![image-20220817084234711](http://pic.nexopera.tech/62fc397b508cc.png)


## **一、企业网络安全威胁概览**

企业存在来自内部和外部的安全威胁，企业网络的安全威胁来源大致可以分为以下几部分：

- 外部威胁：来自企业网络外部的安全威胁，如DDoS攻击，病毒、木马、蠕虫等网络入侵，网络扫描，垃圾邮件，钓鱼邮件，针对Web服务器的攻击等；
- 内部威胁：网络结构不可靠，网络未隔离，终端存在漏洞，员工行为不受控，信息安全违规操作，信息泄露，恶意员工，权限管理混乱，非法接入等。

为了有针对性地防范企业网络安全威胁，企业工程师会根据威胁来源将网络划分为不同区域，企业网络不同区域的安全威胁及防范措施：

- 通信网络架构：具备高可靠性保障业务的正常运行；部署VPN等措施保障数据传输的机密性与完整性；
- 边界区域：部署AntiDDoS方案应对DoS攻击；部署防火墙设备起到网络隔离及流量控制的目的；IPS设备则用于防范外网的病毒、入侵等威胁；
- 计算环境：对终端进行安全加固，防范漏洞带来的威胁；部署IPS设备应对外网的入侵行为；部署终端IPS或杀毒软件应对病毒入侵；
- 管理中心：通过堡垒机管控管理员的权限，降低恶意操作带来的影响，监控运维操作，做到运维过程可回溯；iMaster-NCE管控员工权限，降低信息泄露的风险，同时防范非法接入。

上述网络方案中部署了如下网络设备：
路由器、交换机、防火墙、IPS设备、AntiDDoS设备、UMA堡垒机、iMaster-NCE

## **二、通信网络安全需求与方案**

### **需求1 - 网络架构可靠性** 

- 三级等保的要求：应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性。
- 防火墙双机热备。

### **需求2 – 区域隔离**

通常在出口处部署防火墙，防火墙通过将所连接的不同网络分隔在不同安全区域隔离内外网，而通过在防火墙上部署地址转换技术，可以在一定程度上隐藏内网IP地址，保护内部网络。

部署防火墙：

- 安全区域
- 地址转换技术

### **需求3 - 信息保密性**

企业有出差员工，或者大型企业有多个分支机构。出差员工和企业总部，企业分支和企业总部之间在不安全的Internet上进行数据传输时，可能存在数据被窃取或篡改的风险，原因在于： 

- 企业数据传输本身未加密或加密程度不够； 
- 中间人攻击（Man-in-the-Middle Attack） 

### **信息保密性安全方案**

由于Internet的开放性，导致企业和其分支机构在Internet上传输数据的安全性无法保证，可以使用VPN技术在Internet上构建安全可靠的传输隧道或者专线。

## **三、区域边界安全威胁与防护**

### **威胁1 - DDoS攻击**

DDoS攻击是指攻击者通过控制大量僵尸主机，向攻击目标发送大量攻击报文，导致被攻击目标所在网络的链路拥塞，系统资源耗尽，从而无法向正常用户提供服务。

##### DDoS攻击种类

根据攻击报文类型的不同，可以分为TCP Flood、UDP Flood、ICMP Flood、HTTP Flood和GRE Flood等。

![image-20220817084549442](http://pic.nexopera.tech/62fc3a3de0bcf.png)

##### DDoS攻击安全防范 

通过在企业网络出口部署防火墙或者专业AntiDDoS设备，阻断来自外部的DDoS攻击。对于需要防范大流量DDoS攻击的场景，也可以选择专业的AntiDDoS设备。


SYN Flood攻击是通过伪造一个源地址的SYN报文，发送给受害主机，受害主机回复SYN+ACK报文给这些地址后，不会收到ACK报文，导致受害主机保持了大量的半连接，直到超时。这些半连接可以耗尽主机资源，使受害主机无法建立正常TCP连接，从而达到攻击的目的。

![image-20220817084620200](http://pic.nexopera.tech/62fc3a5cb6881.png)



### **威胁2 - 单包攻击**

单包攻击不像DDoS攻击通过使网络拥塞，或消耗系统资源的方式进行攻击，而是通过发送有缺陷的报文，使主机或服务器在处理这类报文时系统崩溃，或发送特殊控制报文、扫描类报文探测网络结构，为真正的攻击做准备。

##### 单包攻击常见有：

- 扫描型攻击
  - IP Scan：利用IP地址扫描工具探测目标地址，确定目标系统是否存活。

- 畸形报文攻击
  - Smurf攻击：发送ICMP请求，该请求包的目标地址设置为受害网络的广播地址，源地址为服务器地址。该网络的所有主机都回应此ICMP请求，回应报文全部发往服务器，导致服务器不能正常提供服务。

- 特殊报文控制类攻击
  - Tracert报文攻击：攻击者利用TTL为0时返回的ICMP超时报文，和到达目的地址时返回的ICMP端口不可达报文来发现报文到达目的地所经过的路径，它可以窥探网络的结构。

单包攻击与DDoS都属于DoS攻击。

##### 单包攻击安全防范 

防火墙具有单包攻击防范功能，可以对扫描类攻击、畸形报文攻击和特殊报文控制类攻击进行有效防范。 
不同单包攻击的原理不同，防火墙采用的防范原理也不同。以下对地址扫描攻击原理和其防范原理进行介绍。
Rate：同一源IP每秒发往不同目的地址的ICMP报文数量。

### **威胁3 – 用户行为不受控**

用内容安全过滤：

- URL（Uniform Resource Locator）过滤可以对员工访问的URL进行控制，允许或禁止用户访问某些网页资源，达到规范上网行为的目的；
- DNS过滤在域名解析阶段进行控制，防止员工随意访问非法或恶意的网站，带来病毒、木马和蠕虫等威胁攻击；
- 文件过滤通过阻断特定类型的文件传输，可以降低内部网络执行恶意代码和感染病毒的风险，还可以防止员工将公司机密文件泄漏到互联网；
- 内容过滤包括文件内容过滤和应用内容过滤。文件内容过滤是对用户上传和下载的文件内容中包含的关键字进行过滤。管理员可以控制对哪些应用传输的文件以及哪种类型的文件进行文件内容过滤。应用内容过滤是对应用协议中包含的关键字进行过滤。针对不同应用，设备过滤的内容不同；
- 邮件过滤：通过检查发件人和收件人的邮箱地址、附件大小和附件个数来实现过滤；
- 应用行为控制功能用来对用户的HTTP行为和FTP行为（如上传、下载）进行精确的控制。

### **威胁4 - 外部网络入侵行为**

外部网络入侵有：

- 病毒：一种可感染或附着在应用程序或文件中的恶意代码，一般通过邮件或文件共享等协议进行传播，威胁用户主机和网络的安全。病毒能够自我复制，但需要通过打开受感染的文件，启用宏等手动操作才能激活。
- SQL注入：SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序，而这些输入大都是SQL语法里的一些组合，通过破坏SQL语句的原始逻辑，进而执行攻击者所希望的操作。SQL注入漏洞属于高危型Web漏洞。
- DDoS攻击：DDoS攻击通过发出海量数据包，造成目标设备负载过高，最终导致网络带宽或是设备资源耗尽。

入侵防御安全防范

防火墙的入侵防御功能对所有通过的报文进行检测分析，并实时决定允许通过或阻断。也可使用IPS设备对网络入侵行为进行防御。 
防火墙/IPS设备通常部署在网络出口处，抵挡来自互联网的威胁。 
防火墙/IPS设备上具备入侵防御功能模块，该模块通过将流经防火墙/IPS设备的流量与加载的签名库做对比并根据危险程度进行相应处理，签名库是签名的集合。 
签名：用来描述网络中存在的该入侵行为的特征，及设备需要对其采取的动作。 

## **四、计算环境安全威胁与防护**

**终端软件漏洞**
企业内网终端软件存在漏洞，往往给攻击者可乘之机，不管是从外网或是内网进行的网络攻击，内网终端感染病毒后，借助内网设备之间的信任关系，病毒通过横向扩散，最终往往造成内网大量终端设备感染。 

CVE（Common Vulnerabilities and Exposures）是一个披露漏洞的平台，它会提供编号作为漏洞对应的字符串式特征。 


终端软件漏洞应对方式：

- 对企业网络终端设备的系统软件和应用软件及时打补丁，并且安装防病毒软件。
- 使用NAC（Network Admission Control）方案，对企业网络自有的终端和外来接入的终端进行安全性检查，阻止不符合要求的终端接入网络。
- 使用漏洞扫描工具扫描企业网络，对信息安全进行风险评估。检测网络中的设备存在的漏洞并及时进行修复。
- 进行渗透测试，使用专业人士对企业网络系统安全性进行评估，并给出针对性的改进措施。 

## **五、管理中心安全需求与方案** 

#### **需求1 – 管理员权限管控**

某些情况下，企业员工因为利益或不满，会实施危害企业信息安全的行为。比如盗取企业机密数据，破坏企业网络基础实施等。


管理员权限管控安全方案
对于可能发生的企业员工的信息安全风险行为，可以从技术和管理两方面进行应对。 


技术方面：

- 更严密的权限管理，比如UMA
- 更可靠的备份机制

管理方面： 

- 在企业内部经常进行信息安全案例宣传，提高员工安全意识；
- 对于高安全需求的区域，可以使用门禁系统；
- 关注员工工作生活状态，及时进行心理辅导，防止员工因心理问题造成的信息安全风险行为。

#### **需求2 - 上网权限管控**

除了从企业外部网络带来的安全风险，企业内网安全隐患也日益增加。企业内可能会有外来人员，如果出现非法接入和非授权访问时，也会存在导致业务系统遭受破坏、关键信息资产泄露的风险。

- 恶意人员接入网络之后，会进行破坏，或盗取信息的活动；
- 接入网络的终端，如果携带有病毒，有可能导致病毒在企业内网传播。

应对非法接入，可以从技术和管理两方面入手：

- 使用网络准入控制方案；
- 对于出入企业的人员进行严格的行政管理。

### 上网权限管控方案

对于非法接入的应对措施，华为提供NAC方案，可以对接入用户进行安全控制，实现只有合法的用户、安全的终端才可以接入网络。

NAC具有以下功能：

- 身份认证：对接入网络的用户身份进行合法性认证，只有合法的用户才能接入企业网络；
- 访问控制：根据用户身份、接入时间、接入地点、终端类型、接入方式精细匹配用户，控制用户能够访问的资源；
- 对终端进行安全性检查，只有“健康的、安全的”用户终端才可以接入网络。

可以通过管理手段，规范员工进入企业内部，严格控制外来人员的进入。

- 外来访问人员必须要提前登记，并出示有效证件才能进入；
- 使用安保人员和设备控制外来人员及车辆的进入；
- 对企业内部重要区域，可使用门禁系统，限制不符合权限的人员进入；
- 禁止在计算机等设备上私自插入U盘等存储设备。

创建访客网络供外来访问人员进行接入，与企业办公网络隔离，消除安全风险。


常见网络安全威胁及防范

# 为什么要使用zabbix_sender?

> zabbix获取数据有超时时间，如果一些数据需要执行比较长的时间才能获取的话，那么zabbix会出现异常，考虑到这种情况，zabbix增加了Trapper功能，客户端自己提交数据给zabbix，这个通道便是trapper.     

> 思路解析：在window主机上,编写一个每隔5秒就会执行tasklist查看进程的bat脚本,如果该脚本找到了指定的进程就通过zabbix_sender发送“is running”到zabbix_server服务器,此时对应的zabbix_trapper(zabbix采集器)监控项就会获取到“is running”这个最新的数据。如果找不到进程的话,就通过zabbix_sender发送“not running”到zabbix_server服务器,此时zabbix_trapper(zabbix采集器)监控项就会获取到“not running”这个最新的数据。最后还要给这个监控应用进程的服务器设置一个触发器,如果触发器的值等于not running就触发告警。

## 1. 首先我们要准备一个监控应用进程的批处理脚本(bat脚本)

![img](http://pic.nexopera.tech/54_158209529387464.png)
```
@echo off
if "%1" == "h" gotobegin
mshtavbscript:createobject("wscript.shell").run("%~nx0h",0)(window.close)&&exit
:begin
:start
ping -n 5 127.0.0.1>nul
tasklist|findstr "chrome.exe"
if %errorlevel% == 0 (
"C:\ProgramFiles\ZABBIX_AGENT3\bin\win64\zabbix_sender.exe" -s"zabbix-server" -z 192.168.74.128 -k "test" -o "isrunning"
) else (
"C:\ProgramFiles\ZABBIX_AGENT3\bin\win64\zabbix_sender.exe" -s"zabbix-server" -z 192.168.74.128 -k "test" -o "notrunning"
)
goto start
```
脚本解析：
>@echo off 作用是关闭回显功能。如果没有此代码，第三行的ping –n 5 127.0.0.1>nul这个命令就会显示到cmd控制台。

>```
>if "%1" == "h" gotobegin
>mshtavbscript:createobject("wscript.shell").run("%~nx0h",0)>>(window.close)&&exit
>:begin
>```
>这段代码的作用是把bat脚本放到后台运行
Ping –n 5 127.0.0.1>nul 这句代码的意思是ping本地地址，有5条显示记录（如果要每隔十秒或者几十秒执行脚本，可以修改-n后面的参数ping -n 后面的数字越大，脚本执行的间隔越长），然后把ping的结果重定向到nul就是不会输出内容到cmd控制台,
（Ping –n 5 127.0.0.1>nul与goto start这句语句结合,实现每5秒执行一次这个脚本。）
Tasklist|findstr “chrome.exe”这句代码的作用是列出当前运行的进程，然后通过findstr工具查看chrome.exe程序有没有运行

>%ERRORLEVEL% 是批处理脚本的全局变量，返回上一条命令的结果,如果上一条命令执行成功就会返回0,否则返回1.

>Goto start 作用是跳转到start函数块执行函数里的命令。函数块前面要以冒号开头
，第二行的start前面要加冒号
（安装window版本的zabbix_agent就会附带zabbix_sender）

zabbix_sender用法
zabbix_sender –s “zabbix_server的主机名”-z “zabbix_server的IP”-k “键值名”-o “自定义发送的消息”
>"C:\ProgramFiles\ZABBIX_AGENT3\bin\win64\zabbix_sender.exe" -s"zabbix-server" -z 192.168.74.128 -k "test" -o "isrunning" 这条命令是如果存在指定的进程,就发送is running

>"C:\ProgramFiles\ZABBIX_AGENT3\bin\win64\zabbix_sender.exe" -s "zabbix-server"-z 192.168.74.128 -k "test" -o "not running" 这条命令是如果不存在指定的进程,就发送not running

(特别注意:为了获取到最新数据，所以这两个命令的键值必须使用相同名称的键值“test”

## 2.在zabbix_server界面创建trapper监控项

![img](http://pic.nexopera.tech/54_158209527364873.png)

测试效果:
Chorme.exe程序运行,chorme.exe运行状态监控项获取到“is running”

![img](http://pic.nexopera.tech/54_158209532039026.png)

Chorme.exe程序没有运行,chorme.exe运行状态监控项获取到“not running”

![img](http://pic.nexopera.tech/54_158209533663430.png)

## 3.配置触发器,如果chorme.exe服务没有运行就要告警

![img](http://pic.nexopera.tech/54_158209535427845.png)

实际效果,手动关闭chorme.exe服务，触发告警

![img](http://pic.nexopera.tech/54_158209537197438.png)


通过bat脚本与zabbix_sender实时监控应用进程是否正在运行

## 前言

在运维的坑里摸爬滚打好几年了，我还记得我刚开始的时候，我只会使用一些简单的命令，写脚本的时候，也是要多简单有多简单，所以有时候写出来的脚本又长又臭。

像一些高级点的命令，比如说 Xargs 命令、管道命令、自动应答命令等，如果当初我要是知道，那我也可能写出简洁高效的脚本。

不管出于任何原因，我都想对一些 Linux 使用的高级命令进行用法说明，利人利己，以后不记得的话，我也可以回头翻来看看。

## 一、实用的 xargs 命令

在平时的使用中，我认为 xargs 这个命令还是较为重要和方便的。我们可以通过使用这个命令，将命令输出的结果作为参数传递给另一个命令。

比如说我们想找出某个路径下以 .conf 结尾的文件，并将这些文件进行分类，那么普通的做法就是先将以 .conf 结尾的文件先找出来，然后输出到一个文件中，接着 cat 这个文件，并使用 file 文件分类命令去对输出的文件进行分类。

这个普通的方法还的确是略显麻烦，那么这个时候 xargs 命令就派上用场了。

例1：找出 / 目录下以 .conf 结尾的文件，并进行文件分类

```
命令：# find / -name *.conf -type f -print | xargs file
```

输出结果如下所示：

![image-20220811131545706](http://pic.nexopera.tech/62f4908260a5a.png)

xargs 后面不仅仅可以加文件分类的命令，你还可以加其他的很多命令，比如说实在一点的tar命令，你可以使用 find 命令配合 tar 命令，将指定路径的特殊文件使用 find 命令找出来，然后配合 tar 命令将找出的文件直接打包，命令如下：

```
# find / -name *.conf -type f -print | xargs tar cjf test.tar.gz
```

## 二、命令或脚本后台运行

有时候我们进行一些操作的时候，不希望我们的操作在终端会话断了之后就跟着断了，特别是一些数据库导入导出操作，如果涉及到大数据量的操作，我们不可能保证我们的网络在我们的操作期间不出问题，所以后台运行脚本或者命令对我们来说是一大保障。

比如说我们想把数据库的导出操作后台运行，并且将命令的操作输出记录到文件，那么我们可以这么做：

```
nohup mysqldump -uroot -pxxxxx —all-databases > ./alldatabases.sql &（xxxxx是密码）
```

当然如果你不想密码明文，你还可以这么做：

```
nohup mysqldump -uroot -pxxxxx —all-databases > ./alldatabases.sql （后面不加&符号）
```

执行了上述命令后，会提示叫你输入密码，输入密码后，该命令还在前台运行，但是我们的目的是后天运行该命令，这个时候你可以按下 Ctrl+Z，然后在输入bg就可以达到第一个命令的效果，让该命令后台运行，同时也可以让密码隐蔽输入。

命令后台执行的结果会在命令执行的当前目录下留下一个 nohup.out 文件，查看这个文件就知道命令有没有执行报错等信息。

## 三、找出当前系统内存使用量较高的进程

在很多运维的时候，我们发现内存耗用较为严重，那么怎么样才能找出内存消耗的进程排序呢？

```
命令：# ps -aux | sort -rnk 4 | head -20
```

![image-20220811131602153](http://pic.nexopera.tech/62f49092b7d27.png)

输出的第4列就是内存的耗用百分比。最后一列就是相对应的进程。

## 四、找出当前系统CPU使用量较高的进程

在很多运维的时候，我们发现CPU耗用较为严重，那么怎么样才能找出CPU消耗的进程排序呢？

```
命令：# ps -aux | sort -rnk 3 | head -20
```

![image-20220811131610693](http://pic.nexopera.tech/62f4909b5edda.png)

输出的第3列为 CPU 的耗用百分比，最后一列就是对应的进程。

我想大家应该也发现了，sort 命令后的3、4其实就是代表着第3列进行排序、第4列进行排序。

## 五、同时查看多个日志或数据文件

在日常工作中，我们查看日志文件的方式可能是使用tail命令在一个个的终端查看日志文件，一个终端就看一个日志文件。包括我在内也是，但是有时候也会觉得这种方式略显麻烦，其实有个工具叫做 multitail 可以在同一个终端同时查看多个日志文件。

首先安装 multitail：

```
# wget ftp://ftp.is.co.za/mirror/ftp.rpmforge.net/redhat/el6/en/x86_64/dag/RPMS/multitail-5.2.9-1.el6.rf.x86_64.rpm

# yum -y localinstall multitail-5.2.9-1.el6.rf.x86_64.rpm
```

multitail 工具支持文本的高亮显示，内容过滤以及更多你可能需要的功能。

如下就来一个有用的例子：

此时我们既想查看 secure 的日志指定过滤关键字输出，又想查看实时的网络 ping 情况：

命令如下：

```
# multitail -e "Accepted" /var/log/secure -l "ping baidu.com"
```

![image-20220811131647351](http://pic.nexopera.tech/62f490c09a2e1.png)

不是很方便？如果平时我们想查看两个日志之间的关联性，可以观察日志输出是否有触发等。如果分开两个终端可能来回进行切换有点浪费时间，这个multitail工具查看未尝不是一个好方法。

## 六、持续 ping 并将结果记录到日志

很多时候，运维总会听到一个声音，是不是网络出什么问题了啊，导致业务出现怪异的症状，肯定是服务器网络出问题了。这个就是俗称的背锅，业务出了问题，第一时间相关人员找不到原因很多情况下就会把问题归结于服务器网络有问题。

这个时候你去 ping 几个包把结果丢出来，人家会反驳你，刚刚那段时间有问题而已，现在业务都恢复正常了，网络肯定正常啊，这个时候估计你要气死。

你要是再拿出zabbix等网络监控的数据，这个时候就不太妥当了，zabbix的采集数据间隔你不可能设置成1秒钟1次吧？小编就遇到过这样的问题，结果我通过以下的命令进行了ping监控采集。

然后再有人让我背锅的时候，我把出问题时间段的ping数据库截取出来，大家公开谈，结果那次被我叼杠回去了，以后他们都不敢轻易甩锅了，这个感觉好啊。

命令：

> ping api.jpush.cn | awk ‘{ print $0”   “ strftime(“%Y-%m-%d %H:%M:%S”,systime()) } ‘ >> /tmp/jiguang.log &

输出的结果会记录到 /tmp/jiguang.log 中，每秒钟新增一条 ping 记录，如下：

## 七、查看tcp连接状态

指定查看80端口的tcp连接状态，有利于分析连接是否释放，或者攻击时进行状态分析。

命令：

```
# netstat -nat |awk ‘{print $6}’|sort|uniq -c|sort -rn
```

![image-20220811131657886](http://pic.nexopera.tech/62f490ca4c367.png)

## 八、查找80端口请求数最高的前20个IP

有时候业务的请求量突然上去了，那么这个时候我们可以查看下请求来源IP情况，如果是集中在少数IP上的，那么可能是存在攻击行为，我们使用防火墙就可以进行封禁。命令如下：

```
# netstat -anlp|grep 80|grep tcp|awk '{print $5}'|awk -F: '{print $1}'|sort|uniq -c|sort -nr|head -n20
```

![image-20220811131704040](http://pic.nexopera.tech/62f490d06965e.png)

## 九、ssh实现端口转发

可能很多的朋友都听说过 ssh 是 linux 下的远程登录安全协议，就是通俗的远程登录管理服务器。但是应该很少朋友会听说过 ssh 还可以做端口转发。其实 ssh 用来做端口转发的功能还是很强大的，下面就来做示范。

**实例背景**：我们公司是有堡垒机的，任何操作均需要在堡垒机上进行，有些开发人员需要访问 ELasticSearch 的 head 面板查看集群状态，但是我们并不想将 ElasticSearch 的9200 端口映射出去，依然想通过堡垒机进行访问。

所以才会将通往堡垒机（192.168.1.15）的请求转发到服务器 ElasticSearch（192.168.1.19）的 9200 上。

**例子**：

将发往本机（192.168.1.15）的 9200 端口访问转发到 192.168.1.19 的 9200 端口

```
ssh -p 22 -C -f -N -g -L 9200:192.168.1.19:9200 ihavecar@192.168.1.19
```

**记住**：前提是先进行秘钥传输。

命令执行完后，访问 192.168.1.15:9200 端口则真实是访问 192.168.1.19:9200 端口。


Linux运维命令

# 场景需求

1. 我们可以通过zabbix_server的web界面的脚本功能实现对已经安装了zabbix_agent主机实现远程关机而不用手动登陆然后输入关机指令
2. 我们可以通过zabbix_server的web界面的脚本功能实现某个服务的启动关闭和重启

# 实验配置过程

1. 创建脚本
   打开zabbix_server的web配置界面，选择管理,接着选择蓝色导航条中的脚本选项,最后点击创建脚本。
   ![img](http://pic.nexopera.tech/1235613_158433013499289.png)
   脚本名称：自定义

类型:如果是window或者linux主机类型都是选择脚本。IPMI类型(暂且不讨论)
执行在:有三种类型,
（1）zabbix客户端,说明创建的脚本会在安装了zabbix客户端的主机上运行。
（2） zabbix_server(代理),说明脚本会在zabbix代理上执行。
（3）zabbix服务器，说明脚本会在服务器上面执行。
命令:可以填系统命令,或者某个脚本的绝对路径
要求的主机权限:选择默认就好了
![img](http://pic.nexopera.tech/1235613_158433015298737.png)

创建一个显示主机ip的脚本
![img](http://pic.nexopera.tech/1235613_158433016360040.png)

重要:脚本创建完成后,必须到zabbix_agent的配置文件中开启允许zabbix客户端执行远程命令

把默认的EnableRemoteCommands=0改成EnableRemoteCommands=1

重启zabbix客户端,使配置生效

脚本创建完成后,我们去到zabbix_server的web界面中的监测,然后找到蓝色导航条中的最新数据,找一台已经已经安装了zabbix客户端的window主机执行。因为ifconfig是linux主机的系统命令,所以测试只能找安装了zabbix客户端的linux主机测试。
![img](http://pic.nexopera.tech/1235613_158433018327844.png)

然后在主机列中，鼠标左键一下主机名,就会出现一些我们自定义和内置的脚本。显示IP的脚本就是我们刚才创建的。
![img](http://pic.nexopera.tech/1235613_158433020268418.png)

执行结果
正常的显示出安装了zabbix客户端的linux主机的ip
![img](http://pic.nexopera.tech/1235613_158433021758657.png)


如何在zabbix执行远程主机的脚本或指令

在服务器运维过程中，我们时常会遇到这样的情况，收到服务器磁盘空间告警

![2239b8fdb11fff2199a428f18e3b056c.png](http://pic.nexopera.tech/6385ca1b53063.png)

登录服务器，通过 `df -Hl` 查看

![44a2fedd3f132e060b42f60e36c5c07a.png](http://pic.nexopera.tech/6385ca1b834a5.png)

和告警信息一致，接着我们就是要找到导致磁盘空间满的目录或文件

### 如何找到占用空间大的目录或文件？

一种比较笨的方法是，在根目录下，通过 `du -hs` 命令，列出各目录所占空间大小

![264ae434589d4398c48180ebf2bafef1.png](http://pic.nexopera.tech/6385ca1b48797.png)

之后再用同样的方法继续到对应目录下去找

再相对高效一点的方法是通过 du的 `-d` 参数，或`--max-depth`，设置查询的目录深度，目录深度增加，所查询的目录，展示出来会很多，这个时候可以通过 `grep` 进行过滤

通过这样的方式，可以搜出以G或者T为单位的占用磁盘空间的大目录，并排序

或者可以通过find来查询

```go
find / -type f -size +1G -exec du -h {} \;
```

从效率上来说，`find`要比`du`要更快速、灵活

通过这两种方法，我们可以快速找到占用磁盘空间的罪魁祸首

你以为就这么简单？很多时候，你会发现，通过find或du查半天，发现所有加起来的占用空间，和df看到的磁盘空间占用，相差很大，就比如我上面的两张图

通过df查看，磁盘使用37G，但是在根目录下通过`du -hs` 查看，总共加起来差不多10G，没有隐藏目录，那空间被谁吃了？

很明显，有空间被已删除文件占用，文件删除了，但是资源没释放

之前介绍过一个很好用的命令：lsof，我们可以通过以下命令去查看

```go
lsof +L1
```

从结果可以看出，有一个 28G 左右的大日志文件，删除了，但是空间没释放，这是很常见的一种情况

对应的解决方法就是，重启 tomcat 应用，释放空间

### 磁盘空间莫名被吃？

还有一种经常有人问的问题，就是，通过df查看到的磁盘

![e5bc74d167ff2bcae13f68c876a3299d.png](http://pic.nexopera.tech/6385ca1b84367.png)

会发现，Used 和 Avail 加起来不够 Size，莫名被吃掉一部分

其实这是 Linux 文件系统的一种安全策略，它默认会为 root 用户保留 5% 的磁盘空间，留作紧急情况使用。这样能保证有些关键应用（比如数据库）在硬盘满的时候有点余地，不致于马上就 crash

我们可以通过 tune2fs 修改预留空间的比例

```go
tune2fs -m 1 /dev/vda1
```

通过下图可以看到前后对比图片

![88c03a1002248aff2d0a1580ce3b51d7.png](http://pic.nexopera.tech/6385ca1b51999.png)

这样被吃掉的空间，就吐出来了


Linux磁盘清理指南

Nexopera是一个专注于Linux、网络和运维等领域的博客网站。将为读者提供广泛的相关文章，涵盖操作系统、服务器管理、网络配置、安全性等多个主题。如果你是初学者，希望这里有适合你的内容。