## 一 Linux守護進程 Linux 服務器在啟動時需要啟動很多系統服務，它們向本地和網絡用戶提供了Linux的系統功能接口，直接面向應用程序和用戶。提供這些服務的程序是由運行在后臺的守護進程來執行的。守護進程是生存期長的一種進程。它們獨立于控制終端并且周期性的執行某種任務或等待處理某些發生的事件。他們常常在系統引導裝入時啟動，在系統關閉時終止。linux系統有很多守護進程，大多數服務器都是用守護進程實現的。同時，守護進程完成許多系統任務，比如，作 業規劃進程crond、打印進程lqd等。有些書籍和資料也把守護進程稱作：“服務”。 守護進程，也就是指daemon和service。 ## 二 Linux守護進程的分類 根據守護進程的啟動和管理方式，可以分為獨立啟動守護進程和超級守護進程兩類 獨立啟動（stand_alone):該類進程啟動后就常駐內存，所以會一直占用系統資源。其最大的優點就是它會一直啟動，當外界有要求時相應速度較快，像httpd等進程； 超級守護進程：系統啟動時由一個統一的守護進程xinet來負責管理一些進程，當相應請求到來時需要通過xinet的轉接才可以喚醒被xinet管理的進程。這種進程的優點時最初只有xinet這一守護進程占有系統資源，其他的內部服務并不一直占有系統資源，只有數據包到來時才會被xinet管理員來喚醒。并且我們還可以通過xinet來對它所管理的進程設置一些訪問權限，相當于多了一層管理機制。 如果用兩個比喻來形容兩類守護進程的話一般會用銀行的業務處理窗口來類比： 獨立啟動：銀行里有一種單服務的窗口，像取錢，存錢等窗口，這些窗口邊上始終會坐著一個人，如果有人來取錢或存錢，可以直接到相應的窗口去辦理，這個處理單一服務的始終存在的人就是獨立啟動的守護進程； 超級守護進程：銀行里還有一種窗口，提供綜合服務，像匯款，轉賬，提款等業務；這種窗口附近也始終坐著一個人（xinet），她可能不提供具體的服務，提供具體服務的人在里面閑著聊天啊，喝茶啊，但是當有人來匯款時他會大聲喊一句，小王，有人匯款啦，然后里面管匯款的小王會立馬跑過來幫忙辦完匯款業務。其他的人繼續聊天，喝茶。這些負責具體業務的人我們就稱之為超級守護進程。當然可能匯款人會有一些規則，可能不能往北京匯款，他就會提早告訴xinet，所以如果有人來匯款想匯往北京的話，管理員就直接告訴他這個我們這里辦不到的，于是就根本不會去喊匯款員了，相當于提供了一層管理機制。針對這種窗口還存在多線程和單線程的區別：多線程：將所有用戶的要求都提上來，里面的人都別閑著了，都一起干活吧； 單線程：大家都排好隊了，一個一個來，里面的人同一時間只有一個人在工作。 這里需要注意的是超級守護進程的管理員xinet也是一個守護進程，只不過它的任務就是傳話，其實這也是一個很具體很艱巨的任務哦。 當然每個守護進程都會監聽一個端口（銀行窗口），一些常用守護進程的監聽端口是固定的，像httpd監聽80端口， sshd監聽22端口等；我們可以將其理解為責任制，時候等待，有求必應。具體的端口信息可以通過cat /etc/services來查看。 ## 三、Linux守護進程管理工具 Linux提供了三種不同的守護進程管理工具：redhat－config－services、ntsysv、chkconfig，可以根據具體需要靈活運用。 ~~~ # service iptables status #查看相應服務的狀態，用service需要服務在/etc/init.d/目錄中存在 # netstat -tulp #會列出相應的服務及其監聽的端口號等，若加n參數會列出端口號 ~~~ #chkconfig --list |grep 服務名 #會列出現在當前服務的各種狀態，包括在不同運行級別下的啟情況，分為上線兩部分，上部分是獨立啟動的服務，你會看到xinetd也在，下面部分是有inet管理的超級守護進程，沒有運行級別可分的。 ## 四 Linux守護進程的運行方式 1．獨立運行（stand-alone）的守護進程 獨立運行的守護進程由init腳本負責管理，所有獨立運行的守護進程的腳本在/etc/rc.d/init.d/目錄下。系統服務都是獨立運行的守護進程，包括syslogd和cron等。獨立運行的守護進程的工作方式稱做stand-alone，它是UNIX傳統的C/S模式的訪問模式。stand-alone模式的工作原理如圖4-4所示。  工作在stand-alone模式下的網絡服務有xinetd、route、gated，另外還有Web服務器Apache和郵件服務器Sendmail、域名服務器Bind。在Linux系統中通過stand-alone模式啟動的服務由/etc/rc.d/下面對應的運行級別當中的符號鏈接啟動。 2．xinetd模式運行獨立的守護進程 從守護進程的概念可以看出，對于系統所要通過的每一種服務，都必須運行一個監聽某個端口連接所發生的守護進程，這通常意味著資源浪費。為了解決這個問題，Linux引進了"網絡守護進程服務程序"的概念。Red Hat Linux 9.0使用的網絡守護進程是xinted（eXtended InterNET daemon）。xinetd能夠同時監聽多個指定的端口，在接受用戶請求時，它能夠根據用戶請求的端口的不同，啟動不同的網絡服務進程來處理這些用戶請求。可以把xinetd看做一個管理啟動服務的管理服務器，它決定把一個客戶請求交給哪個程序處理，然后啟動相應的守護進程。xinetd無時不在運行并監聽它所管理的所有端口上的服務。當某個要連接它管理的某項服務的請求到達時，xinetd就會為該服務啟動合適的服務器。xinetd模式的工作原理如圖4-5所示。  3. xinetd和stand-alone工作模式相比，系統不想要每一個網絡服務進程都監聽其服務端口，運行單個xinetd就可以同時監聽所有服務端口，這樣就降低了系統開銷，保護系統資源。但是對于訪問量大、經常出現并發訪問的情況，xinetd則要頻繁啟動相應的網絡服務進程，反而會導致系統性能下降。查看系統為Linux服務提供哪種工作模式，可以在Linux命令行中使用pstree命令，就能看到兩種不同模式啟動的網絡服務。一般來說系統中一些負載高的服務，Sendmail、Apache服務是單獨啟動的；而其他服務類型都可以使用xinetd超級服務器管理。 ## 五 Xinetd 1．什么是xinetd xinetd即extended internet daemon，xinetd是新一代的網絡守護進程服務程序，又叫超級Internet服務器。經常用來管理多種輕量級Internet服務。xinetd提供類似于inetd+tcp_wrapper的功能，但是更加強大和安全。 2. xinetd的特色 1) 強大的存取控制功能 — 內置對惡意用戶和善意用戶的差別待遇設定。 — 使用libwrap支持，其效能更甚于tcpd。 — 可以限制連接的等級，基于主機的連接數和基于服務的連接數。 — 設置特定的連接時間。 — 將某個服務設置到特定的主機以提供服務。 2) 有效防止DoS攻擊 — 可以限制連接的等級。 — 可以限制一個主機的最大連接數，從而防止某個主機獨占某個服務。 — 可以限制日志文件的大小，防止磁盤空間被填滿。 3) 強大的日志功能 — 可以為每一個服務就syslog設定日志等級。 — 如果不使用syslog，也可以為每個服務建立日志文件。 — 可以記錄請求的起止時間以決定對方的訪問時間。 — 可以記錄試圖非法訪問的請求。 4) 轉向功能 可以將客戶端的請求轉發到另一臺主機去處理。 5) 支持IPv6 xinetd自xinetd 2.1.8.8pre*起的版本就支持IPv6，可以通過在./configure腳本中使用with-inet6 capability選項來完成。注意，要使這個生效，核心和網絡必須支持IPv6。當然IPv4仍然被支持。 6) 與客戶端的交互功能 無論客戶端請求是否成功，xinetd都會有提示告知連接狀態。 3. Xinetd的缺點 當前，它最大的缺點是對RPC支持的不穩定性，但是可以啟動protmap，使它與xinetd共存來解決這個問題。 4 使用xinetd啟動守護進程 原則上任何系統服務都可以使用xinetd，然而最適合的應該是那些常用的網絡服務，同時，這個服務的請求數目和頻繁程度不會太高。像DNS和Apache就不適合采用這種方式，而像FTP、Telnet、SSH等就適合使用xinetd模式，系統默認使用xinetd的服務可以分為如下幾類。 ① 標準Internet服務：telnet、ftp。 ② 信息服務：finger、netstat、systat。 ③ 郵件服務：imap、imaps、pop2、pop3、pops。 ④ RPC服務：rquotad、rstatd、rusersd、sprayd、walld。 ⑤ BSD服務：comsat、exec、login、ntalk、shell、talk。 ⑥ 內部服務：chargen、daytime、echo、servers、services、time。 ⑦ 安全服務：irc。 ⑧ 其他服務：name、tftp、uucp。 5. 解讀xinet的配置文件/etc/services, /etc/xinetd.conf和/etc/xinetd.d/* 0）/etc/services 在/etc/services 中設置了xinetd下的service對應的端口，例如： ~~~ $ cat /etc/services | grep rsync rsync 873/tcp # rsync rsync 873/udp # rsync ~~~ 1) /etc/xinetd.conf xinetd的配置文件是/etc/xinetd.conf，但是它只包括幾個默認值及/etc/xinetd.d目錄中的配置文件。如果要啟用或禁用某項xinetd服務，編輯位于/etc/xinetd.d目錄中的配置文件。例如，disable屬性被設為yes，表示該項服務已禁用；disable屬性被設為no，表示該項服務已啟用。/etc/xinetd.conf有許多選項，下面是RHEL 4.0的/etc/xinetd.conf。 ~~~ # Simple configuration file for xinetd # Some defaults, and include /etc/xinetd.d/ defaults { instances = 60 log_type = SYSLOG authpriv log_on_success = HOST PID log_on_failure = HOST cps = 25 30 } includedir /etc/xinetd.d ~~~ — instances = 60：表示最大連接進程數為60個。 — log_type = SYSLOG authpriv：表示使用syslog進行服務登記。 — log_on_success= HOST PID：表示設置成功后記錄客戶機的IP地址的進程ID。 — log_on_failure = HOST：表示設置失敗后記錄客戶機的IP地址。 — cps = 25 30：表示每秒25個入站連接，如果超過限制，則等待30秒。主要用于對付拒絕服務攻擊。 — includedir /etc/xinetd.d：表示告訴xinetd要包含的文件或目錄是/etc/xinetd.d。 2) /etc/xinetd.d/* 下面以/etc/xinetd.d/中的一個文件（rsync）為例。 ~~~ service rsync { disable = yes socket_type = stream wait = no user = root server = /usr/bin/rsync log_on_failure += USERID } ~~~ 下面說明每一行選項的含義。 — disable = yes：表示禁用這個服務。 — socket_type = stream：表示服務的數據包類型為stream。 — wait = no：表示不需等待，即服務將以多線程的方式運行。 — user = root：表示執行此服務進程的用戶是root。 — server = /usr/bin/rsync：啟動腳本的位置。 — log_on_failure += USERID：表示設置失敗時，UID添加到系統登記表。 5 配置xinetd 1) 格式 /etc/xinetd.conf中的每一項具有下列形式： ~~~ service service-name { …… } ~~~ 其中service是必需的關鍵字，且屬性表必須用大括號括起來。每一項都定義了由service-name定義的服務。 service-name是任意的，但通常是標準網絡服務名，也可增加其他非標準的服務，只要它們能通過網絡請求激活，包括localhost自身發出的網絡請求。有很多可以使用的屬性，稍后將描述必需的屬性和屬性的使用規則。 操作符可以是=、+=或-=。所有屬性可以使用=，其作用是分配一個或多個值，某些屬性可以使用+=或-=，其作用分別是將其值增加到某個現存的值表中，或將其值從現存值表中刪除。 2) 配置文件 相關的配置文件如下： ~~~ /etc/xinetd.conf /etc/xinetd.d/* //該目錄下的所有文件 /etc/hosts.allow /etc/hosts.deny ~~~ 3)/etc/xinetd.conf中的disabled與enabled 前者的參數是禁用的服務列表，后者的參數是啟用的服務列表。他們的共同點是格式相同（屬性名、服務名列表與服務中間用空格分開，例如disabled = in.tftpd in.rexecd），此外，它們都是作用于全局的。如果在disabled列表中被指定，那么無論包含在列表中的服務是否有配置文件和如何設置，都將被禁用；如果enabled列表被指定，那么只有列表中的服務才可啟動，如果enabled沒有被指定，那么disabled指定的服務之外的所有服務都可以啟動。 4) 注意問題 ① 在重新配置的時候，下列的屬性不能被改變：socket_type、wait、protocol、type； ② 如果only_from和no_access屬性沒有被指定（無論在服務項中直接指定還是通過默認項指定），那么對該服務的訪問IP將沒有限制； ③ 地址校驗是針對IP地址而不是針對域名地址。 6 xinetd防止拒絕服務攻擊（Denial of Services）的原因 xinetd能有效地防止拒絕服務攻擊（Denial of Services）的原因如下。 1) 限制同時運行的進程數 通過設置instances選項設定同時運行的并發進程數： instances＝20 當服務器被請求連接的進程數達到20個時，xinetd將停止接受多出部分的連接請求。直到請求連接數低于設定值為止。 2) 限制一個IP地址的最大連接數 通過限制一個主機的最大連接數，從而防止某個主機獨占某個服務。 per_source＝5 這里每個IP地址的連接數是5個。 3) 限制日志文件大小，防止磁盤空間被填滿 許多攻擊者知道大多數服務需要寫入日志。入侵者可以構造大量的錯誤信息并發送出來，服務器記錄這些錯誤，可能就造成日志文件非常龐大，甚至會塞滿硬盤。同時會讓管理員面對大量的日志，而不能發現入侵者真正的入侵途徑。因此，限制日志文件大小是防范拒絕服務攻擊的一個方法。 log_type FILE.1 /var/log/myservice.log 8388608 15728640 這里設置的日志文件FILE.1臨界值為8MB，到達此值時，syslog文件會出現告警，到達15MB，系統會停止所有使用這個日志系統的服務。 4) 限制負載 xinetd還可以使用限制負載的方法防范拒絕服務攻擊。用一個浮點數作為負載系數，當負載達到這個數目的時候，該服務將暫停處理后續的連接。 max_load = 2.8 上面的設定表示當一項系統負載達到2.8時，所有服務將暫時中止，直到系統負載下降到設定值以下。 說明 要使用這個選項，編譯時應加入“--with-loadavg”，xinetd將處理max-load配置選項，從而在系統負載過重時關閉某些服務進程，來實現防范某些拒絕服務攻擊。 5) 限制所有服務器數目（連接速率） xinetd可以使用cps選項設定連接速率，下面的例子： cps = 25 60 上面的設定表示服務器最多啟動25個連接，如果達到這個數目將停止啟動新服務60秒。在此期間不接受任何請求。 6) 限制對硬件資源的利用 通過rlimit_as和rlimit_cpu兩個選項可以有效地限制一種服務對內存、中央處理器的資源占用： rlimit_as = 8M rlimit_cpu=20 上面的設定表示對服務器硬件資源占用的限制，最多可用內存為8MB，CPU每秒處理20個進程。 xinetd的一個重要功能是它能夠控制從屬服務可以利用的資源量，通過它的以上設置可以達到這個目的，有助于防止某個xinetd服務占用大量資源，從而導致“拒絕服務”情況的出現。 ## 六 Service命令 Linux的service命令就是查看和控制所有的獨立啟動的守護進程。 這個命令不是在所有的linux發行版本中都有。主要是在redhat系linux中。service此命令位于/sbin/service，用file命令查看此命令會發現它是一個腳本命令。分析腳本可知此命令的作用是去/etc/init.d目錄下尋找相應的服務，進行開啟和關閉等操作。例如service mysqld stop等價于/etc/init.d/mysqld stop。 七 xinetd本身也是一個獨立的守護進程，在/etc/init.d/xinetd。 參考： http://book.51cto.com/art/200906/127264.htm http://wordpress.facesoho.com/server/what-is-xinetd.html http://wbwk2005.blog.51cto.com/2215231/400260 http://hi.baidu.com/neubuffalo/blog/item/3d48148291be90b76d8119e1.html