Linux:防火墙和selinux对服务的影响

1-1selinux

1-1

SELinux是对程序、文件等权限设置依据的一个内核模块。由于启动网络服务的也是程序,因此刚好也 是能够控制网络服务能否访问系统资源的一道关卡。

1-2

SELinux是通过MAC的方式来控制管理进程,它控制的主体是进程,而目标则是该进程能否读取的文件 资源。

1-2-1

主体(subject):就是进程

目标(object):被主体访问的资源,可以是文件、目录、端口等。

策略(policy):由于进程与文件数量庞大,因此SELinux会依据某些服务来制定基本的访问安全策略。 这些策略内还会有详细的规则(rule)来指定不同的服务开放某些资源的访问与否。

安全上下文(security context):主体能不能访问目标除了策略指定外,主体与目标的安全上下文必须 一致才能够顺利访问。 最终文件的成功访问还是与文件系统的rwx权限设置有关 。

bash 复制代码
ls -Z

1-2-2

安全上下文

身份标识(Identify):相当于账号方面的身份标识,主要有以下三种常见的类型:

root:表示root的账号身份;

system_u:表示程序方面的标识,通常就是进程; unconfined_u:代表的是一般用户账号相关的身份。

角色(role):通过角色字段,可知道这个数据是属于程序、文件资源还是代表用户。一般角色 有:

object_r:代表的是文件或目录等文件资源;

system_r:代表的是进程。

类型(type):在默认的targeted策略中,Identify与role字段基本上是不重要的,重要的在于这 个类型字段。而类型字段在文件与进程的定义不太相同,分别是:

type:在文件资源上面称为类型。

domain:在主体程序中则称为域。

domain需要与type搭配,则该程序才能够顺利读取文件资源。 最后一个字段是和MLS和MCS相关的东西,代表灵敏度,一般用s0、s1、s2来命名,数字代表灵敏 度的分级。数值越大、灵敏度越高。

在图中

unconfined_u是身份标识

object_r是角色

default_t是类型

s0是灵敏度

1-2-3

SELinux三种模式

enforcing:强制模式,代表SELinux正在运行中,开始限制domain/type。

permissive:宽容模式,代表SELinux正在运行中,不过仅会有警告信息并不会实际限制 domain/type的访问。

disabled:关闭,SELinux并没有实际运行。

bash 复制代码
getenforce

查看当前selinux状态

1-2-4

修改安全上下文

bash 复制代码
chcon -R/t/u

1-3 selinux对服务的影响

当selinux为严格模式的时候,(以nginx为例子)会限制nginx对我们自定义文件夹的访问

将自定义文件夹的角色改为我们nginx可以访问的httpd_sys_t便可以访问了

2-1 防火墙

2-1-1:

防火墙是位于内部网和外部网之间的屏障,它按照系统管理员预先定义好的规则来控制数据包 的进出。

2-1-2:

对于包过滤的防火墙来说:

inux的Netfilter机制可以进行的分析工作有:

拒绝让Internet的数据包进入主机的某些端口;

拒绝让某些来源ip的数据包进入;

拒绝让带有某些特殊标志(flag)的数据包进入,最常拒绝的就是带有SYN的主动连接的标志了;

分析硬件地址(MAC)来决定连接与否。

2-2-1:

iptables

防火墙会从以上至下的顺序来读取配置的策略规则,在找到匹配项后就立即结束匹配工作并去执行匹配 项中定义的行为(即放行或阻止)。

iptables服务把用于处理或过滤流量的策略条目称之为规则,多条规则可以组成一个规则链,而规则链 则依据数据包处理位置的不同进行分类,具体如下:

在进行路由选择前处理数据包,用于目标地址转换(PREROUTING);

处理流入的数据包(INPUT); 处理流出的数据包(OUTPUT);

处理转发的数据包(FORWARD);

在进行路由选择后处理数据包,用于源地址转换(POSTROUTING)。

2-3-1

firewalld:

iptables service 首先对旧的防火墙规则进行了清空,然后重新完整地加载所有新的防火墙规则,而如果 配置了需要 reload 内核模块的话,过程背后还会包含卸载和重新加载内核模块的动作,而不幸的是,这 个动作很可能对运行中的系统产生额外的不良影响,特别是在网络非常繁忙的系统中。

相比于传统的防火墙管理工具,firewalld支持动态更新技术并加入了区域的概念。区域就是firewalld预 先准备了几套防火墙策略集合(策略模板),用户可以选择不同的集合,从而实现防火墙策略之间的快 速切换

firewalld默认提供的九个zone配置文件都保存在"/usr/lib/firewalld/zones/"目录下,分别为: block.xml

drop.xml

home.xml

public.xml

work.xml

mz.xml

external.xml

internal.xml

trusted.xml

2-4

防火墙对服务的影响

bash 复制代码
systemctl restart firewalld

当我们的(nginx为例)不是默认的443 80 8080等端口时,我们的自定义端口是无法被外界访问的

我们需要对防火墙服务设置对我们(http:tcp 自定义port)做允许才可以访问,并重启nginx服务

相关推荐
速盾cdn21 分钟前
速盾:CDN是否支持屏蔽IP?
网络·网络协议·tcp/ip
yaoxin52112321 分钟前
第二十七章 TCP 客户端 服务器通信 - 连接管理
服务器·网络·tcp/ip
内核程序员kevin23 分钟前
TCP Listen 队列详解与优化指南
linux·网络·tcp/ip
PersistJiao2 小时前
Spark 分布式计算中网络传输和序列化的关系(一)
大数据·网络·spark
黑客Ash4 小时前
【D01】网络安全概论
网络·安全·web安全·php
->yjy4 小时前
计算机网络(第一章)
网络·计算机网络·php
sinat_384241095 小时前
使用 npm 安装 Electron 作为开发依赖
服务器
朝九晚五ฺ5 小时前
【Linux探索学习】第十四弹——进程优先级:深入理解操作系统中的进程优先级
linux·运维·学习
自由的dream5 小时前
Linux的桌面
linux
xiaozhiwise5 小时前
Makefile 之 自动化变量
linux