Firewalld中的whitelist并不是规则白名单

Posted 2020-08-18

原文地址：http://www.excelib.com/article/292/show

whitelist的含义

白名单跟防火墙结合在一起大家很容易将其理解为规则白名单，不过在Firewalld中whitelist却并不是规则白名单的含义。

对于一个防火墙来说，最重要的当然就是规则了，Firewalld当然也不例外，学生前面也给大家介绍了很多规则相关的配置方法，不过大家有没有意识到一个潜在的问题呢？当我们服务器中的某个服务（比如http）出现漏洞时，攻击者如果可以执行命令那么是不是就可以使用firewall-cmd工具来修改我们防火墙的规则呢？如果真是这样那么后果可想而知，攻击者不但可以开放我们原来没有开放的端口，甚至还可以搞恶作剧——将我们正常服务的端口给关闭！

Firewalld中whitelist就是来解决这个问题的，他可以限制谁能对防火墙规则进行修改，也就是说这里的whitelist其实使用用来配置可以修改防火墙规则的主体的白名单。

使用条件

在默认配置下whitelist是不启用的，我们需要将Lockdown设置为yes才可以启用，这些内容前面学生已经给大家介绍过了，另外，firewall-cmd工具也可以直接对其进行设置和查询，命令如下

1 firewall-cmd --lockdown-on
2 firewall-cmd --lockdown-off
3 firewall-cmd --query-lockdown

第一个是开启Lockdown，也就是让whitelist起作用，第二个是关闭Lockdown，第三个是查询当前Lockdown的状态。

这三个命令非常容易理解，不过他们跟学生前面给大家介绍过的其他命令有一些使用上的区别，我们看到这三个命令都没有--permanent选项，不过这并不表示他们不可以持久化保存，其实恰恰相反，在我们对Lockdown进行修改时配置文件和运行时环境会同时进行修改，也就是说当我们使用firewall-cmd命令对Lockdown的状态进行修改后首先可以立即生效、其次在重启后也不会失效。

另外，在使用--lockdown-on的时候大家要特别小心，要先看自己在不在whitelist范围内，如果不在，启用之后我们自己也不可以对防火墙进行操作了！

配置文件

whitelist的配置文件是位于/etc/firewalld目录下的lockdown-whitelist.xml文件，其结构如下

1 <whitelist>
2     [<selinux context="selinuxcontext"/>]
3     [<command name="commandline[*]"/>]
4     [<user {name="username"|id="userid"}/>]
5 </whitelist>

我们看到这里面有三个可选的配置节点：selinux、command和user，每个配置节点都可以配置多个，配置进来的就表示可以修改防火墙规则，下面学生分别来给大家介绍一下这三个配置项。

selinux

一说到selinux可能有的人就会产生畏惧心，不过这里用到的非常简单，只需要将某进程的content给设置进去就行了，具体某个进程的content大家可以使用“ps -e --context”命令来查找，找出来之后设置到context属性中就可以了。

我们可以直接编辑xml配置文件，另外也可以使用firewall-cmd命令来操作，相关命令如下

1 firewall-cmd [--permanent] --add-lockdown-whitelist-context=context
2 firewall-cmd [--permanent] --remove-lockdown-whitelist-context=context
3 firewall-cmd [--permanent] --query-lockdown-whitelist-context=context
4 firewall-cmd [--permanent] --list-lockdown-whitelist-contexts

这四个命令也非常容易理解，他们分别表示添加、删除、查询一个具体的selinuxcontenxt以及罗列出所有白名单中配置了的selinuxcontenxt，使用--permanent可以持久化保存，不使用可以立即生效。

command

通过command节点可以针对具体的command命令进行配置，配置之后此命令就可以被一般用户执行了。比如我们想将之前讲过的panic模式的开启和关闭命令开发，这样当遇到紧急情况时一般用户也可以启动panic模式，这种需求我们使用下面的配置即可

1 <whitelist>
2     <command name="/usr/bin/python /bin/firewall-cmd --panic-on"/>
3     <command name="/usr/bin/python /bin/firewall-cmd --panic-off"/>
4 </whitelist>

另外，command还可以使用通配符“*”，所以上面的配置还可以简化为

1 <whitelist>
2     <command name="/usr/bin/python /bin/firewall-cmd --panic-*"/>
3 </whitelist>

当然，command也可以使用firewall-cmd命令来操作，相关命令如下

1 firewall-cmd [--permanent] --add-lockdown-whitelist-command=command
2 firewall-cmd [--permanent] --remove-lockdown-whitelist-command=command
3 firewall-cmd [--permanent] --query-lockdown-whitelist-command=command
4 firewall-cmd [--permanent] --list-lockdown-whitelist-commands

命令的含义跟上面的selinux差不多，大家可以很容易理解，学生就不再解释了。

user

这里的user指的就是linux中的用户，通过这项可以对指定的用户开放配置权限，指定用户的方法有两种：通过userId和通过userName都可以，在默认的lockdown-whitelist.xml配置文件中就设置了id为0的user，也就是root用户

1 <whitelist>
2   ...
3   <user id="0"/>
4 </whitelist>

当然，通过name属性设置用户名也是可以的，非常简单，学生这里就不给大家举例了。user也可以使用firewall-cmd命令来操作，而且uid和name是分开操作的，所以user相关的命令一共有八个

1 firewall-cmd [--permanent] --add-lockdown-whitelist-uid=uid
2 firewall-cmd [--permanent] --remove-lockdown-whitelist-uid=uid
3 firewall-cmd [--permanent] --query-lockdown-whitelist-uid=uid
4 firewall-cmd [--permanent] --list-lockdown-whitelist-uids
5  
6 firewall-cmd [--permanent] --add-lockdown-whitelist-user=user
7 firewall-cmd [--permanent] --remove-lockdown-whitelist-user=user
8 firewall-cmd [--permanent] --query-lockdown-whitelist-user=user
9 firewall-cmd [--permanent] --list-lockdown-whitelist-users

前四个是对uid进行操作，后四个是对username进行操作，具体含义大家应该很容易理解。

特别注意

在使用whitelist的时候我们要特别注意一点，那就是whitelist只是针对规则的修改（包括添加和删除）起作用，但是不会限制查询。如果大家是使用root配置好防火墙后一般很少修改，也没有使用脚本动态修改等特殊需求的话可以直接将/bin/firewall-cmd的权限设置为750或者更低。