系统服务_too many clients, refusing connections to '/var/ru

在 Linux 中，有某些进程在系统启动时就开始在后台运行， 除非程序出现异
常或者被人为终止， 这些进程将一直运行， 直到关机才结束。 这些特殊后台进程
对系统和用户来说非常重要， 甚至是不可或缺的。 原因就在于这些进程都是一些
不中断的，随时接受请求的，为用户和系统提供某项特定功能的后台进程。
这些后台进程就被称为守护进程（ daemons ）， 正式地说，守护进程就是运行
在后台的一种特殊进程。它独立于控制终端并且周期性地执行某种任务或等待处
理某些发生的事件。它不需要用户输入就能运行而且为系统或者用户提供某种服
务（ services ）。
我们举两个例子来说明好了： 比如 Linux 上的 web 服务器 Apache 的守护
进程进程叫做 httpd ， 启动以后会在后台监听 80 端口，当接收到客户端的请求的
时候用相应的网页（文件）响应客户端；又比如 Linux 上的计划任务守护进程叫
做 crond ，启动以后每分钟都会去读取 /etc/crontab 配置文件来检查是否有计划
任务需要执行。
守护进程一般在系统启动时开始运行，除非强行终止，否则直到系统关机都
保持运行。守护进程经常以超级用户（ root ）权限运行，因为它们要使用特殊的
端口（ 1-1024 ）或访问某些特殊的资源。守护进程是非交互式程序，没有控制终
端，所以任何输出，无论是向标准输出设备 stdout 还是标准出错设备 stderr 的
输出都需要特殊处理。
1. 服务类型
Linux 下的守护进程按照服务类型可以分为两类。一类是系统守护进程，为
系统提供某种重要的功能， 如 atd 、 cron 、 lpd 、 syslogd 、 login 等。 另一类是网
络守护进程，向用户提供某种网络服务， 如 sshd 、 httpd 、 sendmail 、 xinetd 等。
Linux 中几乎所有的网络服务器就是通过守护进程实现的。
Linux 守护进程的工作模式是服务器 / 客户机（ Server/Client ），服务器在一个
特定的端口上监听（ Listen ）等待客户连接，连接成功后服务器和客户端通过端
口进行数据通信。守护进程的工作就是打开一个端口，并且监听（ Listen ）等待
客户连接。如果客户端产生一个连接请求，守护进程就创建（ Fork ）一个子服务
器响应这个连接，而主服务器继续监听其他的服务请求。
2. 工作模式
Linux 下的守护进程按照工作模式也可以分为两类： 独立守护进程（ standalone daemon ） 和超级守护进程（ super daemon ）。
（ 1 ） 独立守护进程
顾名思义，所谓独立守护进程，就是该守护进程可以独立运行，守护进程常
驻内存，响应快，无服务启动时间。 所有独立运行守护进程的脚本在
/etc/rc.d/init.d/ 目录下， 由 init 脚本负责管理。
（ 2 ） 超级守护进程
对于系统所要求的每一种服务，都必须运行一个监听某个端口守护进程， 在
提供多种服务的 Linux 系统中，系统内存中同时运行二、三十种不同的守护进
程意味着资源浪费和效率的下降。为了解决这个问题， Linux 引进了“超级服务
器 (super-server) ” 或者叫“超级守护进程 (super daemon) ” 的概念。 RHEL 使
用的超级守护进程叫做 xinted （ eXtended InterNET Daemon ）。
xinted 是一个非常特殊的守护进程， xinetd 能够同时监听多个指定的端口，
在接受用户请求时，他能够根据用户请求的端口不同， 再来启动不同的网络服务
进程来处理这些用户请求。可以把 xinetd 看做一个管理守护进程的守护进程，它
决定把一个客户请求交给那个程序处理，然后启动相应的守护进程。
和 stand-alone 工作模式相比，系统不必为每一个网络服务进程监听其服务
端口，运行 xinetd 守护进程就可以同时监听所有服务端口，这样就降低了系统开
销， 有效利用系统资源。
但是对于访问量大、经常出现并发访问时， xinetd 想要频繁启动对应的网络
服务进程，反而会导致系统性能下降。一般来说系统一些负载高的服务，比如
Apache 、 sendmail 等服务是单独启动的。而其他服务类型都可以使用 xinetd 超
级服务器管理。
表 错误 ! 文档中没有指定样式的文字。 -1 Linux 守护进程列表






我们以 http 服务为例子来看下如何启动和管理系统服务。我们首先来看一下 http
服务是否启动了，首先需要确定相关进程是否在运行并且是否在监听相关端口。
这时就要用到 netstat 命令了， netstat 命令是一个监控本机网络端口状态的非常
有用的工具，这里使用了 netstat 的“ -a ”选项，表示输出所有网络连接 ( 无论是
已建立连接还是未建立连接的 ) 和套接字 ( 无论是正在监听的还是没有在监听的 )
信息：
[root@localhost ~]# netstat –a
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 0.0.0.0:38183 0.0.0.0:* LISTEN
tcp 0 0 0.0.0.0:111 0.0.0.0:* LISTEN
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN
tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN
tcp 0 0 127.0.0.1:25 0.0.0.0:* LISTEN
tcp 0 52 192.168.71.128:22 192.168.71.1:57091 ESTABLISHED
tcp 0 0 192.168.71.128:22 192.168.71.1:55927 ESTABLISHED
tcp 0 0 192.168.71.128:22 192.168.71.1:63199 ESTABLISHED
…… 此处省略若干行
Active UNIX domain sockets (servers and established)
Proto RefCnt Flags Type State I-Node Path
unix 2 [ ACC ] STREAM LISTENING 14439
/var/run/abrt/abrt.socket
unix 2 [ ] DGRAM 11800
/var/run/portreserve/socket
…… 此处省略若干行
输 出 主 要 分 为 两 部 分 ： 第 一 部 分 是 活 动 网 络 连 接 (Active Internet
connections) ，显示的都是 TCP/IP 网络连接，默认有 5 个字段，如表 错误 ! 文档
中没有指定样式的文字。 -2 所示：
表 错误 ! 文档中没有指定样式的文字。 -2



第二部分是活动 Unix 域套接字 (Active UNIX domain sockets) ， 显示的都是
本地进程间通信的套接字。 我们这里并不关心这部分内容，有兴趣的同学可以参
考一下《 Linux 程序设计（第 3 版）》（ Neil Matthew, Richard Stones 著）的第 13
章作进一步的了解。
当然“ netstat -a ”的输出很长，里面有很多信息是我们当下不需要的，如 Unix
域套接字的相关信息，如已建立的网络连接等等。我们接下来就将缩小一下查看
范围，我们仅仅查看在监听中的 TCP 网络连接：
[root@localhost ~]# netstat -ltp
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 *:38183 *:* LISTEN 1836/rpc.statd
tcp 0 0 *:sunrpc *:* LISTEN 1775/rpcbind
tcp 0 0 *:ssh *:* LISTEN 2043/sshd
tcp 0 0 localhost:ipp *:* LISTEN 1888/cupsd
tcp 0 0 localhost:smtp *:* LISTEN 2219/master
tcp 0 0 *:sunrpc *:* LISTEN 1775/rpcbind
tcp 0 0 *:ssh *:* LISTEN 2043/sshd
tcp 0 0 localhost:ipp *:* LISTEN 1888/cupsd
tcp 0 0 localhost:smtp *:* LISTEN 2219/master
tcp 0 0 *:44610 *:* LISTEN 1836/rpc.statd
[root@localhost ~]#
其中“ -l ”选项表示显示正在监听的连接（不显示已经建立的连接），“ -t ”选


项表示只显示 TCP 连接，“ -p ” 选项表示显示连接从属的的进程 PID 和进程名
称。 我们可以看到输出比错误 ! 未找到引用源。 中多出了一个字段，就是连接从
属的进程 PID 和程序名称 (PID/Program name) ， 例如错误 ! 未找到引用源。 中第
六行：
命令序列 错误 ! 文档中没有指定样式的文字。 -1
tcp 0 0 *:ssh *:* LISTEN 2043/sshd
就表示是一个名为 sshd 的进程，进程号 2043 ，在本机所有网络接口的 21
端口上进行监听，但尚未建立连接。
我们查看了所有列出的所有 TCP 网络连接， 但没有发现有在 80 端口也即
http 端口上监听的进程，所以我们可以肯定 http 服务并未启动，接下来我们就要
去启动 http 服务。在 Linux 中我们最常用也是最可靠的 http 服务器就是 Apache
HTTP Server ，所以我们就是要去启动 Apache 。
Apache 是一个服务器应用软件，其主要功能就是运行在主机上，为访问主
机的用户提供 HTTP 服务，因此 Apache 无需与本地用户进行交互，因此 Apache
是一个彻彻底底运行在后台的程序（事实上几乎所有的服务器应用软件都是这样
的程序），这些运行在后台的提供服务的进程，我们一般称其为守护进程
（ daemon ）。



启动服务器应用软件比较复杂，不是简单的点击某个图标或者执行某个二进
制文件就可以的，我们一般需要一个 Shell 脚本来帮我们完成这件事情，好在这
样的脚本在安装服务器的时候就已经为我们准备好了（当然除了这个脚本外还有
一系列相关的文件，这个话题我们将在知识点 3 中详细讨论）。
在 RHEL/CentOS 中，服务脚本基本上全部放在 /etc/init.d/ 这个目录下，当然
实际上这些脚本是放在 /etc/rc.d/init.d 中的， /etc/init.d/ 仅仅是一个符号链接。
[root@@localhost ~]# ls -ld /etc/init.d
lrwxrwxrwx. 1 root root 11 May 31 17:43 /etc/init.d -> rc.d/init.d
这里面的脚本一般都可以用文件查看软件或者 vim 打开来观察。脚本的内容
大致包括如下内容：脚本的描述、环境调用、搜寻配置文件、加载 functions 、服
务的启动停止与加载、最后还会有脚本的参数。 这些脚本都可以直接执行，当然
RHEL/CentOS 上还提供了一个方便的命令—— service ， 来直接调用这里面的脚
本。
接下来， 我们就将 HTTP 服务启动起来。 首先用 yum 来查询一下，确定是
否已经安装了 Apache HTTP Server （注意， Apache HTTP Server 的守护程序
名为 httpd ），如未安装则首先安装（参考“错误 ! 未找到引用源。 ” 这个项目）： 2
[root@localhost ~]# yum list httpd
Loaded plugins: fastestmirror, priorities, refresh-packagekit, security
Loading mirror speeds from cached hostfile
* base: ftp.stust.edu.tw
* extras: ftp.stust.edu.tw
* rpmforge: ftp.riken.jp
* updates: ftp.stust.edu.tw
17 packages excluded due to repository priority protections
Installed Packages
httpd.x86_64 2.2.15-15.el6.centos.1 @anaconda-CentOS-201207061011.x86_64/6.3
[root@localhost ~]# cd /etc/init.d/
[root@localhost init.d]# ./httpd start
正在启动 httpd ： [ 确定 ]
[root@localhost ~]#
当然也可以通过 service 命令来调用脚本启动服务，与直接使用脚本启动服
务的效果是一样的：
[root@localhost ~]#service httpd start
正在启动 httpd [ 确定 ]
无论是用 service 还调用脚本启动服务，脚本都提供了若干动作命令供用户
来操纵脚本。每个脚本所提供的动作命令不一定都相同，如果我们不清楚，可以
使用键入脚本名或者用 service 调用脚本名不加任何动作命令来查看：
[root@localhost ~]# service httpd


Usage: httpd {start|stop|restart|condrestart|try-restart|forcereload|reload|status|fullstatus|graceful|help|configtest}
[root@localhost ~]# /etc/init.d/httpd
Usage: httpd {start|stop|restart|condrestart|try-restart|forcereload|reload|status|fullstatus|graceful|help|configtest}
[root@localhost ~]#
这个大部分动作命令都是自解释的， 如果结合脚本文件就会更清楚， 各个动
作命令到底是干什么的，但为了方便起见，我们在这里还是在 service 命令的介
绍中列出若干常用动作命令（对于脚本同样起作用）。
至此，我们就将 http 服务启动好了， 我们接下来就可以访问这个 http 服务
了，在本机上打开浏览器，在地址栏输入 http://127.0.0.1 ，回车，就可以打开如
下页面：


但是此时出现一个问题，虽然在本机上可以访问 http 服务，但是在远程就无
法访问此主机上的 http 服务，这样一来，服务器就失去其意义了，究其原因在于
主机防火墙的相应端口 (80 端口 ) 尚未开放，我们只要设置相应的端口即可。打开
防火墙的配置文件 /etc/sysconfig/iptables ，在其中添加上如下所示一行：
# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
然后重启防火墙服务（是的，防火墙也是一个系统服务）：
[root@localhost ~]# service iptables restart
iptables ：清除防火墙规则： [ 确定 ]
iptables ：将链设置为政策 ACCEPT ： filter [ 确定 ]
iptables ：正在卸载模块： [ 确定 ]
iptables ：应用防火墙规则： [ 确定 ]
当然也可以直接使用 RHEL/CentOS 中提供的伪图形界面防火墙设置工具
system-config-firewall 来设置，可以参考命令序列 错误 ! 文档中没有指定样式的文
字。 -3 、 错误 ! 未找到引用源。 和错误 ! 未找到引用源。， 相当简单，我们就不再赘
述了：
命令序列 错误 ! 文档中没有指定样式的文字。 -3
接下来，我们来解决最后一个问题，我们在前面所做的 http 服务的启动是一次性
的，当主机重启后，还需要再次手动去启动 http 服务器，那么，如何在开机时就
自动启动相关服务呢？接下来我们就来完成这部分工作。 Linux 为提供了若干不
同的守护进程管理工具，我们在这里将使用其中最常用也是最可靠的 chkconfig
来完成我们的工作。
首先我们用“ chkconfig --list ” 命令显示系统服务列表，以及这些服务在运
行级别 0 到 6 中已被启动（ on ）还是停止（ off ），
[root@localhost ~]# chkconfig --list
NetworkManager 0: 关闭 1: 关闭 2: 启用 3: 启用 4: 启用 5: 启用 6: 关闭
abrt-ccpp 0: 关闭 1: 关闭 2: 关闭 3: 启用 4: 关闭 5: 启用 6: 关闭
abrt-oops 0: 关闭 1: 关闭 2: 关闭 3: 启用 4: 关闭 5: 启用 6: 关闭
…… 此处省略若干行
httpd 0: 关闭 1: 关闭 2: 关闭 3: 关闭 4: 关闭 5: 关闭 6: 关闭
…… 此处省略若干行
wdaemon 0: 关闭 1: 关闭 2: 关闭 3: 关闭 4: 关闭 5: 关闭 6: 关闭
wpa_supplicant 0: 关闭 1: 关闭 2: 关闭 3: 关闭 4: 关闭 5: 关闭 6: 关闭
ypbind 0: 关闭 1: 关闭 2: 关闭 3: 关闭 4: 关闭 5: 关闭 6: 关闭


我们可以观察到 httpd 服务虽然存在，但是在所有的六个运行级别中都是关
闭的，我们接下来在运行级别 3 和 5 中开启 http 服务：
[root@localhost ~]# chkconfig --level 35 httpd on
[root@localhost ~]# chkconfig --list httpd
httpd 0: 关闭 1: 关闭 2: 关闭 3: 启用 4: 关闭 5: 启用 6: 关闭
[root@localhost ~]#
当然也可以直接使用 RHEL/CentOS 中提供的伪图形界面的系统服务自启动
设置工具 ntsystv 来设置，可以参考错误 ! 未找到引用源。， 相当简单，我们也就
不再赘述了：
至此，我们就基本了解了如何去管理我们主机上的系统服务的方法。