บทนี้จะแนะนำการใช้โปรแกรม pscp รันบน Windows เพื่อใช้ถ่ายโอนไฟล์ (transfer) กับเครื่องที่รันลีนุกซ์ ผ่านทาง Secure Shell ได้

ดาวน์โหลดโปรแกรม pscp

โปรแกรม pscp เป็นส่วนหนึ่งของชุดโปรแกรม PuTTY แต่สามารถใช้งานได้โดยลำพัง ไม่จำเป็นต้องติดตั้งโปรแกรมทั้งชุด เพียงแค่ดาวน์โหลดไฟล์ pscp.exe

ในหน้า PuTTY Download Page ภายใต้หัวข้อ For Windows on Intel x86 คลิ้กดาวน์โหลดไฟล์ pscp.exe เซฟลงบน Desktop ของ Windows

สร้างไฟล์ทดสอบบน Windows ชื่อไฟล์ “win-data.txt” เซฟไว้บน Desktop

คลิ้กปุ่ม start เลือก Run

หน้าจอ Run เราสามารถพิมพ์คำสั่งบน Windows ที่ต้องการจะรันในช่อง Open ได้

พิมพ์ cmd แล้วกดปุ่ม [OK] หรือ [Enter] เพื่อเข้าสู่ command prompt ของ Windows

หน้าจอ command prompt ของ Windows

พิมพ์คำสั่ง cd Desktop เข้าสู่ Desktop ของผู้ใช้งานบน Windows

พิมพ์คำสั่ง dir เพื่อแสดงไฟล์ จะมีไฟล์ pscp.exe, putty.exe และ win-data.txt

ถ่ายโอนไฟล์จาก Windows ไปยังลีนุกซ์

รูปแบบการใช้คำสั่ง pscp เหมือนกับคำสั่ง cp คือ ตามด้วยไฟล์ต้นทางที่ต้องการจะถ่ายโอน เว้นวรรค ตามด้วยปลายทางที่ต้องการส่งไฟล์ไป

ตัวอย่าง ถ้าต้องการถ่ายโอนไฟล์จาก Windows เช่นในตัวอย่างนี้คือไฟล์ win-data.txt ไปยังลีนุกซ์ IP Address  192.168.5.62 ล็อกอินด้วย root สามารถทำได้โดย

pscp win-data.txt root@192.168.5.62:

สังเกตการระบุปลายทาง เป็นชื่อ user ตามด้วยเครื่องหมาย @ ตามด้วย IP ของปลายทาง ปิดท้ายด้วยเครื่องหมาย :  โดยพิมพ์ติดกันหมด ไม่มีเว้นวรรค

หากเป็นการล็อกอินเข้าไป IP นั้นเป็นครั้งแรก จะมีข้อความเตือนเกี่ยวกับ key เหมือนกับตอนใช้ putty

ไฟล์จะถูกถ่ายโอนไปไว้ใน HOME ของ root สามารถตรวจสอบได้โดยการใช้ PuTTY ล็อกอินเข้าไป ใช้คำสั่ง ls แสดงไฟล์ที่ถูกส่งไป

โหลดจากลีนุกซ์ ลง Windows

หากไฟล์อยู่บนลีนุกซ์ เช่นอยู่ใน HOME ของ root ก็สามารถใช้คำสั่ง pscp เพื่อถ่ายโอนไฟล์มาใส่ใน Windows ได้

โดยระบุต้นทางเป็นไฟล์ที่อยู่บนลีนุกซ์ เว้นวรรคตามด้วยปลายทางคือไดเร็คทอรีบน Windows หากต้องการโหลดไฟล์มาใส่ในไดเร็คทอรีที่พิมพ์คำสั่ง (Desktop) ก็ระบุเป็นเครื่องหมายจุด .

เช่นต้องการโหลดไฟล์ชื่อ linux-file.txt ใน HOME ของ root บนลีนุกซ์ มายังไดเร็คทอรีปัจจุบัน พิมพ์คำสั่ง

pscp root@192.168.5.62:linux-file.txt .

หากไฟล์อยู่ในพาธอื่นเช่นต้องการโหลดไฟล์ /etc/passwd จากลีนุกซ์ สามารถระบุต้นทางเป็นพาธเต็ม เช่น root@192.168.5.62:/etc/passwd

ตัวอย่าง และผลลัพท์ที่ได้

ข้อมูลอ้างอิง

• PuTTY Download Page
• ล็อกอินเข้าลีนุกซ์จาก Windows ด้วย PuTTY

การคอนฟิกที่เหลือ สามารถล็อกอินจากเครื่องอื่นมาทำงานได้โดยผ่านทาง SSH (Secure shell)

ในบทนี้จะแนะนำโปรแกรม PuTTY  ซึ่งเป็นโปรแกรมที่สามารถใช้งานได้ฟรี รันบน Windows ให้สามารถล็อกอินเข้าลีนุกซ์เครื่องที่เราติดตั้งได้

ดาวน์โหลดโปรแกรม PuTTY

ค้นหาคำว่า “PuTTY” จาก google หรือไม่ก็เข้าเว็บไซต์ PuTTY Download Page โดยตรงที่

http://www.chiark.greenend.org.uk/~sgtatham/putty/download.html

การใช้งาน PuTTY สามารถทำได้สองแบบคือดาวน์โหลดไฟล์ putty.exe มาไฟล์เดียว ก็สามารถใช้งานได้แล้ว หรือจะเลือกแบบ Windows installer เพื่อติดตั้งเป็นชุดโปรแกรม โดยจะมีโปรแกรมย่อยอื่นๆ ด้วย

เพื่อความง่าย แนะนำให้ดาวน์โหลดแค่ putty.exe ไฟล์เดียว

ด้านล่างหัวข้อ “For Windows on Intel x86″ คลิ้กที่ลิ้งค์ “putty.exe” เพื่อดาวน์โหลดไฟล์ สมมติว่าเซฟลง Desktop

เพียงแค่นี้ก็สามารถใช้โปรแกรม putty เพื่อล็อกอินเข้าเครื่องลีนุกซ์ได้แล้ว

ดับเบิ้ลคลิ้กที่ไอคอนไฟล์ putty.exe เพื่อรันโปรแกรม

หน้าจอของ PuTTY แสดงขึ้นมา เพื่อให้กรอกข้อมูล

• Host Name (or IP Address) ใส่ IP Address ของเครื่องลีนุกซ์ เช่น 192.168.5.62
• Port ใส่ 22
• Connection type: เลือก [x] SSH

แล้วกด [Open] หรือกดปุ่ม [Enter]

หากเป็นการล็อกอินด้วย SSH เข้าไปลีนุกซ์เครื่องที่ระบุ เป็นครั้งแรก หน้าจอจะแสดงเตือน “PuTTY Security Alert” เป็นข้อมูลเกี่ยวกับ key ต่างๆ ที่ใช้ใน  Secure Shell

กด [Yes] เพื่อยืนยันว่าถูกต้อง

หมายเหตุ หากต้องการยืนยันความถูกต้องกับข้อมูลที่เตือนขึ้นมา สามารถตรวจสอบได้โดยเปรียบเทียบ fingerprint บนหน้าจอที่แสดง กับ Secure Shell ที่รันบนเซิร์ฟเวอร์

เช่นข้อมูลเกี่ยวกับ fingerprint ที่เตือนขึ้นมาแสดง

The server’s rsa2 key fingerprint is:
ssh-rsa 2048 42:b2:98:95:57:14:aa:0a:6c:fa:e8:3a:7b:d8:0b:63

เปรียบเทียบกับ Secure Shell ที่รันบนเซิรฟ์เวอร์ ใช้คำสั่ง ssh-keygen -lf เพื่อดู fingerprint

[root@cent6 ~]# ssh-keygen -lf /etc/ssh/ssh_host_rsa_key
2048 42:b2:98:95:57:14:aa:0a:6c:fa:e8:3a:7b:d8:0b:63 /etc/ssh/ssh_host_rsa_key.pub (RSA)

ผลที่ได้ต้องออกมาตรงกัน เป็นการยืนยันว่า เราล็อกอินเข้าไปในเครื่องที่เราต้องการจริง

หน้าจอให้ใส่ login as: ใส่ root และพิมพ์รหัสผ่านของ root ให้ถูกต้อง ก็จะสามารถล็อกอินเข้าสู่เครื่องลีนุกซ์ได้ เปรียบเสมือนเรานั่งทำงานอยู่ที่หน้าจอคอนโซลของเครื่องลีนุกซ์เลย

ข้อมูลอ้างอิง

• PuTTY Download Page

คำแนะนำอย่างหนึ่งสำหรับผู้ใช้ลีนุกซ์ ไม่ว่าจะเพิ่งเริ่มต้นหัดใช้งาน หรือใช้งานมานานแล้ว คือล็อกอินเป็นผู้ใช้ธรรมดาที่ไม่ใช่ root ให้เป็นนิสัย เพราะผู้ใช้งานธรรมดา ก็สามารถทำอะไรได้หลายอย่างแล้ว เช่นดูคอนฟิกของเครื่อง แก้ไขไฟล์เท่าที่มีสิทธิ์ และหากทำอะไรผิดพลาดไป ความเสียหายที่เกิดขึ้น ก็จะกระทบในระดับหนึ่ง เท่าที่ผู้ใช้คนนั้นจะทำได้ ไม่กระทบทั้งเครื่อง

จนกว่าจำเป็นต้องมีการแก้ไขคอนฟิกหรือทำอะไรบางอย่างกับลีนุกซ์ที่จำเป็นต้องทำด้วย root ค่อยใช้คำสั่ง su เปลี่ยนผู้ใช้ root (หรือใช้ sudo) และเมื่อหลังจากแก้ไขเสร็จสิ้นแล้ว ก็เปลี่ยนกลับมาเป็น user ธรรมดาอีกครั้ง

ในบทนี้จะอธิบายคำสั่งที่ใช้ในการ เพิ่ม แก้ไข ลบ ผู้ใช้งาน โดยต้องใช้ root เป็นคนรันคำสั่ง

การเพิ่มผู้ใช้งาน (useradd)

ใช้คำสั่ง useradd ตามด้วยชื่อ user ที่ต้องการเพิ่ม เช่นต้องการเพิ่มผู้ใช้งานชื่อ alice

[root@cent6 ~]# useradd alice

คำสั่ง id ตามด้วยชื่อผู้ใช้งาน สามารถใช้ตรวจสอบข้อมูลของผู้ใช้ได้ เช่น uid, gid ของผู้ใช้

[root@cent6 ~]# id alice
uid=500(alice) gid=500(alice) groups=500(alice)

หากพิมพ์คำสั่ง id เฉยๆ จะเป็นการดูข้อมูลของตัวเอง เช่นถ้า root พิมพ์คำสั่ง id ไม่ได้ระบุชื่อผู้ใช้ ผลลัพธ์จะแสดงข้อมูลของ root

[root@cent6 ~]# id
uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

เปลี่ยนรหัสผ่านผู้ใช้งาน (passwd)

ใช้คำสั่ง passwd ตามด้วยชื่อผู้ใช้งาน เพื่อเปลี่ยนรหัสผ่านของผู้ใช้งาน พิมพ์ password สองครั้งให้เหมือนกัน หน้าจอจะไม่แสดงรหัสผ่านที่พิมพ์ลงไป

[root@cent6 ~]# passwd alice
Changing password for user alice.
New password:
Retype new password:
passwd: all authentication tokens updated successfully.

ระวังการใช้คำสั่ง passwd ด้วย root เพราะถ้าลืมพิมพ์ชื่อผู้ใช้งานตามหลังคำสั่ง passwd จะเป็นการเปลี่ยนรหัสผ่านของตัวเอง เช่นถ้า root พิมพ์ ก็จะเป็นการเปลี่ยนรหัสผ่านของ root เอง

[root@cent6 ~]# passwd
Changing password for user root.
New password:

สังเกตชื่อ user ที่แสดงขึ้นมาหลังประโยค Changing password for user

หากต้องการยกเลิกการรันคำสั่ง passwd (และหลายๆ คำสั่งบนลีนุกซ์) ให้กดปุ่ม [Ctrl]+[C] จะเป็นการยกเลิก และออกจากคำสั่งได้

[root@cent6 ~]# passwd
Changing password for user root.
New password: [Ctrl]+[C]
[root@cent6 ~]#

คำสั่ง passwd จะมีการตรวจสอบความยากง่าย (ต่อการเดา) ของรหัสผ่านที่จะเปลี่ยน คือถ้าสามารถเดาง่ายเกินไป หน้าจอจะแสดงคำเตือนว่า BAD PASSWORD พร้อมคำอธิบายประกอบ เช่นสั้นเกินไป ง่ายต่อการเดา หรือเป็นคำที่อยู่ใน dictionary

เพื่อความปลอดภัยของระบบ แนะนำให้ตั้งรหัสผ่านที่ยากต่อการเดา แต่ให้ผู้ใช้งานเองจำได้ด้วย

[root@cent6 ~]# passwd alice
Changing password for user alice.
New password:
BAD PASSWORD: it is too short
BAD PASSWORD: is too simple
Retype new password:

ถ้ายังยืนยันจะใช้ root ก็สามารถเปลี่ยนรหัสผ่านให้ได้ (ไม่แนะนำ)

ผู้ใช้งานแต่ละคนสามารถเปลี่ยนรหัสผ่านของตัวเองได้ โดยใช้คำสั่ง passwd

ข้อแตกต่างหากรันคำสั่ง passwd ด้วยตัวผู้ใช้งานเองคือ

• ต้องใส่รหัสผ่านที่ใช้งานอยู่ (current) ให้ถูกต้อง
• จะไม่ยอมให้ผู้ใช้งานเอง ตั้งรหัสผ่านง่ายเกินไป

ตัวอย่างการใส่รหัสผ่านที่ใช้งานอยู่ไม่ถูกต้อง

[alice@cent6 ~]$ passwd
Changing password for user alice.
Changing password for alice.
(current) UNIX password:
passwd: Authentication token manipulation error

ตัวอย่างการตั้งรหัสผ่านง่ายเกินไป คำสั่ง passwd จะไม่ยอมเปลี่ยนให้

[alice@cent6 ~]$ passwd
Changing password for user alice.
Changing password for alice.
(current) UNIX password:
New password:
BAD PASSWORD: it is too short
New password:
BAD PASSWORD: it is based on your username
New password:
BAD PASSWORD: it is based on a dictionary word
passwd: Have exhausted maximum number of retries for service
[alice@cent6 ~]$

เปลี่ยนเป็น root ด้วยคำสั่ง su

ตัวอย่างการล็อกอินด้วยผู้ใช้งานธรรมดา สังเกต พร้อมพต์จะเป็นเครื่องหมาย $

login as: alice
alice@192.168.5.62's password:
[alice@cent6 ~]$

ใช้คำสั่ง su เมื่อต้องการเปลี่ยนจากผู้ใช้งานธรรมดา ให้เป็น root ใส่ password ของ root ให้ถูกต้อง

สังเกต พร้อมพต์ที่เปลี่ยนไปจากเครื่องหมาย $ เป็น #

[alice@cent6 ~]$ su -
Password:
[root@cent6 ~]#

ใช้คำสั่ง exit เมื่อต้องการออกจาก root เปลี่ยนเป็นผู้ใช้ธรรมดา

[root@cent6 alice]# exit
exit
[alice@cent6 ~]$

การใช้คำสั่ง su เพื่อเปลี่ยนเป็น root แนะนำให้พิมพ์เว้นวรรคแล้วตามด้วยเครื่องหมายลบ “-” เพื่อเปลี่ยนเป็น root แบบสมบูรณ์แบบ คือให้อ่านค่าคอนฟิกของ root  ด้วย

ตัวอย่างที่เห็นได้ชัดคือค่าคอนฟิก PATH ระหว่างผู้ใช้ธรรมดา กับ root จะแตกต่างกัน หากเปรียบเทียบการใช้คำสั่ง su แล้วตามด้วยเครื่องหมายลบ

[alice@cent6 ~]$ echo $PATH
/usr/local/bin:/bin:/usr/bin:/usr/local/sbin:/usr/sbin:/sbin:/home/alice/bin

คำสั่ง su แบบไม่มีเครื่องหมายลบ ตัวแปร $PATH จะมีค่าเหมือนเดิม

[alice@cent6 ~]$ su
Password:
[root@cent6 alice]# echo $PATH
/usr/local/bin:/bin:/usr/bin:/usr/local/sbin:/usr/sbin:/sbin:/home/alice/bin

คำสั่ง su ตามด้วยเครื่องหมาย ‘-’ ตัวแปร $PATH จะเปลี่ยนไปตามคอนฟิกของ root

[alice@cent6 ~]$ su -
Password:
[root@cent6 ~]# echo $PATH
/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/root/bin

การลบผู้ใช้งาน (userdel)

ใช้คำสั่ง userdel ตามด้วยชื่อผู้ใช้งานที่ต้องการลบออกจากเครื่องลีนุกซ์

โดยดีฟอลต์ คำสั่ง userdel จะลบชื่อผู้ใช้ออกจากระบบ แต่ไฟล์ที่อยู่ใน HOME ของผู้ใช้ยังอยู่ ทั้งนี้ก็เพื่อสำรองไฟล์ไว้ เผื่อผู้ใช้งานคนนี้จะมาขอไฟล์ภายหลังได้

ตัวอย่างการใช้คำสั่ง userdel ไม่ระบุออปชั่น

[root@cent6 ~]# id alice
uid=500(alice) gid=500(alice) groups=500(alice)

[root@cent6 ~]# userdel alice

[root@cent6 ~]# ls -ld /home/alice/
drwx------. 2 500 500 4096 Apr 21 12:44 /home/alice/

[root@cent6 ~]# id alice
id: alice: No such user

ระบุออปชั่น ‘-r’ หากต้องการลบไฟล์ที่อยู่ใน HOME ของผู้ใช้ด้วย

[root@cent6 ~]# id alice
uid=500(alice) gid=500(alice) groups=500(alice)

[root@cent6 ~]# userdel -r alice

[root@cent6 ~]# ls -ld /home/alice/
ls: cannot access /home/alice/: No such file or directory

ซึ่งอาจทำให้เกิดความยากสำหรับผู้เริ่มต้น เพราะไม่รู้ว่าจะเพิ่ม หรือลบ rule อย่างไร ใส่ออปชั่นอะไรบ้าง

สำหรับผู้เริ่มต้นหัดใช้ แนะนำให้ใช้โปรแกรม system-config-firewall เพื่อช่วยแก้ไข rule ของ firewall บนลีนุกซ์

โปรแกรม system-config-firewall มีสองเวอร์ชั่น ทำงานได้เหมือนกัน

• system-config-firewall รันเป็น GUI บน X Window เช่น GNOME
• system-config-firewall-tui รันบนหน้าจอคอนโซล จะเป็นแบบเมนูให้เลือก

ในที่นี้จะแสดงวิธีการใช้แบบรันบนหน้าจอคอนโซล

เพื่อเปรียบเทียบสิ่งที่โปรแกรม system-config-firewall จะแก้ไข ก่อนรันคำสั่ง ใช้คำสั่ง iptables -L เพื่อแสดงคอนฟิก firewall ที่ทำงานอยู่

[root@cent6 ~]# iptables -L -v -n --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1     2414  180K ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
2        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
3        0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
4        1    64 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
5        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 

Chain OUTPUT (policy ACCEPT 1379 packets, 505K bytes)
num   pkts bytes target     prot opt in     out     source               destination

พิมพ์คำสั่ง system-config-firewall-tui

[root@cent6 ~]# system-config-firewall-tui

หมายเหตุ หากรันคำสั่งแล้วขึ้น “command not found” ให้ติดตั้งไฟล์ rpm ชื่อ system-config-firewall-tui-1.2.27-5.el6.noarch.rpm

หน้าจอ Firewall Configuration สามารถเลือกที่จะเปิด ปิด firewall ได้

[*] Enabled เปิดใช้งาน firewall
[ ] Enabled ปิดการใช้ firewall (ไม่แนะนำ)

กดปุ่ม [Tab] เพื่อเลื่อนแถบสีไปยัง [Customize] แล้วกดปุ่ม [Enter]

หน้าจอแสดง Services ต่างๆ ที่โปรแกรมเตรียมไว้ให้สามารถเลือกคอนฟิกได้

กดปุ่มลูกศร (cursor) ขึ้นลง เพื่อเลื่อนไปยังเซอร์วิสต่างๆ ได้

โดยดีฟอลต์จากการติดตั้ง ถ้าไม่ได้แก้ไข จะอนุญาตให้เครื่องอื่นเข้ามาใช้ SSH ได้อย่างเดียว

เครื่องหมายดอกจัน ในวงเล็บสี่เหลี่ยม [*] หน้าเซอร์วิส หมายถึงการอนุญาตเซอร์วิสนั้น

กดปุ่มลูกศรลง เพื่อไปยังชื่อเซอร์วิสที่ต้องการอนุญาตให้เครื่องอื่นสามารถเข้ามาใช้บนเครื่องลีนุกซ์นี้ได้

เช่นต้องการให้เครื่องอื่น สามารถใช้เว็บเซิร์ฟเวอร์พอร์ต 80 WWW (HTTP) บนเครื่องเราได้

กดปุ่ม [Spacebar] เพื่อเปลี่ยนค่าในวงเล็บสี่เหลี่ยม ต้องเปลี่ยนให้เป็นเครื่องหมายดอกจัน

หลังจากเปลี่ยนเป็นเครื่องหมายดอกจันเรียบร้อยแล้ว กดปุ่ม [Tab] เพื่อเลื่อนแถบสีมาที่ [Close] แล้วกดปุ่ม [Enter]

จะกลับมาหน้าจอหลัก กดปุ่ม [Tab] เลื่อนไปยัง [OK] แล้วกดปุ่ม [Enter]
หน้าจอเตือน Warning ว่าจะมีการสร้างคอนฟิกไฟล์ของ firewall ใหม่ เลื่อนแถบสีอยู่ที่ [Yes] แล้วกดปุ่ม [Enter]

ลองใช้คำสั่ง iptables -L เพื่อดูคอนฟิก firewall ที่เปลี่ยนไป จะเห็น num 5 เพิ่มขึ้นมา เพื่ออนุญาต tcp dpt:80 หรือพอร์ตเว็บ WWW (HTTP) นั่นเอง

[root@cent6 ~]# iptables -L -v -n --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1       13   916 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
2        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
3        0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
4        1   100 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
5        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:80
6        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 

Chain OUTPUT (policy ACCEPT 8 packets, 960 bytes)
num   pkts bytes target     prot opt in     out     source               destination

หากต้องการยกเลิก หรือไม่ต้องการให้เครื่องอื่นเข้าใช้งานพอร์ตเว็บบนเครื่องนี้อีกต่อไปแล้ว ก็ใช้คำสั่ง system-config-firewall-tui เข้าไปเอาเครื่องหมายดอกจันหน้าเซอร์วิส WWW (HTTP) ออกไป ทำตามขั้นตอนอื่นๆ เหมือนเดิม

การใช้คำสั่ง system-config-firewall ไม่ว่าจะแบบ GUI หรือคอนโซล เมื่อแก้ไขเสร็จแล้วกดยืนยันเพื่อให้คอนฟิกใหม่มีผล นอกจากจะทำให้คอนฟิกใหม่มีผลทันทีแล้ว คำสั่งนี้จะเข้าไปแก้ไขไฟล์คอนฟิกของ iptables เพื่อให้มีผลต่อการบู๊ตเครื่องครั้งต่อไปด้วย

ไฟล์คอนฟิกของ iptables ของ CentOS คือไฟล์ /etc/sysconfig/iptables

ตัวอย่างของไฟล์หลังจากเพิ่ม การอนุญาตพอร์ต 80

[root@cent6 ~]# cat /etc/sysconfig/iptables
 # Firewall configuration written by system-config-firewall
 # Manual customization of this file is not recommended.
 *filter
 :INPUT ACCEPT [0:0]
 :FORWARD ACCEPT [0:0]
 :OUTPUT ACCEPT [0:0]
 -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
 -A INPUT -p icmp -j ACCEPT
 -A INPUT -i lo -j ACCEPT
 -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
 -A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
 -A INPUT -j REJECT --reject-with icmp-host-prohibited
 -A FORWARD -j REJECT --reject-with icmp-host-prohibited
 COMMIT

ชื่อเซอร์วิสที่มาอ่านไฟล์นี้ก็คือ iptables โดยดีฟอลต์จะถูกรันเมื่อเข้าสู่ runlevel 2,3,4,5 หรือการบู๊ตเครื่องใหม่

[root@cent6 ~]# chkconfig --list iptables
iptables        0:off 1:off 2:on 3:on 4:on 5:on 6:off

ข้อมูลอ้างอิง

• แก้ไขคอนฟิก firewall บนลีนุกซ์ด้วย iptables
• การเปิดเซอร์วิสตอนบู๊ตเครื่องของ CentOS 6

จุดมุ่งหมายหลักๆ ของ firewall ก็เพื่อเพิ่มความปลอดภัยให้กับเครื่องเซิร์ฟเวอร์

หลายคนมักจะปิดคุณสมบัตินี้ไป ด้วยเหตุผลบอกว่ายากต่อการทำความเข้าใจ และแก้ไข

ในบทความนี้จะอธิบายการใช้คำสั่ง iptables เพื่อแสดงสถานะ firewall ที่เปิดใช้งาน การเพิ่ม rule เพื่ออนุญาตการเชื่อมต่อ การลบ rule ที่ไม่ได้ใช้แล้ว

ลองทำตามดู ในหลายเซอร์วิส เพียงแค่แก้ไข rule นิดเดียวเท่านั้น ก็จะใช้งานได้แล้ว ไม่จำเป็นต้องปิดคุณสมบัติ firewall แต่อย่างได้

แสดง (list) rule ที่เปิดใช้งานอยู่

ใช้คำสั่ง iptables ออปชั่น “-L” เพื่อแสดงคอนฟิก firewall ที่เปิดใช้งานอยู่

ออปชั่นเพิ่มเติม ที่มักจะใช้ร่วมกับออปชั่น “-L”

• ออปชั่น “-v” เพื่อแสดงรายละเอียดเพิ่มเติมของ rule เช่นผลรวมสะสมของจำนวน packets (pkts) ขนาด (bytes)
• ออปชั่น “-n” เพื่อแสดง IP (source และ destination) และพอร์ตให้เป็นตัวเลข
• ออปชั่น “–line-numbers” เพื่อแสดงตัวเลขกำกับ rule ในแต่ละบรรทัด เพื่อสะดวกต่อการแก้ไข rule

ตัวอย่างการใช้คำสั่ง iptables ออปชั่น “-L” เพื่อแสดงค่าคอนฟิก firewall ที่ใช้งานอยู่

[root@cent6 ~]# iptables -L -v -n --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination
1      630 49714 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
2        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0
3        0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0
4        2   128 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
5        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination
1        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 

Chain OUTPUT (policy ACCEPT 349 packets, 55278 bytes)
num   pkts bytes target     prot opt in     out     source               destination

คอนฟิก rule ที่แสดงนี้ เป็นคอนฟิกดีฟอลต์จากติดตั้ง CentOS 6 (หากไม่ได้มีการเลือกแก้ไข firewall ระหว่างการติดตั้ง)

ในที่นี้ขออธิบาย rule คร่าวๆ ในส่วนของ Chain INPUT ที่เปิดใช้งานอยู่ดังนี้

• num 1 : อนุญาต (ACCEPT) ให้ทุก packet ที่ผ่านขั้นตอนการเชื่อมต่อเรียบร้อยแล้ว (RELATED, ESTABLISHED) เข้าสู่เครื่องได้
• num 2 : อนุญาต (ACCEPT) ให้ packet ประเภท (icmp) เช่น ping เข้าสู่เครื่องได้
• num 3 : อนุญาต (ACCEPT) ให้ทุก packet ที่ส่งภายในของเครื่องเองได้ (lo หรือ loopback)
• num 4 : อนุญาต (ACCEPT) ให้ packet แรก (NEW) ที่พยายามเชื่อมต่อเข้าพอร์ตปลายทาง tcp dpt:22 (secure shell) สามารถเข้าสู่เครื่องได้ หรือสรุปง่ายๆ คืออนุญาตให้สามารถ ssh เข้าสู่เครื่องนี้ได้นั่นเอง
• num 5 : packet อื่นๆ นอกจากนี้ จะถูกปฏิเสธ (REJECT) การเข้าถึงเครื่อง และจะมีการตอบ icmp-host-prohibited กลับไปยังเครื่องต้นทางที่พยายามส่ง packet เข้ามา

การทำงาน firewall ของลีนุกซ์จะตรวจสอบ (match) ตามลำดับ rule num ที่คอนฟิกไว้ เช่นเมื่อมี packet พยายามส่งเข้า (INPUT) ก็จะตรวจสอบเรียงตาม num 1, 2, 3, 4, 5

เพิ่ม (insert) rule ใหม่

หากเราติดตั้งเซอร์วิสใหม่ คอนฟิกและรันได้เรียบร้อยแล้ว เช่นเว็บเซิร์ฟเวอร์ เปิดใช้งานพอร์ต tcp 80

ตัวอย่างการใช้คำสั่ง netstat -an เพื่อดูพอร์ตที่เปิดอยู่ ในที่นี้จะใช้คำสั่ง grep เพื่อเลือกแสดงเฉพาะบรรทัดที่มีตัวเลข 80

[root@cent6 ~]# netstat -an | grep 80
tcp        0      0 :::80                       :::*                        LISTEN

เราสามารถทดสอบจากเครื่องที่รันเว็บเซิร์ฟเวอร์เองได้ เพราะ rule ของ firewall โดยดีฟอลต์อนุญาตให้การส่งข้อมูลภายใน (lo) สามารถทำได้ (rule num 3)

ตัวอย่างการใช้คำสั่ง telnet เพื่อทดสอบการเชื่อมต่อเข้าพอร์ต 80 ของเว็บเซิร์ฟเวอร์ 192.168.5.62 (ทดสอบบนเครื่องเดียวกัน กับที่รันเว็บเซิรฟ์เวอร์)

[root@cent6 ~]# telnet 192.168.5.62 80
Trying 192.168.5.62...
Connected to 192.168.5.62.
Escape character is '^]'.

HEAD / HTTP/1.0

HTTP/1.1 403 Forbidden
Date: Sun, 08 Apr 2012 08:53:11 GMT
Server: Apache/2.2.15 (CentOS)
Accept-Ranges: bytes
Content-Length: 5039
Connection: close
Content-Type: text/html; charset=UTF-8

Connection closed by foreign host.

คำอธิบายการใช้คำสั่ง telnet เข้าพอร์ต

• หากใช้คำสั่ง telnet แล้วขึ้น “command not found” ต้องติดตั้งไฟล์ rpm ของโปรแกรม telnet เพิ่ม ซึ่งอยู่ในแผ่นดีวีดีติดตั้ง CentOS อยู่แล้ว

[root@cent6 Packages]# rpm -i telnet-0.17-47.el6.x86_64.rpm

• เราสามารถใช้คำสั่ง telnet เพื่อทดสอบเข้าพอร์ตเว็บ (tcp 80) ได้ โดยพิมพ์คำสั่ง telnet ตามด้วย IP ของเว็บเซิร์ฟเวอร์ แล้วตามด้วยพอร์ตที่รันเว็บ
• ในคำสั่ง telnet เมื่อขึ้น Connected แปลว่าสามารถเชื่อมต่อเข้าพอร์ตที่ระบะไว้ได้
• กดปุ่ม [Enter] หนึ่งครั้ง แล้วพิมพ์คำสั่ง HEAD / HTTP/1.0 เพื่อเป็นการส่งคำสั่งขอดูข้อมูลเบื้องต้นของเว็บเซิร์ฟเวอร์ได้
• หากต้องการออกจากคำสั่ง telnet ให้กดปุ่ม [Ctrl] และ ] พร้อมกัน จะมีพร้อมพต์ telnet> ขึ้นมาให้พิมพ์คำสั่ง quit เพื่อออจาก telnet

[root@cent6 ~]# telnet 192.168.5.62 80
Trying 192.168.5.62...
Connected to 192.168.5.62.
Escape character is '^]'.
^]
telnet> quit
Connection closed.

แต่ถ้าใช้ browser หรือทดสอบด้วยคำสั่ง telnet เข้าพอร์ต 80 จากเครื่องอื่นๆ เปิดเว็บเข้ามา จะเข้าไม่ได้

$ telnet 192.168.5.62 80
 Trying 192.168.5.62...
 telnet: connect to address 192.168.5.62: No route to host

ต้องเพิ่ม rule ใหม่ เข้าไปเพื่ออนุญาตการเชื่อมต่อเข้ามา โดย rule ที่เพิ่มใหม่ ต้องเพิ่มก่อน rule สุดท้ายที่มีการปฏิเสธการเข้าถึง (REJECT) ทุก packet

ใช้คำสั่ง iptables ออปชั่น “-L” เพื่อแสดงคอนฟิก firewall ที่ใช้งานอยู่

[root@cent6 ~]# iptables -L -v -n --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination
1     2363  182K ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
2        2   168 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0
3       11   660 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0
4        4   252 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
5       10   620 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination
1        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 

Chain OUTPUT (policy ACCEPT 1358 packets, 169K bytes)
num   pkts bytes target     prot opt in     out     source               destination

ใช้คำสั่ง iptables ออปชั่น “-I” เพิ่มด้วยการแทรก (insert) rule ใหม่เข้าไปแทนที่ rule num 5 ระบุว่าอนุญาต (ACCEPT) ให้การเชื่อมต่อใหม่ (NEW) เข้า (INPUT) พอร์ต tcp 80 ได้

[root@cent6 ~]# iptables -I INPUT 5 -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT

ตรวจสอบผลลัพธ์ที่ได้จาก iptables ออปชั่น “-L”

[root@cent6 ~]# iptables -L -v -n --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination
1     2383  184K ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
2        2   168 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0
3       11   660 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0
4        4   252 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
5 0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:80
6       10   620 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination
1        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 

Chain OUTPUT (policy ACCEPT 5 packets, 692 bytes)
num   pkts bytes target     prot opt in     out     source               destination

ทดสอบจากเครื่องอื่นด้วยการ telnet เข้าพอร์ต 80 อีกครั้ง จะสามารถเชื่อมต่อได้แล้ว

$ telnet 192.168.5.62 80
Trying 192.168.5.62...
Connected to 192.168.5.62.
Escape character is '^]'.

HEAD / HTTP/1.0

HTTP/1.1 403 Forbidden
Date: Sun, 08 Apr 2012 09:06:10 GMT
Server: Apache/2.2.15 (CentOS)
Accept-Ranges: bytes
Content-Length: 5039
Connection: close
Content-Type: text/html; charset=UTF-8

Connection closed by foreign host.

ลบ (delete) rule

หากต้องการยกเลิก rule ที่ใส่ไว้ เช่นไม่ต้องการให้เครื่องอื่นสามารถเชื่อมต่อเข้าพอร์ต 80 ได้อีกต่อไปแล้ว สามารถทำได้โดยใช้คำสั่ง iptables ออปชั่น -D ตามด้วย rule num ที่ต้องการลบ (delete) ใช้คำสั่ง iptables ออปชั่น “-L” เพื่อแสดง rule ที่เปิดใช้งานอยู่

[root@cent6 ~]# iptables -L -v -n --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination
1     2417  186K ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
2        2   168 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0
3       11   660 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0
4        4   252 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
5 1 60 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:80
6       10   620 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination
1        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 

Chain OUTPUT (policy ACCEPT 27 packets, 5466 bytes)
num   pkts bytes target     prot opt in     out     source               destination

สมมติว่าต้องการลบ rule ที่อนุญาตการเชื่อมต่อเข้า (INPUT) พอร์ต 80 หรือ rule num 5 สามารถทำได้โดย

[root@cent6 ~]# iptables -D INPUT 5

ใช้คำสั่ง iptables -L จะเห็นว่า rule num 5 ถูกลบไป

[root@cent6 ~]# iptables -L -v -n --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination
1     2518  194K ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
2        2   168 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0
3       11   660 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0
4        4   252 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
5       10   620 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination
1        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 

Chain OUTPUT (policy ACCEPT 6 packets, 728 bytes)
num   pkts bytes target     prot opt in     out     source               destination

ลองทดสอบ telnet เข้าพอร์ต 80 จากเครื่องอื่นดู ก็ไม่สามารถเชื่อมต่อได้แล้ว

$ telnet 192.168.5.62 80
 Trying 192.168.5.62...
 telnet: connect to address 192.168.5.62: No route to host

ข้อมูลอ้างอิง

• แก้ไขคอนฟิก firewall ด้วย system-config-firewall

หากต้องการให้เมื่อบู๊ตเครื่องทุกครั้ง ให้เปิด (start) เซอร์วิสนี้ขึ้นมาด้วย หรือทุกครั้งที่เรียกคำสั่งปิดเครื่อง (shutdown) ให้ปิด (stop) เซอร์วิสนี้ก่อน

สามารถทำได้โดยแก้ไขไฟล์ที่อยู่ใน /etc/rc.d/rcX.d/ โดย X เป็นตัวเลขแสดง runlevel แสดงถึงสถานะของเครื่อง

ในไฟล์ /etc/inittab จะอธิบายความหมายของตัวเลขค่า runlevel ที่กำหนดไว้

บางส่วนของไฟล์ /etc/inittab

[root@cent6 ~]# tail /etc/inittab
# Default runlevel. The runlevels used are:
# 0 - halt (Do NOT set initdefault to this)
# 1 - Single user mode
# 2 - Multiuser, without NFS (The same as 3, if you do not have networking)
# 3 - Full multiuser mode
# 4 - unused
# 5 - X11
# 6 - reboot (Do NOT set initdefault to this)
#
id:3:initdefault:

การบู๊ตเครื่อง

ในเบื้องต้นขออธิบายคร่าวๆ เกี่ยวกับการบู๊ตเครื่อง runlevel และการรันเซอร์วิสดังนี้

• เมื่อบู๊ตเครื่องขึ้นมาทุกครั้ง หลังจากที่โหลด kernel เรียบร้อย init จะเป็นโปรเซสแรกที่ถูกรันขึ้นมา
• init จะอ่านไฟล์ /etc/inittab เพื่อหาบรรทัดที่มีคอนฟิก “initdefault” เพื่อกำหนดค่า runlevel เริ่มต้น โดยส่วนใหญ่แล้วจะเป็น 3 (runlevel 5 จะคล้ายกับ 3 ทุกอย่างยกเว้นจะมีการรันเซอร์วิส X Window ขึ้นมาด้วย)
• สมมติว่าเข้าสู่ runlevel 3 จะมีการรันสคริปต์ไฟล์ต่างๆ ที่อยู่ใน /etc/rc.d/rc3.d/ โดยจะรันเฉพาะชื่อไฟล์ที่ขึ้นต้นด้วยตัวอักษร “S” (เอสตัวใหญ่) เรียงตามลำดับชื่อไฟล์ (ตัวเลข)

ตัวอย่างสคริปต์ไฟล์ที่มีชื่อไฟล์ขึ้นต้นด้วยตัวอักษร “S” สังเกตว่าแต่ละไฟล์จะเป็นลิ้งค์ไฟล์แบบ soft link ชี้ไปยังสคริปต์ไฟล์จริงๆ ที่อยู่ใน ../init.d/ หรือพาธเต็มๆ คือ /etc/rc.d/init.d/ ที่มาพร้อมกับการติดตั้งโปรแกรมจากไฟล์ rpm นั่นเอง

[root@cent6 ~]# cd /etc/rc.d/rc3.d/
[root@cent6 rc3.d]# ls -l S*
lrwxrwxrwx. 1 root root 17 Mar 24 13:46 S01sysstat -> ../init.d/sysstat
lrwxrwxrwx. 1 root root 22 Mar 24 13:46 S02lvm2-monitor -> ../init.d/lvm2-monitor
lrwxrwxrwx. 1 root root 19 Mar 24 13:45 S08ip6tables -> ../init.d/ip6tables
lrwxrwxrwx. 1 root root 18 Mar 24 13:44 S08iptables -> ../init.d/iptables
lrwxrwxrwx. 1 root root 17 Mar 24 13:45 S10network -> ../init.d/network
...

สมมติว่าเราติดตั้งเว็บเซิร์ฟเวอร์ Apache จากไฟล์ rpm ที่อยู่ในแผ่นติดตั้ง CentOS 6

จะมีการสร้างลิ้งค์ไฟล์ใน /etc/rc.d/rc3.d/ ด้วย แต่โดยมาก ดีฟอลต์ของการติดตั้ง ชื่อลิ้งค์ไฟล์ที่ติดตั้งมา จะขึ้นต้นด้วยตัวอักษร “K”

[root@cent6 rc3.d]# ls -l *httpd
lrwxrwxrwx. 1 root root 15 Apr 6 17:16 K15httpd -> ../init.d/httpd

แปลว่าหากมีการบู๊ตเครื่องใหม่ Apache จะไม่ถูกรันขึ้นมาโดยอัตโนมัติ

หากต้องการแก้ไขให้รัน Apache ตอนบู๊ตเครื่องด้วย ก็สามารถทำได้โดยเปลี่ยนตัวอักษรขึ้นต้นจากตัวอักษร “K” ให้เป็นตัว “S”

ตัวอย่างการแก้ไข (ไม่แนะนำให้ทำแบบนี้) เช่น

[root@cent6 rc3.d]# mv K15httpd S15httpd

[root@cent6 rc3.d]# ls -l *httpd
lrwxrwxrwx. 1 root root 15 Apr 6 17:16 S15httpd -> ../init.d/httpd

หลังจากแก้ไขแล้ว ลองบู๊ตเครื่องดู ก็จะมีการพยายามรัน httpd ขึ้นมาเหมือนกัน

แต่ปัญหาของการแก้ไขเองแบบนี้ อาจทำให้การรันโปรแกรมหรือเซอร์วิสนี้มีปัญหาได้ ยกตัวอย่างเพิ่มอีกโปรแกรมคือ MySQL

ตัวอย่างลิ้งค์ไฟล์ที่สร้างจากการติดตั้งไฟล์ rpm

[root@cent6 rc3.d]# ls -l *mysqld
lrwxrwxrwx. 1 root root 16 Apr 1 10:34 K36mysqld -> ../init.d/mysqld

ถ้าเราต้องการให้รัน MySQL ตอนบู๊ตเครื่องด้วย

สมมติว่าเราแก้ไขด้วยคำสั่ง mv แล้วเปลี่ยนเฉพาะตัวอักษรหน้าจาก “K” ให้เป็น “S”

[root@cent6 rc3.d]# mv K36mysqld S36mysqld

[root@cent6 rc3.d]# ls -l *mysqld
lrwxrwxrwx. 1 root root 16 Apr 1 10:34 S36mysqld -> ../init.d/mysqld

เมื่อบู๊ตเครื่องใหม่ แล้วเข้าสู่ runlevel 3 เซอร์วิส Apache จะถูกรันขึ้นมาก่อน MySQL เพราะตัวเลขน้อยกว่า ซึ่งอาจทำให้เว็บโปรแกรมที่จำเป็นต้องเชื่อมต่อฐานข้อมูลมีปัญหาได้

วิธีการแก้ไขอย่างถูกต้อง และเป็นวิธีที่แนะนำสำหรับ CentOS 6  เพื่อให้มีการเปิดเซอร์วิสตอนบู๊ตเครื่อง หรือเข้าสู่ runlevel 3

ต้องใช้คำสั่ง chkconfig

ก่อนจะไปขั้นตอนต่อไป เปลี่ยนชื่อไฟล์ให้เหมือนเดิม

[root@cent6 rc3.d]# mv S15httpd K15httpd
[root@cent6 rc3.d]# mv S36mysqld K36mysqld

คำสั่ง chkconfig

ใช้คำสั่ง chkconfig ตามด้วยออปชั่น –list แล้วตามด้วยชื่อเซอร์วิสเช่น httpd เพื่อแสดงสถานะการรันเซอร์วิสในแต่ละ runlevel

[root@cent6 rc3.d]# chkconfig --list httpd
httpd 0:off 1:off 2:off 3:off 4:off 5:off 6:off

ตัวเลข 0-6 คือ runlevel ส่วน on, off จะเป็นคอนฟิกแสดงว่าให้เปิด หรือปิด เซอร์วิส เมื่อเข้าสู่ runlevel นั้นๆ

เช่น runlevel 3 ของ httpd คือ off หมายถึงไม่มีการรันเซอร์วิสนี้เมื่อเข้าสู่ runlevel 3

หากต้องการให้รันเซอร์วิสนี้ ให้ใช้คำสั่ง chkconfig ตามด้วยชื่อ service แล้วตามด้วย on ตัวอย่างเช่น

[root@cent6 rc3.d]# chkconfig httpd on

[root@cent6 rc3.d]# chkconfig --list httpd
httpd 0:off 1:off 2:on 3:on 4:on 5:on 6:off

[root@cent6 rc3.d]# ls -l *httpd
lrwxrwxrwx. 1 root root 15 Apr 7 16:05 S85httpd -> ../init.d/httpd

จะเห็นว่าสถานะของ runlevel 2,3,4,5 ของ httpd เปลี่ยนเป็น on แปลว่าถ้าเข้าสู่ runlevel เหล่านี้ รวมทั้ง 3 (บู๊ตเครื่อง) จะมีการรันเซอร์วิสนี้ด้วย

เมื่อใช้คำสั่ง ls -l เพื่อดูลิ้งค์ไฟล์ ชื่อไฟล์ก็จะเปลี่ยนเป็นขึ้นต้นด้วย “S” พร้อมทั้งตัวเลขก็เปลี่ยนไปด้วย

ลองเปลี่ยนคอนฟิกให้รัน MySQL ขึ้นมาตอนบู๊ตเครื่องด้วย

[root@cent6 rc3.d]# chkconfig --list mysqld
mysqld 0:off 1:off 2:off 3:off 4:off 5:off 6:off

[root@cent6 rc3.d]# chkconfig mysqld on

[root@cent6 rc3.d]# chkconfig --list mysqld
mysqld 0:off 1:off 2:on 3:on 4:on 5:on 6:off

[root@cent6 rc3.d]# ls -l *mysqld
lrwxrwxrwx. 1 root root 16 Apr 7 16:08 S64mysqld -> ../init.d/mysqld

ตอนนี้ทุกครั้งที่มีการบู๊ตเครื่องเข้าสู่ runlevel 2,3,4,5 จะมีการรัน MySQL ขึ้นมาด้วย สังเกตตัวเลข 64 แปลว่า MySQL จะถูกรันขึ้นมาก่อน Apache ซึ่งมีตัวเลข 85

ตัวเลขลำดับในการรันของแต่ละเซอร์วิส จะถูกกำหนดอยู่ในสคริปต์ไฟล์ เช่น

[root@cent6 ~]# cat /etc/rc.d/init.d/httpd
#!/bin/bash
#
# httpd Startup script for the Apache HTTP Server
#
# chkconfig: - 85 15
...

จะอยู่ในบรรทัดที่มีคำว่า chkconfig จะมีอยู่สองตัวเลข คือ 85 และ 15

ตัวเลขแรก 85 คือลำดับที่ในการเปิด (start) เซอร์วิส

ตัวเลขที่สอง 15 คือลำดับที่ในการปิด (stop) เซอร์วิส

[root@cent6 ~]# cat /etc/rc.d/init.d/mysqld
#!/bin/sh
#
# mysqld This shell script takes care of starting and stopping
# the MySQL subsystem (mysqld).
#
# chkconfig: - 64 36
...

ส่วนของ mysqld ตัวแรกแรกคือ 64 ตัวเลขที่สองคือ 36

โดยสรุปแล้ว ระหว่าง httpd (Apache) และ mysqld (MySQL)

ตอนเปิดเครื่อง mysqld(64) จะถูกเปิด (start) ขึ้นมาก่อน httpd(85)

ตอนปิดเครื่อง httpd(15) จะถูกปิด (stop) ก่อน mysqld(36)
หากต้องการยกเลิก หรือไม่ต้องการให้รันเซอร์วิสตอนบู๊ตเครื่องแล้ว ก็สามารถใช้คำสั่ง chkconfig ตามด้วยชื่อ และตามด้วยคำว่า off

เช่น ไม่ต้องการให้ httpd และ mysqld รันขึ้นมาตอนบู๊ตเครื่อง

[root@cent6 ~]# chkconfig httpd off
[root@cent6 ~]# chkconfig mysqld off

[root@cent6 ~]# chkconfig --list httpd
httpd 0:off 1:off 2:off 3:off 4:off 5:off 6:off

[root@cent6 ~]# chkconfig --list mysqld
mysqld 0:off 1:off 2:off 3:off 4:off 5:off 6:off

ข้อมูลอ้างอิง

• man  chkconfig(8)
• วิธีการเปิด ปิด เซอร์วิสของ CentOS 6

สคริปต์ไฟล์นี้ เราเรียกว่า “System V init script” หรือเรียกย่อๆ ว่า “init script” ส่วนใหญ่แล้วจะเขียนด้วย Shell script อยู่ในไดเร็คทอรี /etc/rc.d/init.d/ (หรือ /etc/init.d/ เป็นลิ้งค์ไฟล์เชื่อมโยงกัน)

ถ้าเปรียบเทียบกับ Windows ก็เหมือนกับ Services ที่อยู่ใน Administrative Tools ของ Control Panel

ตัวอย่างบางส่วนของสคริปต์ไฟล์ ที่ใช้ควบคุม sshd (Secure Shell)

#!/bin/bash
#
# sshd          Start up the OpenSSH server daemon
#
# chkconfig: 2345 55 25
# description: SSH is a protocol for secure remote shell access. \
#              This service starts up the OpenSSH server daemon.
...
start()
{
        [ -x $SSHD ] || exit 5
        [ -f /etc/ssh/sshd_config ] || exit 6
...
        echo -n $"Starting $prog: "
        $SSHD $OPTIONS && success || failure
...
stop()
{
        echo -n $"Stopping $prog: "
        if [ -n "`pidfileofproc $SSHD`" ] ; then
            killproc $SSHD
        else
            failure $"Stopping $prog"
        fi
...

หากต้องการจะเปิด หรือปิด โปรแกรมหรือเซอร์วิส เราสามารถรันสคริปต์ไฟล์นี้ได้โดยตรง เช่นต้องการปิด (stop) เซอร์วิส sshd ก็รันสคริปต์แล้วตามด้วยออปชั่น stop

[root@cent6 ~]# /etc/rc.d/init.d/sshd stop
Stopping sshd:                                             [  OK  ]

หรือต้องการเปิด (start) เซอร์วิส sshd  ก็รันสคริปต์แล้วตามด้วยออปชั่น start

[root@cent6 ~]# /etc/rc.d/init.d/sshd start
Starting sshd:                                             [  OK  ]

ข้อดีของการใช้สคริปต์ นอกจากใช้เปิด ปิดเซอร์วิสได้แล้ว ในไฟล์สคริปต์ จะมีการตรวจสอบความถูกต้องก่อนรันโปรแกรม เช่นคอนฟิกมีหรือยัง คอนฟิกที่ใส่ไว้ถูกต้องหรือไม่ ไฟล์ที่จำเป็นต้องใช้มีครบถ้วนหรือไม่ ลำดับในการเปิดเซอร์วิส หรือลำดับในการปิด และเมื่อรันสคริปต์ไปแล้ว ผลการรันเป็นอย่างไร รันได้ถูกต้องหรือไม่

ตัวอย่างถ้าคอนฟิกไฟล์ไม่ถูกต้อง สคริปต์จะฟ้องว่ารันไม่สำเร็จ

[root@cent6 ~]# service sshd start
Starting sshd: /etc/ssh/sshd_config: line 129: Bad configuration option: anner
/etc/ssh/sshd_config: terminating, 1 bad configuration options
                                                           [FAILED]

การใช้คำสั่ง service

แต่เพื่อความสะดวก เราสามารถใช้คำสั่ง service เพื่อช่วยในการรันสคริปต์ แทนการพิมพ์แบบรันไฟล์ได้  รูปแบบการใช้คำสั่ง service คือ

# service <SCRIPT> <COMMAND> [OPTIONS]

คำอธิบาย

• <SCRIPT>   ชื่อสคริปต์ไฟล์ที่อยู่ภายใต้ /etc/rc.d/init.d/ ไม่ต้องระบุเป็น พาธเต็มเช่น ระบุแค่ sshd
• <COMMAND>   ระบุคำสั่งที่ต้องการ เช่น เปิด (start) ปิด (stop)
• [OPTIONS]   ออปชั่นอื่นๆ เพิ่มเติม โดยทั่วไปแล้วไม่ค่อยได้ใช้

ตัวอย่างเช่น หากต้องการปิด (stop) เซอร์วิส sshd ก็สามารถทำได้โดย

[root@cent6 ~]# service sshd stop
Stopping sshd:                                             [  OK  ]

หรือต้องการเปิด (start) เซอร์วิส sshd ก็สามารถทำได้โดย

[root@cent6 ~]# service sshd start
Starting sshd:                                             [  OK  ]

แต่ละเซอร์วิส จะมีคำสั่ง (COMMAND) ไม่เหมือนกัน แต่ส่วนใหญ่แล้วจะมีคำสั่งเหล่านี้

• start – เปิดหรือรันเซอร์วิส
• stop – ปิด หรือ หยุดการรันเซอร์วิส
• status – ดูสถานะของเซอร์วิส
• restart – ปิด แล้ว เปิด เซอร์วิสใหม่ โดยส่วนใหญ่จะเป็นการเรียกคำสั่ง stop แล้ว start อีกครั้ง คำสั่งนี้ อาจมีผลกระทบ ทำให้ผู้ใช้งานเซอร์วิสนี้อยู่ ใช้งานไม่ได้ชั่วคราว
• reload – เริ่มรันเซอร์วิสใหม่ ด้วยการส่ง signal HUP ไปที่ตัวโปรแกรม นิยมใช้คำสั่งนี้ หลังจากแก้ไขคอนฟิกใหม่ เพราะจะกระทบกับผู้ใช้งานน้อยกว่าการใช้คำสั่ง restart มาก

หากต้องการตรวจสอบว่าเซอร์วิสที่จะรันมีคำสั่ง (COMMAND) อะไรให้ใช้บ้าง ให้พิมพ์คำสั่ง service แล้วตามด้วยชื่อสคริปต์โดยไม่ต้องระบบคำสั่ง เช่น

[root@cent6 ~]# service sshd
Usage: /etc/init.d/sshd {start|stop|restart|reload|force-reload|condrestart|try-restart|status}

ผลลัพธ์ที่ได้จากการใช้คำสั่ง service ของแต่ละเซอร์วิส อาจไม่เหมือนกัน

ตัวอย่างการใช้คำสั่ง service ตรวจสอบสถานะเซอร์วิส sshd ผลลัพธ์ที่ได้มีสถานะการรัน พร้อมบอก PID ของ sshd

[root@cent6 ~]# service sshd status
openssh-daemon (pid  1864) is running...

[root@cent6 ~]# ps -ef | grep 1864
root      1864     1  0 22:18 ?        00:00:00 /usr/sbin/sshd

แต่ถ้าใช้คำสั่ง service ตรวจสอบสถานะของเซอร์วิส iptables จะแสดงกฎ (rule) ที่เปิดใช้อยู่

[root@cent6 ~]# service iptables status
Table: filter
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination
1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0
3    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
5    REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination
1    REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination

ข้อมูลอ้างอิง

• man service(8)
• การเปิดเซอร์วิสตอนบู๊ตเครื่องของ CentOS 6

หมายเหตุ หากติดตั้งชุดโปรแกรม Desktop Environment เช่น GNOME ด้วย อาจมีโปรแกรมช่วย mount ตัวไดร์ฟโดยอัตโนมัติ (automount) คือเมื่อใส่แผ่นเราก็สามารถเรียกดูไฟล์ในแผ่นได้เลย ถ้าเป็นแบบนี้ก็ไม่จำเป็นต้องใช้คำสั่ง mount

หากติดตั้งลีนุกซ์โดยใช้แผ่นแล้ว ส่วนใหญ่จะมีการสร้างลิ้งค์ไฟล์ (soft link) ไว้เป็นชื่อ /dev/cdrom หรือ /dev/dvd

ตัวอย่างเช่นหากติดตั้ง CentOS 6.2 จะมี soft link ชี้ไปที่ /dev/sr0

[root@cent6 ~]# ls -l /dev/cdrom
lrwxrwxrwx. 1 root root 3 Mar 31 13:45 /dev/cdrom -> sr0

[root@cent6 ~]# ls -l /dev/dvd
lrwxrwxrwx. 1 root root 3 Mar 31 13:45 /dev/dvd -> sr0

[root@cent6 ~]# ls -l /dev/sr0
brw-rw----. 1 root cdrom 11, 0 Mar 31 13:45 /dev/sr0

เราสามารถใช้คำสั่ง mount ตามด้วยชื่อไดร์ฟ /dev/cdrom หรือ /dev/dvd หรือแม้แต่ /dev/sr0 ก็ได้

เวลา mount ไดร์ฟแบบใช้ชั่วคราวเช่น cdrom หรือ dvd นิยม mount กับพาธ /mnt

ตัวอย่างการ mount ไดร์ฟที่มีแผ่นติดตั้ง CentOS 6.2 แผ่นที่ 1 เข้ากับพาธ /mnt

[root@cent6 ~]# mount /dev/dvd /mnt
mount: block device /dev/sr0 is write-protected, mounting read-only

เมื่อ mount แล้ว จะไม่สามารถกดปุ่ม eject เพื่อเอาแผ่นออกได้

ตัวอย่างการใช้คำสั่ง ls เพื่อดูไฟล์ในแผ่น

[root@cent6 ~]# cd /mnt/
[root@cent6 mnt]# ls -l
total 658
-rw-r--r--. 2 root root 14 Dec 16 09:39 CentOS_BuildTag
drwxr-xr-x. 3 root root 2048 Dec 11 06:38 EFI
-rw-r--r--. 2 root root 212 Dec 15 11:32 EULA
-rw-r--r--. 2 root root 18009 Dec 15 11:38 GPL
drwxr-xr-x. 3 root root 2048 Dec 11 06:38 images
drwxr-xr-x. 2 root root 2048 Dec 11 06:36 isolinux
drwxrwxr-x. 2 500 500 630784 Dec 16 09:43 Packages
-rw-r--r--. 2 root root 1354 Dec 9 19:58 RELEASE-NOTES-en-US.html
drwxr-xr-x. 2 root root 4096 Dec 16 09:46 repodata
-rw-r--r--. 2 root root 1706 Dec 9 19:57 RPM-GPG-KEY-CentOS-6
-rw-r--r--. 2 root root 1730 Dec 9 19:57 RPM-GPG-KEY-CentOS-Debug-6
-rw-r--r--. 2 root root 1730 Dec 9 19:57 RPM-GPG-KEY-CentOS-Security-6
-rw-r--r--. 2 root root 1734 Dec 9 19:57 RPM-GPG-KEY-CentOS-Testing-6
-r--r--r--. 1 root root 3380 Dec 16 09:46 TRANS.TBL

เมื่อสิ้นสุดการใช้งาน ต้องการเอาแผ่นออกมาจากไดร์ฟ เราต้องออกจากพาธ /mnt ก่อน แล้วใช้คำสั่ง umount ตามด้วยพาธที่ mount ไว้

[root@cent6 mnt]# cd ~
[root@cent6 ~]# umount /mnt

หรืออาจใช้คำสั่ง eject เพื่อ umount แล้วสั่งให้ไดร์ฟเอาแผ่นออกด้วย

[root@cent6 ~]# eject

ปัญหาการ umount ไม่ได้

หากพาธที่ mount แผ่นไว้ ถูกใช้งานอยู่ เช่นมี user เรียกดูไฟล์ภายใต้พาธนี้อยู่ จะไม่สามารถ umount ได้

[root@cent6 ~]# mount /dev/dvd /mnt
mount: block device /dev/sr0 is write-protected, mounting read-only

[root@cent6 ~]# cd /mnt/
[root@cent6 mnt]#
[root@cent6 mnt]# umount /mnt
umount: /mnt: device is busy.
 (In some cases useful info about processes that use
 the device is found by lsof(8) or fuser(1))

หากเราทราบผู้ที่ใช้พาธนี้อยู่ ก็สามารถบอกให้ cd ออกจากพาธได้ แต่ถ้าไม่ทราบ หรือหาไม่เจอ ต้องใช้คำสั่ง fuser เพื่อหาโปรเซสที่เรียกใช้พาธนี้อยู่

ใช้คำสั่ง fuser ตามด้วยพาธที่ mount แผ่นไว้

[root@cent6 ~]# fuser /mnt
/mnt: 1357c

ตัวเลข 1357 คือ PID ของโปรเซสที่เรียกใช้พาธนี้อยู่ ใช้คำสั่ง ps เพื่อดูว่าโปรเซสนี้คืออะไร

[root@cent6 ~]# ps -ef | grep 1357
root 1357 1353 0 13:49 pts/0 00:00:00 -bash

ในที่นี้ 1357 คือโปรเซส bash มีคนล็อกอินอยู่ที่หน้าจอ TTY pts/0 เราสามารถใช้คำสั่ง w เพื่อดูว่า pts/0 ล็อกอินมาจากที่ไหนได้

[root@cent6 ~]# w
 15:34:22 up 1:48, 2 users, load average: 0.00, 0.00, 0.00
USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT
root pts/0 192.168.5.1 13:49 4:42 0.07s 0.07s -bash
root pts/1 192.168.5.2 15:29 0.00s 0.02s 0.00s w

จากผลลัพธ์คำสั่ง w จะเป็นว่า pts/0 เป็นการล็อกอินด้วย root จาก 192.168.5.1 เราก็สามารถไปแจ้งเตือนเพื่อให้ออกจากพาธได้

แต่ถ้าลองใช้คำสั่ง ps แล้ว ไม่สามารถหาเจอได้ว่าใครกำลังใช้อยู่ อาจต้อง kill โปรเซสนั้นไป หรือใช้คำสั่ง fuser ตามด้วยออปชั่น ‘-k’ เพื่อ kill โปรเซสทั้งหมดที่เรียกพาธอยู่

[root@cent6 ~]# fuser /mnt
/mnt: 1357c

[root@cent6 ~]# fuser -k /mnt
/mnt: 1357c

[root@cent6 ~]# fuser /mnt

[root@cent6 ~]# umount /mnt

ก็จะสามารถ umount พาธ แล้วเอาแผ่นออกจากไดร์ฟได้

หากไม่ต้องการแก้ไขค่าคอนฟิกของการบู๊ต ก็ปล่อยผ่านไป ประมาณ 5 วินาที เครื่องก็จะบู๊ตเพื่อรันเซอร์วิสต่างๆ โดยอัตโนมัติ

แต่ถ้าหากต้องการเข้าหน้าเมนูบู๊ต เพื่อแก้ไขค่าคอนฟิกหรือแก้ไขปัญหาการบู๊ต ให้กดปุ่มอะไรก็ได้ จะเข้าสู่ หน้าจอเมนูบู๊ต

ในหน้าจอเมนูบู๊ต หากต้องการเริ่มบู๊ตเครื่องให้กดปุ่ม [Enter]

หน้าจอขึ้นแถบสี แสดงว่ากำลังรันโปรเซสหรือเซอร์วิสต่างๆ อยู่ รอจนกว่าแถบสีขาวจะเต็ม ถึงจะบู๊ตเสร็จเรียบร้อย

โดยปกติการบู๊ตของ CentOS ไม่น่าจะเกิน 10 นาที (ไม่รวมการ warm-up เครื่อง) หากหน้าจอแสดงแถบสีค้าง นานเกินไป สามารถกดปุ่ม [Esc] เพื่อดูรายละเอียดการบู๊ตว่า ค้างอยู่ขั้นตอนไหน เพื่อตรวจสอบปัญหาได้

ตัวอย่างหน้าจอแสดงรายละเอียดการบู๊ต เมื่อกดปุ่ม [Esc]

เมื่อบู๊ตเสร็จเรียบร้อย หน้าจอจะขึ้นตัวหนังสือแสดงเวอร์ชั่นของ CentOS และ Linux Kernel พร้อมให้ login

เริ่มต้น login ด้วย root และใส่ password ที่ได้ระบุไว้ตอนติดตั้ง

หากใส่ login, password ถูกต้อง หน้าจอจะขึ้นคล้ายตัวอย่าง [root@cent6 ~]# หรือเรียกกว่า prompt ของ root

แต่ถ้าใส่ login, password ไม่ถูกต้อง จะขึ้น Login incorrect ต้องใส่ login, password อีกครั้ง

หมายเหตุ สำหรับ Linux/UNIX ตัวอักษรใหญ่ เล็ก จะมีผลทั้ง login, password เช่น root ต้องพิมพ์เป็นตัวอักษรตัวเล็กทั้งหมด

คำสั่งแรกที่อยากแนะนำให้รู้จักหลังจากเปิดเครื่อง บู๊ตเครื่อง ล็อกอินด้วย root ได้สำเร็จแล้ว คือคำสั่งปิดเครื่อง

พิมพ์คำสั่ง shutdown –h now เพื่อปิดเครื่อง

แนะนำให้ใช้คำสั่ง shutdown ทุกครั้งสำหรับการปิดเครื่อง เพื่อการปิดโปรแกรม ปิดโปรเซส ปิดเซอร์วิส อย่างถูกต้อง

หน้าจอแสดงรายละเอียดการปิดเซอร์วิสต่างๆ ก่อนการปิดเครื่อง

คำอธิบายออปชั่น “maxlogins” คือ max number of logins for this user

คอนฟิกได้สองแบบคือ จำกัดเป็นรายคน เช่น ชื่อผู้ใช้ user1 สามารถ login ได้สูงสุดพร้อมกันได้แค่ 2 sessions แต่ถ้าต้องการจำกัดผู้ใช้ที่อยู่ในกลุ่ม (group) ให้เติมเครื่องหมาย @ ข้างหน้าชื่อกลุ่ม

ตัวอย่างคอนฟิก จำกัดผู้ใช้ user1 ให้ login พร้อมกันได้แค่ 2 sessions เท่านั้น

[root@server ~]# cat /etc/security/limits.conf
user1           -       maxlogins       2

หลังแก้ไขไฟล์แล้ว คอนฟิกใหม่มีผลต่อการ login ครั้งต่อไปเลย ไม่จำเป็นต้องรีสตาร์ตโปรแกรม หรือเซอร์วิสใด

ตัวอย่างข้อความในไฟล์ /var/log/secure ที่เกิดขึ้น ระหว่างการทดสอบ login

login ด้วย user1 ครั้งแรก ได้

Jul  8 13:21:19 server sshd[2375]: Accepted password for user1 from 192.168.1.12 port 4310 ssh2
Jul  8 13:21:19 server sshd[2375]: pam_unix(sshd:session): session opened for user user1 by (uid=0)

login ด้วย user1 ครั้งที่ 2 ก็ได้

Jul  8 13:21:39 server sshd[2400]: Accepted password for user1 from 192.168.1.12 port 4311 ssh2
Jul  8 13:21:39 server sshd[2400]: pam_unix(sshd:session): session opened for user user1 by (uid=0)

ใช้คำสั่ง w เพื่อดูผู้ใช้ที่ login อยู่

[user1@server ~]$ w
 13:21:49 up 14 min,  3 users,  load average: 0.07, 0.19, 0.25
USER     TTY      FROM              LOGIN@   IDLE   JCPU   PCPU WHAT
admin    pts/0    192.168.1.12         13:19   35.00s  0.72s  0.18s sshd: admin [priv]
user1    pts/1    192.168.1.12         13:21   30.00s  0.20s  0.20s -bash
user1    pts/2    192.168.1.12         13:21    0.00s  0.25s  0.04s w

login ด้วย user1 ครั้งที่ 3 จะไม่ได้แล้ว

Jul  8 13:22:00 server sshd[2426]: Accepted password for user1 from 192.168.1.12 port 4312 ssh2
Jul  8 13:22:00 server sshd[2426]: pam_limits(sshd:session): Too many logins (max 2) for user1
Jul  8 13:22:00 server sshd[2426]: pam_unix(sshd:session): session opened for user user1 by (uid=0)
Jul  8 13:22:00 server sshd[2426]: error: PAM: pam_open_session(): Permission denied