Centos系统安全防护配置-Selinux、Firewall-cmd(1)
  

on_line_no 669

{{ttag.title}}
1.1概述
众所周知,linux系统默认安全防护工具有selinux和系统防火墙工具,本期文章就向各位小伙伴总结分享这两款工具的常用配置维护方式。
1.2测试系统版本
[root@localhost ~]# cat /etc/redhat-release
CentOS Linux release 7.9.2009 (Core)
[root@localhost ~]#
以Server GUI方式安装操作系统;
1.3Selinux配置维护示例
1.3.1Selinux工具的配置文件
Selinux工具的配置文件:/etc/selinux/config
默认的配置文件内容,如下图所示;

enforcing:强制模式。违反 SELinux 规则的行为将被阻止并记录到日志中。
permissive:宽容模式。违反 SELinux 规则的行为只会记录到日志中。一般为调试用。
disabled:关闭 SELinux。
1.3.2示例1:获取selinux配置状态
[root@localhost ~]# getenforce
Enforcing
[root@localhost ~]#
1.3.3示例2:临时设置selinux为permissive模式
root@localhost ~]# setenforce --help
usage:  setenforce [ Enforcing | Permissive | 1 | 0 ]
[root@localhost ~]#
[root@localhost ~]# setenforce 0
[root@localhost ~]#
[root@localhost ~]# getenforce
Permissive
[root@localhost ~]#
1.3.4示例3:永久禁用selinux功能
[root@localhost ~]# sed -i 's/^SELINUX=enforcing/SELINUX=disabled/g' /etc/selinux/config
[root@localhost ~]#
执行完上述命令后,需重启系统。
1.3.5示例4:semanage工具管理selinux——查询系统SSH服务默认端口、添加端口和删除端口;
#在selinux中对查询SSH服务默认端口
[root@localhost ~]# semanage port -l | grep ssh
ssh_port_t                     tcp      22
[root@localhost ~]#
#在selinux中对SSH服务添加TCP端口32222
[root@localhost ~]# semanage port -a -t ssh_port_t -p tcp 32222
[root@localhost ~]#
[root@localhost ~]# semanage port -l | grep ssh
ssh_port_t                     tcp      32222, 22
[root@localhost ~]#
#在selinux中对SSH服务删除TCP端口32222
[root@localhost ~]# semanage port -d -t ssh_port_t -p tcp 32222
[root@localhost ~]#
[root@localhost ~]# semanage port -l | grep ssh
ssh_port_t                     tcp      22
[root@localhost ~]#
1.3.6示例5:sealert工具查看selinux审计日志
#查看所有ID的审计告警日志
[root@localhost ~]# sealert -a /var/log/audit/audit.log
#根据告警ID查询特定审计告警日志,l是小写L;
sealert -l 71bcfca6-ff5d-45c6-9139-0f5082bd4059
1.4系统防火墙配置维护示例
1.4.1系统防火墙默认安全规则配置文件
系统防火墙默认安全规则配置文件:/etc/firewalld/zones/public.xml
默认的配置文件内容,如下图所示;

系统防火墙可由firewall-cmd工具进行配置维护,常用配置维护示例,如下所示。
默认情况下,系统安装完毕后,外部主机能ping通该系统、可远程ssh访问该系统。然而,自定义添加的服务只有配置放通的安全规则,才能被允许访问。
1.4.2示例1:启动、停止、重启和开机自启系统防火墙
#启动系统防火墙
[root@localhost ~]# systemctl start firewalld.service
#停止系统防火墙
[root@localhost ~]# systemctl stop firewalld.service
#重启系统防火墙
[root@localhost ~]# systemctl restart  firewalld.service
#配置系统防火墙开机自启动
#禁用系统防火墙开机自动
[root@localhost ~]#  systemctl disable firewalld.service
#启用系统防火墙开机自动
[root@localhost ~]#  systemctl enable firewalld.service
1.4.3示例2:查看系统防火墙运行状态
#方式1
[root@localhost ~]# firewall-cmd –state
#方式2
[root@localhost ~]# systemctl status firewalld.service
1.4.4示例3:查看系统防火墙活动的安全区域和接口
[root@localhost ~]# firewall-cmd --get-active-zones
public
  interfaces: ens192
[root@localhost ~]#
1.4.5示例4:查看系统防火墙活动的public区域的安全规则
[root@localhost ~]# firewall-cmd --zone=public --list-all
1.4.6示例5:使能配置的安全规则
配置系统防火墙的策略规则后,并未立马生效,需使用下列命令予以生效。
[root@localhost ~]# firewall-cmd --complete-reload
success
[root@localhost ~]#
1.4.7示例6:移除默认SSH服务的放通策略
#取消默认ssh服务的放通策略规则
[root@localhost ~]# firewall-cmd --permanent --zone=public --remove-service=ssh
success
[root@localhost ~]#
#添加ssh服务的放通策略规则
[root@localhost ~]# firewall-cmd --permanent --zone=public --add-service=ssh
success
[root@localhost ~]#
1.4.8示例7:禁用icmp报文
#禁止所用外部主机ping通该系统
[root@localhost ~]# firewall-cmd --permanent --add-rich-rule='rule protocol value=icmp drop'
#仅允许主机192.168.1.3可ping通该系统
[root@localhost ~]# firewall-cmd --permanent --add-rich-rule='rule family="ipv4" protocol value="icmp"  source NOT address="192.168.1.3/32" drop'
1.4.9示例8:限制源地址访问系统目标的端口
#仅允许地址段是192.168.1.0/24的主机可访问该系统的TCP 3306端口
[root@localhost ~]# firewall-cmd --permanent  --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24"  port port="3306" protocol="tcp" accept'
1.5总结
通过示例向各位小伙伴总结分享了centos7系统selinux和系统防火墙的配置维护方式,希望各位小伙伴有所收获,不足之处,欢迎各位小伙伴留言指正。

打赏鼓励作者,期待更多好文!

打赏
暂无人打赏

发表新帖
热门标签
全部标签>
每日一问
技术盲盒
干货满满
技术笔记
新版本体验
功能体验
产品连连看
标准化排查
2023技术争霸赛专题
技术晨报
技术咨询
信服课堂视频
运维工具
用户认证
SANGFOR资讯
社区帮助指南
秒懂零信任
解决方案
VPN 对接
专家分享
自助服务平台操作指引
GIF动图学习
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
安装部署配置
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
云计算知识
原创分享
sangfor周刊
项目案例
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
玩转零信任
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
答题榜单公布
纪元平台
通用技术
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
每周精选

本版版主

12
185
6

发帖

粉丝

关注

本版达人

LoveTec...

本周分享达人

新手24116...

本周提问达人