linux管理员技术-01 -SElinux配置高级连接防火墙管理策略

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了linux管理员技术-01 -SElinux配置高级连接防火墙管理策略相关的知识,希望对你有一定的参考价值。

Security-Enhanced Linux(SElinux)

– 美国NSA国家安全局主导开发,一套增强Linux系统安全的强制访问控制体系   

目的:强制访问控制体系


– 集成到Linux内核(2.6及以上)中运行

– RHEL7基于SELinux体系针对用户、进程、目录和文件提供了预设的保护策略,以及管理工具


SELinux的运行模式

– enforcing(强制)、permissive(宽松)

– disabled(彻底禁用)


切换运行模式

-临时切换(当前切换):setenforce  1/0    #0表示降级,1表示升级

-固定配置(下次重启才生效):vim /etc/selinux/config



[[email protected] ~]# getenforce     #查看当前SELinux状态

 Enforcing

[[email protected] ~]# setenforce 0   #设置当前SELinux状态

[[email protected] ~]# getenforce 

 Permissive


enforcing、permissive与disabled之间的切换必须到vim固定配置重启才能生效


固定配置:

[[email protected] ~]# vim /etc/selinux/config 

.. ..

SELINUX=permissive


[[email protected] ~]#reboot   #重启系统切换模式


补充:vim  命令模式   

            C(大写):删除光标之后到行尾,并且进入插入模式

-------------------------------------------------------------------------------------------

配置高级连接 

配置聚合连接(网卡绑定)

和HSRP相似

HSRP:备份网关设备 


                                     路由器1             路由器2

                                192.168.1.254     192.168.1.253

                                      活跃                     备份

     

                                             虚拟路由器

                                           192.168.1.200

      

聚合连接:备份网卡设备 


                      eth1            eth2

                192.168.1.1/24     192.168.1.2/24        

                              team

                           192.168.1.10




team,聚合连接(也称为链路聚合)

– 由多块网卡(team-slave)一起组建而成的虚拟网卡,即“组队”

– 作用1:轮询式(roundrobin)的流量负载均衡

– 作用2:热备份(activebackup)连接冗余



热备份配置:  {"runner":{"name":"activebackup"}}

热备份配置字符复杂可以用:man帮助辅助记忆

输入man teamd.conf进入帮助界面

输入  /example            #全文查找example

 再按n                    #按n 跳转下一个匹配

找到并复制 {"runner":{"name":"activebackup"}}


[[email protected] ~]# man teamd.conf

          /example   #全文查找example

                     #按n 跳转下一个匹配


一、添加team团队设备

# nmcli connection add type team 

con-name team0  ifname  team0 

config ‘{"runner": {"name": "activebackup"}}‘


# cat /etc/sysconfig/network-scripts/ifcfg-team0

# ifconfig  team0


二、添加成员

# nmcli connection add type team-slave 

ifname eth1 master team0 


# nmcli connection add type team-slave 

ifname eth2 master team0


三、配置team0的IP地址

# nmcli connection modify team0       

 ipv4.method manual 

 ipv4.addresses 192.168.1.1/24     

 connection.autoconnect yes


四、激活team0

# nmcli connection up team-slave-eth1   #激活从设备eth1

# nmcli connection up team-slave-eth2   #激活从设备eth2

# nmcli connection up team0            #激活主设备team0     


五、验证

# teamdctl team0 state    #专用于查看team信息

setup:

  runner: activebackup

ports:

  eth1

    link watches:

      link summary: up             

      instance[link_watch_0]:

        name: ethtool

        link: up                #状态已激活

  eth2

    link watches:

      link summary: up

      instance[link_watch_0]:

        name: ethtool

        link: up                #状态已激活

runner:

  active port: eth1        #指定活跃网卡为eth1



注意:前面有输入错误的地方不要重新输一遍正确的,不会覆盖,最好删除网卡组成员

删除命令:

# nmcli connection delete team-slave-eth1 

# nmcli connection delete team-slave-eth2

# nmcli connection delete team0


在客户端desktop虚拟机上按照server0重新配置一遍,配置IP地址为192.168.1.2/24    

都配置完后可以Ping验证  

若将其中一个网卡eth1或eth2端口关闭,命令:ifconfig eth1/eth2 down也会ping通,因为有备份,两个都关闭则ping失败


-------------------------------------------------------------------------------------------

 配置IPv6地址

IPv6 地址表示

– 128个二进制位,冒号分隔的十六进制数

– 每段内连续的前置 0 可省略、连续的多个 : 可简化为 ::


# nmcli connection modify ‘System eth0‘ 

ipv6.method manual 

ipv6.addresses 2003:ac18::305/64 

connection.autoconnect yes


# nmcli connection up ‘System eth0‘


# ifconfig eth0


# ping6  2003:ac18::305


-------------------------------------------------------------------------------------------

alias别名设置

查看已设置的别名

– alias [别名名称]

定义新的别名

– alias 别名名称= ‘实际执行的命令行‘

取消已设置的别名

– unalias [别名名称]




用户个性化配置文件

影响指定用户的 bash 解释环境

– ~/.bashrc,每次开启 bash 终端时生效


全局环境配置

影响所有用户的 bash 解释环境

– /etc/bashrc,每次开启 bash 终端时生效


[[email protected] ~]# vim /root/.bashrc      #影响root文件

.. ..

    alias hello=‘echo hello‘  


[[email protected] ~]# vim /home/student/.bashrc #影响student文件

.. ..

    alias hi=‘echo hi‘

  

[[email protected] ~]# vim /etc/bashrc    #全局配置文件        

.. ..

    alias haha=‘echo xixi‘


 退出远程登陆,重新远程server0验证

[[email protected] ~]# hello        #成功

[[email protected] ~]# hi           #失败

[[email protected] ~]# haha         #成功

[[email protected] ~]# su - student

[[email protected] ~]$ hello      #失败

[[email protected] ~]$ hi    #成功

[[email protected] ~]$ haha       #成功

[[email protected] ~]$ exit

-------------------------------------------------------------------------------------------

防火墙策略管理(firewall)


 一、搭建基本Web服务

利用服务端的软件(httpd)为客户端提供Web服务


  服务端:  httpd(软件)由Apache组织开发

  1.server0上安装httpd软件

  2.server0启动httpd服务,设置开机自起

    默认情况下:Apache没有提供任何页面

虚拟机登陆firefox页面必须将真机的所有firefox页面程序关闭


    默认Apache网页文件存放路径:/var/www/html

    默认Apache网页文件名称:index.html


[[email protected] ~]# yum -y install httpd    #安装软件

[[email protected] ~]# systemctl restart httpd  #设置开机自启

[[email protected] ~]# systemctl enable httpd


[[email protected] ~]# vim /var/www/html/index.html  #进入编辑页面


 <marquee><font color=green><h1>My First Web   

#字体滚动,字体颜色,字体大小后面输入页面显示内容



[[email protected] ~]# firefox 172.25.0.11

前面没写服务就默认http服务



二、FTP服务的搭建    ftp:文件传输协议

  服务端:  vsftpd(软件)

  1.server0上安装 vsftpd软件

  2.server0启动 vsftpd服务,设置开机自起

     默认共享的位置:/var/ftp


可以创建文档文件:

e.g:

[[email protected] ~]# touch /var/ftp/1.txt

[[email protected] ~]# touch /var/ftp/2.txt


测试

[[email protected] ~]# firefox ftp://172.25.0.11


   

-------------------------------------------------------------------------------------------

 防火墙策略管理(firewall)


 作用:隔离外网和内网

       阻止外网(WAN)入站,允许内网(LAN)出站


  系统服务:firewalld

  管理工具:firewall-cmd(命令)、firewall-config(图形)


 查看防火墙服务状态

[[email protected] ~]# systemctl status firewalld.service



根据所在的网络场所区分,预设保护规则集

– public(默认的区域):仅允许访问本机的sshd等少数几个服务

– trusted:允许任何访问

– block:拒绝任何来访请求(客户端请求会回应并拒绝)

– drop:丢弃任何来访的数据包(直接拒绝没有任何回应)


 防火墙判断的规则:匹配及停止

  1.首先看请求(客户端)当中的源IP地址,所有区域中是否有对于该IP地址的策略,如果有则该请求进入该区域

  2.进入默认区域



虚拟机desktop0:

# firefox http://172.25.0.11  #访问失败,因为没有添加http服务

# firefox ftp://172.25.0.11   #访问失败,因为没有添加ftp服务

虚拟机server0:

# firewall-cmd --get-default-zone       #查看默认区域为public

# firewall-cmd --zone=public --list-all #查看区域规则信息

public (default, active)

  interfaces: eth0 eth1 eth2 team0

  sources: 

  services: dhcpv6-client ssh    #支持的服务

  ports: 

  masquerade: no

  forward-ports: 

  icmp-blocks: 

  rich rules: 

# firewall-cmd --zone=public --add-service=http #添加服务

# firewall-cmd --zone=public --list-all   #查看区域规则信息

public (default, active)

  interfaces: eth0 eth1 eth2 team0

  sources: 

  services: dhcpv6-client http ssh   #已添加http服务

  ports: 

  masquerade: no

  forward-ports: 

  icmp-blocks: 

  rich rules: 

虚拟机desktop0:

# firefox http://172.25.0.11  #访问成功

# firefox ftp://172.25.0.11   #访问失败

虚拟机server0:

# firewall-cmd --zone=public --add-service=ftp

# firewall-cmd --zone=public --list-all 

public (default, active)

  interfaces: eth0 eth1 eth2 team0

  sources: 

  services: dhcpv6-client ftp http ssh

  ports: 

  masquerade: no

  forward-ports: 

  icmp-blocks: 

  rich rules: 

虚拟机desktop0:

# firefox ftp://172.25.0.11   #访问成功

-------------------------------------------------------------------------------------------

  --permanent选项:实现永久设置


虚拟机server0:


# firewall-cmd --reload   #重新加载防火墙,关闭之前添加的服务

# firewall-cmd --zone=public --list-all  #重新后之前设置的服务会消失 


# firewall-cmd --permanent --zone=public  --add-service=ftp

# firewall-cmd --permanent --zone=public --add-service=http


# firewall-cmd --reload   #重新加载防火墙

# firewall-cmd --zone=public --list-all 


-------------------------------------------------------------------------------------------

 修改默认的区域,不需要加上--permanent


虚拟机desktop0:

# ping 172.25.0.11     #可以通信

虚拟机server0:

# firewall-cmd --set-default-zone=block   #修改默认区域为block

# firewall-cmd --get-default-zone         #查看默认区域


虚拟机desktop0:

# ping 172.25.0.11   #不可以通信


虚拟机server0:

# firewall-cmd --set-default-zone=drop    #修改默认区域为drop

# firewall-cmd --get-default-zone

虚拟机desktop0:

# ping 172.25.0.11   #通信无反馈


-------------------------------------------------------------------------------------------

虚拟机server0: 

# firewall-cmd --permanent --zone=public --add-source=172.25.0.10    #添加客户端desktop源IP


# firewall-cmd --zone=public --list-all 

# firewall-cmd --reload 

# firewall-cmd --zone=public --list-all


虚拟机desktop0:

# firefox http://172.25.0.11


-------------------------------------------------------------------------------------------

实现本机的端口映射

本地应用的端口重定向(端口1 --> 端口2)

– 从客户机访问 端口1 的请求,自动映射到本机 端口2

– 比如,访问以下两个地址可以看到相同的页面:


虚拟机desktop0:

# firefox http://172.25.0.11:5423-------》172.25.0.11:80


虚拟机server0: 

# firewall-cmd --permanent --zone=public 

--add-forward-port=port=5423:proto=tcp:toport=80 


# firewall-cmd --reload 


# firewall-cmd --zone=public --list-all



虚拟机desktop0: 

# firefox http://172.25.0.11:5423









以上是关于linux管理员技术-01 -SElinux配置高级连接防火墙管理策略的主要内容,如果未能解决你的问题,请参考以下文章

linux笔记_第一天_开课介绍vmvare的使用入门(01)_recv

Linux云计算体系-目录汇总-目录入口

Linux命令-01

精通Linux系列Linux用户管理与组管理详解,让自己的操作系统自己管理

linux系统管理01

01 Linux档案与目录管理