Linux_紅帽8學(xué)習(xí)筆記分享_10(SELinux管理與防火墻)

1.Linux系統(tǒng)的安全機(jī)制

1.1 Filesystem

Filesystem: chmod(用于修改九位權(quán)限)chown(改變對(duì)象的所有者和所屬組), setfacl(設(shè)置特殊用戶的特殊權(quán)限)

1.2 Service

:vim /etc/*.conf(該服務(wù)對(duì)應(yīng)的底層配置文件)

1.3 Firewall

firewall-cmd …(對(duì)防火墻進(jìn)行打開關(guān)閉，查看其狀態(tài))

1.4 SELinux

它是高級(jí)防火墻，vim /etc/selinux/config(fcontext,port,setsebool)

2.SElinux理論概述

SElinux全稱是Security Enhanced Linux，它是由美國國家安全局(NSA:National Security Agency)開發(fā)，為了避免資源誤用而設(shè)計(jì)的，額外的系統(tǒng)安全層它由一系列的規(guī)則組成，決定了哪些進(jìn)程可以訪問哪些文件、目錄和端口。每個(gè)文件、進(jìn)程和端口都具有特別的安全標(biāo)簽，稱為SElinux的安全上下文。在默認(rèn)情況下SElinux是開啟狀態(tài)。

3.SElinux的配置文件

vim /etc/selinux/config，該文件就是它的配置文件

3.1 SELINUX參數(shù)

用SELINUX=enforcing 來設(shè)置SELINUX的狀態(tài)（或工作模式）

enforcing-強(qiáng)制開啟的狀態(tài)，即監(jiān)控也干預(yù)（如果fcontext不一致，則不允許訪問）；permissive-允許（警告），即只監(jiān)控，不干預(yù)；disabled –將它直接關(guān)閉運(yùn)行

3.2 SELINUXTYPE參數(shù)

SELINUXTYPE=targeted來設(shè)置SELINUX對(duì)系統(tǒng)的管理范圍,一般不進(jìn)行設(shè)置

targeted -對(duì)大部分網(wǎng)絡(luò)服務(wù)進(jìn)行管制,缺省值；minimum -僅對(duì)選定的網(wǎng)絡(luò)服務(wù)進(jìn)行管制,一般不使用；mls -多級(jí)別安全,它會(huì)對(duì)Linux系統(tǒng)中所有的選項(xiàng)生效,會(huì)占用

4.查看和設(shè)置SElinux工作模式的方法

4.1查看SElinux工作模式

使用getenforce命令來查看

我的物理機(jī)的SELinux是開啟的，如下圖所示。

我們將它更改為允許運(yùn)行狀態(tài)，如下圖所示。

我們可以看到servera默認(rèn)狀況下是強(qiáng)制開啟的的

4.2設(shè)置SElinux工作模式

4.2.1使用命令方式修改(僅本次有效，重啟無效)

具體操作如下圖所示。

setenforce 0 就是設(shè)置SELinux為允許運(yùn)行狀態(tài)

setenforce 1 就是設(shè)置SELinux為強(qiáng)制運(yùn)行狀態(tài)

4.2.2去修改配置文件 /etc/selinux/config（是一個(gè)永久生效的方法）

我們將其狀態(tài)從enforcing改為permissive，如下圖所示

在編寫完成，之后我們需要將servera進(jìn)行一下重啟，重啟登錄上servera之后，我們查看其狀態(tài)，發(fā)現(xiàn)成功從enforcing改為了permissive，如下圖所示。

5.服務(wù)器防火墻

RHEL7之前防火墻使用的是iptables, RHEL8對(duì)其進(jìn)行了升級(jí)，使用的是firewalld不管是iptables,還是firewalled,都是借助于Linux內(nèi)核中包含的netfilter組件。

我們可以使用systemctl status firewalld.service 來查看防火墻狀態(tài)，如下圖所示，看到servera上的防火墻默認(rèn)是開啟的running

我們可以使用systemctl stop firewalld.service 來關(guān)閉防火墻，如下圖所示。

我們可以使用systemctl start firewalld.service 來打開防火墻，如下圖所示。

我們可以使用systemctl start firewalld.service 來先關(guān)閉防火墻再打開防火墻，它最終的狀態(tài)是開啟的，如下圖所示。

我們可以使用systemctl enable firewalld.service 來設(shè)置防火墻為開機(jī)自啟動(dòng)，如下圖所示。

---

以上就是本文全部內(nèi)容，如果它對(duì)您有幫助，請(qǐng)您幫我點(diǎn)個(gè)贊，這對(duì)我真的很重要