收寄投递信息录入系统安装及使用常见问题汇总

收寄投递信息录入系统安装及使用常见问题汇总

1.问题描述:在使用收寄信息录入系统卫星版时,进行汇总发送数据时,系统提示“Receive SOF failure”错误。
问题解答:
1)在服务器端,collect用户的主目录($HOME)下的setenv环境变量配置文件中的ORACLE_HOME变量与实际环境不一致。可以先以oracle7用户登录数据库服务器,在$提示符下输入命令echo $ORACLE_HOME 后回车便可以看见本系统的ORACLE_HOME;
2)在收寄信息录入系统卫星版的“本局综合信息配置”中,相关服务器的IP地址及端口号配置不正确,收寄系统卫星版的缺省端口号为9006,如有改动应与collect用户的主目录($HOME)下的setenv环境变量配置文件保持一致;
3)收寄信息录入系统重装后,未重新配置报文流水号(恢复到最近一次的最大报文流水号),否则可能导致数据文件重名。注意:在收寄系统卫星版,待发送的数据文件位于c:\emscollect\send目录,已发送的数据文件位于c:\emscollect\send_bak目录,最近一次的最大报文流水号可以参考以上两个目录进行确定。此外,收寄信息录入系统重装后,还可以通过对收寄系统所在计算机进行重命名的方法避免数据文件重名的现象。

2.问题描述:在使用投递信息录入系统卫星版时,进行汇总发送数据时,系统提示“Receive SOF failure”错误。
问题解答:
1)在服务器端,deliver用户的主目录($HOME)下的setenv环境变量配置文件中的ORACLE_HOME变量与实际环境不一致。可以先以oracle7用户登录数据库服务器,在$提示符下输入命令echo $ORACLE_HOME 后回车便可以看见本系统的ORACLE_HOME;
2)在投递信息录入系统卫星版的“本局综合信息配置”中,相关服务器的IP地址及端口号配置不正确,投递系统卫星版的缺省端口号为9006,如有改动应与deliver用户的主目录($HOME)下的setenv环境变量配置文件保持一致;
3)投递信息录入系统重装后,未重新配置报文流水号(恢复到最近一次的最大报文流水号),否则可能导致数据文件重名。注意:在投递系统卫星版,待发送的数据文件位于c:\emstdfk\send目录,已发送的数据文件位于c:\emstdfk\send_bak目录,最近一次的最大报文流水号可以参考以上两个目录进行确定。此外,投递信息录入系统重装后,还可以通过对投递系统所在计算机进行重命名的方法避免数据文件重名的现象。

3.问题描述:收寄投递信息录入系统卫星版可以将数据报文正常上传到collect或者deliver用户的ftphome目录,但数据的拆包、插库操作异常。如果试图以collect或deliver用户进入sqlplus界面,系统提示如下错误:
$ sqlplus ems_user/ems
SQL*Plus: Release 3.3.4.0.0 – Production on Sat Apr 3 11:03:21 2004
Copyright © Oracle Corporation 1979, 1996. All rights reserved.
ERROR: ORA-01034: ORACLE not available
ORA-07429: smsgsg: shmget() failed to get segment.
SCO System V/386 Error: 2: No such file or directory
Enter user-name:
问题解答:
1)以oeacle7用户登录系统服务器,检查$ORACLE_HOME/bin/oracle文件的属性,如果无s属性,请在$提示符下执行以下命令:
$cd ORACLE_HOME/bin
$chmod -x oracle
$chmod +s oracle
2)在collect或deliver用户的主目录($HOME)下的setenv环境变量配置文件中,ORACLE_SID变量设置不对,部分站点在安装OACLE数据库时未严格按照手册操作,误将ORACLE_SID设置为ems,由于unix操作系统是区分大小写的,因此需要将setenv中的ORACLE_SID设置为数据库安装时的实际SID。

4.问题描述:在登录收寄、投递信息录入系统时,系统提示以下信息:
问题解答:
1)在完成收寄投递信息录入系统后,初次登录进入系统时,一般都会有此提示,进入系统后完成相关的收寄局代码、投递局、投递道段以及本局综合信息配置,以后登录系统时将不会有此提示信息。

5.问题描述:在使用收寄信息录入系统联机版的“局代码维护”模块时,当“截邮时间”不为空时,将不能进行插入、删除、保存等操作。
问题解答:
此为程序的BUG,在新版本的应用软件中已经解决该问题。在未使用新版本程序替换现有程序之前,在进行局代码维护时保留“截邮时间”项为空,且不要使用该模块中的“F9(重载键)”。

6.问题描述:EMS非标准签邮件、国际航包邮件在国家邮政局速递查询网站上查询不到。
问题解答:
目前,国家邮政局速递查询网站不支持EMS非标准签邮件、国际航包邮件的查询。

7.问题描述:介绍一下与收寄投递信息录入系统有关的数据库表结构。
问题解答:
bureau 收寄局名表
collect EMS收寄信息生产表
collect_his EMS收寄信息历史表
eco_collect 航包收寄信息生产表
collect_user 收寄系统用户代码表
user_purview 投递系统用户代码表
bureau_code 投递局名表
sector_code 投递道段表
mailing EMS妥投反馈信息生产表
mailing_arch EMS妥投反馈信息历史表
eco_mailing 航包妥投反馈信息生产表
non_mailing EMS 非妥投反馈信息生产表
non_mailing_arch EMS非妥投反馈信息生产表
eco_non_mailing 航包未妥投反馈信息生产表
interface_log 报文接收日志表

以上库表结构仅供熟悉ORACLE数据库的维护人员参考,请勿随意删除或修改相关数据库表。
8.问题描述:通过电子化支局接口程序采集的收寄投递信息数据文件存放在何处?如何检查数据文件已经拆包、插库?
问题解答:
存放在collect或deliver用户的主目录下,具体位置在:$HOME/ftphome,例如collect的主目录为/usr/collect,则通过电子化支局接口程序采集的收寄投递信息数据文件应放置到/usr/collect/ftphome目录下。当数据文件解析完毕后,数据文件将被移至$HOME/bak目录,此时可以使用sqlplus工具查看相关数据库表中是否有数据:
SQL> select mailid,status from collect;
SQL> select mailid,status from eco_collect;
SQL> select mailnum,status from mailing;
SQL> select mailnum,status from non_mailing;
SQL> select mailnum,status from eco_mailing;
SQL> select mailnum,status from eco_non_mailing;
有关上述语句中status列对应值的说明:
表名/status列的值 Status=’0’ Status=’1’ Status=’3’
Mailing
Non_mailing
Eco_mailing该行数据由联机版反馈系统录入 该行数据由卫星版反馈系统或者电子化支局接口程序采集该行数据已经完成向全国中心的数据打包操作
collect
eco_collect
该行数据由联机版收寄系统录入该行数据由卫星版收寄系统或者电子化支局接口程序采集该行数据已经完成向全国中心的数据打包操作

9.问题描述:新版投递反馈录入系统与老版本反馈录入系统有何区别?如何组织投递反馈录入系统的使用?
问题解答:
新版投递反馈录入系统在原有的投递反馈录入系统基础上开发的,提供本地录入和远程录入两个版本,不受作业频次的限制,并且提供了国际航包的录入界面。老版本的投递反馈录入系统需按照频次进行作业,只能在站点服务器端运行。
新旧版本的投递反馈录入系统可以同时并存使用,但由于老版本的投递反馈录入系统受作业频次限制,因此新旧反馈录入系统共存时,不能将新版反馈录入系统联机版中的“本局综合信息配置”的“由新版反馈系统触发数据发送操作”的复选框选中。如果完全使用新版反馈录入系统,则需要将新版反馈录入系统联机版中的“本局综合信息配置”的“由新版反馈系统触发数据发送操作”的复选框选中,否则录入的反馈数据将不能发送。
具体使用哪个版本的反馈录入系统,各站点根据自身实际情况来定。

10.问题描述:已经进行了收寄信息的录入,但却不能在全国中心查询网站上查询出来。
问题解答:
可能是进行站点升级改造时,没有成功编译打包程序con_edi,可以emstrans用户登录系统服务器,检查/ems/emstrans/bin/con_edi的文件属性,如果文件的时间不是2004年1月份以后,说明没有成功编译打包程序con_edi,此时需要按照收寄投递信息采集工程实施手册中的第10章(有关站点打包程序升级)步骤重新升级。

11.问题描述:已经进行了航包信息的录入,但在服务器的/ems/emstrans/send_txt目录未发现后缀名为.ECO的文件。
问题解答:
可能是进行站点升级改造时,没有成功编译打包程序con_edi_cp,可以emstrans用户登录系统服务器,检查/ems/emstrans/bin/con_edi_cp的文件属性,如果文件的时间不是2004年1月份以后,说明没有成功编译打包程序con_edi,此时需要按照收寄投递信息采集工程实施手册中的第10章(有关站点打包程序升级)步骤重新升级。
还可能是作业调度未加载,可以emstrans用户登录系统服务器,在$提示符下输入crontab –l,一般应能看到如下结果:
0,30 * * * * /ems/emstrans/bin/con_edi_cp_sh 1> /dev/null 2>&1
05,10,15,20,25,30,35,40,45,50,55,00 * * * * /ems/emstrans/bin/ems_trans_sh 1> /dev/null 2>&1
02,07,12,17,22,27,32,37,42,47,52,57 * * * * $HOME/bin/con_edi_sh
如果看到结果为:
#0,30 * * * * /ems/emstrans/bin/con_edi_cp_sh 1> /dev/null 2>&1
05,10,15,20,25,30,35,40,45,50,55,00 * * * * /ems/emstrans/bin/ems_trans_sh 1> /dev/null 2>&1
02,07,12,17,22,27,32,37,42,47,52,57 * * * * $HOME/bin/con_edi_sh
则说明航包数据打包作业调度未加载,需要使用vi工具修改/ems/emstrans/bin/emstrans_crontab,将有关航包数据打包行的注释去掉并保存,然后使用命令crontab emstrans_crontab重新加载作业调度。
还有一个可能的原因是/ems/emstrans/bin/con_edi_cp缺少执行权限,可以emstrans用户登录系统服务器,在$提示符下输入
chmod +x /ems/emstrans/bin/con_edi_cp 命令添加执行权限。

Leave a comment

站点处理系统使用常见问题

一、ADMIN用户被误删

以后门用户名、口令登录:EMS_MAN/CPA_WXA,重建ADMIN用户。

二、平衡合拢不发送数据

以oracle7用户登录服务器,

$ sqlplus ems_user/ems

SQL>select P_QGZX,P_JHZX from pz_xtpz;

其中P_QGZX为1是向全国中心传数据,为0则不传;

P_JHZX为1是向交换中心(老服务器)心传数据,为0则不传。

SQL>select * from sj_chsh;

看FLAG的值(可能为0,1,2,3,4)

0——正常标志,可以做平衡合拢;

1——平衡合拢确认发送数据时置位(在P_QGZX为0时,作为DAOKU标志;P_QGZX

为 1时,作为打包标志,等待con_edi生成EDI报文);

2——正在生成老系统报文;

3——已经正确完成打包处理,等待DAOKU(在P_QGZX为1时,作为DAOKU标志);

4——con_edi正在生成EDI报文(此时P_QGZX为1)



1.若FLAG的值为1且P_QGZX=0或FLAG的值为3且P_QGZX=1,一直不变,可直接运行:

SQL>execute daoku;

看结果如何。

可能需要用到的参考信息:

SQL>select object_name,object_type from user_objects where status=’INVALID’;

将状态为INVALID的PROCEDURE或TRIGGER重新COMPILE或ENABLE。

重新运行DAOKU。

也可能是JOB的问题:

SQL>select job,what,last_date,last_sec,broken,failures

2 from user_jobs;

如有BROKEN为‘Y’的JOB,则

SQL>begin

2 dbms_job.run(1);

3 dbms_job.run(2);

4 end;

5 /

(其中1,2为BROKEN值为‘Y’的JOB号)

也可能是数据库参数文件的问题,检查文件$ORACLE_HOME\dbs\initEMS.ora

查看文件中是否缺少:

job_queue_processes = 2

job_queue_ interval = 60

job_queue_keep_connections = TRUE

2.当FLAG的值为2且一直不变,原因是向老系统传送报文时客户端与服务器失去联系;

解决方法:将FLAG的值置为0,重新做平衡合拢。

3.若FLAG的值为4且一直不变,原因是生成EDI报文失败;

可以查看/ems/emstrans/log中的日志文件辅助检查;

解决方法:将FLAG的值置为3,等待con_edi重新打包。

三、操作时,提示某机器正操作

方法一:假如提示EMS1机器正在登此格口邮件,则通过机器名为EMS1的机器进入应用系统的相应模块并进入到该格口,然后退出,则其它机器便可以登录此格口的邮件了。

方法二:

1.登单时提示“某机器正在操作”

SQL>update oe set den_stat=0 where code = ‘CN****’;(国内出口)

SQL>update bsjm set den_stat=0 where code = ‘CN****’;(国内进口)

SQL>update gjoe set den_stat=0 where code = ‘******’;(国际出口直封)

SQL>update oe set hf_den_stat=0 where code = ‘CN****’;(国际出口互封)

SQL>update bsjm set jj_den_stat=0 where code = ‘CN****’;(国际进口)

SQL>commit;

注:CN****应替换成相应的出错局名代码。

2. 投递信息反馈输入投递道段时

SQL>update tdjm set td_flag=0 where code = ‘CN****’;

SQL>commit;

注: CN****应替换成相应的出错道段。

3. 登投递派送单时,提示“某机器正操作”

SQL>update tdjm set den_stat=0 where code = ‘CN****’;(国内进口)

SQL>update tdjm set jj_den_stat=0 where code = ‘CN****’;(国际进口)

SQL>commit;

注:CN****应替换成相应的出错道段。

四、热备份数据的恢复(DMP文件的恢复)

1. 按安装文档要求重新安装ORACLE;

2. 完成数据库初始化后,

$ sqlplus system/manager

SQL> drop user ems_user cascede;

3.重新创建ems_user用户:

SQL>create user ems_user identified by ems default tablespace users

2 temporary tablespace temp;

4.将dba权限赋入该用户:

SQL>grant dba to ems_user;

5.开始用imp命令恢复数据,并指定DMP文件的位置:

$ imp ems_user/ems

6.恢复数据工作结束后,再次进入sqlplus,将状态为”INVALID”的存储过程重新编译:

$ sqlplus ems_user/ems

SQL>select object_name from user_objects where status=’INVALID’;

SQL>alter procedure c_zph_daoku compile;

SQL>alter procedure wp_log_dom_exp compile;

SQL>alter procedure wp_log_dom_imp compile;

SQL>alter procedure wp_log_int_exp compile;

SQL>alter procedure wp_log_int_imp compile;

……

五、冷备份的数据恢复

冷备份是指在数据库关闭时,将ORACLE的数据文件备份到其它位置。

1. WORKGROUP版ORACLE的恢复:

关闭数据库

$ svrmgrl

SVRMGR>connect internal

SVRMGR>shutdown abort

SVRMGR>exit

将备份出的文件(*.ora, *.dbf)拷贝到原位置/ems/oracle7/dbs目录下;

2. 企业版ORACLE的恢复:

先关闭数据库,将备份出的文件恢复到原位置。

六、SCO Openserver 常见问题

1. 文件系统使用情况的检查:

# dfspace

或 # df -v

一个文件系统的空闲空间不应低于20%;

2. 系统日志的检查:

/usr/adm/syslog

/usr/adm/rc2.log

3./ems文件系统加载失败:

在单用户下,以只读方式加载

# mount -r /dev/ems /ems

加载另一文件系统(以emsbak为例),保证文件系统中有足够空间备份ems中的数据

# mount /dev/emsbak /emsbak

# cd /emsbak

# mkdir newbak

# cp -pR /ems/* /emsbak/newbak

备份完成后,

# umount /ems

重建文件系统

# mkfs /dev/ems

# mount /dev/ems /ems

# cp -pR /emsbak/newbak/* /ems

完成后重启系统

# init 6

4.定期重启系统,一周至少重启一次。

七、备份方案

1.自动热备份

# cd /tmp

# crontab –l>cronbak

# vi cronbak

在文件的最后加入一行

5 2 * * * su – oracle7 –c ‘exp ems_user/ems OWNER=ems_user FILE=/emsbak/emsback.dmp’

# crontab cronbak

这样,在凌晨2时 5分执行数据库倒出,在/emsbak生成emsback.dmp文件,/emsbak最

好是独立文件系统,而且oracle7用户在/emsbak有写权限。



2. 冷备份



工作组(Workgroup)版:

以oracle7用户登陆,创建文件emsbackup

$ vi emsbackup

文件的内容是:

svrmgrl<<EOF

connect internal

shutdown immediate

exit

EOF

cp /ems/oracle7/dbs/* /emsbak/dbs

svrmgrl<<EOF1

connect internal

startup

exit

EOF1

echo ‘Backup Complete !!!’

注:/emsbak最好是独立的文件系统,而且有足够的空间;

oracle7用户对/emsbak/dbs目录有写权限

$ chmod +x emsbackup



企业版:

以oracle7用户登陆,创建文件emsbackup

$ vi emsbackup

文件的内容是:

svrmgrl<<EOF

connect internal

shutdown immediate

exit

EOF

cp $ORACLE_HOME/dbs/* /emsbak/dbs

cp /ems/oracle7/oradata/EMS/* /emsbak/data

svrmgrl<<EOF1

connect internal

startup

exit

EOF1

echo ‘Backup Complete !!!’



注:/emsbak最好是独立的文件系统,而且有足够的空间;

oracle7用户对/emsbak/dbs,/emsbak/data目录有写权限

$ chmod +x emsbackup



备份时请先将应用程序退出系统,以oracle7用户注册,运行emsbackup

$ emsbackup

当提示‘Backup Complete !!!’时,备份完成

Leave a comment

特快专递站点处理系统培训教材

特快专递站点处理系统培训教材(目录)

1. 如何正确使用该系统,以保证投递反馈率? 2
1.1. 正确配置本局综合信息 2
1.1.1. 邮编的配置 3
1.1.2. 国内封发最大总包号 3
1.2. 正确进行数据维护 4
1.2.1. 系统重新安装后 4
1.2.2. 总包号分段的使用方法 4
1.3. 规范操作流程 4
1.3.1. 国内、国际邮件分别封发 4
1.3.2. 进口登直投处理 5
1.3.3. 投递信息录入 5
1.4. 互换局交海关和海关放行处理方法 6
1.4.1. 国际出口/进口交海关 6
1.4.2. 本频次海关放行 6
1.4.3. 非本频次海关放行 6
1.5. 掌握阅读传输日志的方法 6
2. 日常维护手册 13
2.1. 每日必须进行的工作 13
2.1.1. 业务人员: 13
2.1.2. 维护人员: 13
2.2. 每周必须进行的工作 15
2.3. 系统发生重大故障时必须进行的工作 17
2.3.1. 服务器掉电或异常关机造成系统无法正常使用。 17
2.3.2. 文件系统加载失败,以/dev/ems为例 19
2.3.3. 数据库相关问题。 19
2.3.4. 日常问题处理 20


1. 如何正确使用该系统,以保证投递反馈率?
1.1. 正确配置本局综合信息
•如下图:(略)


1.1.1. 邮编的配置
对反馈率影响最严重的问题!
必须配置准确,且应于全国中心一致(尤其场地分散,设置多个服务器的情况)。如邮编配置错误,所有生成的报文将被全国中心拒绝,如一直不解决将导致反馈率很低、甚至为0。可通过传输日志检查出来,表现为:
2001/12/10 20:35:02: U003610042543.EMS
2001/12/10 20:35:02: /ems/emstrans/send_txt/U003610042543.EMS
2001/12/10 20:35:04: APP_CALL_ERR:Invalid SITECODE
1.1.2. 国内封发最大总包号
必须置为9999,否则,如果6个月内总包回头后,会产生以下两个方面的影响:
? 本站点封发的整个总包信息被丢弃,将影响本站点封发上网率;
? 寄达局的开拆信息被丢弃,将影响邮件查询。
1.2. 正确进行数据维护
1.2.1. 系统重新安装后
? 注意!最大文件流水号、报文交换控制参考号、信息参考号:这三个号码一旦重复,报文被丢弃。而传输日志中没有信息记录,全国中心没有处理记录!因此,重装系统后,一定要从全国中心确认这三个号。
? 总包号的重新配置,包括国内出口封发、国内进口登非直投、国际出口封发、国际进口登非直投。如不重新配置,会由于总包ID重复,该总包的所有信息被全国中心丢弃,影响邮件查询和上网率。
1.2.2. 总包号分段的使用方法
该功能用在国内出口封发和国际出口互封。要求:维护国内封发局名库时,封发局名的8位代码不能重复。如果到同一个物理的寄达局确实需要多个代码时,必须进行总包号分段。例如:
某一站点封发到沈阳的总包分为:沈阳、沈阳限时。由于沈阳的8位代码是确定的11000000,这时为了避免总包号在全国中心重复,需要进行总包号分段:如沈阳(1-7999)、沈阳限时(8000-9999)。——对应站点处理系统模块的数据维护→国内业务基础数据→国内封发局名库,数据维护→国内业务基础数据→国内相同邮编局名总包号分段。
同样国际出口互封时,也可以在到同一个物理的寄达局确实需要多个代码时,进行总包号分段。——对应站点处理系统模块的数据维护→国内业务基础数据→国内封发局名库,数据维护→国内业务基础数据→国际相同邮编局名总包号分段。
1.3. 规范操作流程
1.3.1. 国内、国际邮件分别封发
? 国内进口转发处理,必须在国内进口登非直投中处理。
? 国际进口转发处理,必须在国际进口登非直投中处理。
? 按投递反馈率计算公式,转发处理只有在相应模块进行,才能保证分母中开拆邮件数能有效地减掉二次封发的邮件数。
例如:石家庄国内投递反馈率90%,而国际邮件反馈率只有75%。经分析原因,国际进口转发处理是在国内出口封发中处理的,分母大于实际应投递的值,因而国际反馈率无论如何上不去。
1.3.2. 进口登直投处理
如果每天对同一道段的登直投处理有多次,例如:9:00对投递一段封发一次,15:00又对投递一段封发一次,请在数据维护->本局作业数据->作业频次安排中将国内进口处理划分为相应的频次。否则会造成总包ID重复,影响以后的邮件查询。
1.3.3. 投递信息录入
对反馈率影响非常严重的问题之一!
? 请注意录入邮件的投递日期、投递时间不能超过当前的系统日期和时间,否则如果超过当前的系统日期和时间的邮件数超过10件,会严重影响投递反馈率。例如:兰州的投递反馈率曾一度达到10%,经分析,该局录入的投递反馈信息中有295件大于系统日期(统计时间2002/11/29),其中甚至邮件的投递日期为:2380年3月1日。
? 同样道理,有的局为了提高投递反馈率,掌上电脑采集一次,站点系统录入一次,会造成妥投信息重复录入,反而回降低反馈率。
? 信息录入要及时,尤其对转普邮部分,从邮件的进口开拆时间开始,6天以内必须录入投递信息,否则不统计在投递反馈率内。
? 投递日期时间不能早于邮件的开拆日期和时间,否则不统计在投递反馈率内。
? 同一邮件的未妥投信息如先后录入两次,且时间、地点相同,信息将被丢弃。
1.4. 互换局交海关和海关放行处理方法
1.4.1. 国际出口/进口交海关
? 进入相应模块
国际出口交海关:进入“国际出口邮件处理→登国内互封邮件”模块
国际进口交海关:进入“国际进口邮件处理→登非直投邮件”模块
? 寄达局处录入:“HGHG”后,进行登单处理即可。
1.4.2. 本频次海关放行
? 进入相应模块
国际出口:进入“国际出口邮件处理”模块
国际进口交海关:进入“国际进口邮件处理”模块
? 按“F8登放行”功能键,在原寄局处录入“HGFX”,即可进行后续处理。
1.4.3. 非本频次海关放行
? 进入相应模块
国际出口交海关:进入“国际出口邮件处理→开拆勾核”模块
国际进口交海关:进入“国际进口邮件处理→开拆勾核”模块
? 原寄局处录入:“HGHG”后,进行登单处理即可。
1.5. 掌握阅读传输日志的方法
? 日志所在目录是/ems/emstrans/log,文件名的格式为“ULOGyyyymm”,其中yyyy为年份,mm为月份。
例:ULOG200203 为2002年3月份的日志
? 使用文本编辑器(vi)查看日志文件。
? 正常情况:
2001/04/30 23:52:09: A file created:U361000000268.EMS(生成报文正常)
2001/04/30 23:55:05: tperrno = 24 ctl->diagnostic = -11
2001/04/30 23:55:05: tpdequeue failed!
2001/04/30 23:55:05: Dequeued!
2001/04/30 23:55:05: U361000000268.EMS
2001/04/30 23:55:05: /ems/emstrans/send_txt/U361000000268.EMS
2001/04/30 23:56:07: TRANS_NOPROBLEM(站点发送及全国中心正常)
2001/04/30 23:56:07: return=0,block_id=30 begin_time=988646105
after_time=988646167
? 异常情况一:
2001/04/06 16:18:01: TPINIT error:failed to join application!
2001/04/06 16:23:00: TPINIT error:failed to join application!
产生原因:无法与TUXEDO服务端建立连接
解决方法:
? 检查与全国中心的通信,如不通请联系本地综合网网管;
# ping 10.2.0.13
? 如果可以ping通,请检查/ems/emstrans/setenv文件中全国中心的地址是否正确;
# vi /ems/emstrans/setenv
WSNADDR=//10.2.0.13:15898; export WSNADDR
? 如果都没问题,可能是全国中心将服务停止。
? 异常情况二:
2001/04/07 09:40:04: ORACLE error detected:ORA-01034: ORACLE not available
ORA-07429: smsgsg: shmget() failed to
2001/04/07 09:40:05: Cannot connect to oracle as user ems_user!
产生原因:
? 可能是数据库被关闭;
? /ems/emstrans/setenv中ORACLE的环境变量有误。
解决方法:
? 确认数据库是否关闭,如关闭,请启动数据库。
? 如数据库状态正常,以emstrans用户登录服务器
$ . setenv
$ sqlplus ems_user/ems
? 如果连接数据库出现异常,则
$ echo $DBNAME
查看DBNAME的值是否与文件/etc/tnanames.ora中的数据库连接串一致
? 如果不一致,配置环境变量文件setenv
DBNAME=tcp_EMS; export DBNAME
其中tcp_EMS即为/etc/tnanames.ora中获得的连接串。
? 异常情况三:
2002/12/01 08:50:03: Insert error!
2002/12/01 08:50:03: 1:Foccur!
2002/12/01 08:50:03: File=U310000005699.EMS Ediser=01939099 Errno=-700 Errmsg=ORA-00001: unique constraint (EMS.PK_PARCEL_PARCELID_ACT_SPEC) violate –Discard the whole diagram handle Skip_begin=-5 Skip_end=8
产生原因:
? 全国中心要求PARCELID唯一,而报文中的PARCELID与中心数据库中的重复,这段报文将被中心丢弃。
解决方法:
? 保证“国内出口封发局名库” 邮政编码的准确和唯一,对于确实不唯一的情况,请到“国内相同邮编局名总包号分段”或“国际相同邮编局名总包号分段”模块中进行总包号分段处理;
? 保证“开办局代码数据库”中开办局邮政编码、“本局经转局名库”中各经转局邮政编码的准确和唯一。注意:邮政编码为8位;
? 保证国内进口作业频次安排与实际进口登直投处理的安排一致;
? 如果以上三种情况均得到保证,请联系热线电话。因为有可能是开拆总包重复,而造成开拆总包重复的原因有两个:一是原寄局封发时重复,责任在原寄局;二是开拆局开拆录入错误,责任在开拆局,因此需热线联系,具体分析。
? 异常情况四:
2001/11/01 00:17:12: A file created:U361000002265.EMS
2001/11/01 08:17:08: A file created:U361000002266.EMS
2001/11/01 10:07:01: A file created:U361000002267.EMS
2001/11/01 10:22:00: A file created:U361000002268.EMS
产生原因:生成报文正常,没有发送报文;
解决方法:
? 重新启动服务器;
? 或将ems_trans的进程杀掉,以emstrans用户登陆,执行下列命令行:
$ ps -u emstrans
查找CMD为ems_trans的进程号(PID)
$ kill -9 PID
$ crontab –r
$ emstrans_cron
$ crontab -l
02,07,12,17,22,27,32,37,42,47,52,57 * * * * /ems/emstrans/bin/con_edi_sh 1> /dev/null 2>&1
05,10,15,20,25,30,35,40,45,50,55,00 * * * * /ems/emstrans/bin/ems_trans_sh 1> /dev/null 2>&1
? 异常情况五:
2001/12/10 20:35:02: U003610042543.EMS
2001/12/10 20:35:02: /ems/emstrans/send_txt/U003610042543.EMS
2001/12/10 20:35:04: APP_CALL_ERR:Invalid SITECODE
产生原因:
? “本局综合信息配置”中站点邮政编码有误,全国中心不接收该报文文件;
解决方法:
? 改正本局综合信息配置”中站点邮政编码,邮编为8位。
例:厦门邮编为361000厦门站点邮编为36100000
? 异常情况六:
无日志生成。
产生原因:
? 可能“本局综合信息配置”中“向全国中心发送数据”没被选中;
? 也可能打包和数据发送程序没有正常执行,平衡合拢无法继续。
解决方法:
? 将本局综合信息配置”中“向全国中心发送数据”选中;
? 检查emstrans用户的作业调度:
$ crontab -l
? 检查/ems/emstrans/bin目录下文件ems_trans、con_edi是否存在。
? 异常情况七:
2002/04/17 08:42:00: ORACLE error detected:ORA-01405: fetched column value is NULL
并且平衡合拢无法发送。
产生原因:
? 在数据库initEMS.ora文件中没有添加三行job。
? “本局综合信息配置”中“站点邮政编码”为空。
解决方法:
? 用oracle用户登陆在根目录下
cd /ems/oracle7/dbs(工作组版数据库)
cd /ems/oracle7/app/oracle/product/7.3.*/dbs(企业版数据库)
vi initEMS.ora 文件中添加
job_queue_processes =2
job_queue_interval = 60
job_queue_keep_connections = TRUE
? 将“本局综合信息配置”中“站点邮政编码”改为正确值(8位)。
? 异常情况八:
2002/12/01 12:43:57: Insert error!
2002/12/01 12:43:57: 1:Foccur!
2002/12/01 12:43:57: File=U730000003002.EMS Ediser=00072849 Errno=-100 Errmsg=ORA-20102: Insert deliver repeatly
ORA-06512: at “EMS.INSERT_DELIVER”, Skip_begin=8 Skip_end=13产生原因:
? 投递信息反馈中有重复录入信息,如果本频次生成的报文中重复的邮件数>=10,则整个报文被丢弃,这将严重影响反馈率。重复的情况有两种可能:
一是同一邮件的妥投信息录入两次;
二是同一邮件未妥投信息先后录入两次,而且两次的投递时间完全相同。
? 也可能录入投递反馈信息时,录入的邮件投递反馈时间大于当前系统时间的邮件数超过10。
解决方法:
? 信息不要重复录入,尤其是使用掌上电脑的站点,对于已经在掌上电脑录入过的数据,一定不要在台式机上重新录入;
? 正确录入邮件的投递日期时间,既不要早于开拆时间,也不要大于系统当前时间。
? 异常情况九:
2002/12/01 00:00:08: U571100000415.EMS
2002/12/01 00:00:08: /ems/emstrans/send_txt/U571100000415.EMS
2002/12/01 00:00:09: TRANS_CHKFAIL
2002/12/01 00:00:09: tperrno = 24 ctl->diagnostic = -11
2002/12/01 00:00:09: tpdequeue failed!
2002/12/01 00:00:09: ERROR when dequeue()!
2002/12/01 00:00:09: return=-207, block_id=3 begin_time=1038672008 after_time=1038672009
出现上述提示请及时联系热线电话,我们会与全国中心结合站点实际情况共同查找原因。
? 异常情况十:
2002/10/01 06:42:02: ORACLE error detected:ORA-00904: invalid column name
产生原因:
? 站点系统升级时传输日志表中有一列没有成功添加
解决方法:
? 将表中缺少列添加
sql> alter table trans_log
add edi_make_time date;
? 将/ems/emstrans/send_txt目录下没有发送的报文重新全送
例如:站点编码为25660000的站点文件从U256600001756.EMS至U256600001801.EMS需要发送,方法如下:
declare
i number;
filename char(17);
begin
i:=1756;
–待传文件名的后4位顺序号(起始)
loop
filename:=’U25660000′||to_char(i)||’.EMS’;
–25660000为站点编码
insert into trans_log(
trans_success,filename,edi_make_time)
values(‘N’,filename,sysdate);
i:=i+1;
exit when i>1801;
–待传文件名的后4位顺序号(终止)
end loop;
commit work;
end;
/
2. 日常维护手册
2.1. 每日必须进行的工作
2.1.1. 业务人员:
? 进入系统的“系统配置与数据维护→传输监控”模块,检查文件的传输情况。
? 保证“本局综合信息”中的各项配置的准确。主要包括站点邮政编码(8位),是否向全国中心传送数据。
? 保证“开办局代码数据库”中开办局邮政编码的准确;保证“国内封发局名库”中封发局邮政编码的准确以及总包号分段的准确;保证“本局经转局名库”中各经转局邮政编码的准确和唯一。
2.1.2. 维护人员:
? 注意!保证服务器电源的稳定,检查UPS的工作情况,尽量避免由于突然掉电造成的文件系统的破坏或数据库瘫痪而产生的损失。如破坏情况严重情况下,系统需要全部重装,可能连续几天无法进行生产,势必要影响反馈率;如果以前数据没有备份,将影响以前的数据查询与统计。
? 检查服务器与全国中心的通信情况。
# ping 10.2.0.13
保证/ems/emstrans/setenv中全国中心地址的准确“WSNADDR=//10.2.0.13:15898”。
? 检查通信软件的日志。
日志所在目录是/ems/emstrans/log,文件名的格式为“ULOGyyyymm”,其中yyyy为年份,mm为月份。
? 检查服务器的系统日志有无异常,有异常及时解决。
/usr/adm/syslog
/usr/adm/messages
——主要查看UNIX系统引导时的硬件信息
/usr/adm/rc2.log
——主要查看文件系统加载信息、数据库启动信息、数据库监听信息
? 注意!每天检查服务器硬盘的使用情况,文件系统的空闲空间应不低于20%,否则必须采取措施(如进行数据库数据文件的移动等,必须在指导下进行!)
命令行:
# df –v
显示结果:
Mount Dir Filesystem blocks used free %used
/ /dev/root 4631860 2415206 2216654 53%
/stand /dev/boot 40000 17698 22302 45%
/ems /dev/ems 4000000 3386250 613750 85%
? 检查自动热备份是否成功
通过加入作业调度实现自动备份,步骤如下:
? # cd tmp
? # crontab -l>cronback
? # vi cronback
在文件最后加入下面一行
0 1 * * * su – oracle7 -c ‘exp ems_user/ems OWNER=ems_user FILE=/backup/dmp/emsbackup.dmp’
? # crontab cronback
表示在每天凌晨1时0分执行数据库倒出,在/backup/dmp生成emsbackup.dmp,/backup最好为单独文件系统
? 工作站每天重启一次。
2.2. 每周必须进行的工作
业务人员:
? 检查本站点的业务处理流程是否规范
? 国内、国际业务是否分别在相应的国内、国际模块处理。尤其是国内进口转发是否在国内进口模块处理;国际进口邮件转发是否在国际进口模块处理。
? 投递信息反馈能否国内、国际分开处理,投递时间录入是否准确;
? 能否保证邮件的投递信息在开拆后最迟5日内完成录入。
维护人员:
? 重启服务器一次;
? 做一次冷备份
备份时请先将应用程序退出系统,以oracle7用户注册,运行
$ emsbackup
当提示‘Backup Complete !!!’时,备份完成
emsbackup的脚本如下:
? 工作组(Workgroup)版
以oracle7用户登陆,创建文件emsbackup
$ vi emsbackup
文件的内容是:
svrmgrl<<EOF
connect internal
shutdown immediate
exit
EOF
cp /ems/oracle7/dbs/* /emsbak/dbs(采用另外的文件系统备份)
tar –cvf /dev/rct0 /ems/oracle7/dbs/*(采用磁带机备份)
svrmgrl<<EOF1
connect internal
startup
exit
EOF1
echo ‘Backup Complete !!!’
注:/emsbak最好是独立的文件系统,而且有足够的空间;
oracle7用户对/emsbak/dbs目录有写权限
$ chmod +x emsbackup
? 企业版
以oracle7用户登陆,创建文件emsbackup
$ vi emsbackup
文件的内容是:
svrmgrl<<EOF
connect internal
shutdown immediate
exit
EOF
cp $ORACLE_HOME/dbs/* /emsbak/dbs
——采用另外的文件系统备份
cp /ems/oracle7/oradata/EMS/* /emsbak/data
——采用另外的文件系统备份
tar –cvf /dev/rct0 $ORACLE_HOME/dbs/*(采用磁带机备份)
tar –cvf /dev/rct0 /ems/oracle7/oradata/EMS/*(采用磁带机备份)
svrmgrl<<EOF1
connect internal
startup
exit
EOF1
echo ‘Backup Complete !!!’
注:/emsbak最好是独立的文件系统,而且有足够的空间;
oracle7用户对/emsbak/dbs,/emsbak/data目录有写权限
$ chmod +x emsbackup
2.3. 系统发生重大故障时必须进行的工作
2.3.1. 服务器掉电或异常关机造成系统无法正常使用。
? 如果UNIX操作系统坏,且无法恢复,即使以单用户模式也无法登录时
必须重新安装整个系统,维护员应先发传真至010-86271066-208 ,传真的内容必须包括:站点名称、IP地址、root口令、掉电时间、掉电原因和单位公章。
详细过程请参照:http://www.sino-post.com网站的“产品服务”下的“技术支持”中的“特快专递(EMS)工程手册”进行重新安装:安装UNIX操作系统——打UNIX补丁——安装ORACLE数据库——安装TUXEDO客户端——安装EMS文件传输
? 如果有冷备份
冷备份是指在数据库关闭时,将ORACLE的数据文件备份到其它位置。
? 关闭数据库
$ svrmgrl
SVRMGR>connect internal
SVRMGR>shutdown abort
SVRMGR>exit
? 将/ems/oracle7/dbs(WORKGROUP版,企业版的相关目录参照冷备份)目录下的文件(*.ora, *.dbf)拷贝到与冷备不同的另一位置,以备在冷备份恢复失败的情况能恢复到新安装后的状态。
? 将备份出的文件(*.ora, *.dbf)拷贝到原位置/ems/oracle7/dbs目录下
tar –xvf /dev/cd0(磁带机方式)
? 重新启动数据库
$ svrmgrl
SVRMGR>connect internal
SVRMGR>startup
SVRMGR>exit
? 如果没有冷备份,或冷备份失败时,可采用热备份恢复:
? 进行数据库初始化。
? 进入SQLPLUS,
$ sqlplus system/manager
sql>drop user ems_user cascade;
sql>create user ems_user identified by ems default tablespace users temporary tablespace temp;
sql>grant dba to ems_user;
sql>exit
$ imp ems_user/ems (根据提示进行热备份的恢复)。
? 恢复数据工作结束后,再次进入sqlplus,将状态为”INVALID”的存储过程重新编译:
$ sqlplus ems_user/ems
SQL>select object_name from user_objects where status=’INVALID’;
SQL>alter procedure c_zph_daoku compile;
SQL>alter procedure wp_log_dom_exp compile;
SQL>alter procedure wp_log_dom_imp compile;
SQL>alter procedure wp_log_int_exp compile;
SQL>alter procedure wp_log_int_imp compile;
? 如果没有任何备份,必须在数据库初始化后,由业务人员重新进行系统配置和数据维护。
? 安装完成后,有维护人员向全国中心要最大文件流水号、报文交换控制参考号、信息参考号,以及重新维护所有封发局的当前总包号。因此必须作好数据备份。
2.3.2. 文件系统加载失败,以/dev/ems为例
? 在单用户下,以只读方式加载,命令行如下:
# mount -r /dev/ems /ems
? 加载另一文件系统(以emsbak为例),保证文件系统中有足够空间备份ems中的数据,命令行如下:
# mount /dev/emsbak /emsbak
# cd /emsbak
# mkdir newbak
# cp -pR /ems/* /emsbak/newbak
? 备份完成后,卸载ems文件系统:
# umount /ems
? 重建文件系统
# mkfs /dev/ems
# mount /dev/ems /ems
# cp -pR /emsbak/newbak/* /ems
? 完成后重启系统
# init 6
2.3.3. 数据库相关问题。
包括数据库坏块、数据库无法启动、速度问题和数据的恢复等。
? 数据块错误
例如:ora – 01578 “oracle data block corrupted (file # %s, block # %s)”
查看方法:
SQL> select segment_name,segment_type,block_id from dba_extents
where file_id = %s and block_id between %s and %s ;
根据显示的索引名或表名,首先将其drop 掉,然后创建相应的表或索引。
? 站点处理系统运行速度慢
运行EMS站点处理系统优化即可。
? 其他如数据文件坏、需要进行数据文件的移动,请与热线支持联系。
2.4. 日常问题处理
2.4.1. 平衡合拢不发送数据
? 以oracle7用户登录服务器sqlplus ems_user/ems
SQL>select p_qgzx ,p_jhzx ,zipcode from pz_xtpz;
其中 p_qgzx为1是向全国中心传数据,为0则不传,应为1;
p_jhzx为1是向交换中心(老服务器)传数据,为0则不传,应为0;
zipcode 为本地的邮编(实际六位再加两位零),如未配置则也不向全国中心传数据;
SQL>select * from sj_chsh;
看FLAG的值(可能为0,1,2,3,4)
0——正常标志,可以做平衡合拢;
1——平衡合拢确认发送数据时置位(P_QGZX为 1时,作为打包标志,等待后台打包程序con_edi生成EDI报文);
2——正在生成老系统报文(说明p_jhzx为1,应修改为0);
3——已经正确完成打包处理,等待DAOKU(在P_QGZX为1时,作为DAOKU标志);
4——后台打包程序con_edi正在生成EDI报文(此时P_QGZX为1)
? 若FLAG的值为1一直不变
以emstrans用户登陆,查看/ems/emstrans/log中的日志文件是否正常。如提示有空列说明邮编没有配置,提示数据库错误检查setenv环境变量是否正常;
crontab –l 查看作业调度;
crontab –r 删除作业调度;
emstrans_cron 重跑emstrans;
con_edi_sh 手工打包;
? FLAG的值为3一直不变:
? 可以查看是否有无效的存储过程:
SQL>select object_name,object_type from user_objects where status=’INVALID’;
如显示有则:
SQL>alter procedure ( 无效存储过程名) compile;
SQL>execute daoku;
? 也可能是JOB的问题:
SQL>select job,what,last_date,last_sec,broken,failures
2 from user_jobs;
如有BROKEN为‘Y’的JOB,则
SQL>begin
2 dbms_job.run(1);
3 dbms_job.run(2);
4 end;
5 /
——其中1,2为BROKEN值为‘Y’的JOB号
? 也可能是数据库参数文件的问题,检查文件$ORACLE_HOME\dbs\initEMS.ora
查看文件中是否缺少:
job_queue_processes = 2
job_queue_ interval = 60
job_queue_keep_connections = TRUE
如果场地分散job_queue_processes的值应为3。
? 当FLAG的值为2
SQL>update pz_xtpz set p_jhzx=0;
SQL>commit;
(或在“本局综合信息配置”模块中,将“向交换中心传数据”去掉,并保存。)
将FLAG值置为0,重新做平衡合拢。
? 若FLAG的值为4且一直不变,原因是生成EDI报文失败;
可以查看/ems/emstrans/log中的日志文件辅助检查;
或将FLAG的值置为3,等待con_edi重新打包。
2.4.2. 操作时,提示某机器正操作
方法一:假如提示EMS1机器正在登此格口邮件,则通过机器名为EMS1的机器进入应用系统的相应模块并进入到该格口,然后退出,则其它机器便可以登录此格口的邮件了。
方法二:以oracle7用户登陆服务器进入sqlplus ems_user/ems;
? 登单时提示“某机器正在操作”
SQL>update oe set den_stat=0 where code = ‘CN****’;
——(国内出口)
SQL>update bsjm set den_stat=0 where code = ‘CN****’;
——(国内进口)
SQL>update gjoe set den_stat=0 where code = ‘******’;
——(国际出口直封)
SQL>update oe set hf_den_stat=0 where code = ‘CN****’;
——(国际出口互封)
SQL>update bsjm set jj_den_stat=0 where code = ‘CN****’;
——(国际进口)
SQL>commit;
注:CN****应替换成相应的出错局名代码。
? 投递信息反馈输入投递道段时
SQL>update tdjm set td_flag=0 where code = ‘CN****’;
SQL>commit;
注: CN****应替换成相应的出错道段。
? 登投递派送单时,提示“某机器正操作”
SQL>update tdjm set den_stat=0 where code = ‘CN****’;
——(国内进口)
SQL>update tdjm set jj_den_stat=0 where code = ‘CN****’;
——(国际进口)
SQL>commit;
注:CN****应替换成相应的出错道段。
2.4.3. ADMIN用户被误删
以后门用户名、口令登录:EMS_MAN/CPA_WXA,重建ADMIN用户。
SQL>INSERT INTO koli
VALUES (0,’ADMIN’,'MANAGER’,'系统管理’,1,’111111111′,1);

Leave a comment

谨以此文感谢没脾气X2提供的BLOG!

谢谢!

1 Comment

你需要知道的知识—–端口号

你需要知道的知识—–端口号
TCP端口可以归为3类:


1、众所周知的端口来标识在TCP上运行的标准服务,包括FTP、HTTP、TELNET、SMTP等,这些


端口号码范围为0-1023;


2、注册端口号用来标识那些已经向IANA(Internet Assigned Numbers Assigned Numbers


Authority)注册的应用,注册端口号为1024-49151;


3、私有端口号是非注册的并且可以动态地分配给任何应用,私有端口为49152-65535;


注册的端口号本来打算只给注册的应用使用,可近年来端口号已经陷入了到达极限的困境,你


可能会看到本来应该是给注册应用使用的注册端口被非注册应用用做暂时的端口。RFC1700详


细标注了众所周知的和注册的端口号,然而不幸的是,这个RFC文档自从1994年以来一直没有


被更新,然后你仍可以从IANA得到一个及时更新的端口列表,详细URL为:


http://www.iana.org/assignments/port-numbers

Leave a comment

一步步教你读解防火墙记录

一步步教你读解防火墙记录(连载1)
希望大家认真看,认真看肯定会有收获的;这段时间这个版面相关的内容较少,等相关内容多了,我会向soukei管理员那样整理的。另外,希望大家多多支持,我会努力让大家了解安全方面的更多知识的:) 为了不让大家看得辛苦且更易学到东西,我会分得很短且不会连续在同一天内转相关内容。大家就不要心急了:)



声明:以下文章均为转载


本文将向你解释你在防火墙的记录(Log)中看到了什么?尤其是那些端口是什么意思?你将能利用这些信息做出判断:
我是否受到了Hacker的攻击?他/她到底想要干什么?本文既适用于维护企业级防火墙的安全专家,又适用于使用个人
防火墙的家庭用户。

*译者:现在个人防火墙开始流行起来,很多网友一旦看到报警就以为受到某种攻击,其实大多数情况并非如此。

一、目标端口ZZZZ是什么意思

所有穿过防火墙的通讯都是连接的一个部分。一个连接包含一对相互“交谈”的IP地址以及一对与IP地址对应的端口。
目标端口通常意味着正被连接的某种服务。当防火墙阻挡(block)某个连接时,它会将目标端口“记录在案”(logfile)。
这节将描述这些端口的意义。

端口可分为3大类:
1) 公认端口(Well Known Ports):从0到1023,它们紧密绑定于一些服务。通常这些端口的通讯明确表明了某种服务的
协议。例如:80端口实际上总是HTTP通讯。
2) 注册端口(Registered Ports):从1024到49151。它们松散地绑定于一些服务。也就是说有许多服务绑定于这些端口,
这些端口同样用于许多其它目的。例如:许多系统处理动态端口从1024左右开始。
3) 动态和/或私有端口(Dynamic and/or Private Ports):从49152到65535。理论上,不应为服务分配这些端口。实际上,
机器通常从1024起分配动态端口。但也有例外:SUN的RPC端口从32768开始。

从哪里获得更全面的端口信息:
1.http://www.iana.org/numbers.htm
“Assigned Numbers” RFC,端口分配的官方来源。
2.http://advice.networkice.com/advice/Exploits/Ports/
端口数据库,包含许多系统弱点的端口。
3./etc/services
UNIX 系统中文件/etc/services包含通常使用的UNIX端口分配列表。Windows NT中该文件位于%systemroot%/system32/drivers/etc/services。
4.http://www.con.wesleyan.edu/~triemer/network/docservs.html该地址已失效)
特定的协议与端口。
5.http://www.chebucto.ns.ca/~rakerman/trojan-port-table.html
描述了许多端口。
6.http://www.tlsecurity.com/trojanh.htm该地址已失效
TLSecurity的Trojan端口列表。与其它人的收藏不同,作者检验了其中的所有端口。
7.http://www.simovits.com/nyheter9902.html
Trojan Horse 探测。


一步步教你读解防火墙记录(连载2)
一) 通常对于防火墙的TCP/UDP端口扫描有哪些?

本节讲述通常TCP/UDP端口扫描在防火墙记录中的信息。记住:并不存在所谓ICMP端口。如果你对解读ICMP数据感兴趣,请
参看本文的其它部分。

0 通常用于分析操作系统。这一方法能够工作是因为在一些系统中“0”是无效端口,当你试图使用一种通常的闭合端口
连接它时将产生不同的结果。一种典型的扫描:使用IP地址为0.0.0.0,设置ACK位并在以太网层广播。

1 tcpmux 这显示有人在寻找SGI Irix机器。Irix是实现tcpmux的主要提供者,缺省情况下tcpmux在这种系统中被打开。
Iris机器在发布时含有几个缺省的无密码的帐户,如lp, guest, uucp, nuucp, demos, tutor, diag, EZsetup, OutOfBox,
和4Dgifts。许多管理员安装后忘记删除这些帐户。因此Hacker们在Internet上搜索tcpmux并利用这些帐户。

7 Echo 你能看到许多人们搜索Fraggle放大器时,发送到x.x.x.0和x.x.x.255的信息。

常见的一种DoS攻击是echo循环(echo-loop),攻击者伪造从一个机器发送到另一个机器的UDP数据包,而两个机器分别以
它们最快的方式回应这些数据包。(参见Chargen)

另一种东西是由DoubleClick在词端口建立的TCP连接。有一种产品叫做“Resonate Global Dispatch”,它与DNS的这一端
口连接以确定最近的路由。

Harvest/squid cache将从3130端口发送UDP echo:“如果将cache的source_ping on选项打开,它将对原始主机的UDP echo
端口回应一个HIT reply。”这将会产生许多这类数据包。

11 sysstat 这是一种UNIX服务,它会列出机器上所有正在运行的进程以及是什么启动了这些进程。这为入侵者提供了许多信
息而威胁机器的安全,如暴露已知某些弱点或帐户的程序。这与UNIX系统中“ps”命令的结果相似

再说一遍:ICMP没有端口,ICMP port 11通常是ICMP type=11

19 chargen 这是一种仅仅发送字符的服务。UDP版本将会在收到UDP包后回应含有垃圾字符的包。TCP连接时,会发送含有垃
圾字符的数据流知道连接关闭。Hacker利用IP欺骗可以发动DoS攻击。伪造两个chargen服务器之间的UDP包。由于服务器企
图回应两个服务器之间的无限的往返数据通讯一个chargen和echo将导致服务器过载。同样fraggle DoS攻击向目标地址的这
个端口广播一个带有伪造受害者IP的数据包,受害者为了回应这些数据而过载。

21 ftp 最常见的攻击者用于寻找打开“anonymous”的ftp服务器的方法。这些服务器带有可读写的目录。Hackers或Crackers
利用这些服务器作为传送warez (私有程序) 和pr0n(故意拼错词而避免被搜索引擎分类)的节点。

22 ssh PcAnywhere建立TCP和这一端口的连接可能是为了寻找ssh。这一服务有许多弱点。如果配置成特定的模式,许多使用
RSAREF库的版本有不少漏洞。(建议在其它端口运行ssh)

还应该注意的是ssh工具包带有一个称为make-ssh-known-hosts的程序。它会扫描整个域的ssh主机。你有时会被使用这一程
序的人无意中扫描到。

UDP(而不是TCP)与另一端的5632端口相连意味着存在搜索pcAnywhere的扫描。5632(十六进制的0×1600)位交换后是0×0016
(使进制的22)。

23 Telnet 入侵者在搜索远程登陆UNIX的服务。大多数情况下入侵者扫描这一端口是为了找到机器运行的操作系统。此外使
用其它技术,入侵者会找到密码。

25 smtp 攻击者(spammer)寻找SMTP服务器是为了传递他们的spam。入侵者的帐户总被关闭,他们需要拨号连接到高带宽
的e-mail服务器上,将简单的信息传递到不同的地址。SMTP服务器(尤其是sendmail)是进入系统的最常用方法之一,因为
它们必须完整的暴露于Internet且邮件的路由是复杂的(暴露+复杂=弱点)。

53 DNS Hacker或crackers可能是试图进行区域传递(TCP),欺骗DNS(UDP)或隐藏其它通讯。因此防火墙常常过滤或记录
53端口。

需要注意的是你常会看到53端口做为UDP源端口。不稳定的防火墙通常允许这种通讯并假设这是对DNS查询的回复。Hacker常
使用这种方法穿透防火墙。

67和68 Bootp和DHCP UDP上的Bootp/DHCP:通过DSL和cable-modem的防火墙常会看见大量发送到广播地址255.255.255.255的
数据。这些机器在向DHCP服务器请求一个地址分配。Hacker常进入它们分配一个地址把自己作为局部路由器而发起大量的
“中间人”(man-in-middle)攻击。客户端向68端口(bootps)广播请求配置,服务器向67端口(bootpc)广播回应请求。
这种回应使用广播是因为客户端还不知道可以发送的IP地址。

69 TFTP(UDP) 许多服务器与bootp一起提供这项服务,便于从系统下载启动代码。但是它们常常错误配置而从系统
提供任何文件,如密码文件。它们也可用于向系统写入文件。

79 finger Hacker用于获得用户信息,查询操作系统,探测已知的缓冲区溢出错误,回应从自己机器到其它机器finger扫描。

98 linuxconf 这个程序提供linux boxen的简单管理。通过整合的HTTP服务器在98端口提供基于Web界面的服务。它已发现有
许多安全问题。一些版本setuid root,信任局域网,在/tmp下建立Internet可访问的文件,LANG环境变量有缓冲区溢出。此
外因为它包含整合的服务器,许多典型的HTTP漏洞可能存在(缓冲区溢出,历遍目录等)

109 POP2 并不象POP3那样有名,但许多服务器同时提供两种服务(向后兼容)。在同一个服务器上POP3的漏洞在POP2中同样
存在。

110 POP3 用于客户端访问服务器端的邮件服务。POP3服务有许多公认的弱点。关于用户名和密码交换缓冲区溢出的弱点至少
有20个(这意味着Hacker可以在真正登陆前进入系统)。成功登陆后还有其它缓冲区溢出错误。

111 sunrpc portmap rpcbind Sun RPC PortMapper/RPCBIND。访问portmapper是扫描系统查看允许哪些RPC服务的最早的一步。
常见RPC服务有:rpc.mountd, NFS, rpc.statd, rpc.csmd, rpc.ttybd, amd等。入侵者发现了允许的RPC服务将转向提供服务
的特定端口测试漏洞。

记住一定要记录线路中的daemon, IDS, 或sniffer,你可以发现入侵者正使用什么程序访问以便发现到底发生了什么。

113 Ident auth 这是一个许多机器上运行的协议,用于鉴别TCP连接的用户。使用标准的这种服务可以获得许多机器的信息
(会被Hacker利用)。但是它可作为许多服务的记录器,尤其是FTP, POP, IMAP, SMTP和IRC等服务。通常如果有许多客户通
过防火墙访问这些服务,你将会看到许多这个端口的连接请求。记住,如果你阻断这个端口客户端会感觉到在防火墙另一边与
e-mail服务器的缓慢连接。许多防火墙支持在TCP连接的阻断过程中发回RST,着将回停止这一缓慢的连接。

119 NNTP news 新闻组传输协议,承载USENET通讯。当你链接到诸如:news://comp.security.firewalls/. 的地址
时通常使用这个端口。这个端口的连接企图通常是人们在寻找USENET服务器。多数ISP限制只有他们的客户才能访问他们的新闻
组服务器。打开新闻组服务器将允许发/读任何人的帖子,访问被限制的新闻组服务器,匿名发帖或发送spam。

135 oc-serv MS RPC end-point mapper Microsoft在这个端口运行DCE RPC end-point mapper为它的DCOM服务。这与UNIX 111
端口的功能很相似。使用DCOM和/或RPC的服务利用机器上的end-point mapper注册它们的位置。远端客户连接到机器时,它们查
询end-point mapper找到服务的位置。同样Hacker扫描机器的这个端口是为了找到诸如:这个机器上运行Exchange Server吗?
是什么版本?

这个端口除了被用来查询服务(如使用epdump)还可以被用于直接攻击。有一些DoS攻击直接针对这个端口。

137 NetBIOS name service nbtstat (UDP) 这是防火墙管理员最常见的信息,请仔细阅读文章后面的NetBIOS一节

139 NetBIOS
File and Print Sharing 通过这个端口进入的连接试图获得NetBIOS/SMB服务。这个协议被用于Windows“文件和打印机共享”
和SAMBA。在Internet上共享自己的硬盘是可能是最常见的问题。

大量针对这一端口始于1999,后来逐渐变少。2000年又有回升。一些VBS(IE5 VisualBasic scripting)开始将它们自己拷贝到
这个端口,试图在这个端口繁殖。

143 IMAP 和上面POP3的安全问题一样,许多IMAP服务器有缓冲区溢出漏洞运行登陆过程中进入。记住:一种Linux蠕虫(admw0rm)
会通过这个端口繁殖,因此许多这个端口的扫描来自不知情的已被感染的用户。当RadHat在他们的Linux发布版本中默认允许IMAP
后,这些漏洞变得流行起来。Morris蠕虫以后这还是第一次广泛传播的蠕虫。

这一端口还被用于IMAP2,但并不流行。

已有一些报道发现有些0到143端口的攻击源于脚本。

161 SNMP(UDP) 入侵者常探测的端口。SNMP允许远程管理设备。所有配置和运行信息都储存在数据库中,通过SNMP客获得
这些信息。许多管理员错误配置将它们暴露于Internet。Crackers将试图使用缺省的密码“public”“private”访问系统。他
们可能会试验所有可能的组合。

SNMP包可能会被错误的指向你的网络。Windows机器常会因为错误配置将HP JetDirect remote management软件使用SNMP。
HP OBJECT IDENTIFIER将收到SNMP包。新版的Win98使用SNMP解析域名,你会看见这种包在子网内广播(cable modem, DSL)
查询sysName和其它信息。

162 SNMP trap 可能是由于错误配置

177 xdmcp 许多Hacker通过它访问X-Windows控制台, 它同时需要打开6000端口。

513 rwho 可能是从使用cable modem或DSL登陆到的子网中的UNIX机器发出的广播。这些人为Hacker进入他们的系统提供了很
有趣的信息。

553 CORBA
IIOP (UDP) 如果你使用cable modem或DSL VLAN,你将会看到这个端口的广播。CORBA是一种面向对象的RPC(remote procedure
call)系统。Hacker会利用这些信息进入系统。

600 Pcserver backdoor 请查看1524端口

一些玩script的孩子认为他们通过修改ingreslock和pcserver文件已经完全攻破了系统– Alan J. Rosenthal.

635 mountd Linux的mountd Bug。这是人们扫描的一个流行的Bug。大多数对这个端口的扫描是基于UDP的,但基于TCP的
mountd有所增加(mountd同时运行于两个端口)。记住,mountd可运行于任何端口(到底在哪个端口,需要在端口111做
portmap查询),只是Linux默认为635端口,就象NFS通常运行于2049端口。

1024 许多人问这个端口是干什么的。它是动态端口的开始。许多程序并不在乎用哪个端口连接网络,它们请求操作系统为
它们分配“下一个闲置端口”。基于这一点分配从端口1024开始。这意味着第一个向系统请求分配动态端口的程序将被分配
端口1024。为了验证这一点,你可以重启机器,打开Telnet,再打开一个窗口运行“natstat -a”,你将会看到Telnet被分
配1024端口。请求的程序越多,动态端口也越多。操作系统分配的端口将逐渐变大。再来一遍,当你浏览Web页时用“netstat”
查看,每个Web页需要一个新端口。

1025 参见1024

1026 参见1024

…… …… ……
一步步教你读解防火墙记录(连载3)
1080 SOCKS
这一协议以管道方式穿过防火墙,允许防火墙后面的许多人通过一个IP地址访问Internet。理论上它应该只允许内部的
通信向外达到Internet。但是由于错误的配置,它会允许Hacker/Cracker的位于防火墙外部的攻击穿过防火墙。或者简
单地回应位于Internet上的计算机,从而掩饰他们对你的直接攻击。WinGate是一种常见的Windows个人防火墙,常会发
生上述的错误配置。在加入IRC聊天室时常会看到这种情况。

1114 SQL
系统本身很少扫描这个端口,但常常是sscan脚本的一部分。

1243 Sub-7木马(TCP)
参见Subseven部分。

1524 ingreslock后门
许多攻击脚本将安装一个后门Shell于这个端口(尤其是那些针对Sun系统中Sendmail和RPC服务漏洞的脚本,如statd,
ttdbserver和cmsd)。如果你刚刚安装了你的防火墙就看到在这个端口上的连接企图,很可能是上述原因。你可以试试
Telnet到你的机器上的这个端口,看看它是否会给你一个Shell。连接到600/pcserver也存在这个问题。

2049 NFS
NFS程序常运行于这个端口。通常需要访问portmapper查询这个服务运行于哪个端口,但是大部分情况是安装后NFS运行于
这个端口,Hacker/Cracker因而可以闭开portmapper直接测试这个端口。

3128 squid
这是Squid HTTP代理服务器的默认端口。攻击者扫描这个端口是为了搜寻一个代理服务器而匿名访问Internet。你也会看
到搜索其它代理服务器的端口:8000/8001/8080/8888。扫描这一端口的另一原因是:用户正在进入聊天室。其它用户
(或服务器本身)也会检验这个端口以确定用户的机器是否支持代理。请查看5.3节。

5632 pcAnywere
你会看到很多这个端口的扫描,这依赖于你所在的位置。当用户打开pcAnywere时,它会自动扫描局域网C类网以寻找可能
得代理(译者:指agent而不是proxy)。Hacker/cracker也会寻找开放这种服务的机器,所以应该查看这种扫描的源地址。
一些搜寻pcAnywere的扫描常包含端口22的UDP数据包。参见拨号扫描。

6776 Sub-7 artifact
这个端口是从Sub-7主端口分离出来的用于传送数据的端口。例如当控制者通过电话线控制另一台机器,而被控机器挂断
时你将会看到这种情况。因此当另一人以此IP拨入时,他们将会看到持续的,在这个端口的连接企图。(译者:即看到
防火墙报告这一端口的连接企图时,并不表示你已被Sub-7控制。)

6970 RealAudio
RealAudio客户将从服务器的6970-7170的UDP端口接收音频数据流。这是由TCP7070端口外向控制连接设置的。

13223 PowWow
PowWow 是Tribal Voice的聊天程序。它允许用户在此端口打开私人聊天的连接。这一程序对于建立连接非常具有“进攻性”。
它会“驻扎”在这一TCP端口等待回应。这造成类似心跳间隔的连接企图。如果你是一个拨号用户,从另一个聊天者手中
“继承”了IP地址这种情况就会发生:好象很多不同的人在测试这一端口。这一协议使用“OPNG”作为其连接企图的前四
个字节。

17027 Conducent
这是一个外向连接。这是由于公司内部有人安装了带有Conducent “adbot” 的共享软件。Conducent “adbot”是为共享软件
显示广告服务的。使用这种服务的一种流行的软件是Pkware。有人试验:阻断这一外向连接不会有任何问题,但是封掉IP
地址本身将会导致adbots持续在每秒内试图连接多次而导致连接过载:机器会不断试图解析DNS名—ads.conducent.com,
即IP地址216.33.210.40 ;216.33.199.77 ;216.33.199.80 ;216.33.199.81;216.33.210.41。(译者:不知NetAnts使
用的Radiate是否也有这种现象)

27374 Sub-7木马(TCP)
参见Subseven部分。

30100 NetSphere木马(TCP)
通常这一端口的扫描是为了寻找中了NetSphere木马。

31337 Back Orifice “elite”
Hacker中31337读做“elite”/ei’li:t/(译者:法语,译为中坚力量,精华。即3=E, 1=L, 7=T)。因此许多后门程序运
行于这一端口。其中最有名的是Back Orifice。曾经一段时间内这是Internet上最常见的扫描。现在它的流行越来越少,
其它的木马程序越来越流行。

31789 Hack-a-tack
这一端口的UDP通讯通常是由于”Hack-a-tack”远程访问木马(RAT, Remote Access Trojan)。这种木马包含内置的31790
端口扫描器,因此任何31789端口到317890端口的连接意味着已经有这种入侵。(31789端口是控制连接,317890端口是文
件传输连接)

32770~32900 RPC服务
Sun Solaris的RPC服务在这一范围内。详细的说:早期版本的Solaris(2.5.1之前)将portmapper置于这一范围内,即使
低端口被防火墙封闭仍然允许Hacker/cracker访问这一端口。扫描这一范围内的端口不是为了寻找portmapper,就是为了
寻找可被攻击的已知的RPC服务。

33434~33600 traceroute
如果你看到这一端口范围内的UDP数据包(且只在此范围之内)则可能是由于traceroute。参见traceroute部分。

41508 Inoculan
早期版本的Inoculan会在子网内产生大量的UDP通讯用于识别彼此。参见 http://www.circlemud.org/~jelson/software/
udpsend.html 和 http://www.ccd.bnl.gov/nss/tips/inoculan/index.html

Leave a comment

网吧常见十大漏洞曝光

网吧常见十大漏洞曝光
现在网吧的管理员大多使用诸如《美萍》之类的网吧管理软件来管理系统,同时还通过修改系统注册表的方法来禁止用户进行诸如删除文件、修改参数的危险操作。但在没有使用任何工具软件的前提下,以一些简单的方法就轻易突破了网吧管理软件的限制,原本被禁止的系统功能全部复活,不仅可以删除文件,还可以对系统注册表进行随意修改,整个系统可任意使唤。这次,我们将在网吧发现的十大致命漏洞全部曝光,以此警示每一位网吧管理员。

  一、IE菜单漏洞

  找回菜单 轻松

  微软老大的补丁越打越多,这样,倒不是说比尔大叔的漏洞越来越多了,而是正应了那句“上有政策,下有对策”,网管软件在旧版本中的屏蔽IE中的文件和工具菜单的漏洞有一大箩筐,新版本的漏洞就不那么容易发现了,不过,请看……

  探秘欲望度:★★★★★
  探秘难度:★★★☆☆

  探秘方法:这次我们需要再次用到快捷键,这次轮到“Win+D”了,刷新桌面,在《美萍》下的桌面实际是美萍指定的一个目录,而原桌面则被隐藏了,刷新是对原桌面的刷新,只要你不切换其他窗口,我的电脑等将会一直存在于桌面之上。你要做的是:打开我的电脑,然后再点工具栏中的“向上”,就可以把桌面以窗口的形式打开了(因为硬盘是被屏蔽掉的,当我们打开我的电脑时将什么都看不见),此时你要做的是新建一个文本文档,输入这么几行:

  REGEDIT4

  [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer]

  ″NoFavoritesMenu″=dword 00000000

  另存为任意文件名后缀为“.reg”的文件就可以了,之后你要做的就是导入它,等你再次开机时打开我的电脑就会看见那可爱的被网管软件屏蔽IE中的文件和工具菜单啦。

  二、本地硬盘漏洞

  给硬盘解锁 小菜

  上网者最苦大仇深的莫过于不能使用硬盘了,不说那些很伤心的故事了,就说你要下载个什么“小小六号”过过侠客瘾,可你下载的文件放哪儿?下面这招解锁方法就这样出笼了。

  探秘欲望度:★★★★★
  探秘难度:★★★☆☆

  探秘方法:见过报上的寻人启事吗?见过,不就是查找吗?丢的人不一定找得到,硬盘却是绝对可以找回来的。网吧老板们大都因为屏蔽了硬盘而对热键大开绿灯。其原因也是再简单不过的了,因为你在搜索栏内找不到本地硬盘,如果你选择我的电脑来进行“查找” 快捷键是用“WIN+F”键啦,如“Command”等的文件时一定会被告知“找不到”。但其实不然,在搜索栏中输入“C:\”回车后,找到的可就是一大堆的东西了。

  这样一来,又可以对本地硬盘进行访问了。当然还有一些人通过操作系统与IE高度结合的漏洞:打开IE浏览器后,在地址栏中直接输入“C:”后按“回车”键也可以察看硬盘中的资源,但这是一种是较古老的方法了。

  这里的关键就是如何访问到本地硬盘,一旦进入了本地硬盘,对于一个熟悉Windows系统的用户来说,一台完整的电脑就在面前了。


 三、程序运行漏洞

  禁止运行 没门

  用惯电脑的人都知道,在开始菜单里面有一个很重要的程序,那就是运行程序了,有了这个程序我们可以运行我们想用到的其它程序,而进一步实现电脑的操作。但是在网吧上网的时候,当然就没有那么好的事情了,网吧老板们总喜欢安装一些网管软件来阻止我们的使用,唉,真没办法,在这种情况下,我们就只能另找门路啦!于是,绕过马奇诺防线的方法出现了。

  探秘欲望度:★★★☆☆
  探秘难度:★★★☆☆

  其实方法真的很简单哦,在我们所提到的其它漏洞方法中已经提到过了的,当然就是修改注册表了,只是其中的参数不同而已,当然改成运行的那个参数不就行了吗?这里我们用导入的方法进行修改。先打开一个记事本,在上面输入:
REGEDIT4
[HKEY_CURRENT_USER\SoftwareMicrosoft\Windows\CurrentVersionPolicies\Explorer]
″NoRun″=dword 00000000

  然后保存为“.reg”文件或保存为“.txt”文件后将扩展名改为“.reg”,再执行该文件即可。就这么简单搞定,方便快捷。

  四、资源管理器漏洞

  解放管理器 有戏

  资源管理器,想必每一个电脑的使用者都应该知道吧,它的作用当然就是让我们更方便地操作电脑里的全部内容,但一些网吧老板却不提供这些方便给我们。不过要想在网吧操作自如,也不是太难!

  探秘欲望度:★★★★☆
  探秘难度:★★★☆☆

  探秘方法:网吧的电脑什么都可以没有,当然就不能没有QQ和IE啦,好的,那我们就从IE下手吧。通过IE查看文件夹,这种方法非常直接有效。首先打开一个IE,拉出“查看”下拉菜单,选择“浏览器”中的“文件夹”选项。

  这时,主窗口左侧出现资源管理器的窗口,内有我的电脑树形目录结构。这时用户可以根据自己的需要一层层地展开,寻找自己所需的东东了。

五、鼠标右键漏洞

  挡住右键菜单 没戏

  网页上有那么多漂亮的图片或者自己众里寻他千百度的资料,可兴冲冲地点击右键想把它保存下来,却发现右键根本不能用,你的感觉是不是七窍冒烟啦。也许正是这个原因才让人发现了这个漏洞。

  探秘欲望度:★★★☆☆
  探秘难度:★★☆☆☆

  探秘方法:屏蔽鼠标右键菜单后,不能新建文件。此时网吧里常用《超级兔子》中的“安全限制全选”+“屏蔽本地硬盘”+《美萍》来实现的(网吧中最流行的管理软件一般是《美萍》,本系列如果没有特别说明都是在《美萍》下的操作),但这也是挡不住的!在网页中遇到禁用右键的情况我们有许多办法来解决,其实这些方法中有的也能移植到操作系统中的。就介绍最常用的也最有效的一种方法吧:在需要操作的文件或快捷图标上先点住右键不放,再点下左键,然后松开左键,最后松开右键,这时熟悉的右键菜单便呈现在眼前了。另外还有一招更普通,用鼠标左键单击选中文件,同时按住“Shift+F10”键,即可在资源管理器中显示出鼠标的右键菜单。

Leave a comment

网络管理手册

网络管理手册(参考和整理)
看到大家都在要“网络管理手册”所以我就借鉴了大量的资料和根据实际整理了出来的,大家将就看吧,合适就拿去用了:)不合适不要乱丢蛋蛋啊~~我会不客气的拿去煮哦:P,为了更好的完善它,希望大家根据实际情况补全下,在后面跟贴;另外,我没在电信方面的机房做过,所以不知道他们的实际情况(他们可能会比以下的更为严格:),有这方面经验的朋友多给意见啊~~(另,大家可以随意转载,反正也是整理网上的)


机 房 管 理 制 度
     
     为科学、有效地管理机房,促进网络系统安全的应用、高效运行,特制定本规章制度,请遵照执行。
     一、机房管理
     1、路由器、交换机和服务器以及通信设备是网络的关键设备,须放置计算机机房内,不得自行配置或更换,更不能挪作它用。
     2、计算机房要保持清洁、卫生,并由专人7*24负责管理和维护(包括温度、湿度、电力系统、网络设备等),无关人员未经管理人员批准严禁进入机房。
     3、严禁易燃易爆和强磁物品及其它与机房工作无关的物品进入机房。
     4、建立机房登记制度,对本地局域网络、广域网的运行,建立档案。未发生故障或故障隐患时当班人员不可对中继、光纤、网线及各种设备进行任何调试,对所发生的故障、处理过程和结果等做好详细登记。
     5、网管人员应做好网络安全工作,服务器的各种帐号严格保密。监控网络上的数据流,从中检测出攻击的行为并给予响应和处理。
     6、做好操作系统的补丁修正工作。
     7、网管人员统一管理计算机及其相关设备,完整保存计算机及其相关设备的驱动程序、保修卡及重要随机文件。
     8、计算机及其相关设备的报废需经过管理部门或专职人员鉴定,确认不符合使用要求后方可申请报废。
     9、制定数据管理制度。对数据实施严格的安全与保密管理,防止系统数据的非法生成、变更、泄露、丢失及破坏。当班人员应在数据库的系统认证、系统授权、系统完整性、补丁和修正程序方面实时修改。
     二、计算机病毒防范制度
     1、网络管理人员应有较强的病毒防范意识,定期进行病毒检测(特别是邮件服务器),发现病毒立即处理并通知管理部门或专职人员。
     2、采用国家许可的正版防病毒软件并及时更新软件版本。
     3、未经上级管理人员许可,当班人员不得在服务器上安装新软件,若确为需要安装,安装前应进行病毒例行检测。
     4、经远程通信传送的程序或数据,必须经过检测确认无病毒后方可使用。
     三、数据保密及数据备份制度
     1、根据数据的保密规定和用途,确定使用人员的存取权限、存取方式和审批手续。
     2、禁止泄露、外借和转移专业数据信息。
     3、制定业务数据的更改审批制度,未经批准不得随意更改业务数据。
     4、每周五当班人员制作数据的备份并异地存放,确保系统一旦发生故障时能够快速恢复,备份数据不得更改。
     5、业务数据必须定期、完整、真实、准确地转储到不可更改的介质上,并要求集中和异地保存,保存期限至少2年。
     6、备份的数据必须指定专人负责保管,由管理人员按规定的方法同数据保管员进行数据的交接。交接后的备份数据应在指定的数据保管室或指定的场所保管。
     8、备份数据资料保管地点应有防火、防热、防潮、防尘、防磁、防盗设施。
     
     
     网络安全管理员的职责
     
     一、 网络安全管理员主要负责全公司网络(包含局域网、广域网)的系统安全性。
     二、 负责日常操作系统、网管系统、邮件系统的安全补丁、漏洞检测及修补、病毒防治等工作。
     三、 网络安全管理员应经常保持对最新技术的掌握,实时了解INTERNET的动向,做到预防为主。
     四、 良好周密的日志记录以及细致的分析经常是预测攻击,定位攻击,以及遭受攻击后追查攻击者的有力武器。察觉到网络处于被攻击状态后,网络安全管理员应确定其身份,并对其发出警告,提前制止可能的网络犯罪,若对方不听劝告,在保护系统安全的情况下可做善意阻击并向主管领导汇报。
     五、 在做好本职工作的同时,应协助机房管理人员进行机房管理,严格按照机房制度执行日常维护。
     六、 每月安全管理人员应向主管人员提交当月值班及事件记录,并对系统记录文件保存收档,以备查阅。具体文件及方法见附件。
     
     附件:
     在NT/2000中是使用Administrative Tools菜单中Event Viewer查看系统的SYSTEM、SECURITY、APPLICATION日志文件。
     对Netware而言,错误日志是SYS$LOG.ERR文件,通过syscon菜单中supervisor options下view file server errorlog观察记录,另外文卷错误日志文件是各文卷中的VOL$LOG.LOG以及事务跟踪处理系统错误日志文件SYS:文卷中的TTS$LOG.ERR文件。
     七、 UNIX中各项日志包括/usr/adm目录下的系统错误登记文件message、使用su命令的记录文件sulog、每个用户记录上次注册时间的登记文件lastlog、系统中注册用户的有关信息文件wtmp、每个用户所执行命令的内容项文件acct以及/etc目录下当前注册用户的有关信息文件utmp和其他应用程序产生的日志文件。对于其中的一些日志文件,可以采用who或w命令查看当前系统的登录使用者(XENIX系统中还可以用whodo命令确定当前用户的行为);last命令查看以前的登录情况,这些命令都可以合并使用grep进行条件控制选择过滤;用find查看文件及其属主,特别监控具有根访问权的进程及文件以及检查开机文件/etc/inetd.conf、/etc/rc.local、/etc/passwd和corn或at运行的文件,并用corntab -l 与corntab -r命令对用户的corntab文件进行列出与删除管理;使用ls -lR生成主检查表,并定期生成新表,使用diff命令进行比较,并使检查通过的新表成为新的主检查表,直到下一次检查为止。强烈建议在inetd.conf中注释掉所有的r打头的命令文件,以及去掉/etc/hosts.equiv中的所有项并不允许用户设立个人的.rhosts文件,使可信主机不予设立或为空以加强系统的安全。



Leave a comment

网络管理经验五例

网络管理经验五例
 一、网卡的安装问题 
 

—- 安装网卡的关键是:选择正确的网卡设备驱动,网卡的中断号和中断地址不能存在资源冲突。 

—- 可是笔者遇到:在WIN95中安装Dlink 10M即插即用网卡和TCP/IP协议后,用ping工具探测网关不通,探测自身网卡地址却正常。在控制面版->系统的设备管理中,发现网卡无资源冲突标记,驱动情况正常,用另一台工作正常的客户机来检查网线,网络通道也正常。进一步,检查网卡的资源分配情况,发现其中断号为12,取消其自动分配功能,手工设置其中断号,再ping网关,网通了。 

—- 原来,有些主版即插即用的功能不完善,给即插即用网卡分别了系统已占用的资源,在WIN95控制面版中检查网卡的配置情况却正常,造成假象。 

—- 以上的修改方法,对于PCI网卡,又不灵了,原因是不能手工设置PCI网卡的中断号。怎么办呢?在微机主板的CMOS中,去除中断12的即插即用分配,重启系统,让系统重新配置网卡资源,避开中断12的分配。 

二、客户机上联口的快速定位 
 

—- IP地址是Internet /Intranet网上主机通讯的逻辑地址,由用户手动设置或系统自动分配。局域网上若有两台主机IP地址相重,则两台主机相互报警,造成应用混乱。在校园网上,有几百台,甚至上千台主机上网,如何控制IP地址盗用呢? 

—- 采用Vlan虚网技术,可控制一段IP地址在某一Vlan中使用,而在其它Vlan中无效。但在同一Vlan的有效IP范围内,仍然会出现IP盗用。 

—- 我们利用3COM周边交换机记录上网网卡MAC地址的功能,从盗用IP的MAC地址追踪其客户机上联交换机的端口位置,然后禁止此端口的使用,并用行政手段对盗用者采取处罚措施,彻底根治IP盗用事件。具体方法如下: 

—- 1、建立合法的客户机IP-MAC对应数据库; 

—- 2、利用简单网络协议定期从NB2 3COM路由器中读取mib库地址1.3.6.1.2.1.3.1.1.2 中IP-MAC表,如下所示:IP地址202.112.162.2的MAC地址为00104B04B81A 

1.3.6.1.2.1.3.1.1.2.129.1.202.112.162.1 = 08 00 02 1A 81 C3
1.3.6.1.2.1.3.1.1.2.129.1.202.112.162.2 = 00 10 4B 04 B8 1A
1.3.6.1.2.1.3.1.1.2.129.1.202.112.162.3 = 00 10 4B 04 B8 A5
1.3.6.1.2.1.3.1.1.2.129.1.202.112.162.5 = 00 10 4B 0D 71 08
1.3.6.1.2.1.3.1.1.2.129.1.202.112.162.12 = 00 10 4B 0D 70 CE

 

—- 依照标准数据库,检查是否有新的MAC地址或IP-MAC不对应的MAC地址。若有,则执行下一步。 

—- 3、在二十几台交换机3COM SW1000中,读取mib库地址1.3.6.1.4.1.43.10.9.5.1.6.1 中的MAC地址表。下表为某台交换机记录的部分下联口网卡MAC表,第三口上联一台主机,第九口上联3台主机。 

1.3.6.1.4.1.43.10.9.5.1.6.1.3.1 = 00 80 C8 78 53 8C
1.3.6.1.4.1.43.10.9.5.1.6.1.4.1 = 00 80 C8 E3 24 45
1.3.6.1.4.1.43.10.9.5.1.6.1.9.1 = 00 00 21 E7 00 9E
1.3.6.1.4.1.43.10.9.5.1.6.1.9.2 = 00 80 C8 E3 3D 52
1.3.6.1.4.1.43.10.9.5.1.6.1.9.3 = 00 00 21 E5 05 3F
1.3.6.1.4.1.43.10.9.5.1.6.1.24.1 = 00 80 C8 E3 58 60

 

—- 找出此盗用IP的MAC地址出自哪台交换机的哪个端口,并发信通知网络管理员。 

—- 4、网络管理员确认后,禁止此交换机端口的使用。 

—- 另外,可以简化以上步骤, 将上述第三步,设计成CGI公共网关接口程序,根据用户反映的盗用IP地址或MAC地址,在Web网页上输入此地址,调用MAC定位的CGI程序,返回该MAC地址上联交换机端口的位置。 

三、系统数据的备份 
 

—- 常采用磁带机来备份大容量数据,但对于少量的系统关键数据,用两台主机间硬盘备份更方便、灵活,如定时发电子邮件或用FTP将数据传至另一台机器上。备份时,应注意数据的安全性、可靠性,如:防止网上数据的截获、防止已损害数据复盖原来备份的数据。我们在两台UNIX主机间,利用UNIX的信任关系,实现数据远程拷贝,将一台主机中的关键数据先加密,用cron定期将此数据拷贝到另一台主机。 

—- 具体方法如下: 

—- 1、建立机器B (hostb) 信任机器A (hosta)的信任关系。 

—- 在hostb主机的用户backdata根目录下建.rhost文件,内容为:hosta root。 

—- 表明hosta的root用户有权在hostb的用户backdata目录下进行远程操作。 

—- 2、在hosta中,编写远程拷贝Shell程序backdata.sh。将源文件按当前月份和星期几备份,备份数据每周复盖一次。 

# /root/backdata.sh
month=`date +”%y%m”`
weekday=`date +”%a”`
rcp /root/db.dat backdata@hostb:db.dat.${month}
rcp /root/db.dat backdata@hostb:db.dat.${weekday}

 

—- 3、在hosta中,用crontab -e设计定时操作:每天2点钟执行上述程序。 

0 2 * * * /root/backdata.sh > > /root/backdata.log

四、Windows与Linux间的资源共享 
 

—- 1、从Windows共享linux资源 

—- 小红帽redhat 6.0中自带编译好的samba程序,提供samba文件共享服务。首先,设置配置文件/etc/smb.conf。如下所示,设置:本机的工作组或域名,netbios机器名,本地或NT域控制器口令认证方法;本地认证时,需要用命令/usr/bin/smbpasswd生成用户口令文件/etc/smbpasswd;设置共享目录:如film共享目录对应实际目录/disk1/film。 

 [global]
    # workgroup = NT-Domain-Name or Workgroup-Name
    workgroup = cauic
    # netbios name = 机器名
    netbios name = linuxzrm
# server string is the equivalent of 
the NT Description field
    server string = Linuxzou Samba Server
# security =用户认证方法:
本地认证(user)或域控制器认证(server)
    security = user
    ; security = server
    # 本地认证时,用此口令文件
    smb passwd file = /etc/smbpasswd
    encrypt passwords = yes
    guest account = nobody
    allow hosts = 202.112.162.
    deny hosts = all
[film]
    available = yes
    path = /disk1/film

 

—- 修改配置后,可用工具testparm测试此配置是否正常。然后,执行/etc/rc.d/init.d/smb start|restart启动或重启smaba服务(包括smbd和nmbd服务)。 

—- 现在,可以在windows下浏览cauic工作组下机器名为linuxzrm的共享资源。 

—- 2、从linux共享windows资源 

—- 利用linux的工具smbmount将windows下共享目录按smb文件系统,装载到本机目录下。下面的shell程序(需超级用户执行)表明,以用户名为zoup、口令为z12345身份,将windows服务器VOD下共享目录rmcontent,装载到本机/vodcontent目录下,安装点属于本机用户zou用户组staff。 

# /home/zou/mountvod.sh
smbmount ”//vod/rmcontent” -c ’mount /vodcontent
 -u zou -g staff’ -U zoup%z12345

 

—- 将以上命令放到系统启动文件中,系统每次启动后,会自动装载windows共享目录。如:在文件/etc/rc.d/rc.local中添加以下语句: 

if [ -f /home/zou/mountvod.sh ]; then
  echo mounting  //vod/rmconten
  /home/zou/mountvod.sh > > /home/zou/mountvod.log
fi

五、cisco路由器IP流量的获取 
 

—- 用cisco路由器作网际路由器时,一般都利用cisco的IP包过滤功能来统计IP流量。方法是在cisco路由器的每个出入口添加ip accounting output-packets命令,cisco路由器会自动统计这些端口的IP流量。 

—- 常用snmp或telnet终端仿真(show ip account)方法,获取IP流量。在Cisco IOS v.11以上版本中,提供了http服务器功能,用户可从WWW网页管理cisco路由器,不需要任何编程,即可很容易地采集IP流量,为了安全起见,还可限制访问服务器的客户机。方法如下: 

Access-list 10 permit 202.112.162.5
Ip http server
Ip http access-list 10

 

—- 在客户机202.112.162.5中,用网页下载工具wget定期采集、清除IP流量。方法如下: 

#读取IP流量,存入outpu-packets网页文件中
wget –http-user=admin –http-passwd=cisco
http://cisco/exec/show/ip/accounting/output-packets

#清除采集过的IP流量
wget –http-user=admin –http-passwd=cisco
 http://cisco/exec//clear/ip/accounting/CR

在网页outpu-packets中,读取标识符< pre >、
< /pre >之间的IP流量表,来实现统计IP流量。

   Source           Destination    Packets     Bytes
 202.112.175.7    202.205.10.30       3         592
 202.112.175.175  203.207.176.15      17        2000
 202.112.168.22   202.96.44.134       1         40
 202.112.164.5    202.103.134.58      1         40
 202.112.175.201  202.114.98.12       3         430
 202.112.164.151  202.96.49.1         6         279

———————————————-
话须通俗方传远,语必关风始动人…

Leave a comment

用路由器禁用QQ和网络游戏

用路由器禁用QQ和网络游戏[原创]
本文已发表在2004年2月《网管员世界》
用路由器禁用QQ和网络游戏
引子
公司早就有制度规定禁止在上班时间禁止使用QQ和网络游戏,可是一直以来只是靠大家的自觉执行,在公司里上班时间用QQ聊天和打网络游戏之类的情况还是非常普遍,最近领导终于按耐不住,要我想办法从技术角度解决这个问题。
关于禁止QQ和网络游戏其实可以通过路由器的访问控制列表(Access lists,以下简称ACL)实现的。我公司上网是通过Cisco 2611路由器的NAT功能上网的,WEB和Mail都是通过NAT的端口映射实现的。


访问控制列表介绍
那么什么是访问控制列表呢?访问控制列是Cisco的IOS提供的一种控制网络访问的强大的工具,利用ACL可以在路由器的接口上灵活地控制过滤数据包,从而可以决定在路由器的任意接口上允许或者禁止我们需要控制的数据包。一个IP访问列表是一串控制一个或一组IP或其上的端口的命令序列。
IP访问控制列表分为三类,分别为标准访问控制列表(Standard access lists),扩展访问控制列表(Extended access lists)和命名访问控制列表(Named access lists)。
标准访问控制列表是基于源地址和掩码,是对整个TCP/IP协议族的过滤;Standard ACL的编号是1~99;格式如下:
Router(config)#access-list access-lists-number(1~99) {deny|permit} souce [wildcard]
Router(config-if)#{protocol} access-group access-list-number {in|out}
扩展访问列表检查源地址和目的地址,可以精确地过滤TCP或者UDP的端口;Extended ACL的编号是100~199;格式如下:
Router(config)#access-list access-list-number(100-199) {permit|deny} protocol source source-wildward [operator port] destination destination destination-wildcard [operator port] [established] [log]
Router(config-if)#ip access-group access-list-number {in|out}
命名访问控制列表可以使用一组字母和数字的组合来代替扩展访问控制列表中的数字,使用它可以用来删除某一条特定的控制字符串,这样就可以更方便的精心修改。
具体关于ACL的使用请参阅2003年10月的《网管员世界》或者Cisco的培训教材,比如CCNA的培训教材或相关资料。


禁止QQ和网络游戏
所有的网络应用,此处所的是基于TCP/IP的网络游戏,都是通过和远端的服务器建立tcp或者udp的连接进行通讯的,也就是说它们是用tcp或者udp端口进行通讯的。那么也就是说我们可以通过禁止QQ和网络游戏特定的TCP或UDP端口。换一句话说,我们必须先知道它们是通过什么端口通讯的。我们如何才能知道QQ和网络游戏是用什么端口和服务器端口通讯的呢?大家应该都知道一般的操作系统里有一条”netstat”命令可以列出详细的端口列表。但是面对众多的IP地址和端口号,我们是很难看出哪一个IP地址和端口才是我们需要控制的。
其实有很多单机版的网络防火墙软件,可以让我们详细并即时地看到哪一个应用软件在使用什么端口和远端通讯。在这里我推荐大家使用天网防火墙个人版。
下面我就用禁止QQ来演示一下。首先,打开QQ以后,在天网防火墙里可以看到QQ正在和服务器UDP 8080端口进行通讯。那么我们要做的就是禁止源地址UDP 8080端口。
Router(config)# access-list 102 udp deny any any eq 80
Router(config)# access-list 102 tcp permit any any
Router(config)# access-list 102 udp permit any any
Router(config)# access-list 102 ip permit any any
Router(config-if)# ip access-group 102 in
第一个命令定义了编号为102的ACL,禁止所有源地址和目的地址的udp 8080端口的数据包,最后一个命令是在interface模式下,此处应在靠近局域网的端口应用上面定义的编号102 ACL。因为ACL默认需要至少有一条规则让数据可以通过网络接口,所以第二、三、四行的命令是规定所有的tcp,udp,ip协议可以通过。
设置完成以后,用天网防火墙可以看到QQ在不停的尝试和远端服务器UDP 8080端口进行通信,但是过一会儿以后,发现QQ又可以连接上去了。这是因为新版的QQ可以使用TCP 80端口进行通信。因为TCP 80端口是http专用的,所以,如果我们禁用TCP 80端口的话,将使整个局域网无法访问所有的网站,这是绝对不行的。所以,我们只有将所有QQ服务器的都找出来,然后禁止访问。因为标准ACL是过滤所有源地址的整个协议族的,所以我们可以用标准ACL实现。
Router(config)# access-list 2 deny host 61.144.238.145
Router(config)# access-list 2 deny host 61.144.238.146
……
Router(config)# access-list 2 permit any
Router(config-if)# ip access-group 2 out
前面两个命令定义了编号2的标准ACL,禁止所有源地址为host后面的IP的数据包,下面给出现在为止所知的QQ服务器地址,供大家参考,61.144.238.145,61.144.238.146,202.104.129.151,202.104.129.254,61.141.194.203,202.104.129.25,202.104.129.253, 61.144.238.155,202.96.170.164,202.104.129.251,218.17.209.23,218.18.95.153,218.18.95.165,218.17.209.42,61.144.238.149,219.133.40.89,219.133.40.90,219.133.40.21,219.133.40.92,211.157.38.38,65.54.229.253。
对于网络游戏的禁止方法是和禁止QQ的方法一样的,用天网防火墙个人版找出服务器的端口,然后加以禁止。游戏服务器一般不会使用http端口来进行通信,所以只要用扩展ACL就可以。如果扩展ACL规则不是很多的话,可以将所有的扩展ACL合并多一起。
管理方法
对于ACL的管理,可以用ACL命令,对于标准和扩展ACL,只能对整条ACL进行管理,如果要删除一条ACL的话,使用no access-list number。如果要在一整条序列中添加一个规则的话,这样会相当麻烦。所以,如果使用标准和扩展ACL的话,建议使用Cisco tftp server进行管理。
Router(config)# copy run tftp
(将运行的配置文件拷贝到tftp;)
然后将拷贝下来的config文件用写字板打开,就可以进行编辑了。对ACL进行编辑以后,我们需要将原有的运行配置里的需要更改的access-list先删掉。然后将修改后的文件拷贝到运行配置中。这条规则将立刻生效。
Router(config)# copy tftp run
(将修改后的文件恢复到路由器的运行配置中。)
如果要将此配置文件备份到路由器的Flash中,可以使用copy run start命令,这样的话每次路由器启动的时候都会自动加载此配置文件。


总结
一般的路由器都提供了ACL功能,利用ACL可以实现包过滤防火墙的一些功能,比如限制网络访问,限制网络流量等功能。对于一些网络流量不是很大的场合,完全可以借助ACL使路由器实现防火墙的部分功能。达到提高网络安全性和提升网络管理水平的作用。

Leave a comment