# 一、介绍
iptables是Linux系统中基于Netfilter框架的用户空间防火墙工具，通过四表（filter、nat、mangle、raw）和五链（INPUT、FORWARD、OUTPUT等）架构实现数据包过滤、网络地址转换（NAT）及流量控制功能
1。其规则配置包括匹配条件（如协议、端口）和处理动作（ACCEPT/DROP/REJECT），支持SNAT/DNAT转换及连接状态跟踪.常用命令如iptables -L查看规则，service iptables save持久化配置。在RHEL/CentOS等系统中，可通过iptables-services包管理防火墙服务。

# 二、常用命令

```js
清空所有规则链：iptables -F
重置计数器：iptables -Z
删除自定义链：iptables -X
查看规则（数字格式）：iptables -L -n -v
```

```js
允许所有IP访问特定端口：
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

允许特定IP访问22端口：
iptables -A INPUT -p tcp -s 192.168.1.100 --dport 22 -j ACCEPT

允许特定IP段访问：
iptables -A INPUT -s 192.168.5.0/24 -j ACCEPT

拒绝IP段：
iptables -A INPUT -s 192.168.10.0/24 -j DROP

拒绝所有的IP访问该端口
iptables -A INPUT -p tcp --dport [端口号] -j DROP 

# 拒绝单个IP访问所有端口‌
iptables -A INPUT -s [IP地址] -j DROP

# 拒绝IP访问特定端口‌
iptables -A INPUT -p tcp -s [IP地址] --dport [端口号] -j DROP  
```


```js
NAT与转发
端口转发：iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080
源地址转换：iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

高级功能
连接数限制：iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 10 -j REJECT
时间规则：iptables -A INPUT -p tcp -m time --timestart 9:00 --timestop 18:00 -j ACCEPT
```
# 三、规则匹配逻辑

```js
[规则1] 拒绝IP段 → [规则2] 允许特定IP → [规则3] 默认DROP
```
即使规则1是拒绝（DROP），规则2是允许（ACCEPT），只要规则2在规则1之后添加，规则2仍可能被匹配‌。
一旦匹配成功并执行动作（如ACCEPT/DROP），后续规则将不再处理‌。

使用-n --line-numbers查看规则编号，通过-I调整顺序：
```js
iptables -L -n --line-numbers  # 显示规则编号
iptables -I INPUT 2 -s 192.168.1.100 -j ACCEPT  # 插入到第2位
```


12.iptables

# 一、介绍
Node Exporter 是 Prometheus 生态系统中用于采集类 Unix 系统（如 Linux）硬件和操作系统指标的核心组件‌
1
2。它通过暴露 HTTP 接口（默认端口 9100）提供系统级监控数据，包括 CPU、内存、磁盘、网络等指标，供 Prometheus Server 主动抓取‌

# 二、在你要采集的机器安装node_exporter
把下载好的node_exporter上传到服务器
然后解压

```js
tar -zxvf node_exporter-1.9.1.linux-amd64.tar.gz
```
![](https://songxuan.vip/static/img/28aaba12e29212a650766c0118ffd8e4.image.webp)
然后进入目录，后台运行

```js
./node_exporter &
```

# 三、然后去Prometheus服务器更改yml配置文件
```yml
# 全局配置
global:
  # 数据抓取间隔（默认1分钟）
  scrape_interval: 15s
  # 告警规则评估频率（建议与抓取间隔一致）
  evaluation_interval: 15s
  # 抓取超时时间（默认10秒）

# 告警配置
alerting:
  alertmanagers:
    - static_configs:
        - targets:
          # 启用Alertmanager时需配置实际地址
          # - alertmanager:9093

# 规则文件配置
rule_files:
  # 告警规则文件路径（支持通配符）
  # - 'alert_rules/*.rules'
  # 记录规则文件路径
  # - 'recording_rules/*.rules'

# 监控目标配置
scrape_configs:
  # Prometheus自监控任务
  - job_name: "prometheus-server"  # 修改了名称避免冲突
    # 监控目标（默认暴露在9090端口）
    static_configs:
      - targets: ["192.168.201.110:9090"]
        # 自定义标签（用于维度筛选）
        labels:
          app: "prometheus"
          env: "production"
  
  # 节点监控任务（使用node_exporter）
  - job_name: "songxuan-exporter"  # 改为新名称
    # 监控目标（默认暴露在9100端口）
    static_configs:
      - targets: ["192.168.201.110:9100"]
        # 自定义标签（用于维度筛选）
        labels:
          app: "node_exporter"  # 改为匹配监控对象
          env: "production"        
```
修改好后重启服务，再查看普罗米修斯


![image.png](/static/img/af08577635bf3a0ef7b1dcf3b5a9d434.image.webp)

# 四、以上是静态方式，可以采用动态方式更方便修改添加


```js
# 全局配置
global:
  # 数据抓取间隔（默认1分钟）
  scrape_interval: 15s
  # 告警规则评估频率（建议与抓取间隔一致）
  evaluation_interval: 15s
  # 抓取超时时间（默认10秒）

# 告警配置
alerting:
  alertmanagers:
    - static_configs:
        - targets:
          # 启用Alertmanager时需配置实际地址
          # - alertmanager:9093

# 规则文件配置
rule_files:
  # 告警规则文件路径（支持通配符）
  # - 'alert_rules/*.rules'
  # 记录规则文件路径
  # - 'recording_rules/*.rules'

# 监控目标配置
scrape_configs:
  - job_name: "prometheus-server"
    file_sd_configs:
      - files:
          - /server/prometheus/node_exporter.yml
        refresh_interval: 5s
```

vi /server/prometheus/node_exporter.yml
```js
[
	{
"targets":["192.168.201.110:9100","192.168.201.110:9090"]
	}
]

```
最后重启普罗米修斯。

![image.png](/static/img/9a51ead0211f93f3db6b582c52c4edd9.image.webp)

3.node_exporter

# 一、基本使用

```js
go_memstats_other_sys_bytes
```
可以通过表的方式进行筛选查询
![image.png](/static/img/e981ee4df07a7c78719fb183fef8c756.image.webp)

![image.png](/static/img/6435cac1c2986fa42053ed77f55ed33b.image.webp)

# 二、命令
查看帮助命令
```js
/server/prometheus/prometheus-3.5.0.linux-amd64/prometheus -h
```

指定当前目录下的配置文件启动
```js
/server/prometheus/prometheus-3.5.0.linux-amd64/prometheus --config.file="prometheus.yml"
```
允许IP访问，如果要允许特定IP访问修改前面的IP
```js
/server/prometheus/prometheus-3.5.0.linux-amd64/prometheus --web.listen-address=0.0.0.0:9090
```

限制最大的并发连接数量
```js
/server/prometheus/prometheus-3.5.0.linux-amd64/prometheus --web.max-connections=512
```

指定数据库存放的目录
```js
/server/prometheus/prometheus-3.5.0.linux-amd64/prometheus--storage.tsdb.path="data/"
```
日志级别
```js
/server/prometheus/prometheus-3.5.0.linux-amd64/prometheus --log.level=info
```
日志格式
```js
/server/prometheus/prometheus-3.5.0.linux-amd64/prometheus --log.format=logfmt
```
一般使用命令，可写入/etc/rc.local开机自启

```js
/server/prometheus/prometheus-3.5.0.linux-amd64/prometheus --config.file="/server/prometheus/prometheus-3.5.0.linux-amd64/prometheus.yml" --web.listen-address=0.0.0.0:9090  --web.max-connections=512 &>>/server/prometheus/prometheus-3.5.0.linux-amd64/prometheus.log &
```
# 三、systemctl服务管理

```js
vi /etc/systemd/system/prometheus.service
```
```js
[Unit]
Description=Prometheus Monitoring System
Documentation=https://prometheus.io/docs/introduction/overview/
After=network.target

[Service]
ExecStart=/server/prometheus/prometheus-3.5.0.linux-amd64/prometheus \
  --config.file=/server/prometheus/prometheus-3.5.0.linux-amd64/prometheus.yml \
  --web.listen-address=0.0.0.0:9090 \
  --web.max-connections=512
Restart=on-failure
RestartSec=30s
LimitNOFILE=65536
StandardOutput=syslog
StandardError=syslog
SyslogIdentifier=prometheus

[Install]
WantedBy=multi-user.target
```


```js
#授权
chmod 777 /etc/systemd/system/prometheus.service

#重载服务
sudo systemctl daemon-reload

#开机自启
sudo systemctl enable prometheus

#查看状态
systemctl status prometheus.service

#实时查看日志
journalctl -u prometheus -f
```

# 四、yml文件解释

```yml
# 全局配置
global:
  # 数据抓取间隔（默认1分钟）
  scrape_interval: 15s
  # 告警规则评估频率（建议与抓取间隔一致）
  evaluation_interval: 15s
  # 抓取超时时间（默认10秒）

# 告警配置
alerting:
  alertmanagers:
    - static_configs:
        - targets:
          # 启用Alertmanager时需配置实际地址
          # - alertmanager:9093

# 规则文件配置
rule_files:
  # 告警规则文件路径（支持通配符）
  # - 'alert_rules/*.rules'
  # 记录规则文件路径
  # - 'recording_rules/*.rules'

# 监控目标配置
scrape_configs:
  # Prometheus自监控任务
  - job_name: "prometheus"
    # 监控目标（默认暴露在9090端口）
    static_configs:
      - targets: ["localhost:9090"]
        # 自定义标签（用于维度筛选）
        labels:
          app: "prometheus"
          env: "production"
```

2.Prometheus使用

# 一、环境准备
## 1.准备两台服务器，一台用于安装Prometheus用于数据的采集，一台安装Grafana用于数据的展示
```js
hostnamectl set-hostname  prometeus
hostnamectl set-hostname  grafana
```

```js
cat >> /etc/hosts <<EOF
192.168.201.110 prometeus
192.168.201.111  grafana
EOF
```
## 2.同步服务器时间（很重要），因为普罗米修斯是时间数据库

```js
yum install ntpdate -t
ntpdate -u ntp.aliyun.com
timedatectl set-timezone Asia/Shanghai
```
# 二、下载安装包
下载网址：https://prometheus.io/download/

下面是长期稳定版本

![image.png](/static/img/3de5eb461ec05730698295fcd7228dbc.image.webp)

![image.png](/static/img/da6fab4b23d3d93300d8bc61346a1304.image.webp)

在Prometheus服务器创建一个文件目录，上传到该目录下

```js
mkdir -p /server/prometheus
```

![image.png](/static/img/9044419afd48ca108e274693b45fcfbd.image.webp)

```js
tar -zxvf prometheus-3.5.0.linux-amd64.tar.gz
```

进入目录后，prometheus是命令，prometheus.yml是配置文件，两个最核心的东西。
![image.png](/static/img/cd99da7956a68c58d470c52afc07d8c9.image.webp)


查看当前版本
```js
/server/prometheus/prometheus-3.5.0.linux-amd64/prometheus  --version
```

![image.png](/static/img/35ba9abcdf714c5650a2efbfe570539e.image.webp)

# 启动prometeus
默认前台启动
```js
/server/prometheus/prometheus-3.5.0.linux-amd64/prometheus
```
后台启动
```js
nohup /server/prometheus/prometheus-3.5.0.linux-amd64/prometheus &>>/server/prometheus/prometheus-3.5.0.linux-amd64/prometheus.log &
```
启动后，访问默认9090端口：http://192.168.201.110:9090/query


![image.png](/static/img/6a0141ab3ebfdf0b25f3051e99fd090e.image.webp)

全局设置勾选
![image.png](/static/img/a4f9938a21b9cc1a764995776613b289.image.webp)

1.Prometheus安装

# 一、安装IngressNginxController
先到图形化界面
![image.png](/static/img/7b73a3abc6f4d01c8cf31fe516fabcce.image.webp)


![image.png](/static/img/2f6bc1541e5d17ce3c0551b0b339235b.image.webp)


![image.png](/static/img/852753362509e7ad8f8afbb9f7eb2ddd.image.webp)

![image.png](/static/img/210d082079c1e1a2d8ee5cacba3a3763.image.webp)

![image.png](/static/img/8946ba9a32cb5e78c5d260df934f8241.image.webp)


# 二、配置harbor仓库私服信息

![image.png](/static/img/8d9ef19accf0fae9092d900bac1fac4b.image.webp)

![image.png](/static/img/34a124b3fb618bd7ad5c9e58318b4256.image.webp)

然后去主节点和工作节点都加上docker配置

```js
vi /etc/docker/daemon.json
```

```js
{
    "registry-mirrors": [
        "https://docker.m.daocloud.io",
        "https://docker.1panel.live",
        "https://hub.rat.dev"
    ],
   "insecure-registries":["192.168.201.107:80"]
}

```
然后重启docker，测试是否能登录,记住测试登录加端口，不然docker默认是https协议就是443


# 三、先准备部署到k8s的yml文件

```yml
apiVersion: v1
kind: Namespace
metadata:
  name: test1test
  labels:
    app: test1test
```

pipeline.yml
```yml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: test1test
  namespace: test1test
  labels:
    app: test1test
spec:
  replicas: 2
  selector:
    matchLabels:
      app: test1test
  template:
    metadata:
      labels:
        app: test1test
    spec:
      containers:
        - name: test1test
          image: 192.168.201.107:80/mytest1test/mytest1test:V8.0.2
          imagePullPolicy: Always
          ports:
            - containerPort: 8080
---
apiVersion: v1
kind: Service
metadata:
  name: test1test
  namespace: test1test
  labels:
    app: test1test
spec:
  selector:
    app: test1test
  ports:
    - protocol: TCP
      port: 8081
      targetPort: 8080
  type: NodePort
---
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: test1test
  namespace: test1test
  labels:
    app: test1test
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  ingressClassName: ingress
  rules:
    - host: songxuan.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: test1test
                port:
                  number: 8081
```
启动后访问ing的IP+Service暴露的32403端口进行访问测试
![image.png](/static/img/1e605f60ab35bc4b855a92bc6b544f89.image.webp)

![image.png](/static/img/221a8b238c601f59efa7127bbcf8160a.image.webp)
测试没有问题

# 四、去Jenkins整合到k8s中
在gitlab创建一个pipeline.yml文件，把上面的yml文件沾上去

![image.png](/static/img/5d882a2f9954f4bfb4b49051b1910922.image.webp)
先去主节点服务器创建一个目录
```js
mkdir /songxuan
```
然后去Jenkins全局配置新增一个远程连接到k8s服务器的配置


![image.png](/static/img/840d62065a5e5c195ff979dec3cf4560.image.webp)

然后生成语法

![image.png](/static/img/08a439800342e1425fb82aa926122fda.image.webp)

```js
sshPublisher(publishers: [sshPublisherDesc(configName: 'K8S', transfers: [sshTransfer(cleanRemote: false, excludes: '', execCommand: '', execTimeout: 120000, flatten: false, makeEmptyDirs: false, noDefaultExcludes: false, patternSeparator: '[, ]+', remoteDirectory: '', remoteDirectorySDF: false, removePrefix: '', sourceFiles: 'pipeline.yml')], usePromotionTimestamp: false, useWorkspaceInPromotion: false, verbose: false)])
```

在gitlab更改Jenkinsfile文件，把之前的第6步替换掉
![image.png](/static/img/aa25e30f1af1adb2078e1d8859fb66e2.image.webp)


然后进入Jenkins容器内部配置免密登录
如果没有~/.ssh目录下没有东西或没目录，用以下命令重新生成一下
```js
# 强制创建.ssh目录并设置权限
mkdir -p ~/.ssh
chmod 700 ~/.ssh

# 生成RSA密钥对（无密码）
ssh-keygen -t rsa -b 4096 -f ~/.ssh/id_rsa -N ""

# 设置密钥权限
chmod 600 ~/.ssh/id_rsa
chmod 644 ~/.ssh/id_rsa.pub

# 将公钥追加到authorized_keys
cat ~/.ssh/id_rsa.pub >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys
```
把Jenkins内部容器的公钥给到master节点
```js
$ cat id_rsa.pub
ssh-rsa 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 jenkins@5ca614ac051b
```
把Jenkins的公钥放到master节点的~/.ssh/authorized_keys里面

```js
vi ~/.ssh/authorized_keys
```

![image.png](/static/img/7cefdafdd8eedaf7e9279a361a62bcf4.image.webp)

然后测试免密是否成功，在Jenkins容器内部执行ssh命令

![image.png](/static/img/2ba284f1250e5c5d368c86ed2841b4ee.image.webp)

最后去Jenkins生成语法

![image.png](/static/img/83cbc4e315f4010f0f3d81c3f19bb32c.image.webp)

```js
sh 'ssh root@192.168.201.108  kubectl apply -f /songxuan/pipeline.yml'
```
然后去gitlab的Jenkins文件再加一条
![image.png](/static/img/550a6c8ccccb1df3943fd96d9effaa15.image.webp)


```js
pipeline {
    agent any
    
    stages {
        stage('1.拉取git仓库代码') {
            steps {
                checkout scmGit(branches: [[name: '${tag}']], extensions: [], userRemoteConfigs: [[credentialsId: '41ccb3f5-d95e-4f7c-94cd-8af30c885e0d', url: 'http://192.168.201.105:8929/root/mytest1.git']])
            }
        }
        
        stage('2.通过Maven构建项目') {
            steps {
                sh '/var/jenkins_home/maven/bin/mvn  clean package -DskipTests'
            }
        }
        
        stage('3.质量代码检测') {
            steps {
                sh '/var/jenkins_home/sonar-scanner-4.8.0.2856-linux/bin/sonar-scanner  -Dsonar.sources=./  -Dsonar.projectname=${JOB_NAME}  -Dsonar.projectKey=${JOB_NAME}   -Dsonar.java.binaries=./target/  -Dsonar.login=178e1842a7318cabd37749b7f2f5a5b88a5fb997'            
                }
        }
        
        stage('4.Docker制作镜像') {
            steps {
                sh '''cp -rf  ./target/*.jar ./docker/
docker build -t ${JOB_NAME}:${tag} ./docker/'''
            }
        }
        
        stage('5.自定义镜像推送Harbor') {
            steps {
               sh '''docker login 192.168.201.107:80 -u admin -p 123456
docker tag ${JOB_NAME}:${tag} 192.168.201.107:80/${JOB_NAME}/${JOB_NAME}:${tag}
docker push  192.168.201.107:80/${JOB_NAME}/${JOB_NAME}:${tag}'''
            }
        }
        
        stage('6.将yml文件传到k8smaster节点上') {
            steps {
                sshPublisher(publishers: [sshPublisherDesc(configName: 'K8S', transfers: [sshTransfer(cleanRemote: false, excludes: '', execCommand: '', execTimeout: 120000, flatten: false, makeEmptyDirs: false, noDefaultExcludes: false, patternSeparator: '[, ]+', remoteDirectory: '', remoteDirectorySDF: false, removePrefix: '', sourceFiles: 'pipeline.yml')], usePromotionTimestamp: false, useWorkspaceInPromotion: false, verbose: false)])
            }
        }
        stage('7.执行kubectl apply命令把k8s部署起来') {
            steps {
                sh 'ssh root@192.168.201.108  kubectl apply -f /songxuan/pipeline.yml'
            }
        }		
    }




post {
    success {
        dingtalk (
            robot: 'jenkins-dingding',
            type: 'MARKDOWN',
            title: "构建成功: ${env.JOB_NAME}",
            text: [
                "### 项目: ${env.JOB_NAME}",
                "### 版本: ${tag}",
                "### 构建结果: SUCCESS",
                "### 持续时间: ${currentBuild.durationString}"
                
                
            ],
            at: []
        )
    }
    failure {
        dingtalk (
            robot: 'jenkins-dingding',
            type: 'MARKDOWN',
            title: "构建失败: ${env.JOB_NAME}",
            text: [
                "### 项目: ${env.JOB_NAME}",
                "### 版本: ${tag}",
                "### 构建结果: FAILURE",
                "### 持续时间: ${currentBuild.durationString}",               
                "**失败原因:**",
                "${currentBuild.currentResult}"
            ],
            atAll: true
        )
    }
}


} 
```

最后去Jenkins执行任务
