刘升忠的Blog

CentOS更改yum源与更新系统

Mon, 05 Oct 2015 12:41:54 +0800

[1] 首先备份/etc/yum.repos.d/CentOS-Base.repo

mv /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/CentOS-Base.repo.backup

[2] 进入yum源配置文件所在文件夹

[root@localhost yum.repos.d]# cd /etc/yum.repos.d/

[3] 下载163的yum源配置文件，放入/etc/yum.repos.d/(操作前请做好相应备份)

[root@localhost yum.repos.d]# wget http://mirrors.163.com/.help/CentOS6-Base-163.repo

[4] 运行yum makecache生成缓存

[root@localhost yum.repos.d]# yum makecache

[5] 更新系统

[root@localhost yum.repos.d]# yum -y update

[6] 安装vim编辑器

[root@localhost ~]# yum -y install vim*

CentOS搭建OpenVPN服务

Mon, 05 Oct 2015 12:41:08 +0800

OpenVPN服务端配置

1. 安装OpenVPN软件包

默认的Centos软件源里面没有OpenVPN的软件包，我们可以添加rpmforge的repo，从而实现yum安装openvpn

针对CentOS 5

rpm -ivh http://apt.sw.be/redhat/el5/en/x86_64/rpmforge/RPMS/rpmforge-release-0.5.2-2.el5.rf.x86_64.rpm

针对CentOS 6

rpm -ivh http://apt.sw.be/redhat/el6/en/x86_64/rpmforge/RPMS/rpmforge-release-0.5.2-2.el6.rf.x86_64.rpm

安装完rpmforge的repo之后，执行yum命令安装OpenVPN

yum install -y openvpn

2. 生成OpenVPN需要的证书

使用easy-rsa脚本产生OpenVPN所需的CA证书、CA私钥、服务端证书、服务端私钥、客户端证书、客户端私钥
先将easy-rsa脚本copy到/etc/openvpn，并添加可执行权限

cp -R /usr/share/doc/openvpn-*/easy-rsa /etc/openvpn 
cd /etc/openvpn/easy-rsa/2.0chmod +x  *

然后使用easy-rsa的脚本产生证书

ln -s openssl-1.0.0.cnf openssl.cnf.vars
./clean-all./build-ca server
./build-key-server server
./build-key client
./build-dh

执行以上命令后将在/etc/openvpn/easy-rsa/2.0/keys/目录下产生对应的证书和秘钥,ls一下确认都已经生成，后面要用到。

ls /etc/openvpn/easy-rsa/2.*/keys/

3.生成OpenVPN服务端配置文件

编辑/etc/openvpn/server.conf文件，内容如下：

port        1194proto       udp
dev         tun
ca          /etc/openvpn/easy-rsa/2.0/keys/ca.crt
cert        /etc/openvpn/easy-rsa/2.0/keys/server.crt
key         /etc/openvpn/easy-rsa/2.0/keys/server.key
dh          /etc/openvpn/easy-rsa/2.0/keys/dh1024.pem
server      10.1.1.0 255.255.255.0
push        "redirect-gateway def1 bypass-dhcp"
push        "dhcp-option DNS 8.8.8.8"
log         /var/log/openvpn.log
keepalive   10 120verb        3client-to-client
comp-lzo
persist-key
persist-tun

4.开启OpenVPN服务

将openvpn设置为开机自启动的服务

chkconfig openvpn on

立即启动openvpn服务

/etc/init.d/openvpn start

如果OpenVPN启动失败，请查看OpenVPN的启动日志/var/log/openvpn.log。可能导致启动失败的原因：

第3步使用easy-rsa生成的证书有问题，请重新按照第3步重新生成

5.服务端开启nat功能

客户端拨入OpenVPN后，默认网关会指向OpenVPN服务器，为了能使客户端可以上网，需要在服务端开启nat功能
首先，打开ip forward功能

sed -i '/net.ipv4.ip_forward/s/0/1/g' /etc/sysctl.conf 
sysctl -w net.ipv4.ip_forward=1

然后，配置iptables snat

iptables -t nat -A POSTROUTING -s 10.1.1.0/255.255.255.0 -j SNAT --to-source SERVER_IP

将SERVER_IP替换为服务器的出口ip

OpenVPN客户端配置

好了服务端准备就绪，接下来开始客户端配置

对于Windows客户端

到http://openvpn.se/download.html 下载gui版的OpenVPN，按照提示安装完成后，进入到安装目录，如D:\Program Files\OpenVPN。将Linux服务端使用easy-rsa产生的客户端证书、私钥和ca证书下载到本地。即需要下载到本地的文件如下：

/etc/openvpn/easy-rsa/2.0/keys/ca.crt       #ca证书
/etc/openvpn/easy-rsa/2.0/keys/client.crt   #客户端证书
/etc/openvpn/easy-rsa/2.0/keys/client.key   #客户端私钥

将这些文件下载到D:\Program Files\OpenVPN\config下。
编辑客户端OpenVPN配置文件client.ovpn，内容如下：

client
dev tun
proto udp
remote SERVER_IP 1194resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
comp-lzo
verb 3redirect-gateway def1
route-method exe
route-delay 2

将SERVER_IP写成OpenVPN服务器的ip，然后打开OpenVPN的GUI，点击连接，完成OpenVPN拨入

对于Mac 客户端

到 http://sourceforge.net/projects/tunnelblick/ 下载OpenVPN 客户端软件 Tunnelblick

iptables详解

Mon, 15 Jun 2015 11:55:29 +0800

一：前言

防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。

目前市面上比较常见的有3、4层的防火墙，叫网络层的防火墙，还有7层的防火墙，其实是代理层的网关。

对于TCP/IP的七层模型来讲，我们知道第三层是网络层，三层的防火墙会在这层对源地址和目标地址进行检测。但是对于七层的防火墙，不管你源端口或者目标端口，源地址或者目标地址是什么，都将对你所有的东西进行检查。所以，对于设计原理来讲，七层防火墙更加安全，但是这却带来了效率更低。所以市面上通常的防火墙方案，都是两者结合的。而又由于我们都需要从防火墙所控制的这个口来访问，所以防火墙的工作效率就成了用户能够访问数据多少的一个最重要的控制，配置的不好甚至有可能成为流量的瓶颈。

二：iptables 的历史以及工作原理

1.iptables的发展:

iptables的前身叫ipfirewall （内核1.x时代）,这是一个作者从freeBSD上移植过来的，能够工作在内核当中的，对数据包进行检测的一款简易访问控制工具。但是ipfirewall工作功能极其有限(它需要将所有的规则都放进内核当中，这样规则才能够运行起来，而放进内核，这个做法一般是极其困难的)。当内核发展到2.x系列的时候，软件更名为ipchains，它可以定义多条规则，将他们串起来，共同发挥作用，而现在，它叫做iptables，可以将规则组成一个列表，实现绝对详细的访问控制功能。

他们都是工作在用户空间中，定义规则的工具，本身并不算是防火墙。它们定义的规则，可以让在内核空间当中的netfilter来读取，并且实现让防火墙工作。而放入内核的地方必须要是特定的位置，必须是tcp/ip的协议栈经过的地方。而这个tcp/ip协议栈必须经过的地方，可以实现读取规则的地方就叫做 netfilter.(网络过滤器)

作者一共在内核空间中选择了5个位置，

1.内核空间中：从一个网络接口进来，到另一个网络接口去的

2.数据包从内核流入用户空间的

3.数据包从用户空间流出的

4.进入/离开本机的外网接口

5.进入/离开本机的内网接口

2.iptables的工作机制

从上面的发展我们知道了作者选择了5个位置，来作为控制的地方，但是你有没有发现，其实前三个位置已经基本上能将路径彻底封锁了，但是为什么已经在进出的口设置了关卡之后还要在内部卡呢？由于数据包尚未进行路由决策，还不知道数据要走向哪里，所以在进出口是没办法实现数据过滤的。所以要在内核空间里设置转发的关卡，进入用户空间的关卡，从用户空间出去的关卡。那么，既然他们没什么用，那我们为什么还要放置他们呢？因为我们在做NAT和DNAT的时候，目标地址转换必须在路由之前转换。所以我们必须在外网而后内网的接口处进行设置关卡。

这五个位置也被称为五个钩子函数（hook functions）,也叫五个规则链。

1.PREROUTING (路由前)

2.INPUT (数据包流入口)

3.FORWARD (转发管卡)

4.OUTPUT(数据包出口)

5.POSTROUTING（路由后）

这是NetFilter规定的五个规则链，任何一个数据包，只要经过本机，必将经过这五个链中的其中一个链。

3.防火墙的策略

防火墙策略一般分为两种，一种叫“通”策略，一种叫“堵”策略，通策略，默认门是关着的，必须要定义谁能进。堵策略则是，大门是洞开的，但是你必须有身份认证，否则不能进。所以我们要定义，让进来的进来，让出去的出去，所以通，是要全通，而堵，则是要选择。当我们定义的策略的时候，要分别定义多条功能，其中：定义数据包中允许或者不允许的策略，filter过滤的功能，而定义地址转换的功能的则是nat选项。为了让这些功能交替工作，我们制定出了“表”这个定义，来定义、区分各种不同的工作功能和处理方式。

我们现在用的比较多个功能有3个：

1.filter 定义允许或者不允许的

2.nat 定义地址转换的

3.mangle功能:修改报文原数据

我们修改报文原数据就是来修改TTL的。能够实现将数据包的元数据拆开，在里面做标记/修改内容的。而防火墙标记，其实就是靠mangle来实现的。

小扩展:

对于filter来讲一般只能做在3个链上：INPUT ，FORWARD ，OUTPUT

对于nat来讲一般也只能做在3个链上：PREROUTING ，OUTPUT ，POSTROUTING

而mangle则是5个链都可以做：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING

iptables/netfilter（这款软件）是工作在用户空间的，它可以让规则进行生效的，本身不是一种服务，而且规则是立即生效的。而我们iptables现在被做成了一个服务，可以进行启动，停止的。启动，则将规则直接生效，停止，则将规则撤销。

iptables还支持自己定义链。但是自己定义的链，必须是跟某种特定的链关联起来的。在一个关卡设定，指定当有数据的时候专门去找某个特定的链来处理，当那个链处理完之后，再返回。接着在特定的链中继续检查。

注意：规则的次序非常关键，谁的规则越严格，应该放的越靠前，而检查规则的时候，是按照从上往下的方式进行检查的。

三．规则的写法:

iptables定义规则的方式比较复杂:

格式：iptables [-t table] COMMAND chain CRETIRIA -j ACTION

-t table ：3个filter nat mangle

COMMAND：定义如何对规则进行管理

chain：指定你接下来的规则到底是在哪个链上操作的，当定义策略的时候，是可以省略的

CRETIRIA:指定匹配标准

-j ACTION :指定如何进行处理

比如：不允许172.16.0.0/24的进行访问。

iptables -t filter -A INPUT -s 172.16.0.0/16 -p udp --dport 53 -j DROP

当然你如果想拒绝的更彻底：

iptables -t filter -R INPUT 1 -s 172.16.0.0/16 -p udp --dport 53 -j REJECT

iptables -L -n -v #查看定义规则的详细信息

四：详解COMMAND:

1.链管理命令（这都是立即生效的）

-P :设置默认策略的（设定默认门是关着的还是开着的）

默认策略一般只有两种

iptables -P INPUT (DROP|ACCEPT) 默认是关的/默认是开的

比如：

iptables -P INPUT DROP 这就把默认规则给拒绝了。并且没有定义哪个动作，所以关于外界连接的所有规则包括Xshell连接之类的，远程连接都被拒绝了。

-F: FLASH，清空规则链的(注意每个链的管理权限)

iptables -t nat -F PREROUTING

iptables -t nat -F 清空nat表的所有链

-N:NEW 支持用户新建一个链

iptables -N inbound_tcp_web 表示附在tcp表上用于检查web的。

-X: 用于删除用户自定义的空链

使用方法跟-N相同，但是在删除之前必须要将里面的链给清空昂了

-E：用来Rename chain主要是用来给用户自定义的链重命名

-E oldname newname

-Z：清空链，及链中默认规则的计数器的（有两个计数器，被匹配到多少个数据包，多少个字节）

iptables -Z :清空

2.规则管理命令

-A：追加，在当前链的最后新增一个规则

-I num : 插入，把当前规则插入为第几条。

-I 3 :插入为第三条

-R num：Replays替换/修改第几条规则

格式：iptables -R 3 …………

-D num：删除，明确指定删除第几条规则

3.查看管理命令 “-L”

附加子命令

-n：以数字的方式显示ip，它会将ip直接显示出来，如果不加-n，则会将ip反向解析成主机名。

-v：显示详细信息

-vv

-vvv :越多越详细

-x：在计数器上显示精确值，不做单位换算

--line-numbers : 显示规则的行号

-t nat：显示所有的关卡的信息

五：详解匹配标准

1.通用匹配：源地址目标地址的匹配

-s：指定作为源地址匹配，这里不能指定主机名称，必须是IP

IP | IP/MASK | 0.0.0.0/0.0.0.0

而且地址可以取反，加一个“!”表示除了哪个IP之外

-d：表示匹配目标地址

-p：用于匹配协议的（这里的协议通常有3种，TCP/UDP/ICMP）

-i eth0：从这块网卡流入的数据

流入一般用在INPUT和PREROUTING上

-o eth0：从这块网卡流出的数据

流出一般在OUTPUT和POSTROUTING上

2.扩展匹配

2.1隐含扩展：对协议的扩展

-p tcp :TCP协议的扩展。一般有三种扩展

--dport XX-XX：指定目标端口,不能指定多个非连续端口,只能指定单个端口，比如

--dport 21 或者 --dport 21-23 (此时表示21,22,23)

--sport：指定源端口

--tcp-fiags：TCP的标志位（SYN,ACK，FIN,PSH，RST,URG）

对于它，一般要跟两个参数：

1.检查的标志位

2.必须为1的标志位

--tcpflags syn,ack,fin,rst syn = --syn

表示检查这4个位，这4个位中syn必须为1，其他的必须为0。所以这个意思就是用于检测三次握手的第一次包的。对于这种专门匹配第一包的SYN为1的包，还有一种简写方式，叫做--syn

-p udp：UDP协议的扩展

--dport

--sport

-p icmp：icmp数据报文的扩展

--icmp-type：

echo-request(请求回显)，一般用8 来表示

所以 --icmp-type 8 匹配请求回显数据包

echo-reply （响应的数据包）一般用0来表示

2.2显式扩展（-m）

扩展各种模块

-m multiport：表示启用多端口扩展

之后我们就可以启用比如 --dports 21,23,80

六：详解-j ACTION

常用的ACTION：

DROP：悄悄丢弃

一般我们多用DROP来隐藏我们的身份，以及隐藏我们的链表

REJECT：明示拒绝

ACCEPT：接受

custom_chain：转向一个自定义的链

DNAT

SNAT

MASQUERADE：源地址伪装

REDIRECT：重定向：主要用于实现端口重定向

MARK：打防火墙标记的

RETURN：返回

在自定义链执行完毕后使用返回，来返回原规则链。

练习题1：

只要是来自于172.16.0.0/16网段的都允许访问我本机的172.16.100.1的SSHD服务

分析：首先肯定是在允许表中定义的。因为不需要做NAT地址转换之类的，然后查看我们SSHD服务，在22号端口上，处理机制是接受，对于这个表，需要有一来一回两个规则，如果我们允许也好，拒绝也好，对于访问本机服务，我们最好是定义在INPUT链上，而OUTPUT再予以定义就好。(会话的初始端先定义)，所以加规则就是：

定义进来的： iptables -t filter -A INPUT -s 172.16.0.0/16 -d 172.16.100.1 -p tcp --dport 22 -j ACCEPT

定义出去的： iptables -t filter -A OUTPUT -s 172.16.100.1 -d 172.16.0.0/16 -p tcp --dport 22 -j ACCEPT

将默认策略改成DROP:

iptables -P INPUT DROP

iptables -P OUTPUT DROP

iptables -P FORWARD DROP

七：状态检测：

是一种显式扩展，用于检测会话之间的连接关系的，有了检测我们可以实现会话间功能的扩展

什么是状态检测？对于整个TCP协议来讲，它是一个有连接的协议，三次握手中，第一次握手，我们就叫NEW连接，而从第二次握手以后的，ack都为1，这是正常的数据传输，和tcp的第二次第三次握手，叫做已建立的连接（ESTABLISHED）,还有一种状态，比较诡异的，比如：SYN=1 ACK=1 RST=1,对于这种我们无法识别的，我们都称之为INVALID无法识别的。还有第四种，FTP这种古老的拥有的特征，每个端口都是独立的，21号和20号端口都是一去一回，他们之间是有关系的，这种关系我们称之为RELATED。

所以我们的状态一共有四种：

NEW

ESTABLISHED

INVALID

所以我们对于刚才的练习题，可以增加状态检测。比如进来的只允许状态为NEW和ESTABLISHED的进来，出去只允许ESTABLISHED的状态出去，这就可以将比较常见的反弹式木马有很好的控制机制。

对于练习题的扩展：

进来的拒绝出去的允许，进来的只允许ESTABLISHED进来，出去只允许ESTABLISHED出去。默认规则都使用拒绝

iptables -L -n --line-number ：查看之前的规则位于第几行

改写INPUT

iptables -R INPUT 2 -s 172.16.0.0/16 -d 172.16.100.1 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -R OUTPUT 1 -m state --state ESTABLISHED -j ACCEPT

此时如果想再放行一个80端口如何放行呢？

iptables -A INPUT -d 172.16.100.1 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -R INPUT 1 -d 172.16.100.1 -p udp --dport 53 -j ACCEPT

练习题2：

假如我们允许自己ping别人，但是别人ping自己ping不通如何实现呢？

分析：对于ping这个协议，进来的为8（ping），出去的为0(响应).我们为了达到目的，需要8出去,允许0进来

在出去的端口上：iptables -A OUTPUT -p icmp --icmp-type 8 -j ACCEPT

在进来的端口上：iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT

小扩展：对于127.0.0.1比较特殊，我们需要明确定义它

iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT

iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT

八：SNAT和DNAT的实现

由于我们现在IP地址十分紧俏，已经分配完了，这就导致我们必须要进行地址转换，来节约我们仅剩的一点IP资源。那么通过iptables如何实现NAT的地址转换呢？

1.SNAT基于原地址的转换

基于原地址的转换一般用在我们的许多内网用户通过一个外网的口上网的时候，这时我们将我们内网的地址转换为一个外网的IP，我们就可以实现连接其他外网IP的功能。

所以我们在iptables中就要定义到底如何转换：

定义的样式：

比如我们现在要将所有192.168.10.0网段的IP在经过的时候全都转换成172.16.100.1这个假设出来的外网地址：

iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j SNAT --to-source 172.16.100.1

这样，只要是来自本地网络的试图通过网卡访问网络的，都会被统统转换成172.16.100.1这个IP.

那么，如果172.16.100.1不是固定的怎么办？

我们都知道当我们使用联通或者电信上网的时候，一般它都会在每次你开机的时候随机生成一个外网的IP，意思就是外网地址是动态变换的。这时我们就要将外网地址换成 MASQUERADE(动态伪装):它可以实现自动寻找到外网地址，而自动将其改为正确的外网地址。所以，我们就需要这样设置：

iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j MASQUERADE

这里要注意：地址伪装并不适用于所有的地方。

2.DNAT目标地址转换

对于目标地址转换，数据流向是从外向内的，外面的是客户端，里面的是服务器端通过目标地址转换，我们可以让外面的ip通过我们对外的外网ip来访问我们服务器不同的服务器，而我们的服务却放在内网服务器的不同的服务器上。

如何做目标地址转换呢？：

iptables -t nat -A PREROUTING -d 192.168.10.18 -p tcp --dport 80 -j DNAT --todestination 172.16.100.2

目标地址转换要做在到达网卡之前进行转换,所以要做在PREROUTING这个位置上

九：控制规则的存放以及开启

注意：你所定义的所有内容，当你重启的时候都会失效，要想我们能够生效，需要使用一个命令将它保存起来

1.service iptables save 命令

它会保存在/etc/sysconfig/iptables这个文件中

2.iptables-save 命令

iptables-save > /etc/sysconfig/iptables

3.iptables-restore 命令

开机的时候，它会自动加载/etc/sysconfig/iptabels

如果开机不能加载或者没有加载，而你想让一个自己写的配置文件（假设为iptables.2）手动生效的话：

iptables-restore < /etc/sysconfig/iptables.2

则完成了将iptables中定义的规则手动生效

十：总结

Iptables是一个非常重要的工具，它是每一个防火墙上几乎必备的设置，也是我们在做大型网络的时候，为了很多原因而必须要设置的。学好Iptables,可以让我们对整个网络的结构有一个比较深刻的了解，同时，我们还能够将内核空间中数据的走向以及linux的安全给掌握的非常透彻。我们在学习的时候，尽量能结合着各种各样的项目，实验来完成，这样对你加深iptables的配置，以及各种技巧有非常大的帮助。

附加iptables比较好的文章：

netfilter/iptables全攻略

CentOS安装配置PPTP并结合freeradius验证

Wed, 20 May 2015 23:12:54 +0800

本帖的配置环境为CentOS5 32bit，配置安装PPTP的过程就不写了，如果不会请在本博客自行搜索，下面贴出整合freeradius需要进行的配置：

pptp客户端配置部分

wget http://lsz.me/linux/radiusclient-0.3.2-0.2.el5.rf.i386.rpm
rpm -i radiusclient-0.3.2-0.2.el5.rf.i386.rpmvim /etc/radiusclient/servers

#Server Name or Client/Server pair		Key		#----------------				---------------#portmaster.elemental.net			hardlyasecret#portmaster2.elemental.net	    		donttellanyoneYOUR_RADIUS_SERVER_HOSTNAME_OR_IP  YOUR_RADIUS_SERVER_SECRET

vim /etc/radiusclient/radiusclient.conf

auth_order	radius,locallogin_tries	4
login_timeout	60
nologin /etc/nologin
issue	/etc/radiusclient/issue
authserver 	RADIUS_SERVER_IP_OR_HOSTNAME:1812
acctserver 	RADIUS_SERVER_IP_OR_HOSTNAME:1813
servers		/etc/radiusclient/servers
dictionary 	/etc/radiusclient/dictionary
login_radius	/usr/sbin/login.radius
seqfile		/var/run/radius.seq
mapfile		/etc/radiusclient/port-id-map
default_realm
radius_timeout	10
radius_retries	3
login_local	/bin/login

cd /etc/radiusclient/wget http://lsz.me/linux/dictionary.microsoft.zip
unzip dictionary.microsoft.zip

vim /etc/radiusclient/dictionary

加入下面的字段：

INCLUDE /etc/radiusclient/dictionary.microsoft
INCLUDE /etc/radiusclient/dictionary.ascend
INCLUDE /etc/radiusclient/dictionary.compat
INCLUDE /etc/radiusclient/dictionary.merit

vim /etc/ppp/options.pptpd

加入：

plugin radius.so
plugin radattr.so

service pptpd restart
chkconfig pptpd on

freeradius添加认证客户端

vim /etc/raddb/clients.conf

client VPN Server IP HERE {
    secret      = YOUR SECRET HERE
    shortname   = yourVPN
    nastype     = other}

dictionary.microsoft.zip

radiusclient-0.3.2-0.2.el5.rf.i386.rpm

centos6.3yum安装pptpd做VPN

Wed, 20 May 2015 23:12:08 +0800

yum install ppp iptables

安装 pptpd
加入 yum 源

rpm -Uvh http://poptop.sourceforge.net/yum/stable/rhel6/pptp-release-current.noarch.rpm

安装 pptpd

yum install pptpd

开启路由转发

vi /etc/sysctl.conf

修改：

net.ipv4.ip_forward = 1

执行：

/sbin/sysctl -p

配置

修改 /etc/ppp/options.pptpd
ms-dns 4.2.2.1
ms-dns 4.2.2.2

修改 /etc/pptpd.conf

localip 10.8.8.1
remoteip 10.8.8.2-245

开机启动、运行

chkconfig pptpd on
service pptpd start

账号
修改 /etc/ppp/chap-secrets 文件即可，例如添加账号:

echo -e 'vpntest * vpntestpassword *' >> /etc/ppp/chap-secrets

iptables 配置

chkconfig iptables on

/sbin/iptables -A INPUT -p tcp --dport 1723 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 47 -j ACCEPT
/sbin/iptables -A INPUT -p gre -j ACCEPT
iptables -A POSTROUTING -t nat -s 192.168.0.0/24 -o eth0 -j MASQUERADE

service iptables start

ps：如果服务正常安装后由于防火墙问题无法拨号的，可以直接修改防火墙配置，参考以下（192.168.1.1为本机IP）

vi /etc/sysconfig/iptables

# Generated by iptables-save v1.4.7 on Tue Sep 11 23:10:57 2012
*nat
-A POSTROUTING -s 10.0.0.0/24 -j SNAT --to-source 192.168.1.1
COMMIT
# Completed on Tue Sep 11 23:10:57 2012
# Generated by iptables-save v1.4.7 on Tue Sep 11 23:10:57 2012
*filter
:INPUT ACCEPT [8:1421]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [8:828]
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A FORWARD -s 10.0.0.0/24 -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j TCPMSS --set-mss 1356
COMMIT
# Completed on Tue Sep 11 23:10:57 2012

HP-UX在线性能监控工具GlancePlus介绍（二）

Mon, 01 Sep 2014 18:18:16 +0800

查看某一进程信息（Process List、Select Process、Process Open Files、Process Memory Regions、Process Resources、Process Wait States、Process System Calls、Process Threads）

除了查看CPU、内存、IO三种重要的资源使用信息以外，查看某一进程信息是最为常用的功能，尤其对程序员来说，是排除故障、调试程序、性能优化非常有必要要了解的技能。

键入`g`命令可返回glance默认启动界面，即程序列表界面，在之前的文章中已经介绍，此处不再浪费段落。需要查看某一进程的信息，需要先找到对应的进程ID（PID），可通过ps命令查找（glance进程列表中查找资源占用较大的比较方便，资源占用较少的建议用ps命令查找）。

键入`s`命令（Select Process），按照提示输入PID，并回车，见下图：

默认界面为进程资源界面（Process Resources），见下图：

在此界面中，可通过`C`命令切换累计值、区段值；可通过`%`切换百分比值、绝对值。以下窗口只要提示了“C - cum/interval toggle”、“% - pct/absolute toggle”均适用。

程序资源界面可获得较为全面的信息，但分析某一特定问题，还需要参考以下界面。

键入`W`命令，可切换至进程等待状态界面（Process Wait States），见下图：

如果需要对程序进行性能优化，可详细观察本界面内容，分析消耗时间较长的等待并进行优化。等待原因（阻塞原因）有：

CACHE（等待Buffer Cache）

CDFS（等待CD-ROM文件系统或设备）

died（在统计间隔内进程已中断运行）

DISK（等待逻辑设备、磁盘级或裸设备级IO操作）

GRAPH（等待显卡设备或帧缓存）

INODE（等待访问或加锁i节点）

IO（等待本地磁盘、打印机、磁带、外设响应，设备级以上、Buffer Cache级以下）

IPC（等待进程或内核线程间通信事件）

JOBCL（等待跟踪恢复、DEBUG恢复或任务控制事件）

LAN（等待网络IO）

MESG（等待msgrcv、msgsnd）

new（在统计间隔中进程创建）

NFS（等待网络文件系统请求完成）

NONE（僵尸进程等待退出）

OTHER（进程早于mideamon启动且未恢复运行或等待原因未知）

PIPE（等待管道相关操作）

PRI（等待高优先级进程）

RPC（等待远程调用事件完成）

SEM（等待信号灯操作）

SLEEP（进程将自身置于休眠状态，如：sleep、wait、pause、sigpause、poll、sigsuspend 、select）

SOCKT（等待SOCKET操作）

STRMS（等待流设备）

SYSTM（等待系统资源或锁，系统资源包括：LVM、VFS、UFS、JFS、磁盘限额）

TERM（等待非流终端传输）

VM（等待虚拟内存操作完成，或释放内存，或创建、访问虚拟内存）

键入`M`命令可切换至进程使用的内存信息（Process Memory Regions）界面，见下图：

本界面可以查看内存使用情况，便于发现内存泄漏情况，但是对于分析内存泄漏原因没有太大意义。

进程归属内存类型有以下种类：

DATA（数据段）

LIBDAT（动态库数据段）

LIBTXT（动态库代码段）

STACK（堆栈段）

TEXT（代码段）

SHMEM（共享内存段）

GRAPH（帧缓存加锁页）

IOMAP（IO映射段）

MEMMAP（内存映射文件，包括mmap创建的内存和动态库使用的数据段、代码段）

NULLDR（空指针逆向引用共享页）

RSESTA（寄存堆栈引擎堆栈段）

SIGSTA（信号堆栈段）

UAREA（用户数据区）

UNKNWN（未知类型）

RSS/VSS概念：RSS实际使用物理内存、VSS虚拟耗用内存；由于内存管理策略原因，VSS会比RSS大一些。

键入`F`命令，可切换至进程打开的文件列表（Process Open Files）界面，见下图：

此界面展示进程打开的所有FD及对应的信息，可以用来定位进程只打开了文件并未关闭的情况，如果你看到成百上千个FD，那么进程很有可能存在这方面的隐患，这种隐患在HP-UX升级至11.31版本后，造成的威胁非常大，老版本HP-UX允许每个进程最多打开1024个文件，而11.31版本允许打开4096个文件，而系统中SOCKET端口数仅为65536个，如果某一个进程存在只打开没关闭的隐患，原来需要64个这样的进程才能使系统出现问题，而现在只需要16个，实际上系统用户建立对外连接的临时端口数一般只有16k个，隐患升级为故障的概率比想象的要大的多。

打开文件信息，lsof工具也有此功能。

键入`G`命令，可切换至进程所含线程（Process Threads）界面，见下图：

此界面展示了进程所含的线程及线程使用资源的信息。在性能优化的场景下，如果主要线程均为同一角色，需要观察各线程分担的处理任务是否平均，如：多线程版本的FTP Server。如果主要线程不是同一角色，有生产者/消费者模式，除了要分析同等级线程分担任务是否平均，还需要分析某一角色的线程是否存在瓶颈，如离线批价，主线程读取数据、解码时，任务处理线程等待，任务处理线程工作时，主线程等待，而主线程只有一个，任务线程有多个，那么主线程需要进行优化；在这个案例中，将主线程与任务线程交互模式改为异步，性能提升了100%。

线程资源、线程等待信息下文展示。

键入`L`命令，可切换至进程系统调用（Process System Calls）界面，见下图：

分析进程使用的系统调用，是对进程行为捕获而进行的统计，在程序执行的情况下，会经过一段时间累计，才会显示。性能优化的场景下，需要分析系统调用次数及单次系统调用耗时是否在正常的经验值之内，如过文件系统效率较低，那么open系统调用单次消耗时间数值就会比较大。如果需要实时捕获系统调用或者按照顺序捕获系统调用，建议使用tusc/truss命令。

在性能调优方面，HP-UX提供了另外一款强大的工具caliper，它可以可视化的查看耗时最多的函数，在性能调优方面更具参考价值。

在程序调试方面，gdb（GNU DEBUGER）更为强大、更加通用。

查看线程信息（Global Threads 、Process Threads、Thread Resource、Thread Wait）

键入`G`命令查看进程所含线程信息，上文已述，不再重复。

由于下列三个命令展示的信息与上文所述进程相关信息雷同，不详细说明。

键入`Z`命令查看线程列表信息，见下图：

键入`I`命令查看线程资源情况，见下图：

键入`J`命令查看线程等待情况，见下图：

查看全局系统调用信息（Global System Calls）

键入`Y`命令，可查看全局系统调用信息，见下图：

查看全局等待信息（Global Waits）

键入`B`命令，可查看全局等待信息，见下图：

查看系统表信息（System Table）

键入`t`命令，可查看系统表信息，见下图：

由于系统参数较多，此处展现的仅仅是主要的几个参数，如果需要查询更多信息，建议使用kmtune/kctune（需要root权限）、ulimit等命令查看。

查看NFS信息（NFS By System 、NFS Global Activity）

键入`n`命令，可查看按系统为维度的NFS信息，见下图：

键入`N`命令，可以查看NFS全局活动，见下图：

NFS是Network File System的缩写，即网络文件系统，可在主机间共享文件系统，方便跨主机访问，但由于效率较低，目前系统中已经没有NFS应用。

查看网络信息（Network By Interface）

键入`l`命令（字母L的小写），可查看按接口为维度的网络报告，见下图：

查看某一接口详细信息，键入`S`命令，按照提示输入索引号，等待5秒时间，将显示接口统计信息，如下图：

由于网络参数、信息较多，此处展现内容有限，参数情况建议使用ndd命令查看，使用信息建议使用netstat（参数-an、-sn）等命令查看，查看端口对应情况建议使用lsof工具。

查看交换空间信息（Swap Space）

键入`w`命令，将显示交换空间相关信息，如下图：

Swap Space即交换空间，可理解为当物理内存不够时，将一部分磁盘虚拟为内存使用。与之相对存在MemFS技术，为了提高效率，可将内存虚拟为文件系统使用。

查看应用列表信息（Application List）

键入`A`命令，可查看应用列表信息，如下图：

查看PRM组信息（PRM Group List）

键入`P`命令，可查看PRM组信息，如下图：

查看事物跟踪信息（Trans Tracker）

键入`T`命令，可查看食物跟踪信息，见下图：

查看告警信息（Alarm History）

键入`H`命令，可查看历史告警信息，如下图：

HP-UX在线性能监控工具GlancePlus介绍（一）

Mon, 01 Sep 2014 18:17:06 +0800

关于本文

启动GlancePlus

GlancePlus工具绝对路径为/opt/perf/bin/glance，如直接键入glance命令提示无法找到，可直接键入绝对路径启动GlancePlus，在权限允许的情况下，也可通过修改PATH变量的方式以便于后续工作中使用GlancePlus工具。

GlancePlus默认界面（Process List）

直接键入glance命令，默认启动的进程列表界面如下：

进程列表界面可获得的信息包括：Glance版本号、系统时间、主机名、CPU类型、CPU总体负载、磁盘总体负载、内存总体负载、交换区总体负载、资源占用情况前列的进程及资源使用情况（进程名、进程号、用户名、CPU使用率、线程数、IO使用率、内存使用情况、阻塞原因）。

进程列表界面一般用来查看主要系统资源总体使用情况，如果怀疑CPU、磁盘、内存等资源竞争严重，可通过此界面得到验证。在其他界面中，键入`g`命令，可返回此界面。

获取帮助信息（Help Menu、Command Menu）

在GlancePlus运行过程中，键入`h`键，可显示《Help Menu》，如下图所示。

`向上键`、`向下键`用于控制菜单光标，`向左键`、`向右键`控制《Help Menu》在屏幕中的位置，`e`键返回上级菜单，`回车键`进入光标选中菜单，`F8键`可直接退出《Help Menu》。在任何界面键入`h`命令，首先会提示当前屏幕相关的帮助信息，非常有针对性，强烈推荐此功能。

GlancePlus除了提供《Help Menu》以外，还提供了命令提示界面，键入`?`可调取，如下图：

命令提示界面共分为两页，可用`f`键或`空格键`翻页。

命令菜单表格

命令	功能
a	按处理器显示的CPU报告
c	CPU报告
d	磁盘报告
g	进程列表
i	按文件系统的IO报告
l	按接口的网络报告
m	内存报告
n	按系统的NFS报告
t	系统表报告
u	按磁盘的IO报告
v	按逻辑卷的IO报告
w	交换空间
A	应用列表
B	全局等待
G	进程所含线程状态
H	告警历史
I	线程资源
J	线程等待
N	NFS全局活动
P	PRM组列表
T	事物跟踪
Y	全局系统调用
Z	全局线程列表
?	Commands菜单
S	选择 system/Disk/Application/Trans/Thread
s	选择查看进程
F	进程打开的文件
L	进程系统调用
M	进程内存
R	进程资源
W	进程等待状态
b	下一页
f	前一页
h	在线帮助
j	调节屏幕刷新间隔
o	调整进程阈值
p	输出打印终止
e/q	退出glance
r	刷新当前屏幕
y	重新设置进程的nice值
z	将统计信息清零
>	显示下一屏幕
<	显示前一屏幕
!	调用一个shell

查看CPU相关的信息（CPU By Process、CPU Report）

键入`a`命令，可看到CPU详细信息，`f`键或`空格键`换页能够展示更多内容，见下图：

此界面能获得的信息，CPU状态（Enable/Disable）、使用率（Util）、近期负载（1/5/15分钟）、上下文切换次数（CSwitch）、最后执行的进程ID（Last Pid）。如果CPU状态为Disable，需要关注。

翻页后还会出现一个详细的CPU使用率报告，见下图：

此界面获取的信息为按照CPU统计的，统计间隔时间内CPU相关的使用率，包括：总使用率、普通优先级用户态使用率、高优先级用户态使用率、低优先级用户态使用率、实时优先级使用率、系统调用使用率、中断使用率、上下文切换使用率、陷阱处理使用率、页错误处理使用率。

键入`c`命令，可以看到CPU的统计信息，见下图：

此页获取的信息以CPU时间用途为维度，CPU时间用途与前页介绍一致。

查看内存相关的信息（Memory Report）

由于内存在系统管理中以进程为单位管理，将在查看进程相关信息章节进行介绍查看某一进程使用内存情况，键入`m`可查看内存汇总使用信息，见下图：

查看IO使用情况（Disk Report、IO By File System、IO By Disk、IO By HBA Card、IO By Logical Volume）

可键入`d`命令查看IO汇总使用情况，见下图：

同样，未全部显示的，可键入`f`或`空格键`查看下一屏幕。

查看IO详细使用情况可分为四种维度：按文件系统、按磁盘、按HBA卡、按逻辑卷。

按维度展示IO详细使用情况的界面中，如果需要查看某一文件系统、逻辑卷、HBA卡、磁盘使用的详细情况，可键入`S`命令，按照提示输入对应对象的索引号即可。

键入`i`命令，可查看按文件系统为维度的IO使用情况，见下图：

如需要查看/billdata2文件系统，键入`S`命令，如图所示：

输入/billdata2文件系统对应的索引号10并回车，展示文件系统详细信息如下：

由于存在缓存，每一次逻辑IO（Logl IO）并不一定会引发一次物理IO（Phys IO），因此通常情况下看到的逻辑IO数值会比物理IO数值高。

键入`u`命令，查看按磁盘为维度的IO使用情况，见下图：

键入`U`命令，可查看按HBA卡为维度的IO使用情况，见下图：

HBA是Host Bus Adapter的简写，即主机总线适配器，是一个在服务器和存储装置间提供输入/输出(I/O)处理和物理连接的电路板和/或集成电路适配器。因为HBA减轻了主处理器在数据存储和检索任务的负担，它能够提高服务器的性能。一个HBA和与之相连的磁盘子系统有时一起被称作一个磁盘通道。

典型问题：当看到HBA控制器(Controller)使用率(Util %)较高，而控制绝对使用率Users IO KB/s数值较低，则有可能后台有较大的读取操作，如：容灾级的底层复制。

键入`v`命令，可以查看按逻辑卷为维度的IO使用情况，见下图：

本文为您展示GlancePlus在线性能监控工具所具备的功能，在工作中并不一定所有功能都会用到；在您了解这些功能的情况下，如果能够想起来GlancePlus具备这样的功能，并愿意尝试使用GlancePlus，这便是本文作者的初衷。

作者水平所限，尤其在系统管理方面很多概念不清晰，如有错误或者纰漏，请联系作者mailto:datouwang(at)gmail(dot)com。

关于GlancePlus

GlancePlus 是HP-UX平台上面一个易于使用但是功能强大的在线性能监控软件，提供GUI模式的gpm和CLI模式的glance。

百度云存储测试

Sun, 20 Jul 2014 12:55:51 +0800

图片测试

百度云存储测试附件为USB启动盘制作工具

Universal-USB-Installer-1.9.5.2.exe.zip

查看HP小型机的信息的命令集

Wed, 07 Nov 2012 19:25:39 +0800

下面是查看HP小型机的信息的命令集：

1、机型
#model
9000/800/L2000-44
注意：其中44是指每个cpu有440MHZ。

2、cpu个数
#top
CPU   LOAD   USER   NICE    SYS   IDLE BLOCK SWAIT   INTR   SSYS
0    0.02   0.0%   0.0%   0.%   0.0%   0.0%   0.0%   0.0%
1    0.00   0.6%   0.0%   0.%   0.0%   0.0%   0.0%   0.0%
2    0.00   2.% 97.0%   0.0%   0.0%   0.0%   0.0%
3    0.00   0.4%   0.0%   0.0% 99.6%   0.0%   0.0%   0.0%   0.0%

3、硬盘的大小信息
#diskinfo /dev/rdsk/c1t0d0
SCSI describe of c1t0d0:
            vendor: SEAGATE
        product id: ST39204LC
              type: direct access
              size: 8891556 Kbytes
bytes per sector: 512

4、硬盘的个数
#ioscan -funC disk
disk      0 0/0/1/1.0.0 sdisk CLAIMED     DEVICE       SEAGATE ST39204LC
                        /dev/dsk/c1t0d0   /dev/rdsk/c1t0d0
disk      1 0/0/1/1.2.0 sdisk CLAIMED     DEVICE       SEAGATE ST39204LC
                        /dev/dsk/c1t2d0   /dev/rdsk/c1t2d0
disk      2 0/0/2/0.0.0 sdisk CLAIMED     DEVICE       SEAGATE ST39204LC
                        /dev/dsk/c2t0d0   /dev/rdsk/c2t0d0
disk      3 0/0/2/0.2.0 sdisk CLAIMED     DEVICE       SEAGATE ST39204LC
                        /dev/dsk/c2t2d0   /dev/rdsk/c2t2d0
disk      4 0/0/2/1.2.0 sdisk CLAIMED     DEVICE       HP      DVD-ROM 305
                        /dev/dsk/c3t2d0   /dev/rdsk/c3t2d0
disk      5 0/4/0/0.8.0 sdisk CLAIMED     DEVICE       SEAGATE ST39236LC
                        /dev/dsk/c4t8d0   /dev/rdsk/c4t8d0

5、查看操作系统版本和license
#uname -a
HP-UX scp1 B.11.00 U 9000/800 1124961527 unlimited-user license

6、如何查看内存
#dmesg
Memory Information:
physical page size = 4096 bytes, logical page size = 4096 bytes
Physical: 2097152 Kbytes, lockable: 1866308 Kbytes, available: 1902728 Kbyts

7、如何查看文件系统
#bdf
Filesystem          kbytes    used   avail %used Mounted on
/dev/vg00/lvol3    1025617   24790 898265    3% /
/dev/vg00/lvol1     700691   35482 595139    6% /stand
/dev/vg00/lvol8    2097152 436927 1557195   22% /var
/dev/vg00/lvol7    1048576 481524 531631   48% /usr
/dev/vg00/lvol6     255253     148 229579    0% /tmp
/dev/vg01/lv_tellin
                  2051553 127152 1719245    7% /tellin
/dev/vg00/lvol5    2097152   81783 1889462    4% /opt
/dev/vg01/lv_informix
                  2051553 413823 1432574   22% /opt/informix
/dev/vg00/lvol4     524288    1229 490375    0% /home

存在两个文件中：/etc/fstab /etc/mnttab

8、查看卷组、卷组所包括的逻辑卷、以及该卷组所包括的物理磁盘
#vgdisplay -v vg00
则结果都是按照逻辑卷组、逻辑卷、物理磁盘的顺序全部显示。

9、查看卷组、逻辑卷的位置
#cd /dev/
在该目录下面有所有的逻辑卷组，再进入某个逻辑卷组，则看到它所有的所有
逻辑卷了。

10、激活/去激活卷组
#vgchange -a y 卷组名（激活）
#vgchange -a n 卷组名（去激活）

11、创建卷组、逻辑卷、文件系统的一系列命令
格式化
#pvcreate /dev/rdsk/c0t1d0   (这里假设有块盘的设备文件名是c0t1d0)
创建卷组名
#mkdir /dev/vglock
创建卷组的设备文件名字
#mknod /dev/vglock/group c 64 0x010000 (这里注意group不能重复)
创建卷组
#vgcreate /dev/vglock /dev/dsk/c0t1d0 （将物理磁盘c0t1d0加给该卷组）
激活卷组
#vgchange -a y /dev/vglock
创建逻辑卷lv_informix
#lvcreate -n lv_informix /dev/vglock
给逻辑卷增加大小
#lvextend -l 50 /dev/vglock/lv_informix   (单位是页，页的大小再创建
卷组时已经确定，不可以再更改，一般缺省为4M，所以是200M)
或者
#lvextend -L 200 /dev/vglock/lv_informix (这是带大写的L参数，表示
是以M为单位来分配的大小的。)

如果还要将该卷组变为文件系统的话，那么如下创建文件系统
#newfs -F hfs /dev/vglock/rlv_informix
创建文件系统挂接的目录
#mkdir /informix
将文件系统挂接上去
#mount /dev/vglock/lv_informix /informix

12、删除卷组、逻辑卷
删除逻辑卷
#lvremove /dev/vglock/lv_informix
去激活卷组
#vgchange -a /dev/vglock (如果不能够去激活，则可以用如下命令强行去
激活，vgchange -c n /dev/vglock)
预删除卷组
#vgexport -p -s -m /tmp/vglock.map /dev/vglock
删除卷组
#vgexport -s -m /tmp/vglock.map /dev/vglock

13、创建共享卷组
在的一台已经创建卷组的机器上先去激活
#vgchange -a n /dev/vglock
预删除卷组
#vgexport -p -s -m /tmp/vglock.map /dev/vglock
将map文件传送到另外一台机器
#rcp scp1:/tmp/vglock.map scp2:/tmp/vglock.map
在另外一台机器上导入卷组之前要先创建卷组名
#mkdir /dev/vglock
创建group节点文件
#mkno /dev/vglock/group c 64 0x010000 (该节点一定要和第一台机器一致)
导入卷组
#vgimport -s -m /tmp/vglock.map /dev/vglock

14、informix的版本的收集
#su - informix
informix>onstat -
这样可以看到informix的版本。

15、双机维护命令
在一台运行以下命令先将两个节点的cluster守护进程都拉起来，
然后还会自动的将应用也拉起来。
cmruncl;
或者先在主机上运行双机的守护进程，再将备机节点加入，
然后再来将应用制定在某个节点上运行，那么指定的节点就应该是主机。
cmruncl -n scp1;
cmrunnode scp2;
cmrunpkg -n scp1 -v scp_service;

查看双机的状态
cmviewcl -v；
cmviewcl ;
cmquerycl;
cmviewconf;

双机切换
方法一：可以停止主机
cmhaltnode scp1
方法二：可以手工切换应用
cmhaltpkg -n scp1 -v scp_service(将应用scp_service从scp1机器上停止运行)
或者
su - tellin
stellin>kill_scp.sh
或者
su - informix
informix>onmode -kuy

主机切换后的节点要重新变为可以切换的节点，必需要运行如下命令
cmmodepkg e -n scp1 -v scp_service (应用scp_service可以下次再切回
scp1节点)

有时候为了诊断备机，特将备机设置为不可以运行应用的节点，如
cmmodepkg d -n scp1 -v scp_service (节点scp1上是不可以运行应用scp_
service)

16、双机的配置文件的位置
#cd /etc/cmcluster/ (双机守护进程的配置文件cmcluster.asc)
#cd /etc/cmcluster/scppkg/ (双机的应用配置文件scppkg.asc,control.sh,
scppkg.sh，这三个文件中有一个文件是用来制定双机的浮动IP的)

17、双机维护命令的位置
#cd /usr/sbin/ (用ls cm*可以看到所有关于双机的执行命令)

18、双机的配置
》》》配置cmcluster.asc;
检查cmcluster.asc配置文件的有效性
#cmcheckconf -v -C cmcluster.asc
如果配置不对，则会有错误提示，根据错误提示再来更正，
直到正确后才来应用该配置文件
#cmapplyconf -f -v -C cmcluster.asc
如果觉得应用后配置要重新更改，可以将配置文件删除
#cmdeleteconf -v -c scp1
#cmdeleteconf -v -c scp2

》》》配置应用文件scppkg.asc,control.sh,scppkg.sh
检查三个文件的有效性
#cmcheckconf -v -P scppkg.asc
如果配置不对，则会有错误提示，根据错误提示再来更正，
直到正确后才来应用该配置文件
#cmapplyconf -f -v -C scppkg.asc
如果觉得应用后配置要重新更改，可以将配置文件删除
#cmdeleteconf -v -c scp1
#cmdeleteconf -v -c scp2
备注：这里所指的删除是在需要单机诊断双机的时候才会用到，
否则不需要这么负责，只需要重新应用一下就可以了，原来的
删不删除无所谓。

18、网络的配置
》》》首先网线一定要连接正确
在给小型机配置网卡的时候一定要先确保网卡的驱动程序已经
安装了，用以下的命令查看.
#lanscan
如果看到的主用网卡和附加的网卡的状态都是up状态，则表示
网卡都可用了。而且此时一定要知道那块卡用来做数据网卡，
这块网卡应该是在安装HP-UX操作系统的时候就已经确定了，比如
选择lan0来做主用数据网卡，并且该块网卡的地址一般在安装
HP-UX的时候也已经显示了它的设备路径如：0/1/10/0 等，
或者用lanscan命令也可以看到它的路径，指导后就应该将直连网线
从该网扣连接到主用HUB上去。

然后另外两块是备用网卡，也可以根据设备的路径来确定他们两个的位置，
确定以后就可以将其中一块卡用交叉网线与另外一台机器的同样的网口
相连，用来做心跳线。

那么另外的一个附加网卡就不要配置地址了，我们是用它来作为备用网卡
使用的，要用直连网线从该口连接到备用HUB上，它既可以作为心跳网卡
的备用网卡，也可以作为数据网卡的备用网卡。

在HPL2000系列的机器上我们还可以看到在数据网卡的上面有一个网扣，该
口是作为console口使用的，用一根console线可以与它相连接进行配置机器。

》》》再来配置IP地址
#vi /etc/rc.config.d/netconf
该文件下面有所有的网卡的名字、网卡的iP地址、网关、子网掩码的配置
这样配置以后可以长期生效，下次机器重新启动的时候就会根据该配置文
件来自动配置网络了。

或者
#ifconfig lan0 133.64.48.91 255.255.255.192
#ifconfig lan1 129.9.168.120 255.255.255.192

》》》查看网卡的地址
#lanscan lan0
#lanscan lan1
lan2不配置地址。

》》》网卡的常用诊断工具
ping;
lanscan;看看网卡地状态是否为“up”
linkloop;(用此命令的时候，一定要先用lanscan来查处网卡的物理地址，
因为该命令的后面接的参数是网卡物理地址，这可以简单地断定网线、集线器
是否有问题)

》》》在同一网中， subnetmask 应一致。

19、在配置双机的cmcluster.asc的时候要制定该网卡的IP地址所在的子网
，则可以通过以下来查看
#netstat -in （可以看到网卡的地址、IP地址对应的子网、网关、缺省路由、
是否有浮动网卡、是否主机）

20、配置路由信息
方法一：可以通过修改/etc/rc.confg.d/netconf文件来增加，下次启动的时候
就会生效。
方法二：可以用命令行来设置：
/usr/sbin/route add default 20.08.28.98 1

21、查看路由信息
#netstat -an

22、配置远程维护

如何确定是否已经配置了远程维护，远程维护是通过硬件来配置的，
只要远程维护的串口没有损坏，哪怕你是重新安装，在小型机前面板上的
remote灯会亮为黄色，黄色的灯一直都是两着的表示可以远程维护串口正常。
但是我们还是需要通过GSP来配置远程维护。

》》》小型机的remote口的配置
ctrl + b
enter
enter
GSP> ca

这样就出现了对话框，如果你要修改某个参数的话，可以通过该对话框来修改。
通常的值是：
bitrate :9600
flow control :software
terminal type:vt100
modem protocol:CCITT
modem bit rate:9600
flow control :hardware
mode transmit configuration:disable
mode presence:always connected

》》》modem上的配置
AT&F
ATS0=1
AT&WO&Y0
保存退出。

备注：HP公司一般提供了专门的全向modem，名字叫“天幕驰舟”，
modem一定要接在line口上。

23.一个超级命令
#set_parms
它后面带的参数可以是如下
date_time:设者时间；
ip_address：设置网卡地址；
hostname：设置主机名；
addl_netwrk：设置主机的网关。

24、用户和用户组的添加
方法一：用useradd和groupadd命令来添加；
方法二：修改文件/etc/passwd 和 /etc/group 文件来实现。

25、一个有用的工具是sam
通过sam可以进行各种操作，比如：用户、用户组的管理；逻辑卷组、逻辑卷的管理；内核参数的管理；

26、一个有用的诊断工具mstm
用它可以收集到所有的硬件信息，比如一共有哪些内存插口，
每块现有的内存条有多大，还可以查几个内存条等等信息。

使用举例：
#mstm
选择system()，并且在菜单上选中Tools/information/information log
便可以看到很多关于硬件的消息，如：

System Information for (scp1)
HPUX Model Number......: L2000            //机器型号是HP L2000
HPUX Model String......: 9000/800/L2000-44
Original Product Number: A5191A
Current Product Number.:
System Serial Number...: (Unknown)
Hversion...............: 0x5c40
Sversion...............: 0x491
Software Capabilities..: 0x100000f0

PD CPU Information:
Number of CPUs in the current Protection Domain = 2 //两个cpu

Cabinet 0; Cell 0; CPU Map
cpu -------------------------------------------------
slot |00|01|02|03|04|05|06|07|08|09|10|11|12|13|14|15|
    -------------------------------------------------
state| a| | | | | | | | | | | | | | | |
    -------------------------------------------------
    c - Configured                  (CPU powered on)
    d - De-configured               (CPU powered off)
    a - Active                      (configured and processes running)

选择memory，并且在菜单上选中Tools/information/information log
便可以看到关于内存的信息，如：
-- Information Tool Log for MEMORY on path 8 --

Log creation time: Wed Jul 3 17:05:47 2002

Hardware path: 8

Basic Memory Description

   Module Type: MEMORY
   Total Configured Memory   : 1024 MB   //可以看到总的内存有多少，是1G
   Page Size: 4096 Bytes

Memory interleaving is supported on this machine and is ON.

Memory Board Inventory
DIMM Slot      Size (MB)
---------      ---------
         0a            256            //可以看到每个内存槽里面是不是已经插了内存条，还有
                 该内存条是多少的内存，比如这里0a槽上插的是256M
         1a            256
         0b            256
         1b            256
---------      ---------            //可以看出该台小型机的4个内存槽都已经插满了
System Total (MB): 1024

Memory Error Log Summary

The memory error log is empty.

Page Deallocation Table (PDT)

   PDT Entries Used: 0
   PDT Entries Free: 50
   PDT Total Size: 50

在使用mstm的时候可以打开另外一个终端窗口，执行命令#/usr/sbin/ioscan -fn ，这样可以知道每个设备
的硬件地址信息。

这样可以得到如下结果：
lan        2 0/7/0/0   btlan6 CLAIMED INTERFACE HP A3738A PCI 10/100Base-TX Ultimate Combo
                          /dev/diag/lan2 /dev/ether2     /dev/lan2
memory      0 8            memory    CLAIMED     MEMORY       Memory
processor   0 160          processor CLAIMED     PROCESSOR    Processor
processor   1 166          processor CLAIMED     PROCESSOR    Processor
这样可以知道0/7/0/0地址对应的是一个100M的网卡，然后再到mstm窗口中去查看它的information log
信息，这样可以很清楚硬件信息了。

该收集结果文件中还可以找到磁盘的使用信息，如：

I H/W Path Driver S/W State Description ==================================================================== 0 0/0/1/1.2.0 sdisk CLAIMED SEAGATE ST39204LC 1 0/0/2/1.2.0 sdisk CLAIMED HP DVD-ROM 304 2 0/3/0/0.0.0 sdisk CLAIMED HP C5447A 4 0/3/0/0.0.1 sdisk CLAIMED HP C5447A 6 0/3/0/0.0.2 sdisk CLAIMED HP C5447A 8 0/3/0/0.0.3 sdisk CLAIMED HP C5447A 10 0/3/0/0.0.4 sdisk CLAIMED HP C5447A 12 0/3/0/0.0.5 sdisk CLAIMED HP C5447A 3 0/6/0/0.1.0 sdisk CLAIMED HP C5447A 5 0/6/0/0.1.1 sdisk CLAIMED HP C5447A 7 0/6/0/0.1.2 sdisk CLAIMED HP C5447A 9 0/6/0/0.1.3 sdisk CLAIMED HP C5447A 11 0/6/0/0.1.4 sdisk CLAIMED HP C5447A 13 0/6/0/0.1.5 sdisk CLAIMED HP C5447A Device H/W Path Product id Size Physical Alternate (Mbytes) Volume Link ==================================================================== c1t2d0 0/0/1/1.2.0 ST39204LC 8683 yes bootable no c3t2d0 0/0/2/1.2.0 DVD-ROM 0 no n/a c4t0d0 0/3/0/0.0.0 C5447A 1024 yes no c4t0d1 0/3/0/0.0.1 C5447A 2052 yes no c4t0d2 0/3/0/0.0.2 C5447A 10252 yes no c4t0d3 0/3/0/0.0.3 C5447A 1024 no n/a c4t0d4 0/3/0/0.0.4 C5447A 2052 no n/a c4t0d5 0/3/0/0.0.5 C5447A 10252 no n/a c5t1d0 0/6/0/0.1.0 C5447A 1024 yes yes c5t1d1 0/6/0/0.1.1 C5447A 2052 yes yes c5t1d2 0/6/0/0.1.2 C5447A 10252 yes yes c5t1d3 0/6/0/0.1.3 C5447A 1024 no n/a c5t1d4 0/6/0/0.1.4 C5447A 2052 no n/a c5t1d5 0/6/0/0.1.5 C5447A 10252 no n/a Note: All disk devices are listed here, not only hard disks.LVM mirroring software********************** LVM mirroring software MirrorDisk/UX (B2491A) is NOT installed................................................................................**********************Part 2: VOLUME GROUPS**********************Volume Group: /dev/vg00************* Physical Volumes: /dev/dsk/c1t2d0 Volume group disk space usage: Total : 8676 Mbytes 2169 PE Allocated: 8404 Mbytes 2101 PE Free : 272 Mbytes 68 PE PE size : 4 MbytesVolume Group: /dev/vg10************* Physical Volumes: /dev/dsk/c4t0d0 /dev/dsk/c5t1d0 Alternate Link Volume group disk space usage: Total : 1020 Mbytes 255 PE Allocated: 0 Mbytes 0 PE Free : 1020 Mbytes 255 PE PE size : 4 MbytesVolume Group: /dev/vg12************* Physical Volumes: /dev/dsk/c4t0d2 /dev/dsk/c5t1d2 Alternate Link Volume group disk space usage: Total : 10248 Mbytes 2562 PE Allocated: 10076 Mbytes 2519 PE Free : 172 Mbytes 43 PE PE size : 4 Mbytes
备注：其实用该收集工具就是在shell中执行不通的程序得到，如执行：
ioscan -fn;
mstm;
cstm;
sam;
等等。

27、重新启动机器
#reboot
#shutdown

28、关闭机器
#shutdown -hy 0
#init 0

28、unix的集中运行的模式
多用户模式，但用户模式等等6种。
用如下命令可以看看它的运行模式：
#who -r

29、普通的对话
#wall "hello!" (广播hello这个消息)
#banner "hello!"(放大hello这个消息)
#banner "hello!"|more (放大hello消息后再来广播它)

30、看当前的登录名
#logname

31、看所有登录用户
#whoiam

32、看登录用户在干什么
#whodo

33、看看进程
ps -ef|grep root (看root用户的进程，有时候console上执行的进程不能
够停止的话，那么就将console进程进程杀死，因为该进程是其它进程的
父进程。)

34、webconsole的设置
HP Secure Web Console 的配置与维护
HP 的Secure Web Console 为系统管理员提供了一个基于Web的、更为方便的接入Console的手段。系统管理员只需在任意一台能够ping通Web Console的PC上，启动网络浏览器，输入Web Console的IP，即可得到服务器Console的界面。
配置Web Console，应按以下步骤：
1)初始化Web Console：
1/将Web Console接入局网。其预设置的IP地址为192.0.0.192。
2/在您的PC上，运行以下命令：
route add 192.0.0.192 Local_IP_address
3/确保能够ping 192.0.0.192。
4/在PC上运行网络浏览器，输入URL：http://192.0.0.192，得到Web Console配置菜单。按菜单提示输入Admin Account 用户名和密码，将其IP改为本局网IP地址（确保IP不要重复）和子网掩码。
2)使用 Web Console
1/用普通Console的串口线，一端接服务器Local Console口，另一端接 Web Console 的串行口。
2/在PC的浏览器上，输入 Web Console当前的IP地址。即进入其LOGIN窗口，按要求输入在配置时创立的Admin Account用户名和密码；则进入服务器Console界面，用鼠标点击Access Console，黑色的Console窗口出现在屏幕右方；点击In/Out可放大Console窗口。

35、demo进程的位置
/etc/rc3.d/中的文件在系统启动的时候便可以将进程拉起来。

36、磁带的使用
写：
tar cvf /dev/rmt/0m /temp/t.sql //将temp目录下面的t.sql文件备份到磁带0m中；

读：
tar tvf /dev/rmt/0m //读出磁带0m中的内容；

从磁带上解开tar文件：
tar xvf /dev/rmt/0m/aa.tar ./ //将磁带上的aa.tar文件解开到当前目录下；

当用磁带来启动机器的时候，我们在启动的时候敲击任意键，就可以进入启动的路径，
再输入SEA(search)来搜寻启动的路径，然后就可以找到磁带的路径，如磁带路径为
5号路径，则输入po 5,便可以从磁带启动了。

37、HP-UX的安装
========================================================================
HP－UX双机系统的安装

1)在两台主机上分别安装好HP-UX操作系统，注意：在两台上的关于/，
/stand，/var，/home，/usr，/opt，/swap，/dev等等文件系统的大小必须保持一致；

2)安装patch(以下的操作在两台主机上是一样的操作)

#mkdir cdrom //创建一个DVD要挂接的目录

#ioscan -kfnCdisk //查看DVD的硬件描述文件，以便下面安装前的挂接

_____________________使用标识为support plus的光盘____________________

a)选择软件包中的标识为support plus的光盘插入DVD光驱中

#mount /dev/dsk/c3t2d0 /cdrom //将DVD文件系统挂接到/cdrom目录下

#cd /cdrom

#ls //浏览光盘，发现有XSWHWCR1100和
XSWGR1100两个patch目录

#swinstall    -s   /cdrom/XSWHWCR1100         //这样就进入了sam中进行安装，选择光盘
         上的XSWHWCR1100，并且用sam中的菜
     单项Action下的子菜单Install来进行安装

备注：安装完XSWHWCR1100这个patch之后，机器会自动reboot来重新创建新的内核

b)待机器再次启动之后，我们就可以安装同样的support plus这张光盘中的另外一个名
叫XSWGR1100的patch了。

#mount /dev/dsk/c3t2d0 /cdrom

#swinstall -s /cdrom/XSWGR1100

备注：安装完该patch之后同样系统自动重新启动

__________________使用标识为3 of 4 Application Software光盘_______________

c)选择软件包中的标识为3 of 4 Application Software的光盘插入DVD光驱中
#mount /dev/dsk/c3t2d0 /cdrom

#swinstall -s /cdrom                     //进入sam后选择“Ignite -UX-11-00    B.2.5.136
         HP-UX   Installation Utilities for Installing
         11.00 System
         97186   HP-UX-B.11.00-32/4”这个patch来安装

备注：安装完该patch之后同样系统自动重新启动

___________________使用标识为4 of 4 Application Software光盘____________

d) 选择软件包中的标识为4 of 4 Application Software的光盘插入DVD光驱中

#mount /dev/dsk/c3t2d0 /cdrom

#swinstall -s /cdrom //进入sam后选择揂.11.09 MC/ServiceGuard斦飧鰌atch来
安装MC/ServiceGuard

备注：安装完该patch之后同样系统也会自动重新启动

___________________使用标识为1 of 4 Application Software光盘____________

e)选择软件包中的标识为1 of 4 Application Software的光盘插入DVD光驱中

#mount /dev/dsk/c3t2d0 /cdrom

#swinstall -s /cdrom           //进入sam后选择 ?3230A B.11.00 100Base-T PCI? 和
          揃.11.00 HP-UX Unlimited-User License斄礁鰌atch来安装。

       //其中前一个patch用于安装附加网卡的驱动程序，只有安装
                      了它，备用网卡和心跳网卡才在系统中可用，因为这两块
          网卡是系统附加的，必须要安装配套的驱动程序，其中
          53230A表示的是附加网卡的型号，这个可以从纸箱中的配
          件单上获取，系统本身自带的那块主用网卡是在安装操作
          系统的时候就已经自动被配置了，不用我们手工再配置了。
                                  在未安装该patch之前，你用命令：#lanscan则只能
                                  看到一块
         主用网卡；
         在安装完该patch之后，你再用命令：#lanscan则可以看到三          块网卡。

//其中后一个patch用于安装无限制的license。

========================================================================

38、忘记了口令该怎么办
重新启动机器；
在启动的过程中按任意键，就会进入一个主菜单；
用SEArch来搜索启动的路径；
用bo + 路径的序列号来重起机器；
当出现Interactive with IPL (Y or N)?>时选择Y;
然后要求输入启动的内核的路径，hp_ux 0 (表示是启动到系统维护模式下面)
然后启动完成以后就可以进行passwd root来修改口令了。

39、如何做一个root的文件系统的全备份
#make_recovery -Av

40、光驱如何使用
#ioscan -funC disk
找到光盘的路径如/dev/dsk/c3t2d0
#mkdir /cdrom
#mount /dev/dsk/c3t2d0 /cdrom
#cd /cdrom
就可以了。
用完后将目录退出到根目录下面，再使用
umount /cdrom来释放光盘，便可以将光盘取出来。

如果想从光盘启动的话，那么就重新启动机器，并且敲击任意键便进入SEA，再用po来制定光盘的
路径用光盘启动。

41、从光驱上安装informix的几种类型的压缩文件
1)tar xvf /cdrom/IDS.tar; (压缩文件是TAR类型的)
2) cpio -icvdBum < /cdrom/IDS.CPI (压缩文件是CPI类型的)

42、双机配置必须两台机器都要配置的文件
/etc/hosts
/etc/services
/.rhosts
/etc/cmcluster/*

43、如何查看当前的网络子网、网络的掩码是多少
1）查看子网
#netstat -in
查看lan0对应的：
Name Mtu Net/Dest Address Ipkts Ierrs Opkts Oerrs Collis Queue
lan0 1500 172.0.8.0 172.0.8.68 3430395 0 1134355 0 0 0
可知子网就是172.0.8.0

2）查看掩码
查看/etc/rc3.d/netconfig.d/netconf文件中的netmasks字段就知道了。

44、如何创建数据库的DR
主机：ontape -s -L 0
onmode -d primary online2_net(备机的网络数据库)
备机：ontape -p
onmode -d secondary online1_net(主机的网络数据库)

45、HP-UX的文件系统
/ :根目录，以下的目录全部是子目录
/etc ：主要存放配置文件
/usr ：主要存放一般用户都可以执行的命令
/var ：主要存放unix核心
/usr/sbin ：主要是存放系统维护命令
/usr/bin ：主要是存放普通用户可以执行的命令
/home ：主要是作为普通用户的主目录
/opt ：主要是安装除了unix系统之外的应用程序
/swap ：交换区
/temp ：临时文件存放目录

46、如何在安装完HP-UX的OS操作系统之后，来打双机的patch呢？
#swinstall -s /cdrom/XSWHWCR1100 //先打CR
#swinstall -s /cdrom/XSWGR1100 //再打GR
再来安装第一张盘中的各个卡的驱动程序，以及安装unix用户的不受限制的协议

备注：安装完成以后用命令swlist |grep 来查看有没有成功安装某个patch，
如果觉得某个patch安装是错误的，不需要安装的话，那么可以用命令
swremove -s 来进行删除。

47、如何安装cmcluster双机软件呢
一般都在软件包中的第4张盘，
并且一定要找到license这张纸，上面又codeword，一定要输入codeword才能够
看到该软件。

如果该纸已经丢失了，那么可以从机器面板上找到序列号后再来网站
http://www.license.hp.com上去找。

48、日志文件的查询
/var/adm/syslog/syslog.log    //系统常用信息，如配置、修改、启动、关闭等信息
/var/adm/syslog/mail.log      //电子邮件信息
/var/adm/syslog/swinstall.log //软件安装产生的信息
/var/adm/syslog/swremove.log //软件卸载产生的信息
/var/adm/sulog                //执行su的情况
/var/adm/btmp                 //所有注册失败信息
/var/adm/vtmp                 //所有注册信息

查看日志主要是查看关键字panic、warning、err等信息，如：
cat /var/adm/syslog/syslog.log |grep panic
cat /var/adm/syslog/syslog.log |grep warning
cat /var/adm/syslog/syslog.log |grep err

49、如何配置系统的互相信任关系
在用户的主目录下面生成.rhosts文件，
如在smp01/smp02上的.rhosts文件中都输入：
smp01 root
smp02 root

50、如何从备份的磁带来恢复数据库informix呢
1)备份数据库（informix用户）
informix> ontape -s -L 0

2)从备份的磁带来恢复另外一台机器的数据库
informix> ontape -p

51、HP的网卡激活、去激活命令
#ifconfig lan0 up //激活网卡lan0
#ifconfig lan0 down //去激活网卡lan0
备注：平时排除网卡的错误一般方法是：ping /ifconfig up|down /linkloop

52、HP L2000（for scp）双机配置的详细注解
安装操作系统，确定主机名字，确定root的口令，确定/、/usr、/var等文件系统的大小，选择
主用网卡，并且给主用网卡赋予IP地址；
打CR补丁，打GR补丁；
安装另外两个附加网卡的驱动程序，此时用ifconfig可以看到三块网卡都up了；
用直连线将两台机器的主用网卡都连接到主用的HUB上去；
给其中一个附加网卡赋予IP地址，此Ip地址与主用网卡的Ip地址是两个网段中的地址，并且用交叉线
将主备机的这个附加网卡连接起来，作为心跳线；
另外剩余的一个网卡不用赋予IP地址，它是作为主用网卡和心跳网卡的备用网卡，它不用给IP地址，
它的替用关系在双机配置文件cmcluster.asc文件中有指定，当主用、心跳网卡损坏的时候，它就会
去替换他们，并且获取他们的Ip地址；
最后安装cmluster双机软件，该软件安装的时候用swinstall -s /cdrom来安装，但是安装之前必须
要数据codeword，只有输入正确的codeword之后，才会看到该软件包，而codeword的获取是要根据
随机发的纸件中获取，或到http://www.license.hp.com网站上获取，安装完后进入目录/usr/sbin下
检查有没有cmruncl/cmdeleteconf/cmapplyconf/cmhaltcl/cmrunnode/cmhaltnode等等文件；
创建锁盘逻辑卷组；
创建其它逻辑卷组、逻辑卷；
安装数据库；
安装tellin应用程序；
将双机配置文件拷贝到/etc/cmluster/目录下面进行配置、应用；
启动数据库；
启动应用；
启动双机；

53、HP N4000（for sdp）双机配置的详细注解
安装完操作系统，如同hp l2000一样；
安装一系列的包，并且安装FC60软件包；
将FC60上的三个sc10磁盘柜子中的磁盘划分成物理卷组LUN，如LUN0/LUN1/LUN2/LUN3等；
在LUN上创建锁盘逻辑卷组、其它逻辑卷组，在第一台上创建，在vgimport到第二台机器；
在的一台上激活其它逻辑卷组；
安装数据库；
再停止数据库；
将逻辑卷组在的一台机器上去激活；
在第二台机器上激活逻辑卷组；
在第二台机器上安装数据库文件系统；
从第一台机器上拷贝onconfig、sqlhosts、.rhosts、services等等文件到第二台机器上；
在第二台机器上直接oninit启动数据库；
在/etc/cmcluster/目录下面配置双机配置文件；
在/etc/hosts中加入逻辑机对应的逻辑IP；
将数据库中的sqlhosts文件的机器名改为逻辑机的名字或者改为浮动IP地址；
将逻辑卷组都去激活；
启动双机；
切换双机检验是否切换正常；

54、关于锁盘

1）锁盘的含义
锁盘是为双机系统出现某些特殊故障时确定主备用关系设置的，
因此每个节点在正常情况下都必须有权访问锁盘，因此也建议
用户不要将此盘为其它应用程序服务。为防止锁盘故障，锁盘
可配置多于一块，这时的要求同单块时一样，只是在配置文件
中需将所用锁盘都说明。在配置文件cmcluster.asc文件说明。

2）锁盘的物理盘
锁盘的物理磁盘必须有两个scasi磁盘接口与两台主机都要连接才行的。
安装于共享磁盘柜中。
锁盘是双机系统所必须的，而且必须采用共享磁盘形式。

3）锁盘的逻辑卷组的创建
在TELLIN－SCP双机系统中，锁盘中不放置任何用户数据，
因此不需要进行逻辑卷的划分。若用户希望使用此盘空间，
可在不影响SCP双机正常工作的情况下根据自己的要求自行划分，双机对此没有附加要求。
在第一台机器上执行：
pvcreate /dev/rdsk/c0t2d0
vgcreate /dev/vglock /dev/dsk/c0t2d0
vgchange -a y /dev/vglock
vgdisplay //看看能不能够看到vglock这个磁盘卷组是激活的状态。
vgchange -a n /dev/vglock
vgdeport -m -s /tmp/vglock.map /dev/vglock //将vglock卷组的创建信息到处到一个map文件中

在第二台机器上执行：
rcp scp1:/tmp/vglock.map scp2:/tmp/vglock.map
mkdir /dev/vglock
mknod /dev/vglock/group c 64 0x010000
vgimport -m -m /tmp/vglock.map /dev/vglock
vgdisplay
vgchange -a y /dev/vglock

4）锁盘在双机运行重的状态
锁盘在双机启动之前应该在两台机器上都是去激活的状态，
即便是双机启动了，锁盘同样是去激活的状态。

55、关于双机cluster所使用的磁盘、以及应用package所使用的磁盘
cmclustar.asc所使用的磁盘的数量多余于package所使用的磁盘。

56、FC60磁盘柜的维护命令集

57、如何启动scp系统
启动备机数据库
oninit
启动北极数据库
oninit
启动主机应用
manager
启动北极应用
manager
在主机上启动双机
mcruncl

58、如何启动sdp系统
因为sdp一般都是采用共享磁盘柜的形式，所以只需要
将共享磁盘在一台机器上运行cluster就行了：
cmruncl
它就会将informix和sdp等所需的逻辑卷组都激活，并且
将文件系统都挂接上，然后就cluster启动起来。

59、当数据库和cluster的主备不一致时，怎么恢复？
1）主用数据库运行scp1上,而应用程序的主用运行第二台机器上，
这个时候只能将应用程序停止，然后将数据库都停止，将双机
也停止。

2）然后将双机的配置文件删除，用命令cmdeleteconf来删除。
然后再来生成配置文件，用命令cmapplyconf -C cmcluster.asc
-P ./scppkg/scppkg.asc；然后将刚才是主用的数据库启动起来
并且将它变为standard状态，再在该台机器上做一个数据库的0级
备份，然后将磁带拿到第二台机器上去恢复数据库，重新建立DR
关系之后，我们就可以将应用起来，然后将双机拉起来。

此时数据库和双机的应用应该都一致。
60、hp小型机器第一次安装完操作系统之后，必须要修改的参数。
比如数据库参数，不修改的话就无法初始化数据库。

61、如何创建rootdg的系统备份（备份rootdg下面所有的东西）
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
1)在一台好的机器上备份
#make_recovery -Av //备份的是vg00卷组下所有的东西，比如/ ,/stand , /var ,/swap
等等，备份放在了磁带上，下次若系统损坏了，可以用该磁带来启动并恢复系统。

1)若用make_recovery 作备份的磁带来恢复的话，过程如下：
－－－－非交互式恢复系统
[1] 在磁带机中，插入系统恢复带
[2] Boot 系统
[3] 中断Boot 流程，进入 Boot_admin> 提示下
[4] Boot_admin> bo 8/16.0.0
8/16.0.0: 磁带机的 hardware path
[5] 选取 ?non-interactive ?
[6] 等待系统恢复完毕
－－－－－交互式恢复系统
[1] 在磁带机中，插入系统恢复带
[2] Boot 系统
[3] 中断Boot 流程，进入 Boot_admin> 提示下
[4] Boot_admin> bo 8/16.0.0
8/16.0.0: 磁带机的 hardware path
[5] 不选取 ?non-interactive ?[6] 选取
a. [ Install HP-UX ]
b. [ ] Advanced Installation
c. 配置或改变如下选项：
disks, file systems,
hostname, IP ddress,
timezone, root password,
DNS server, and gateway

[7] 选取 [install continue?]，直到系统恢复完毕

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

62、如何更改HP的console终端的终端类型
A、进入缺省配置状态下面
现在关闭console的电源
control + d
然后在左手不松动的情况下打开电源
知道出现了提示说“已经进入了缺省的设置”，就放开左手，然后再打回车便可以进入缺省模式下面；

B、进入configuration状态
先按住F8
再按住F10
然后用space空格键来进行选择修改，一般将终端类型选择为HP，但是也有时候选择vt100
修改之后按Esc退出键来进行保存退出，便可以了；

63、console其它各个参数的修改

如果将我们诊断用户的故障电话进行分类，其中相当一部分的问题是出在Console的设置上。
通常的现象是Console上没有系统显示，或是键盘被锁住等。用户往往认为是主机的问题，
其实不然。下面我们简单介绍一下：
小型机控制台能正常运行的缺省配置是:
REMOTE MODE      ON(带* 号)
MEMORY LOCK     OFF(不带*号)
LINE MODIFY         OFF(不带*号)
MODIFY ALL          OFF(不带*号)
BLOCK MODE         OFF(不带*号)
查看上述配置的方法，如下：
在小型机控制台的键盘上方有一排功能键F1－F8，在功能键F4与F5之间有Menu和User System两个键。
当要查看小型机控制台的参数配置时，首先按User System键，这时在小型机控制台屏幕的最下面一
行显示出8个高亮度的方块，每个方块从左到右分别对应功能键F1到F8；
再按功能键F4，表示选择Modes，依然是8个亮方块，但是方块上的文字改变了。依照上述5个参数的
名称检查相应的方块，看是否正确地配置了。如果没有，按与方块对应的功能键进行改变，直到所有
参数正确地配置好。最后按Menu键退出。
此外，这里介绍一种快速解决Console故障的方法：

1）关闭Console电源
2）摁住CTL+D键，开Console电源，直到听到"笛"声，松开按键。
3）稍等片刻，在屏幕左下角将出现"Default configs used, Press enter clear"字样，按enter后一切恢复正常。
4）如果F4键位置的Remote Mode没有*号，摁F4加上*
以上做法实质上是为了恢复 Console缺省设置。

64、忘记了HP的口令该怎么办？
重启动机器到维护模式下面，更改后将模式再进入多用户模式就ok了：
1）重启，自检完成后，出现这一行“To discontinue , press any key in 10 seconds",
这个时候按任意，系统终止启动，进入Main Menu”
2）键入“bo”，在系统询问“Interact with IPL（Y/N？）？”时，输入“y”。
3）在提示符ISL>之后，输入"hpux - is ",系统进入单用户状态（即维护模式）
4)用passwd 更改口令
5）切换到多用户状态，用命令init 3,系统回复正常

65、HP：磁盘管理软件LOGIC VOLUMN MANAGER ，简称LVM，
它的修改卷组的用户和读写权限是用hpux 中的chown 和chmod来实现的。
补充：
初始化物理磁盘：pvcreate -f /dev/rdsk/c1t1d0
创建卷组：mkdir /dev/vglock
         mknod /dev/vglock/group c 64 0x0001
         vgcreate /dev/vglock   /dev/dsk/c1t1d0
查看卷组激活信息：vgdisplay /dev/vglock
激活卷组：vgchange -a -y /dev/vglock   (用vgchange -c   -y /dev/vglock来强制激活 )
去激活卷组：vgchange -a n /dev/vglock (用vgchange -c n /dev/vglock来强制去激活)
创建逻辑卷：lvcreate -L 500 -n lv_root /dev/vglock (-L是指定大小，单位 M)
           lvcreate -l 250 /dev/vglock (-l 是指页数，页单位4M)
创建文件系统：newfs -F hfs /dev/vglock/rlv_root
             mkdir     /informix
             mount   /dev/vglock/lv_root      /informix
扩展逻辑卷：lvextend -l 50 /dev/vglock/lv_root   (单位是页，页的大小再创建
           卷组时已经确定，不可以再更改，一般缺省为4M，所以是200M。)
           或者
           lvextend -L 200 /dev/vglock/lv_informix (这是带大写的L参数，表示
           是以M为单位来分配的大小的。)
扩展文件系统：umount /informix
             extendfs    /dev/vglock/lv_root
             (如果是vxfs文件系统，则用
             extendfs -F vxfs /dev/vg00/lvol4)
             mount /dev/vglock/lv_root /informix

导出逻辑卷组：vgexport   -p   -v   -m    /tmp/lock.map   /dev/vglock
             (将vglock逻辑卷组的信息导出)

删除逻辑卷组：vgexport -v -m /tmp/lock.map /dev/vglock （删除逻辑卷组vglock）

             将该逻辑卷组导入导另外一套小型机上：
             rcp      scpn1:/tmp/lock.map scpn2:/tmp/lock.map
             在节点scpn2中，创建锁盘卷组目录名（取和scpn1节点相同的目录名）
             命令：# mkdir   /dev/vglock
             在scpn2节点上，为锁盘创建一控制文件名group
             命令：# mknod /dev/vglock/group c 64 0x0001
             最后一个参数oxhh0000应保证在scpn2节点中是唯一的，可能的话，
             其参数设置和scpn1节点相同。为保证唯一性，可以如下命令检查已存在的卷组：
             在scpn2节点上，将锁盘配置从文件映射回系统
             命令：# vgimport -s -m /tmp/lock.map /dev/vglock

66、用 fbackup & frecover灵活的备份所有mounted文件系统或者指定某个文件系统，
也可以用来恢复整个文件系统，也可以灵活的恢复某个指定的文件系统，比make_recovery -Av
要灵活一些，而且这两个命令恢复只需要在单用户模式下，而make_recovery这个命令要
重新用磁带启动来恢复整个rootdg.

备注：与make_recovery的区别
make_recovery主要是备份rootdg的内容，用户恢复操作系统的；
fbackup & frecover主要是用来备份所有的逻辑卷组中所有的mounted文件系统文件；
A、系统备份命令： fbackup

1) fbackup的常用方式一：
[1] 进入单用户：
# init -s   或
# shutdown 0
[2] 系统全备份
# fbackup -f /dev/rmt/0m -0iv / -I /tmp/sysbk.index
-f : 设备文件名 ( such as DDS tape driver)
-i : 要包含的目录
-e: 不包含的目录
- I: 备份内容检索目录
- v: 备份内容详细列表
- 0 : 零级备份
# fbackup -f /dev/rmt/0m -i /   -e   /home
备份除了目录 /home的所有目录
[3] 说明
a、该命令方式对系统当前mounted的文件系统进行备份
b、备份级别说明
备份级别有0～9个级别，如果当前系统采用零级备份，当下一次采用5级备份时，系统仅将会对有变化的文件进行备份。
2) fbackup的常用方式二：
〖1〗 # mkdir -p /tmp/fbackupfiles/index
# mkdir -p /tmp/fbackupfiles/log
〖2〗 # touch/tmp/fbackupfiles/index/full.`date'+%y%m%d.%H:%M'`
〖3〗进入单用户
# shutdown -y 0
〖4〗对系统进行全备份
# fbackup -0vi / -f /dev/rmt/0m \
-I /tmp/fbackupfiles/index/full.`date '+%y%m%d.%H:%M'` \
2 > /tmp/fbackupfiles/log/ full.`date '+%y%m%d.%H:%M'`
〖5〗说明
通过该方式可以知道系统备份需要的时间
3) fbackup的常用方式三：
〖1〗进入单用户
# shutdown -y 0
〖2〗对系统进行全备份
# fbackup -0uv / -f /dev/rmt/0m \
-g /tmp/fbackupfiles/mygraph \
-I /tmp/fbackupfiles/index/full.`date '+%y%m%d.%H:%M'` \
2 > /tmp/fbackupfiles/log/ full.`date '+%y%m%d.%H:%M'`
〖3〗说明
a、文件 mygraph: 包含需要备份的目录，格式如下：
/users/data
/home/app
e /oracle/sql
b、参数 u :
当备份系统成功时，系统将更新 /var/adm/fbackupfiles/dates.
4) fbackup的常用方式四：
备份远程系统
[1] 登录在本地系统时
# remsh backup_sysname " fbackup -f DDS_sysname: /dev/rmt/0m -0vi / "
[2] 登录在远程系统时
# fbackup -f backup_sysname: /dev/rmt/0m -0vi /
5) fbackup的常用方式五：
压缩方式备份( 不建议使用、影响系统性能)
[1] 压缩方式备份
      # fbackup -0vi /dir -f - | compress | dd of=/dev/rmt/0m obs=10k
    "－" : 指向标准输出
[2] 查看备份内容
# dd if=/dev/rmt/0m ibs=10k | uncompress | frecover -I - -f -

B、系统恢复命令： frecover
1) 恢复磁带机上所有内容：
[1] 进入单用户:
# init -s or shutdown 0
[2] 恢复数据
# frecover -rf /dev/rmt/0m
恢复磁带上的所有数据
-f: 设备文件名
-r: 恢复磁带上的所有数据
-I: 将磁带上文件索引存到指定的文件中
# frecover -I /tmp/index.txt -f /dev/rmt/0m
2) 恢复某一目录：
# frecover -xi /directory
# frecover -x -i /dir1 -i /dir2
# frecover -xoi /dir
-o: 覆盖/dir下已有的、相同名称的文件
# frecover -xvXi /dir
-X: 按磁带上目录恢复数据
# cd /tmp/local; frecover -xvYi /dir
-Y: 按磁带上文件名恢复数据
例如：
# cd /tmp/local
# frecover -xvF -i /home/filename
[恢复结果] /tmp/local/filename 不是 /home/filename
3) 从远程磁带机上恢复数据到本地：
# frecover -xi /dir -f remote_name : /dev/rmt/0m
4) 从本地磁带机上恢复数据到远地系统：
# remsh remote_name "frecover -xi /dir -f local_name:
/dev/rmt/0m"

67、修改HP双机系统启动特性
HP机及SUN机型通常采用下述两种办法：HP机型：
修改配置文件：/etc/rc.config.d/cmcluster将其设为如下内容：
AUTOSTART_CMCLD=1。

SCP 双机系统在主机启动时，不允许自动启动CLUSTER和其上的PKG，需要编辑
/etc/rc.config.d/cmcluster文件，使：
AUTOSTART_CMCLD=0

68、HP双机配置时，节点访问权限的配置
访问权限设置
在进行CLUSTER和PKG配置之前，要配置或修改访问安全文件，使每个节点有访问另一个节点的权限。
权限设置如下：
以root用户权限编辑（或创建）位于/etc/cmcluster目录下的cmclnodelist文件，使其包含如下内容：
scp1   root
scp2            root
scp1            tellin
scp2            tellin
.rhosts
以root用户权限编辑根（/）目录下的.rhosts文件，使其包含如下内容：
scp1   root
scp2            root
scp1            tellin
scp2            tellin
hosts.equiv
添加如下内容：
scp1   root
scp2            root
scp1            tellin
scp2            tellin

69、HP小型机中内存与cpu的关系
一个cpu一般最多配置0.5G的内存，两个cpu配置1G的内存。

70、swapinfo查看交换区的使用情况，以及交换区的大小
scp1:/hptmp #swapinfo
            Kb      Kb      Kb   PCT START/      Kb
TYPE      AVAIL    USED    FREE USED   LIMIT RESERVE PRI NAME
dev     1048576       0 1048576    0%       0       -    1 /dev/vg00/lvol2
reserve       - 792332 -792332
memory   781512 318032 463480   41%

71、HP硬件收集工具的使用（适合于HP11。0版本和HP10。0版本）

信息收集工具Info_col.xx和LVMcollect.xx使用方法：

a．在需要进行收集的主机上建立一个目录：
# mkdir /tmp/hpce

b．将收集工具info_col.xx和LVMcollect.xx传到需要进行收集的主机上的/tmp/hpce目录下：
如果主机使用的OS是10.xx，则使用info_col.10和LVMcollect.10的脚本;如果主机使用的OS是11.xx，
则使用info_col.11和LVMcollect.11的脚本。
可以使用ftp的方式（使用asc方式传送）传到主机，也可以使用磁带tar到主机。

c．修改info_col.xx和LVMcollect.xx的执行权限。
# chmod 744 info_col.xx
# chmod 744 LVMcollect.xx

d．运行相应版本的info_col.xx进行信息收集工作。
对操作系统为10.xx的主机：
# cd /tmp/hpce
# sh ./info_col.10
对操作系统为11.xx的主机：
# cd /tmp/hpce
# sh ./info_col.11

e．系统提示输入相应的信息
输入操作者姓名
输入操作者员工号（可输入6个0）
输入产品型号（在主机贴的标签上可以找到--"机器型号项"）
输入产品序列号（在主机贴的标签上可以找到--"序列号项"）
（注意：序列号一定要输入准确，请仔细核对）
确认输入的内容（选择"y"，系统开始自动进行信息收集）

f．等待自动收集程序运行结束，系统会在收集脚本执行的目录下（
通常为/tmp/hpce目录）生成一个ascii文件，文件名为"<序列号>.txt"，此文件就是最后收集到的信
息文件。将此文件保存并传回即完成信息收集工作。

(备注：其实shell程序中使用的都是一系列的命令，如：ioscan -fn;mstm；sam等)

72、umask如何设置
当最初登录到系统中时， u m a s k命令确定了你创建文件的缺省模式。这一命令实际上和
c h m o d命令正好相反。你的系统管理员必须要为你设置一个合理的u m a s k值，以确保你创建的
文件具有所希望的缺省权限，防止其他非同组用户对你的文件具有写权限。
在已经登录之后，可以按照个人的偏好使用u m a s k命令来改变文件创建的缺省权限。相应
的改变直到退出该s h e l l或使用另外的u m a s k命令之前一直有效。
一般来说，u m a s k命令是在/ e t c / p r o f i l e文件中设置的，每个用户在登录时都会引用这个文
件，所以如果希望改变所有用户的u m a s k，可以在该文件中加入相应的条目。如果希望永久性
地设置自己的u m a s k值，那么就把它放在自己$ H O M E目录下的. p r o f i l e或. b a s h _ p r o f i l e文件中。

如何计算umask值
u m a s k命令允许你设定文件创建时的缺省模式，对应每一类用户(文件属主、同组用户、
其他用户)存在一个相应的u m a s k值中的数字。对于文件来说，这一数字的最大值分别是6。系
统不允许你在创建一个文本文件时就赋予它执行权限，必须在创建后用c h m o d命令增加这一
权限。目录则允许设置执行权限，这样针对目录来说， u m a s k中各个数字最大可以到7。
该命令的一般形式为：
umask nnn
其中n n n为u m a s k置0 0 0 - 7 7 7。
让我们来看一些例子。
计算出你的u m a s k值：
可以有几种计算u m a s k值的方法，通过设置u m a s k值，可以为新创建的文件和目录设置缺
省权限。表1 - 8列出了与权限位相对应的u m a s k值。
在计算u m a s k值时，可以针对各类用户分别在这张表中按照所需要的文件/目录创建缺省
权限查找对应的u m a s k值。
例如，u m a s k值002 所对应的文件和目录创建缺省权限分别为6 6 4和7 7 5。
还有另外一种计算u m a s k值的方法。我们只要记住u m a s k是从权限中“拿走”相应的位即
下载
表1-8 umask值与权限
u m a s k 文件目录
0 6 7
1 6 6
2 4 5
3 4 4
4 2 3
5 2 2
6 0 1
7 0 0
例如，对于u m a s k值0 0 2，相应的文件和目录缺省创建权限是什么呢？
第一步，我们首先写下具有全部权限的模式，即7 7 7 (所有用户都具有读、写和执行权限)。
第二步，在下面一行按照u m a s k值写下相应的位，在本例中是0 0 2。
第三步，在接下来的一行中记下上面两行中没有匹配的位。这就是目录的缺省创建权限。
稍加练习就能够记住这种方法。
第四步，对于文件来说，在创建时不能具有执行权限，只要拿掉相应的执行权限比特即
可。
这就是上面的例子，其中u m a s k值为0 0 2：
1) 文件的最大权限rwx rwx rwx (777)
2) umask值为0 0 2 - - - - - - -w-
3) 目录权限rwx rwx r-x (775) 这就是目录创建缺省权限
4) 文件权限rw- rw- r-- (664) 这就是文件创建缺省权限
下面是另外一个例子，假设这次u m a s k值为0 2 2：
1) 文件的最大权限rwx rwx rwx (777)
2 ) u m a s k值为0 2 2 - - - -w- -w-
3) 目录权限rwx r-x r-x (755) 这就是目录创建缺省权限
4) 文件权限rw- r-- r-- (644) 这就是文件创建缺省权限

常用的umask值
表1 - 9列出了一些u m a s k值及它们所对应的目录和文件权限。
表1-9 常用的u m a s k值及对应的文件和目录权限
u m a s k值目录文件
022 755 644
027 750 640
002 775 664
006 771 660
007 770 660
如果想知道当前的umask 值，可以使用u m a s k命令：
第1章文件安全与权限11
下载
如果想要改变u m a s k值，只要使用u m a s k命令设置一个新的值即可：
$ umask 002
确认一下系统是否已经接受了新的u m a s k值：
在使用u m a s k命令之前一定要弄清楚到底希望具有什么样的文件/目录创建缺省权限。否
则可能会得到一些非常奇怪的结果；例如，如果将u m a s k值设置为6 0 0，那么所创建的文件/目
录的缺省权限就是0 6 6！

举例子：如何指定一个用户的umask值？

73、xargs
在使用f i n d命令的- e x e c选项处理匹配到的文件时， f i n d命令将所有匹配到的文件一起传递
给e x e c执行。不幸的是，有些系统对能够传递给e x e c的命令长度有限制，这样在f i n d命令运行
几分钟之后，就会出现溢出错误。错误信息通常是“参数列太长”或“参数列溢出”。这就是
x a rg s命令的用处所在，特别是与f i n d命令一起使用。F i n d命令把匹配到的文件传递给x a rg s命
令，而x a rg s命令每次只获取一部分文件而不是全部，不像- e x e c选项那样。这样它可以先处理
最先获取的一部分文件，然后是下一批，并如此继续下去。在有些系统中，使用- e x e c选项会
为处理每一个匹配到的文件而发起一个相应的进程，并非将匹配到的文件全部作为参数一次
执行；这样在有些情况下就会出现进程过多，系统性能下降的问题，因而效率不高；而使用
x a rg s命令则只有一个进程。另外，在使用x a rg s命令时，究竟是一次获取所有的参数，还是分
批取得参数，以及每一次获取参数的数目都会根据该命令的选项及系统内核中相应的可调参
数来确定。
让我们来看看x a rg s命令是如何同f i n d命令一起使用的，并给出一些例子。
下面的例子查找系统中的每一个普通文件，然后使用x a rg s命令来测试它们分别属于哪类
文件：
下面的例子在整个系统中查找内存信息转储文件(core dump) ，然后把结果保存到
/tmp/core.log 文件中：
$ find . -name "core" -print | xargs echo "" >/tmp/core.log
下面的例子在/ a p p s / a u d i t目录下查找所有用户具有读、写和执行权限的文件，并收回相应
的写权限：
$ find /apps/audit -perm -7 -print | xargs chmod o-w
在下面的例子中，我们用g r e p命令在所有的普通文件中搜索d e v i c e这个词：
$ find / -type f -print | xargs grep "device"
在下面的例子中，我们用g r e p命令在当前目录下的所有普通文件中搜索D B O这个词：
$ find . -name \ ＊-type f -print | xargs grep "DBO"
注意，在上面的例子中， \用来取消f i n d命令中的*在s h e l l中的特殊含义。

74、Top -s 300 -f top.txt
为了防止有时候top不能查看到所有的进程,最好是等5分钟,并且将结果文件保存到文件中,这样再从文件中来
查看结果.

ORA-28000: the account is locked-的解决办法

Fri, 02 Nov 2012 23:13:46 +0800

ORA-28000: the account is locked

第一步：使用PL/SQL，登录名为system,数据库名称不变，选择类型的时候把Normal修改为Sysdba;
第二步：选择myjob,查看users;
第三步：选择system,右击点击“编辑”；
第四步：修改密码，把“帐户被锁住”的勾去掉；
第五步：点击“应用”再点击“关闭”；
第六步：重新登录就可以通过验证了；
第二种
ALTER USER username ACCOUNT UNLOCK;

第三种

在plsql developer中要是以scott/tiger登录时提示ora-28000 the account is locked。

解决办法：

新装完Oracle10g后，用scott/tiger测试，会出现以下错误提示：
oracle10g the account is locked
oracle10g the password has expired
原因：默认Oracle10g的scott不能登陆。
解决：
（1）conn sys/sys as sysdba; //以DBA的身份登录
（2）alter user scott account unlock;// 然后解锁
（3）conn scott/tiger //弹出一个修改密码的对话框，修改一下密码就可以了

在运行里面输入cmd在DOS模式下输入sqlplus，以system用户名登录，密码是刚装oracle时自己填写的密码orcl，登录进去以后。

SQL> conn sys/sys as sysdba; （分号是必须的但是我是以system登录的所在这不应该写conn sys/sys as sysdba应该写conn system/orcl as sysdba;）
Connected.
SQL> alter user scott account unlock;
User altered.
SQL> commit;
Commit complete.
SQL> conn scott/tiger//请输入新密码，并确认后OK
Password changed
Connected.

这时再到plsql developer里面以scott/tiger登录就可以了。。。。。

偶在数据库的问题处理过程中遇到了ORA-28000:the account is locked的错误，现将详细的处理情况介绍如下供大家参考：

1. 查询failed_login_attempts参数默认值：
Oracle10g(备注：9i环境中此参数的值为unlimited)

SQL>conn /as sysdba

Connected.

SQL> desc dba_profiles;
名称是否为空? 类型
----------------------------------------- -------- --------------

PROFILE NOT NULL VARCHAR2(30)
RESOURCE_NAME NOT NULL VARCHAR2(32)
RESOURCE_TYPE VARCHAR2(8)
LIMIT VARCHAR2(40)

SQL> select resource_name,limit from dba_profiles where resource_name='FAILED_LOGIN_ATTEMPTS';

RESOURCE_NAME LIMIT
-------------------------------- ----------------------------------------
FAILED_LOGIN_ATTEMPTS 10

2. 模拟账户被锁现象
(为方便模拟lock现象，修改default profile failed_login_attempts=3 )
a.修改参数failed_login_attempts=3

SQL> conn /as sysdba
已连接。
SQL> alter profile default limit failed_login_attempts 3;

配置文件已更改

SQL> select resource_name,limit from dba_profiles where resource_name='FAILED_LOGIN_ATTEMPTS';

RESOURCE_NAME LIMIT
-------------------------------- ----------------------------------------
FAILED_LOGIN_ATTEMPTS 3

b.重现错误登陆
正确登陆

SQL> conn jd/jd
已连接。

第一次登录失败
SQL> conn jd/jh
ERROR:
ORA-01017: invalid username/password; logon denied

警告: 您不再连接到 ORACLE。

第二次登陆失败
SQL> conn jd/ju
ERROR:
ORA-01017: invalid username/password; logon denied

第三次登录失败

SQL> conn jd/jl
ERROR:
ORA-01017: invalid username/password; logon denied

连续三次登录失败后，账户被锁定

SQL> conn jd/jy
ERROR:
ORA-28000: the account is locked

3. 解锁

SQL> conn /as sysdba
已连接。
SQL> alter user jd account unlock;

用户已更改。

4. 解决方案
(1) 可以考虑查询应用部署中错误的password或者数据库连接等可能导致错误password的地方，彻底的查询问题所在。
(2) 修改参数failed_login_attempts=unlimited

SQL> alter profile default limit failed_login_attempts unlimited;

配置文件已更改

SQL> select resource_name,limit from dba_profiles where resource_name='FAILED_LO
GIN_ATTEMPTS';

RESOURCE_NAME LIMIT
-------------------------------- ----------------------------------------
FAILED_LOGIN_ATTEMPTS UNLIMITED

5. 扩展知识点及备注说明
(1) Q: FAILED_LOGIN_ATTEMPTS=3 3的含义是什么？是累计失败次数还是连续失败次数？
A: FAILED_LOGIN_ATTEMPTS=3的含义是从第一次登录失败开始计算，连续登陆失败的次数。而不是累计失败的次数。
试验如下：

SQL> conn /as sysdba
已连接。
SQL> alter profile default limit failed_login_attempts 3;

配置文件已更改

SQL> conn jd/jd
已连接。

第一次登录失败
SQL> conn jd/jh
ERROR:
ORA-01017: invalid username/password; logon denied

警告: 您不再连接到 ORACLE。

第二次登陆失败
SQL> conn jd/gh
ERROR:
ORA-01017: invalid username/password; logon denied

登录正确

SQL> conn jd/jd
已连接。

第一次登录失败
SQL> conn jd/df
ERROR:
ORA-01017: invalid username/password; logon denied

警告: 您不再连接到 ORACLE。

第二次登陆失败
SQL> conn jd/sd
ERROR:
ORA-01017: invalid username/password; logon denied

第三次登录失败

SQL> conn jd/fg
ERROR:
ORA-01017: invalid username/password; logon denied

三次登录失败之后，用户被锁定

SQL> conn jd/hj
ERROR:
ORA-28000: the account is locked

(2) Q: 如何从数据库中查询当前FAILED_LOGIN_ATTEMPTS的值？dba_profiles是限额，并不代表当前值，如果查询当前失败的值怎么查？
A: select NAME,LCOUNT from user$，user$为view dba_users的基表，通常可以查询一下试图对应的基表，oracle可能会隐藏一些参数。