selinux和防火墙

第七章 selinux

一、selinux的说明

SELinux：安全强化的 linux，Security-Enhanced Linux的缩写

SELinux ： 由美国国家安全局（ NSA ）开发，目的是为了避免资源的误用

SELinux： 是对程序、文件等权限设置依据的一个内核模块

                 启动网络服务的也是程序，刚好也是能够控制网络服务能否访问系统资源的一道关卡

二、selinux的工作原理

SELinux ：通过 MAC 的方式来控制管理进程

                 控制的主体是进程，目标则是该进程能否读取的文件资源

主体（ subject ）：就是进程

目标（object ）：被主体访问的资源，可以是文件、目录、端口等

策略（ policy ）：进程与文件数量庞大， SELinux 会依据某些服务来制定基本的访问安全策略

策略内还会有详细的规则（ rule ）来指定不同的服务开放某些资源的访问与否

目前主要的策略有：

• targeted ：针对网络服务限制较多，针对本机限制较少，是默认的策略
• strict ：完整的 SELinux 限制，限制方面较为严格

安全上下文（ security context ）：主体能不能访问目标除了策略指定外，主体与目标的安全上下

                                                      文必须一致才能够顺利访问。最终文件的成功访问还是与文件                                                          系统的 rwx 权限设置有关。

#查看文件的安全上下文

[root@localhost ~]# ls -Z

安全上下文用冒号分为四个字段：   

 Identify ： role ： type ：

身份标识（ Identify ）	root	表示 root 的账号身份
	system_u	表示程序方面的标识，通常就是进程
	unconfined_u	代表的是一般用户账号相关的身份
角色（ role ）	object_r	代表的是文件或目录等文件资源
	system_r	代表的是进程
类型（ type ）	type	在文件资源上面称为类型
	domain	在主体程序中则称为域
	domain 需要与 type 搭配 则该程序才能够顺利读取文件资源
最后一个字段是和 MLS 和 MCS 相关的东西，代表灵敏度 一般用 s0 、 s1 、 s2 来命名 数字代表灵敏度的分级。数值越大、灵敏度越高

三、selinux的启动、关闭与查看

（一）SELinux三种模式

enforcing	强制模式	代表 SELinux 正在运行中，开始限制 domain/type
permissive	宽容模式	代表 SELinux 正在运行中，不过仅会有警告信息并不会实际限制 domain/type的访问
disabled	关闭	SELinux 并没有实际运行

#查看目前的模式

[root@localhost ~]# getenforce

#查看目前的selinux使用的策略

[root@localhost ~]# sestatus

SELinux status: enabled # 是否启用selinux

SELinuxfs mount: /sys/fs/selinux #selinux的相关文件数据挂载点

SELinux root directory: /etc/selinux

Loaded policy name: targeted #目前的策略

Current mode: enforcing

Mode from config file: enforcing

Policy MLS status: enabled

Policy deny_unknown status: allowed

Max kernel policy version: 31

#查看selinux的策略：

[root@localhost ~]# vim /etc/selinux/config

改变策略之后需要重新启动；

如果由enforcing或permissive改成disabled，或由disabled改为其它两个，也必须要重新启

动。

将selinux模式在enforcing和permissive之间切换的方法为：

setenforce 0 转换成permissive宽容模式

setenforce 1转换成enforcing强制模式

（二）修改安全上下文

chcon [ -R ] [ -t type ] [ -u user ]  [ -r role ]   文件

-R ：连同该目录下的子目录也同时修改

-t ：后面接安全上下文的类型字段

-u ：后面接身份识别

-r ：后面接角色

chcon [-R] --reference = 范例文件 文件 将文件的安全上下文按照范例文件修改

 restorecon [ -Rv ]  文件 / 目录

-R ：连同子目录一起修改

-v ：将过程显示到屏幕上

-l： 为查询

-a ：增加一些目录的默认安全上下文的设置

-m ：修改

-d ：删除

restorecon 怎么知道每个目录记载的默认 selinux type 类型：

因为系统将每个目录的默认selinux type类型记录在 /etc/selinux/targeted/contexts/ 目录内。但是该目录内有很多不同的数据，可以用semanage 这个命令的功能来查询与修改：

semanage ｛ login|user|port|interface|fcontext|translation ｝ -l

semanage fcontext - {a|d|m} [-frst] file_spec

 

---

第八章 防火墙

一、什么是防火墙

位于内部网和外部网之间的屏障，按照系统管理员预先定义好的规则来控制数据包的进出

防火墙的分类：

硬件防火墙：

• 由厂商设计好的主机硬件
• 操作系统主要以提供数据包数据的过滤机制为主，并将其他不必要的功能拿掉

软件防火墙：

• 是保护系统网络安全的一套软件（或称为机制）
• linux 系统本身提供的软件防火墙的功能，是 Netfilter ，即数据包过滤机制

数据包过滤：分析进入主机的网络数据包，将数据包的头部数据提取出来进行分析，决定该                       连接为放行或抵挡的机制

由于这种方式可以直接分析数据包头部数据，包括硬件地址，软件地址， TCP、 UDP、 ICMP 等数据包的信息都可以进行过滤分析，主要分析 OSI 七层协议的 2、 3 、 4 层

linux 的 Netfilter 机制可以进行的分析工作有：

• 拒绝让 Internet 的数据包进入主机的某些端口
• 分析硬件地址（ MAC ）来决定连接与否
• 拒绝让带有某些特殊标志 的数据包进入（最常拒绝带有 SYN 的主动连接的标志）
• 拒绝让某些来源 ip 的数据包进入

Netfilter 防火墙在某些情况下，并不能保证网络一定就很安全。

• 防火墙并不能有效阻挡病毒或木马程序：假设主机开放了www服务，防火墙的设置是一定要将www服务的port开放给client端的。假设www服务器软件有漏洞，或者请求www服务的数据包本身就是病毒的一部分时，防火墙是阻止不了的
• 防火墙对于内部LAN的攻击无能为力：防火墙对于内部的规则设置通常比较少，所以就很容易造成内部员工对于网络无用或滥用的情况

netfilter 数据包的过滤机制是由 linux 内核内建的，不同的内核版本使用的设置防火墙策略的软件不一 样。

iptables 服务与 firewalld 服务只是用来定义防火墙策略的“ 防火墙管理工具 ” ，作用都是用于维护规则，而真正使用规则干活的是内核的netfilter。

 二、iptables

（一）iptables介绍

• ptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类

• 在进行路由选择前处理数据包，用于目标地址转换（PREROUTING）
• 处理流入的数据包（INPUT）
• 处理流出的数据包（OUTPUT）
• 处理转发的数据包（FORWARD）
• 在进行路由选择后处理数据包，用于源地址转换（POSTROUTING）

• iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功，iptables就会根据策略规则所预设的动作来处理这些流量 

[root@localhost ~]# yum install iptables -y

[root@localhost ~]# systemctl stop firewalld

[root@localhost ~]# systemctl start iptables

[root@server ~]# iptables -F #清空所有的规则表，清空之后客户端可以访问ssh和http服务

 语法格式：

iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作

参数		说明
-t		对指定的表进行操作， table 必须是 raw ， nat ， filter ， mangle 中的一个。默认是 filter表。
-p		指定要匹配的数据包协议类型
-s	--source address[/mask][,...]	把指定的一个或者一组地址作为源地址，按此规则进行过滤。当后面没有mask 时， address 是一个地址，比如： 192.168.1.1 ；当 mask 指定时，可以表示一组范围内的地址，比如：192.168.1.0/255.255.255.0
-d	--destination address[/mask][,...]	地址格式同上，但这里指定地址为目的地址，按此进行过滤
-i	--out-interface name	指定数据包的来自来自网络接口，比如最常见的 eth0 。注意：它只对 INPUT ， FORWARD ， PREROUTING 这三个链起作用。如果没有指定此选项， 说明可以来自任何一个网络接口。同前面类似，"!" 表示取反
-o	--out-interface name	指定数据包出去的网络接口。只对 OUTPUT ， FORWARD ，POSTROUTING 三个链起作用
-L	--list [chain]	列出链 chain 上面的所有规则，如果没有指定链，列出表上所有链的所有规 则
-A	--append chain rule-specification	在指定链 chain 的末尾插入指定的规则，也就是 说，这条规则会被放到最后，最后才会被执行。规则是由后面的匹配来指定
-I	--insert chain [rulenum] rule-specification	在链 chain 中的指定位置插入一条或多条 规则。如果指定的规则号是 1 ，则在链的头部插入。这也是默认的情况，如果没有指定规 则号
-D	--delete chain rule-specification -D, --delete chain rulenum	在指定的链 chain 中删除 一个或多个指定规则
-R num		Replays 替换 / 修改第几条规则
-P	--policy chain target	为指定的链 chain 设置策略 target 。注意，只有内置的链才允许有策略，用户自定义的是不允许的
-F	--flush [chain]	清空指定链 chain 上面的所有规则。如果没有指定链，清空该表上所有链的所有规则
-N	--new-chain chain	用指定的名字创建一个新的链
-X	--delete-chain [chain]	删除指定的链，这个链必须没有被其它任何规则引用，而且这条上必须没有任何规则。如果没有指定链名，则会删除该表中所有非内置的链
-E	--rename-chain old-chain new-chain	用指定的新名字去重命名指定的链。这并不会对 链内部造成任何影响
-Z	--zero [chain]	把指定链，或者表中的所有链上的所有计数器清零
-j	--jump target < 指定目标 >	即满足某条件时该执行什么样的动作。 target 可以是内置的目标，比如 ACCEPT ，也可以是用户自定义的链
-h		显示帮助信息

 （二）实验

实验一：搭建 web 服务，设置任何人能够通过 80 端口访问

[root@localhost ~]# iptables  -I  INPUT  -p  tcp  --dport  80  -j  ACCEPT

[root@localhost ~]# iptables  -L  --line-numbers

[root@localhost ~]# iptables  -D  INPUT 1

实验二：禁止所有人ssh远程登录该服务器

[root@localhost ~]# iptables -I INPUT -p tcp --dport 22 -j REJECT

#删除设置的拒绝ssh连接：

[root@localhost Desktop]# iptables -D INPUT 1

实验三：禁止某个主机地址 ssh 远程登录该服务器，允许该主机访问服务器的 web 服务。服务器地址为172.24.8.128

拒绝172.24.8.129通过ssh远程连接服务器：

[root@localhost ~]# iptables -I INPUT -p tcp -s 172.24.8.129 --dport 22 -j REJECT

允许172.24.8.129访问服务器的web服务：

[root@localhost ~]# iptables -I INPUT -p tcp -s 172.24.8.129 --dport 80 -j ACCEPT

 三、firewalld

（一）firewalld介绍

firewalld ： 所提供的模式叫做动态防火墙，它的出现就是为了解决这一问题，任何规则的变更都不

需要对整个防火墙规则列表进行重新加载，只需要将变更部分保存并更新即可 , 它具备对 IPv4 和 IPv6 防火墙设置的支持。

相比于传统的防火墙管理工具，firewalld 支持动态更新技术并加入了区域的概念。

区域就是 firewalld 预先准备了几套防火墙策略集合（策略模板），用户可以选择不同的集合，从而实现防火墙策略之间的快速切换。

firewalld 中常见的区域名称（默认为 public ）以及相应的策略规则：

区域	默认规则策略
阻塞区域 （ block ）	拒绝流入的流量，除非与流出的流量相关
工作区域 （ work ）	拒绝流入的流量，除非与流出的流量相关
家庭区域 （ home ）	拒绝流入的流量，除非与流出的流量相关
公共区域 （ public ）	不相信网络上的任何计算机，只有选择接受传入的网络连接
隔离区域 （ DMZ ）	隔离区域也称为非军事区域，内外网络之间增加的一层网络，起到缓冲作用。对于隔离区域，只有选择接受传入的网络连接
信任区域 （ trusted ）	允许所有的数据包
丢弃区域 （ drop ）	拒绝流入的流量，除非与流出的流量相关
内部区域 （ internal ）	等同于 home 区域
外部区域 （external ）	拒绝流入的流量，除非与流出的流量有关；而如果流量与 ssh 服务相关，则允许流量

安装 firewalld 服务的软件

[root@localhost ~]# rpm -qa | grep firewall

firewall-config-0.3.9-14.el7.noarch

firewalld-0.3.9-14.el7.noarch

在 RHEL7 中， firewalld 服务是默认的防火墙配置管理工具，拥有基于 CLI （命令行界面）和基于

GUI （图形用户界面）的两种管理方式。

firewall-config 和 firewall-cmd 是直接编辑 xml 文件

firewall-config 是图形化工具， firewall-cmd 是命令行工具

firewall-cmd命令的参数说明如下：

参数	作用
--get-default-zone	查询默认的区域名称
--set-default-zone=< 区域名称 >	设置默认的区域，使其永久生效
--get-zones	显示可用的区域
--get-services	显示预先定义的服务
--get-active-zones	显示当前正在使用的区域与网卡名称
--add-source=	将源自此 IP 或子网的流量导向指定的区域
--remove-source=	不再将源自此 IP 或子网的流量导向某个指定区域
--list-all	显示当前区域的网卡配置参数、资源、端口以及服务等信息
--list-all-zones	显示所有区域的网卡配置参数、资源、端口以及服务等信息
--add-service=< 服务名 >	设置默认区域允许该服务的流量
--add-port=< 端口号 / 协议 >	设置默认区域允许该端口的流量
--remove-service=< 服务名 >	设置默认区域不再允许该服务的流量
--remove-port=< 端口号 / 协议 >	设置默认区域不再允许该端口的流量
--reload	让 “ 永久生效 ” 的配置规则立即生效，并覆盖当前的配置规则
--panic-on	开启应急状况模式
--panic-off	关闭应急状况模式

[root@localhost ~]# systemctl stop iptables

[root@localhost ~]# systemctl restart firewalld

[root@localhost ~]# firewall-cmd --help #查看帮助

[root@localhost ~]# firewall-cmd --list-all #查看所有的规则

[root@localhost ~]#firewall-cmd --permanent --add-service=服务名

使用firewalld配置的防火墙策略默认为当前生效，会随着系统的重启而失效。如果想让策略一直存在，就需要使用永久模式了，即在使用firewall-cmd命令设置防火墙策略时添加--permanent参数，这样配置的防火墙策略就可以永久生效了，最后想要使用这种方式设置的策略生效，只能重启或者输入命令：

firewall-cmd --reload。

#禁止某个ip地址进行ssh访问，应该写成ip/32

#配置端口转发（在172.24.8.0网段的主机访问该服务器的5423端口将被转发到80端口）

[root@system1 ~]# firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="172.24.8.0/24" forward-port port="5423" protocol="tcp" toport="80"'