A. 使用ssh config作为ssh代理轻松管理内网服务器
企业内部大部分服务器都只有内网，一般可以使用NAT方式正向代理访问公网资源。对于linux来说一般通过ssh登录服务器，在没有公网IP的情况下可以修改ssh config配置文件，利用一台可以接入内网并具有公网IP的服务器作为代理或者称为Tunnel跳板机来管理，可以灵活定制访问规则并优化ssh参数让管理更加轻松。
2019年01月31日 - 初稿
阅读原文 - https://wsgzao.github.io/post/ssh-config/
扩展阅读
SSH CONFIG FILE - https://www.ssh.com/ssh/config/
ssh程序可以从三个途径获取配置参数：
上面三个途径，前面的途径传入的参数可以覆盖后面的途径传入的参数（与 linux 里的大部分应用类似）。因为/etc/ssh/ssh_config 会影响 ssh 全局的配置，因此如果想对多主机进行管理（不影响别人的情况下），可以考虑修改自己家目录下的~/.ssh/config 文件（~ 字符表示当前登录用户的家目录）。
首先看一个配置文件的 demo，假设8.8.8.8是你可以直接登录的Tunnel公网跳板机，10.65.32.0是需要管理的内网地址段，前提是8.8.8.8和内网服务器的防火墙策略均已配置正确，这里就不再赘述。
CheckHostIP no，禁用known_hosts检查
Directs ssh to additionally check the host IP address in the known_hosts file.
StrictHostKeyChecking no，跳过known_hosts写入
Specifies if ssh should never automatically add host keys to the ~/.ssh/known_hosts file, and refuses to connect to hosts whose host key has changed.
Host 字段
Host 字段配置了登录别名，这里需要注意的是，Host 是支持通配符的， * 代表 0～n 个非空白字符，? 代表一个非空白字符，! 表示例外通配
HostName 字段
指定远程主机名，可以直接使用 IP 地址。如果这个字段中包含 ‘%h’ ，则实际使用时会被命令行中的主机名替换
User 字段
指定登录用户名
IdentityFile 字段
指定密钥认证使用的私钥文件路径。默认为 ~/.ssh/id_rsa。这个字段可以指定多个密钥文件（以 , 分开），在连接的过程中会依次尝试这些密钥文件。和 HostName 字段一样，值也可以直接指定参数代替：
Port 字段
指定远程主机端口号，默认为 22 。
%h，远程主机名
%p，远程端口
SSH使用密钥登录并禁止口令登录实践 - https://wsgzao.github.io/post/ssh/
玩转 SSH 端口转发 - https://blog.fundebug.com/2017/04/24/ssh-port-forwarding/
B. 如何在linux上用squid搭建代理服务器
squid是所有服务里面最简单的我觉得
以RHEL7为例，它分成了正向代理和反向代理，正向代理里又分“标准正向代理”，“ACL访问控制”以及“透明正向代理”。下面是标准正向代理
16.3 正向代理
16.3.1 标准正向代理
Squid服务程序软件包在正确安装并启动后默认就已经可以为用户提供标准正向代理模式服务了，而不需要单独再去修改配置文件或者其他操作，咱们可以立即在Windows7系统的客户端主机上面打开任意一款浏览器，然后点击Internet选项标签，如图16-4所示：
[root@linuxprobe ~]# systemctl restart squid
[root@linuxprobe ~]# systemctl enable squid
ln -s '/usr/lib/systemd/system/squid.service' '/etc/systemd/system/multi-user.target.wants/squid.service'
用户要想使用Squid服务程序提供的标准正向代理模式服务就必须在浏览器中填写服务器的IP地址以及端口号信息，因此咱们还需要依次点击连接标签后点击局域网设置选项，如图16-5与图16-6所示填写服务器信息后保存退出配置向导。
图16-5 点击连接标签中的局域网设置按钮
图16-6 正确填写代理服务器的IP地址与端口号信息
用户只需要在浏览器中简单的填写配置信息就可以开始享用Squid服务程序提供的代理服务了，此时作为一个网卡为仅主机模式（Hostonly）的虚拟机，开始也奇迹般的能够上网浏览了，这一切都是托代理服务器转发的功劳哦~如图16-7所示：
图16-7 正常浏览在线书籍学习站点
如此公开而没有密码验证的代理服务终归觉得不放心，万一有其他人也来“蹭网”咱们的代理服务怎么办呢？Squid服务程序默认的会占用3128、3401与4827等端口号，咱们可以将默认占用的端口号修改成其他值，这样应该能起到一定的保护作用吧~同学们都知道在Linux系统配置服务程序就是在修改该服务的配置文件，因此直接在/etc目录中找到和squid服务程序同名目录中的配置文件，把其中http_port参数后面原有3128修改为10000，这样即是将Squid服务程序的代理服务端口修改成了新值，当然最后不要忘记再重启下服务程序哦~：
[root@linuxprobe ~]# vim /etc/squid/squid.conf
………………省略部分输出信息………………
45 #
46 # INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS
47 #
48
49 # Example rule allowing access from your local networks.
50 # Adapt localnet in the ACL section to list your (internal) IP networks
51 # from where browsing should be allowed
52 http_access allow localnet
53 http_access allow localhost
54
55 # And finally deny all other access to this proxy
56 http_access deny all
57
58 # Squid normally listens to port 3128
59 http_port 10000
60
http_port 10000
………………省略部分输出信息………………
[root@linuxprobe ~]# systemctl restart squid
[root@linuxprobe ~]# systemctl enable squid
ln -s '/usr/lib/systemd/system/squid.service' '/etc/systemd/system/multi-user.target.wants/squid.service'
同学们有没有突然觉得这一幕似曾相识？在前面的第十章10.5.3小节咱们学习过基于端口号来部署httpd服务程序的虚拟主机功能，当时在编辑完配置文件后重启服务程序时被直接提示报错了，虽然现在重启服务程序并没有直接报错，但其实客户并不能使用代理服务呢，SElinux安全子系统认为Squid服务程序使用3128端口号是理所应当的，默认策略规则中也是允许的，但现在却在尝试使用新的10000端口号，这是原本并不属于Squid服务程序应该使用的系统资源，因此咱们需要手动把新的端口号添加到squid服务程序在SElinux域的允许列表中即可：
[root@linuxprobe ~]# semanage port -l | grep -w -i squid_port_t
squid_port_t tcp 3128, 3401, 4827
squid_port_t udp 3401, 4827
[root@linuxprobe ~]# semanage port -a -t squid_port_t -p tcp 10000
[root@linuxprobe ~]# semanage port -l | grep -w -i squid_port_t
squid_port_t tcp 10000, 3128, 3401, 4827
squid_port_t udp 3401, 4827
更多的图文信息以及其他的代理方式你可以看下http://www.linuxprobe.com/chapter-16.html#161这篇，讲的非常详细，相信能解决你的问题
C. linux服务器如何使用代理
不同的代理服务器设置略有 不同，具体分类操作如下：
设置HTTP及HTTPS代理
对于http及https类型的请求，可以通过设置http_proxy或。方法是export http_proxy=http://proxyaddress:port。
可以写在$HOME/.bash_profile或/etc/profile中。
设置tsocks代理
见：http://renyongjie668.blog.163.com/blog/static/16005312011824112410588/
有了tsocks代理，其实后面其他设置方式都不是很重要了，几乎都可以用tsocks来做。
设置SSH代理
同样用tsocks来实现代理。
Ubuntu中apt-get代理设置
新版的Ubuntu已经不支持export http_proxy就能给apt-get设置代理的方式了。这种方法要用到/etc/apt/文件夹下的apt.conf文件。注意： 某些情况下，系统安装过程中没有建立apt配置文件。下面的操作将视情况修改现有的配置文件或者新建配置文件。
sudo vi /etc/apt/apt.conf
在您的apt.conf文件中加入下面这行（根据你的实际情况替换yourproxyaddress和proxyport）。
Acquire::http::Proxy "http://proxyaddress:port";
如果需要用户名密码登陆：
Acquire::http::Proxy "http://username:password@proxyaddress:port";
保存apt.conf文件。（其他的协议自己可以适当修改）
D. linux各种代理
1.代理软件
2.系统设置
1.http 代理
2.docker代理
3.pip代理
...
写得不错的，参考
https://www.jianshu.com/p/e3b7d1c9c9f1
E. 如何在Linux下使用代理服务器
linux自带firefox 打开FireFox，编辑->首选项->常规->连接 设置FF访问因特网的方式 连接设置 手动配置代理 然后输入代理服务器IP和端口号即可。
F. linux 如何设置代理
linux设置代理linux系统设置yum,wget,rpm命令使用代理：1.Using
yum
with
a
proxyserver---------------------------------------To
enable
yum
operations
to
use
aproxy
server
you
should
first
add
the
following
parameter
to
/etc/yum.conf
proxy=http://yourproxy:8080/
where
yourproxy
is
the
name
of
the
proxy
server
you
want
to
access
and
8080
isthe
proxy
port.
If
the
server
requires
authentication
you
can
specify
the
logincredentials
like:proxy=http://username:password@yourproxy:8080/---------------------------------------2.
The
rpm
package
manager
makesuse
of
the
proxy
environment
variable.
This
can
be
set
system
wide
in
/etc/profile
or
user
specific
in
~/.bash_profile:export
http_proxy=http://yourproxy:8080/export
ftp_proxy=http://yourproxy:8080/---------------------------------------3.
To
use
wget
throug
a
proxy
serveradd
the
following
lines
to
/etc/wgetrc
http_proxy
=
http://yourproxy:8080/
ftp_proxy
=
http://yourproxy:8080/
G. linux apache是否有正向代理
1. 正向代理
配置正向代理很简单，此处我们配置vhost来实现代理, 只需要在浏览器的Proxy选项里加入你的Apache配置的vHost主机即可
1.1 开启Apache代理模块并引入vhost配置文件
早http.conf开启代理模块
LoadMole proxy_mole moles/mod_proxy.so
LoadMole proxy_connect_mole moles/mod_proxy_connect.so
LoadMole proxy_ftp_mole moles/mod_proxy_ftp.so
LoadMole proxy_http_mole moles/mod_proxy_http.so
引入vhost文件
Include conf/extra/httpd-vhosts.conf
如果你想监听别的端口, 修改Listen参数
Listen 80
Listen 8087
Listen 8088
将想监听的端口全都写上,相应的, 在vhost文件里写上
NameVirtualHost *:80
NameVirtualHost *:8087
NameVirtualHost *:8088
NameVirtualHost表示vhost匹配的请求的ip和端口那些会取扫描vhost
1.1 Apache配置 httpd-vhosts.conf（以Windows下为例）
<VirtualHost *:80>
ServerAdmin [email protected]
DocumentRoot "D:/www/test"
ServerName www.test.com
ServerAlias test.com
ErrorLog "logs/test.com-error.log"
CustomLog "logs/test.com-access.log" common
Alias /sublook "D:/www/test/look/sublook/"
<Directory "D:/www/test">
Options FollowSymLinks
AllowOverride All
Order allow,deny
Allow from all
</Directory>
#正向代理设置
ProxyRequests On
ProxyVia On
<Proxy *>
Order deny,allow
Deny from all
Allow from 127.0.0.1
</Proxy>
</VirtualHost>
先看
<VirtualHost *:80>
VirtualHost 后面的参数表示的是该VHost的IP/域名/和端口, 你可以写 :
(1) IP: port, 例如 <VirtualHost 175.2.22.65:8088>, 访问的时候通过IP访问
(2) Domain, 例如 <VirtualHost www.test1.com>, 访问的时候通过域名访问, 也可以指定里面的ServerName来指定域名
(3) *, 表示匹配所有对Apache监听主机的请求, 只要是apache监听到的请求都可以匹配该虚拟主机
此处表示的就是监听所有80端口的请求, 但是由于ServerName里写了www.test.com, 所以这个vhost匹配的是www.test.com:80,
现在看正向代理设置那一段
ProxyRequests On：开启Apache正向代理
ProxyVia On：控制位于代理服务器链中的代理请求的流向
引用Apache2.2官方文档中对ProxyVia的解释如下：
如果设置为默认值Off ，将不会采取特殊的处理。如果一个请求或应答包含"Via:"头，将不进行任何修改而直接通过。
如果设置为On每个请求和应答都会对应当前主机得到一个"Via:"头。
如果设置为Full ，每个产生的"Via:"头中都会额外加入Apache服务器的版本，以"Via:"注释域出现。
如果设置为Block ，每个代理请求中的所有"Via:"头行都将被删除。且不会产生新的"Via:"头。
<Proxy *>...</Proxy>：用来控制谁可以访问你的代理
1 <Proxy *>
2 Order deny,allow
3 Deny from all
4 Allow from 127.0.0.1
5 </Proxy>
此处设置为本机可以使用代理，真正使用的时候就自己设置了
H. Linux命令
快照功能：记录当前的硬盘的状态。刚建快照时快照占用内存为0，标记了当前硬盘的存储状态。当虚拟机对快照标记的内容改写时，会将改写的内容存储进快照，与未改写的部分整合得到完整的快照。当快照标记的部分被完全改写，那么快照存储空间完整记录了当时拍摄时的内存状态。
参数形式
第一种：参数用一横的说明后面的参数是字符形式。
第二种：参数用两横的说明后面的参数是单词形式。
第三种：参数前有横的是 System V风格。
第四种：参数前没有横的是 BSD风格。
cat、more、less、head、tail命令的比较：
cat命令可以一次显示整个文件，如果文件比较大，使用不是很方便；
more命令可以让屏幕在显示满一屏幕时暂停，按空格往前翻页，按b往后翻页。
less命令也可以分页显示文件，和more命令的区别就在于： 支持上下键卷动屏幕、查找；不需要在一开始就读取整个文件，打开大文件时比more、vim更快。
head命令用于查看文件的前n行。
tail命令用于查看文件的后n行，加上-f命令，查看在线日志非常方便，可以打印最新增加的日志。
一般模式：
编辑模式：
命令模式：
编码
多行操作(列编辑模式)
插入：ctrl+v进入列编辑模式，上下移动光标选择需要插入的位置，然后输入大写I，输入需要文本，最后按esc键退出，就会发现文本会在选择的多行中插入。
删除：ctrl+v进入列编辑模式，上下移动光标选中需要删除的部分，然后按d，就会删除选中的内容。
①head：显示文件头部内容
②tail：输出文件尾部内容
注意：用vim和vi修改内容会删除源文件并生成新文件，所以tail -f会失效。需要用到
追加和覆盖语句（>或>>），才能被tail -f监视到。
一般用于查看小文件
查看压缩文件中的文本内容
例：
①more：文件内容分屏查看器
②less：分屏显示文件内容，效率比more高
1、简单读取
运行脚本如下
测试结果为：
2、-p 参数，允许在 read 命令行中直接指定一个提示。
运行脚本如下
测试结果为：
echo [选项] [输出内容] （输出内容到控制台）
输出给定文本的sha256加密后的内容
①显示当前时间信息
②显示当前时间年月日
③显示当前时间年月日时分秒
④显示昨天
⑤显示明天时间
⑥显示上个月时间
需要注意的是取下个月的命令存在bug，执行如下命令会得到21-10，但是正常应该得到21-09，需要注意
date -d "2021-08-31 +1 month" +%y-%m
⑦修改系统时间
⑧获取当前时间戳
获取秒时间戳： date +%s
获取毫秒时间戳：$[ (date +%s%N) /1000000]
查看日历
（1）查看当前月的日历
（2）查看2017年的日历
例：
对比gzip/gunzip，zip/unzip可以压缩文件和目录且保留源文件。
①zip：压缩
②unzip：解压缩
只能压缩文件不能压缩目录，不保留原来的文件。
gzip 文件 （只能将文件压缩为*.gz文件）
gunzip 文件.gz （解压缩文件命令）
例： crontab -e
（1）进入crontab编辑界面。会打开vim编辑你的工作。
（2）每隔1分钟，向/root/longma.txt文件中添加一个11的数字
*/1 * * * * /bin/echo ”11” >> /root/longma.txt
（3）可以用tail -f 目标文件来实施监控追加的内容
查看日志
可以用tail -f /var/log/cron.log观察
Cron表达式见文章： https://www.jianshu.com/writer#/notebooks/46619194/notes/75177408
ls [选项] [目录或是文件]
cd [参数]
例： cd -P $(dirname $p1) ； pwd 先跳转到文件的所在目录，再打印$p1文件的实际路径
概述
①cp（）：只能在本机中复制
②scp（secure ）：可以复制文件给远程主机
scp -r test.sh hxr@hadoop102:/root
③rsync（remote sync）：功能与scp相同，但是不会改文件属性
rsync -av test.sh test.sh hxr@hadoop102:/root
④nc（netcat）：监听端口，可以实现机器之间传输文件。
nc -lk 7777 (-l表示listen，-k表示keep)
强制覆盖不提示的方法：cp
例：scp -r test.sh hxr@bigdata1:/root
例：rsync -av test.sh hxr@bigdata1:/root
例：
nc -lp 10000 > nc_test.txt
nc -w 1 hadoop102 < nc_test.txt
远程登录时默认使用的私钥为~/.ssh/id_rsa
生成密钥对
将公钥发送到本机
将密钥发送到需要登录到本机的服务器上
修改密钥的权限
远程登陆
如果有多个节点需要远程登陆，可以在.ssh下创建config并输入
再次登陆
①正向代理：
②反向代理：
所谓“反向代理”就是让远端启动端口，把远端端口数据转发到本地。
HostA 将自己可以访问的 HostB:PortB 暴露给外网服务器 HostC:PortC，在 HostA 上运行：
那么链接 HostC:PortC 就相当于链接 HostB:PortB。
使用时需修改 HostC 的 /etc/ssh/sshd_config 的一条配置如下，不然启动的进程监听的ip地址为127.0.0.1，即只有本机可以访问该端口。
相当于内网穿透，比如 HostA 和 HostB 是同一个内网下的两台可以互相访问的机器，HostC是外网跳板机，HostC不能访问 HostA，但是 HostA 可以访问 HostC。
那么通过在内网 HostA 上运行 ssh -R 告诉 HostC，创建 PortC 端口监听，把该端口所有数据转发给我（HostA），我会再转发给同一个内网下的 HostB:PortB。
同内网下的 HostA/HostB 也可以是同一台机器，换句话说就是 内网 HostA 把自己可以访问的端口暴露给了外网 HostC。
例： 比如在我的内网机192.168.32.244上有一个RabbitMQ的客户端，端口号为15672。现在我希望在外网上访问固定ip的云服务器chenjie.asia的6009端口，通过跳板机192.168.32.243来转发请求到192.168.32.244:15672，从而实现在外网访问内网服务的功能，即内网穿透。
①在192.168.32.244上启动RabbitMQ服务
②将chenjie.asia云服务器的私钥复制到跳板机192.168.32.243的~/.ssh下，并重命名为id_rsa。通过如下命令看是否可以远程登陆到云服务，可以登陆则进行下一步。
③修改chenjie.asia服务器的ssh配置文件 /etc/ssh/sshd_config ，允许其他节点访问
然后重启sshd服务
④在跳板机192.168.32.243启动ssh反向代理
这个进程在关闭session时会停止，可以添加启动参数 -CPfN
例：
以 root 身份执行的程序有了所有特权，这会带来安全风险。Kernel 从 2.2 版本开始，提供了 Capabilities 功能，它把特权划分成不同单元，可以只授权程序所需的权限，而非所有特权。
例如：linux不允许非root账号只用1024以下的端口，使用root启动命令nginx，会导致nginx权限过高太危险。所以用setcap命令
sudo setcap cap_net_bind_service=+eip /bigdata/nginx/sbin/nginx
正确的关机流程为 ：sync > shutdown > reboot > halt
（1）sync （功能描述：将数据由内存同步到硬盘中）
（2）halt （功能描述：关闭系统，等同于shutdown -h now 和 poweroff）
（3）reboot （功能描述：就是重启，等同于 shutdown -r now）
（4）shutdown [选项] [时间]
安装
yum install -y telnet-server telnet
ls -i 显示文件的节点号
find -inum 节点号 -delete 删除指定的节点即可删除对应的文件
启动一个服务： systemctl start postfix.service
关闭一个服务： systemctl stop postfix.service
重启一个服务： systemctl restart postfix.service
显示一个服务的状态： systemctl status postfix.service
在开机时启用一个服务： systemctl enable postfix.service
在开机时禁用一个服务： systemctl disable postfix.service
注：在enable的时候会打印出来该启动文件的位置
列出所有已经安装的服务及状态：
systemctl list-units
systemctl list-unit-files
查看服务列表状态:
systemctl list-units --type=service
查看服务是否开机启动： systemctl is-enabled postfix.service
查看已启动的服务列表： systemctl list-unit-files | grep enabled
查看启动失败的服务列表： systemctl --failed
查看服务日志： journalctl -u postfix -n 10 -f
命令类似systemctl，用于操作native service。
添加脚本为服务(需要指定启动级别和优先级)： chkconfig --add [脚本]
删除服务： chkconfig --del [脚本]
单独查看某一服务是否开机启动的命令 ： chkconfig --list [服务名]
单独开启某一服务的命令 ： chkconfig [服务名] on
单独关闭某一服务的命令： chkconfig [服务名] off
查看某一服务的状态： /etc/intd.d/[服务名] status
启用服务就是在当前"runlevel"的配置文件目录 /etc/systemd/system/multi-user.target.wants 里，建立 /usr/lib/systemd/system 里面对应服务配置文件的软链接；禁用服务就是删除此软链接，添加服务就是添加软连接。
su 用户名称 （切换用户，只能获得用户的执行权限，不能获得环境变量）
su - 用户名称 （切换到用户并获得该用户的环境变量及执行权限）
echo $PATH 打印环境变量
设置普通用户具有root权限
修改 /etc/sudoers 文件，找到下面一行(91行)，在root下面添加一行，如下 所示：
或者配置成采用sudo命令时，不需要输入密码
修改完毕，现在可以用hxr 帐号登录，然后用命令 sudo ，即可获得root权限进行操作。
以azkaban用户执行引号中的命令
gpasswd -d [username] [groupname] 将用户从组中删除
gpasswd -a [username] [groupname] 将用户加入到组中
用户组的管理涉及用户组的添加、删除和修改。组的增加、删除和修改实际上就是对 /etc/group文件的更新。
0首位表示类型 - 代表文件 d 代表目录 l 链接文档(link file)
三种特殊权限suid、sgid、sticky
例子:
变更文件权限方式一
例：chmod u-x,o+x houge.txt
变更文件权限方式二
例：chmod -R 777 /mnt/ 修改整个文件夹的文件权限
在linux中创建文件或者目录会有一个默认权限的，这个默认权限是由umask决定的（默认为0022）。umask设置的是权限的“补码”，而我们常用chmod设置的是文件权限码。一般在/etc/profile 、~/.bashprofile 或者 ~/.profile中设置umask值。
umask计算
如root用户的默认umask为0022(第一个0 代表特殊权限位，这里先不考虑)，创建的文件默认权限是644(即默认666掩上umask的022)，创建的目录是755(即默认777掩上umask的022)。
对于root用户的umask=022这个来说，777权限二进制码就是（111）（111）（111），022权限二进制码为（000）（010）（010）。
上面就是一个umask的正常计算过程，但是这样实在是太麻烦了。我们使用如下的简单的方法快速计算。
上面的这个方法计算是非常方便的， 为何得到奇数要+1呢？
文件的最大权限是666，都是偶数，你得到奇数，说明你的umask有奇数啊，读为4，写为2，都是偶数，说明你有执行权限的。
就按照上面的umask=023为例，在计算其他用户权限的时候6-3=3 ，6是读写，3是写和执行，其实应该是读写权限减去读权限的得到写权限的，相当于我们多减去了一个执行权限。所以结果加1。
umask修改
如果想单独修改某个文件夹的新建文件的权限，可以使用setfacl命令。
例：递归改变文件所有者和所有组 chown -R hxr:hxr /mnt
例：
I. linux cdn 一般都采用反向代理 可以用正向代理吗
正向代理是有你的本地端，缓存只能给你一个人或者你们一个办公室的人用。反向代理在服务器端，缓存可以给任何人用，而且反向代理还有负载均衡的作用，所以当然不能用正向代理来实现CDN.实际上也不可能，对吧！希望能帮到你。
J. linux apache需不需要 proxy
1. 正向代理 配置正向代理很简单，此处我们配置vhost来实现代理, 只需要在浏览器的Proxy选项里加入你的Apache配置的vHost主机即可 1.1 开启Apache代理模块并引入vhost配置文件 早http.conf开启代理模块 LoadMole proxy_mole moles/mod_pro...