limit 0,2;

    6、删除表中数据

    命令:delete from 表名 where 表达式

    例如:删除表 MyClass中编号为1 的记录

    mysql> delete from MyClass where id=1;

    7、修改表中数据:update 表名 set 字段=新值,… where 条件

    mysql> update MyClass set name=’Mary’ where id=1;

    7、在表中增加字段:

     

    命令:alter table 表名 add字段 类型 其他;

    例如:在表MyClass中添加了一个字段passtest,类型为int(4),默认值为0

    mysql> alter table MyClass add passtest int(4) default ‘0’

    8、更改表名:

    命令:rename table 原表名 to 新表名;

    例如:在表MyClass名字更改为YouClass

    mysql> rename table MyClass to YouClass;

     

    更新字段内容

    update 表名 set 字段名 = 新内容

    update 表名 set 字段名 = replace(字段名,’旧内容’,’新内容’);

     

    文章前面加入4个空格

    update article set content=concat(‘  ’,content);

     

    字段类型

    1.INT[(M)] 型: 正常大小整数类型

    2.DOUBLE[(M,D)] [ZEROFILL] 型: 正常大小(双精密)浮点数字类型

    3.DATE 日期类型:支持的范围是1000-01-01到9999-12-31。MySQL以YYYY-MM-DD格式来显示DATE值,但是允许你使用字符串或数字把值赋给DATE列

    4.CHAR(M) 型:定长字符串类型,当存储时,总是是用空格填满右边到指定的长度

    5.BLOB TEXT类型,最大长度为65535(2^16-1)个字符。

    6.VARCHAR型:变长字符串类型

     

    5.导入数据库表

    (1)创建.sql文件

    (2)先产生一个库如auction.c:mysqlbin>mysqladmin -u root -p creat auction,会提示输入密码,然后成功创建。

    (2)导入auction.sql文件

    c:mysqlbin>mysql -u root -p auction < auction.sql。

    通过以上操作,就可以创建了一个数据库auction以及其中的一个表auction。

    6.修改数据库

    (1)在mysql的表中增加字段:

    alter table dbname add column userid int(11) not null primary key auto_increment;

    这样,就在表dbname中添加了一个字段userid,类型为int(11)。

    7.mysql数据库的授权

    mysql>grant select,insert,delete,create,drop

    on *.* (或test.*/user.*/..)

    to 用户名@localhost

    identified by ‘密码’;

    如:新建一个用户帐号以便可以访问数据库,需要进行如下操作:

    mysql> grant usage

    -> ON test.*

    -> TO testuser@localhost;

    Query OK, 0 rows affected (0.15 sec)

    此后就创建了一个新用户叫:testuser,这个用户只能从localhost连接到数据库并可以连接到test 数据库。下一步,我们必须指定testuser这个用户可以执行哪些操作:

    mysql> GRANT select, insert, delete,update

    -> ON test.*

    -> TO testuser@localhost;

    Query OK, 0 rows affected (0.00 sec)

    此操作使testuser能够在每一个test数据库中的表执行SELECT,INSERT和DELETE以及UPDATE查询操作。现在我们结束操作并退出MySQL客户程序:

    mysql> exit

    Bye9!

     

    1:使用SHOW语句找出在服务器上当前存在什么数据库:

    mysql> SHOW DATABASES;

    2:2、创建一个数据库MYSQLDATA

    mysql> Create DATABASE MYSQLDATA;

    3:选择你所创建的数据库

    mysql> USE MYSQLDATA; (按回车键出现Database changed 时说明操作成功!)

    4:查看现在的数据库中存在什么表

    mysql> SHOW TABLES;

    5:创建一个数据库表

    mysql> Create TABLE MYTABLE (name VARCHAR(20), sex CHAR(1));

    6:显示表的结构:

    mysql> DESCRIBE MYTABLE;

    7:往表中加入记录

    mysql> insert into MYTABLE values (“hyq”,”M”);

    8:用文本方式将数据装入数据库表中(例如D:/mysql.txt)

    mysql> LOAD DATA LOCAL INFILE “D:/mysql.txt” INTO TABLE MYTABLE;

    9:导入.sql文件命令(例如D:/mysql.sql)

    mysql>use database;

    mysql>source d:/mysql.sql;

    10:删除表

    mysql>drop TABLE MYTABLE;

    11:清空表

    mysql>delete from MYTABLE;

    12:更新表中数据

    mysql>update MYTABLE set sex=”f” where name=’hyq’;

     

    以下是无意中在网络看到的使用MySql的管理心得,

    摘自:http://www1.xjtusky.com/article/htmldata/2004_12/3/57/article_1060_1.html

     

    在windows中MySql以服务形式存在,在使用前应确保此服务已经启动,未启动可用net start mysql命令启动。而Linux中启动时可用“/etc/rc.d/init.d/mysqld start”命令,注意启动者应具有管理员权限。

    刚安装好的MySql包含一个含空密码的root帐户和一个匿名帐户,这是很大的安全隐患,对于一些重要的应用我们应将安全性尽可能提高,在这里应把匿名帐户删除、 root帐户设置密码,可用如下命令进行:

    use mysql;

    delete from User where User=””;

    update User set Password=PASSWORD(‘newpassword’) where User=’root’;

    如果要对用户所用的登录终端进行限制,可以更新User表中相应用户的Host字段,在进行了以上更改后应重新启动数据库服务,此时登录时可用如下类似命令:

    mysql -uroot -p;

    mysql -uroot -pnewpassword;

    mysql mydb -uroot -p;

    mysql mydb -uroot -pnewpassword;

    上面命令参数是常用参数的一部分,详细情况可参考文档。此处的mydb是要登录的数据库的名称。

    在进行开发和实际应用中,用户不应该只用root用户进行连接数据库,虽然使用root用户进行测试时很方便,但会给系统带来重大安全隐患,也不利于管理技术的提高。我们给一个应用中使用的用户赋予最恰当的数据库权限。如一个只进行数据插入的用户不应赋予其删除数据的权限。MySql的用户管理是通过 User表来实现的,添加新用户常用的方法有两个,一是在User表插入相应的数据行,同时设置相应的权限;二是通过GRANT命令创建具有某种权限的用户。其中GRANT的常用用法如下:

    grant all on mydb.* to NewUserName@HostName identified by “password” ;

    grant usage on *.* to NewUserName@HostName identified by “password”;

    grant select,insert,update on mydb.* to NewUserName@HostName identified by “password”;

    grant update,delete on mydb.TestTable to NewUserName@HostName identified by “password”;

    若要给此用户赋予他在相应对象上的权限的管理能力,可在GRANT后面添加WITH GRANT OPTION选项。而对于用插入User表添加的用户,Password字段应用PASSWORD 函数进行更新加密,以防不轨之人窃看密码。对于那些已经不用的用户应给予清除,权限过界的用户应及时回收权限,回收权限可以通过更新User表相应字段,也可以使用REVOKE操作。

    下面给出本人从其它资料(www.cn-java.com)获得的对常用权限的解释:

    全局管理权限:

    FILE: 在MySQL服务器上读写文件。

    PROCESS: 显示或杀死属于其它用户的服务线程。

    RELOAD: 重载访问控制表,刷新日志等。

    SHUTDOWN: 关闭MySQL服务。

    数据库/数据表/数据列权限:

    Alter: 修改已存在的数据表(例如增加/删除列)和索引。

    Create: 建立新的数据库或数据表。

    Delete: 删除表的记录。

    Drop: 删除数据表或数据库。

    INDEX: 建立或删除索引。

    Insert: 增加表的记录。

    Select: 显示/搜索表的记录。

    Update: 修改表中已存在的记录。

    特别的权限:

    ALL: 允许做任何事(和root一样)。

    USAGE: 只允许登录–其它什么也不允许做。

     

    ———————

    MYSQL常用命令

    有很多朋友虽然安装好了mysql但却不知如何使用它。在这篇文章中我们就从连接MYSQL、修改密码、增加用户等方面来学习一些MYSQL的常用命令。

    有很多朋友虽然安装好了mysql但却不知如何使用它。在这篇文章中我们就从连接MYSQL、修改密码、增加用户等方面来学习一些MYSQL的常用命令。

     

    一、连接MYSQL

     

    格式: mysql -h主机地址 -u用户名 -p用户密码

     

    1、例1:连接到本机上的MYSQL

     

    首先在打开DOS窗口,然后进入目录 mysqlbin,再键入命令mysql -uroot -p,回车后提示你输密码,如果刚安装好MYSQL,超级用户root是没有密码的,故直接回车即可进入到MYSQL中了,MYSQL的提示符是:mysql>

     

    2、例2:连接到远程主机上的MYSQL

     

    假设远程主机的IP为:110.110.110.110,用户名为root,密码为abcd123。则键入以下命令:

     

    mysql -h110.110.110.110 -uroot -pabcd123

     

    (注:u与root可以不用加空格,其它也一样)

     

    3、退出MYSQL命令: exit (回车)

     

    二、修改密码

     

    格式:mysqladmin -u用户名 -p旧密码 password 新密码

     

    1、例1:给root加个密码ab12。首先在DOS下进入目录mysqlbin,然后键入以下命令

     

    mysqladmin -uroot -password ab12

     

    注:因为开始时root没有密码,所以-p旧密码一项就可以省略了。

     

    2、例2:再将root的密码改为djg345

     

    mysqladmin -uroot -pab12 password djg345

     

    MYSQL常用命令(下)

    一、操作技巧

     

    1、如果你打命令时,回车后发现忘记加分号,你无须重打一遍命令,只要打个分号回车就可以了。也就是说你可以把一个完整的命令分成几行来打,完后用分号作结束标志就OK。

     

    2、你可以使用光标上下键调出以前的命令。但以前我用过的一个MYSQL旧版本不支持。我现在用的是mysql-3.23.27-beta-win。

     

    二、显示命令

     

    1、显示数据库列表。

     

    show databases;

     

    刚开始时才两个数据库:mysql和test。mysql库很重要它里面有MYSQL的系统信息,我们改密码和新增用户,实际上就是用这个库进行操作。

     

    2、显示库中的数据表:

     

    use mysql; //打开库,学过FOXBASE的一定不会陌生吧

     

    show tables;

     

    3、显示数据表的结构:

     

    describe 表名;

     

    4、建库:

     

    create database 库名;

     

    5、建表:

     

    use 库名;

     

    create table 表名 (字段设定列表);

     

    6、删库和删表:

     

    drop database 库名;

     

    drop table 表名;

     

    7、将表中记录清空:

     

    delete from 表名;

     

    8、显示表中的记录:

     

    select * from 表名;

     

    三、一个建库和建表以及插入数据的实例

     

    drop database if exists school; //如果存在SCHOOL则删除

    create database school; //建立库SCHOOL

    use school; //打开库SCHOOL

    create table teacher //建立表TEACHER

    (

    id int(3) auto_increment not null primary key,

    name char(10) not null,

    address varchar(50) default ‘深圳’,

    year date

    ); //建表结束

    //以下为插入字段

    insert into teacher values(”,’glchengang’,’深圳一中’,’1976-10-10′);

    insert into teacher values(”,’jack’,’深圳一中’,’1975-12-23′);

     

    注:在建表中(1)将ID设为长度为3的数字字段:int(3)并让它每个记录自动加一:auto_increment并不能为空:not null而且让他成为主字段primary key

    (2)将NAME设为长度为10的字符字段

    (3)将ADDRESS设为长度50的字符字段,而且缺省值为深圳。varchar和char有什么区别呢,只有等以后的文章再说了。

    (4)将YEAR设为日期字段。

     

    如果你在mysql提示符键入上面的命令也可以,但不方便调试。你可以将以上命令原样写入一个文本文件中假设为school.sql,然后复制到c:\下,并在DOS状态进入目录\mysql\bin,然后键入以下命令:

    mysql -uroot -p密码 < c:\school.sql

    如果成功,空出一行无任何显示;如有错误,会有提示。(以上命令已经调试,你只要将//的注释去掉即可使用)。

     

    四、将文本数据转到数据库中

     

    1、文本数据应符合的格式:字段数据之间用tab键隔开,null值用\n来代替.

    例:

    3 rose 深圳二中 1976-10-10

    4 mike 深圳一中 1975-12-23

     

    2、数据传入命令 load data local infile “文件名” into table 表名;

    注意:你最好将文件复制到\mysql\bin目录下,并且要先用use命令打表所在的库 。

     

    五、备份数据库:(命令在DOS的\mysql\bin目录下执行)

     

    mysqldump –opt school>school.bbb

    注释:将数据库school备份到school.bbb文件,school.bbb是一个文本文件,文件名任取,打开看看你会有新发现。

     

    一.SELECT语句的完整语法为:

    SELECT[ALL|DISTINCT|DISTINCTROW|TOP]

    {*|talbe.*|[table.]field1[AS alias1][,[table.]field2[AS alias2][,…]]}

    FROM tableexpression[,…][IN externaldatabase]

    [WHERE…]

    [GROUP BY…]

    [HAVING…]

    [ORDER BY…]

    [WITH OWNERACCESS OPTION]

    说明:

    用中括号([])括起来的部分表示是可选的,用大括号({})括起来的部分是表示必须从中选择其中的一个。

    1 FROM子句

    FROM 子句指定了SELECT语句中字段的来源。FROM子句后面是包含一个或多个的表达式(由逗号分开),其中的表达式可为单一表名称、已保存的查询或由 INNER JOIN、LEFT JOIN 或 RIGHT JOIN 得到的复合结果。如果表或查询存储在外部数据库,在IN 子句之后指明其完整路径。

    例:下列SQL语句返回所有有定单的客户:

    SELECT OrderID,Customer.customerID

    FROM Orders Customers

    WHERE Orders.CustomerID=Customers.CustomeersID

     

    2 ALL、DISTINCT、DISTINCTROW、TOP谓词

    (1) ALL 返回满足SQL语句条件的所有记录。如果没有指明这个谓词,默认为ALL。

    例:SELECT ALL FirstName,LastName

    FROM Employees

    (2) DISTINCT 如果有多个记录的选择字段的数据相同,只返回一个。

    (3) DISTINCTROW 如果有重复的记录,只返回一个

    (4) TOP显示查询头尾若干记录。也可返回记录的百分比,这是要用 TOP N PERCENT子句(其中N 表示百分比)

    例:返回5%定货额最大的定单

    SELECT TOP 5 PERCENT*

    FROM [ Order Details]

    ORDER BY UnitPrice*Quantity*(1-Discount) DESC

     

    3 用 AS 子句为字段取别名

    如果想为返回的列取一个新的标题,或者,经过对字段的计算或总结之后,产生了一个新的值,希望把它放到一个新的列里显示,则用AS保留。

    例:返回FirstName字段取别名为NickName

    SELECT FirstName AS NickName ,LastName ,City

    FROM Employees

    例:返回新的一列显示库存价值

    SELECT ProductName ,UnitPrice ,UnitsInStock ,UnitPrice*UnitsInStock AS valueInStock

    FROM Products

     

    二 .WHERE 子句指定查询条件

     

    1 比较运算符

    比较运算符 含义

    = 等于

    > 大于

    < 小于

    >= 大于等于

    <= 小于等于

    <> 不等于

    !> 不大于

    !< 不小于

    例:返回96年1月的定单

    SELECT OrderID, CustomerID, OrderDate

    FROM Orders

    WHERE OrderDate>#1/1/96# AND OrderDate<#1/30/96#

    注意:

    Mcirosoft JET SQL 中,日期用‘#’定界。日期也可以用Datevalue()函数来代替。在比较字符型的数据时,要加上单引号’’,尾空格在比较中被忽略。

    例:

    WHERE OrderDate>#96-1-1#

    也可以表示为:

    WHERE OrderDate>Datevalue(‘1/1/96’)

    使用 NOT 表达式求反。

    例:查看96年1月1日以后的定单

    WHERE Not OrderDate<=#1/1/96#

    2 范围(BETWEEN 和 NOT BETWEEN)

    BETWEEN …AND…运算符指定了要搜索的一个闭区间。

    例:返回96年1月到96年2月的定单。

    WHERE OrderDate Between #1/1/96# And #2/1/96#

    3 列表(IN ,NOT IN)

    IN 运算符用来匹配列表中的任何一个值。IN子句可以代替用OR子句连接的一连串的条件。

    例:要找出住在 London、Paris或Berlin的所有客户

    SELECT CustomerID, CompanyName, ContactName, City

    FROM Customers

    WHERE City In(‘London’,’ Paris’,’ Berlin’)

    4 模式匹配(LIKE)

    LIKE运算符检验一个包含字符串数据的字段值是否匹配一指定模式。

    LIKE运算符里使用的通配符

    通配符 含义

    ? 任何一个单一的字符

    * 任意长度的字符

    # 0~9之间的单一数字

    [字符列表] 在字符列表里的任一值

    [!字符列表] 不在字符列表里的任一值

    – 指定字符范围,两边的值分别为其上下限

    例:返回邮政编码在(171)555-0000到(171)555-9999之间的客户

    SELECT CustomerID ,CompanyName,City,Phone

    FROM Customers

    WHERE Phone Like ‘(171)555-####’

    LIKE运算符的一些样式及含义

    样式 含义 不符合

    LIKE ‘A*’ A后跟任意长度的字符 Bc,c255

    LIKE’5[*]’ 5*5 555

    LIKE’5?5’ 5与5之间有任意一个字符 55,5wer5

    LIKE’5##5’ 5235,5005 5kd5,5346

    LIKE’[a-z]’ a-z间的任意一个字符 5,%

    LIKE’[!0-9]’ 非0-9间的任意一个字符 0,1

    LIKE’[[]’ 1,*

    三 .用ORDER BY子句排序结果

    ORDER子句按一个或多个(最多16个)字段排序查询结果,可以是升序(ASC)也可以是降序(DESC),缺省是升序。ORDER子句通常放在SQL语句的最后。

    ORDER子句中定义了多个字段,则按照字段的先后顺序排序。

    例:

    SELECT ProductName,UnitPrice, UnitInStock

    FROM Products

    ORDER BY UnitInStock DESC , UnitPrice DESC, ProductName

    ORDER BY 子句中可以用字段在选择列表中的位置号代替字段名,可以混合字段名和位置号。

    例:下面的语句产生与上列相同的效果。

    SELECT ProductName,UnitPrice, UnitInStock

    FROM Products

    ORDER BY 1 DESC , 2 DESC,3

    四 .运用连接关系实现多表查询

    例:找出同一个城市中供应商和客户的名字

    SELECT Customers.CompanyName, Suppliers.ComPany.Name

    FROM Customers, Suppliers

    WHERE Customers.City=Suppliers.City

    例:找出产品库存量大于同一种产品的定单的数量的产品和定单

    SELECT ProductName,OrderID, UnitInStock, Quantity

    FROM Products, [Order Deails]

    WHERE Product.productID=[Order Details].ProductID

    AND UnitsInStock>Quantity

    另一种方法是用 Microsof JET SQL 独有的 JNNER JOIN

    语法:

    FROM table1 INNER JOIN table2

    ON table1.field1 comparision table2.field2

    其中comparision 就是前面WHERE子句用到的比较运算符。

    SELECT FirstName,lastName,OrderID,CustomerID,OrderDate

    FROM Employees

    INNER JOIN Orders ON Employees.EmployeeID=Orders.EmployeeID

    注意:

    INNER JOIN不能连接Memo OLE Object Single Double 数据类型字段。

    在一个JOIN语句中连接多个ON子句

    语法:

    SELECT fields

    FROM table1 INNER JOIN table2

    ON table1.field1 compopr table2.field1 AND

    ON table1.field2 compopr table2.field2 OR

    ON table1.field3 compopr table2.field3

    也可以

    SELECT fields

    FROM table1 INNER JOIN

    (table2 INNER JOIN [( ]table3

    [INNER JOER] [( ]tablex[INNER JOIN]

    ON table1.field1 compopr table2.field1

    ON table1.field2 compopr table2.field2

    ON table1.field3 compopr table2.field3

    外部连接返回更多记录,在结果中保留不匹配的记录,不管存不存在满足条件的记录都要返回另一侧的所有记录。

    FROM table [LEFT|RIGHT]JOIN table2

    ON table1.field1comparision table.field2

    用左连接来建立外部连接,在表达式的左边的表会显示其所有的数据

    例:不管有没有定货量,返回所有商品

    SELECT ProductName ,OrderID

    FROM Products

    LEFT JOIN Orders ON Products.PrductsID=Orders.ProductID

    右连接与左连接的差别在于:不管左侧表里有没有匹配的记录,它都从左侧表中返回所有记录。

    例:如果想了解客户的信息,并统计各个地区的客户分布,这时可以用一个右连接,即使某个地区没有客户,也要返回客户信息。

    空值不会相互匹配,可以通过外连接才能测试被连接的某个表的字段是否有空值。

    SELECT *

    FROM talbe1

    LEFT JOIN table2 ON table1.a=table2.c

    1 连接查询中使用Iif函数实现以0值显示空值

    Iif表达式: Iif(IsNull(Amount,0,Amout)

    例:无论定货大于或小于¥50,都要返回一个标志。

    Iif([Amount]>50,?Big order?,?Small order?)

    五. 分组和总结查询结果

    在SQL的语法里,GROUP BY和HAVING子句用来对数据进行汇总。GROUP BY子句指明了按照哪几个字段来分组,而将记录分组后,用HAVING子句过滤这些记录。

    GROUP BY 子句的语法

    SELECT fidldlist

    FROM table

    WHERE criteria

    [GROUP BY groupfieldlist [HAVING groupcriteria]]

    注:Microsoft Jet数据库 Jet 不能对备注或OLE对象字段分组。

    GROUP BY字段中的Null值以备分组但是不能被省略。

    在任何SQL合计函数中不计算Null值。

    GROUP BY子句后最多可以带有十个字段,排序优先级按从左到右的顺序排列。

    例:在‘WA’地区的雇员表中按头衔分组后,找出具有同等头衔的雇员数目大于1人的所有头衔。

    SELECT Title ,Count(Title) as Total

    FROM Employees

    WHERE Region = ‘WA’

    GROUP BY Title

    HAVING Count(Title)>1

    JET SQL 中的聚积函数

    聚集函数 意义

    SUM ( ) 求和

    AVG ( ) 平均值

    COUNT ( ) 表达式中记录的数目

    COUNT (* ) 计算记录的数目

    MAX 最大值

    MIN 最小值

    VAR 方差

    STDEV 标准误差

    FIRST 第一个值

    LAST 最后一个值

    六. 用Parameters声明创建参数查询

    Parameters声明的语法:

    PARAMETERS name datatype[,name datatype[, …]]

    其中name 是参数的标志符,可以通过标志符引用参数.

    Datatype说明参数的数据类型.

    使用时要把PARAMETERS 声明置于任何其他语句之前.

    例:

    PARAMETERS[Low price] Currency,[Beginning date]datatime

    SELECT OrderID ,OrderAmount

    FROM Orders

    WHERE OrderAMount>[low price]

    AND OrderDate>=[Beginning date]

    七. 功能查询

    所谓功能查询,实际上是一种操作查询,它可以对数据库进行快速高效的操作.它以选择查询为目的,挑选出符合条件的数据,再对数据进行批处理.功能查询包括更新查询,删除查询,添加查询,和生成表查询.

    1 更新查询

    UPDATE子句可以同时更改一个或多个表中的数据.它也可以同时更改多个字段的值.

    更新查询语法:

    UPDATE 表名

    SET 新值

    WHERE 准则

    例:英国客户的定货量增加5%,货运量增加3%

    UPDATE OEDERS

    SET OrderAmount = OrderAmount *1.1

    Freight = Freight*1.03

    WHERE ShipCountry = ‘UK’

    2 删除查询

    DELETE子句可以使用户删除大量的过时的或冗于的数据.

    注:删除查询的对象是整个记录.

    DELETE子句的语法:

    DELETE [表名.*]

    FROM 来源表

    WHERE 准则

    例: 要删除所有94年前的定单

    DELETE *

    FROM Orders

    WHERE OrderData<#94-1-1#

    3 追加查询

    INSERT子句可以将一个或一组记录追加到一个或多个表的尾部.

    INTO 子句指定接受新记录的表

    valueS 关键字指定新记录所包含的数据值.

    INSERT 子句的语法:

    INSETR INTO 目的表或查询(字段1,字段2,…)

    valueS(数值1,数值2,…)

    例:增加一个客户

    INSERT INTO Employees(FirstName,LastName,title)

    valueS(‘Harry’,’Washington’,’Trainee’)

    4 生成表查询

    可以一次性地把所有满足条件的记录拷贝到一张新表中.通常制作记录的备份或副本或作为报表的基础.

    SELECT INTO子句用来创建生成表查询语法:

    SELECT 字段1,字段2,…

    INTO 新表[IN 外部数据库]

    FROM 来源数据库

    WHERE 准则

    例:为定单制作一个存档备份

    SELECT *

    INTO OrdersArchive

    FROM Orders

    八. 联合查询

    UNION运算可以把多个查询的结果合并到一个结果集里显示.

    UNION运算的一般语法:

    [表]查询1 UNION [ALL]查询2 UNION …

    例:返回巴西所有供给商和客户的名字和城市

    SELECT CompanyName,City

    FROM Suppliers

    WHERE Country = ‘Brazil’

    UNION

    SELECT CompanyName,City

    FROM Customers

    WHERE Country = ‘Brazil’

    注:

    缺省的情况下,UNION子句不返回重复的记录.如果想显示所有记录,可以加ALL选项

    UNION运算要求查询具有相同数目的字段.但是,字段数据类型不必相同.

    每一个查询参数中可以使用GROUP BY 子句 或 HAVING 子句进行分组.要想以指定的顺序来显示返回的数据,可以在最后一个查询的尾部使用OREER BY子句.

    九. 交叉查询

    交叉查询可以对数据进行总和,平均,计数或其他总和计算法的计算,这些数据通过两种信息进行分组:一个显示在表的左部,另一个显示在表的顶部.

    Microsoft Jet SQL 用TRANSFROM语句创建交叉表查询语法:

    TRANSFORM aggfunction

    SELECT 语句

    GROUP BY 子句

    PIVOT pivotfield[IN(value1 [,value2[,…]]) ]

    Aggfounction指SQL聚积函数,

    SELECT语句选择作为标题的的字段,

    GROUP BY 分组

    说明:

    Pivotfield 在查询结果集中创建列标题时用的字段或表达式,用可选的IN子句限制它的取值.

    value代表创建列标题的固定值.

    例:显示在1996年里每一季度每一位员工所接的定单的数目:

    TRANSFORM Count(OrderID)

    SELECT FirstName&’’&LastName AS FullName

    FROM Employees INNER JOIN Orders

    ON Employees.EmployeeID = Orders.EmployeeID

    WHERE DatePart(“yyyy”,OrderDate)= ‘1996’

    GROUP BY FirstName&’’&LastName

    ORDER BY FirstName&’’&LastName

    POVOT DatePart(“q”,OrderDate)&’季度’

    十 .子查询

    子查询可以理解为 套查询.子查询是一个SELECT语句.

    1 表达式的值与子查询返回的单一值做比较

    语法:

    表达式 comparision [ANY|ALL|SOME](子查询)

    说明:

    ANY 和SOME谓词是同义词,与比较运算符(=,<,>,<>,<=,>=)一起使用.返回一个布尔值True或 False.ANY的意思是,表达式与子查询返回的一系列的值逐一比较,只要其中的一次比较产生True结果,ANY测试的返回 True值(既WHERE子句的结果),对应于该表达式的当前记录将进入主查询的结果中.ALL测试则要求表达式与子查询返回的一系列的值的比较都产生 True结果,才回返回True值.

    例:主查询返回单价比任何一个折扣大于等于25%的产品的单价要高的所有产品

    SELECT * FROM Products

    WHERE UnitPrice>ANY

    (SELECT UnitPrice FROM[Order Details] WHERE Discount>0.25)

     

    2 检查表达式的值是否匹配子查询返回的一组值的某个值

    语法:

    [NOT]IN(子查询)

    例:返回库存价值大于等于1000的产品.

    SELECT ProductName FROM Products

    WHERE ProductID IN

    (SELECT PrdoctID FROM [Order DEtails]

    WHERE UnitPrice*Quantity>= 1000)

     

    3检测子查询是否返回任何记录

    语法:

    [NOT]EXISTS (子查询)

    例:用EXISTS检索英国的客户

    SELECT ComPanyName,ContactName

    FROM Orders

    WHERE EXISTS

    (SELECT *

    FROM Customers

    WHERE Country = ‘UK’ AND

    Customers.CustomerID= Orders.CustomerID)

  • debian下多个网站配制

    为测试主机分配域名: www.mydebian.com

    创建配置文件

    在 /etc/apache2/sites-available/ 目录下创建站点配置文件 www.mydebian.com, 内容如下:

    <VirtualHost *:80>

    ServerAdmin admin@mydebian.com

    ServerName www.mydebian.com

    #Indexes+Directory Root

    Directoryindex index.html index.htm index.php

    DocumentRoot /var/www/www.mydebian.com/

    <Directory /var/www/www.mydebian.com/>

    Options Indexes FollowSymLinks MultiViews   #要禁止 Apache 显示目录结构列表,只需将 Option 中的 Indexes 去掉即可。

    AllowOverride None

    Order allow,deny

    allow from all

    </Directory>

    #CGI Directory

    ScriptAlias /cgi-bin/ /var/www/my.idcfirm.com/cgi-bin/

    <Location /cgi-bin>

    Options +ExecCGI

    </Location>

    # Logfiles

    ErrorLog /var/log/apache2/www_mydebian_com_error.log

    LogLevel warn

    CustomLog /var/log/apache2/www_mydebian_com_access.log combined

    ServerSignature On

    </VirtualHost>

    启用配置

    a2ensite www.mydebian.com(建立对应链接)

    a2dissite www.mydebian.com(删除对应链接)

    这时你会在/etc/apache2/sites-enabled目录下创建了一个对应符号连接

    设置站点网页文件

    创建/var/www/www.mydebian.com/目录:

    cd /var/www

    mkdir www.mydebian.com

    应用生效

    /etc/init.d/apache2 reload

    chown www-data.www-data -R /var/www #添加目录所有者

    chmod 700 -R /var/www #设置目录权限

    在客户端浏览器输入服务器IP地址,可以看到相关的配置信息!

    备注:

    apache2默认站点目录是:/var/www

    权限设置:chown www-data.www-data -R /var/www

    apache2虚拟主机配置文件:/etc/apache2/sites-enabled/000-default #虚拟主机配置文件

    MySQL数据库目录是:/var/lib/mysql

    权限设置:chown mysql.mysql -R /var/lib/mysql

    如果要禁止IP直接访问网站,可以把网站默认的配置文件ServerName 直接指向IP地址,然后把目录指向一个空目录即可。

    去掉apache2的版本号及其它信息:直接在apache2.conf文件加

    ServerSignature Off

    ServerTokens Prod

     

  • 在Debian上安装Apache2 PHP5 MySQL5 phpmyadmin

    使用Debian确实是省心又省力,基本你只需要会用aptitude install就可以了,其它的事情,Debian全帮你做好了。在Debian上安装Apache Web服务器以及PHP5和MySQL非常简单,只需要按照下面的步骤:

    安装Apache2:

    aptitude install apache2

    这件命令安装apache服务器,安装完成后,Apache服务器的配置文件在/etc/apache2/,缺省的web服务器根目录在/var/www/,安装完后,你在浏览器的地址栏输入http://localhost/,如果可以看到It works!这样的内容,那么你的web服务器已经运行起来了。

    接下来安装PHP5和MySQL5、Curl(HTTP工具)、IMAP(邮件检查)、GD (编辑和创建图像):

    aptitude install libapache2-mod-php5 php5-curl php5-gd php5-imap php5-mcrypt php5-mysql php5-tidy

    接下来安装MySQL5服务器和客户端:

    aptitude install mysql-server mysql-client

    MySQL的配置文件在/etc/mysql/my.cnf,在安装MySQL服务器的时候,会要求你输入root密码。

    最后,安装PHPMyAdmin工具:

    aptitude install phpmyadmin

    PHPMyAdmin会自动配置Apache服务器,安装完后,可以直接输入http://localhost/phpmyadmin/来访问PHPMyAdMin。

    我们可以查看一下PHP的信息,以确信PHP已经运行起来了:

    使用编辑器输入以下内容,把它保存成/var/www/phpinfo.php:

    <?php phpinfo(); ?>

    然后在浏览器地址栏输入http://localhost/phpinfo.php,你就可以看到PHP有关的配置信息。