RH134学习进程——十一.管理网络安全

十一.管理网络安全

1.管理服务器防火墙

1.1防火墙架构概念（netfilter框架）

        防火墙是网络安全的关键组件，用于隔离不同信任级别的网络区域（如内部网络和外部互联网），通过制定规则来控制流量的进出，实现网络安全隔离；

        Linux 内核的 netfilter 框架用于实现数据包过滤、网络地址转换（NAT）、端口转换等功能；

核心机制：hook点

        它在 Linux 网络协议栈中预设了多个拦截点（hook），比如数据包进入网卡接口时、路由决策前后、数据包离开服务器时等。当数据包流经这些 hook 点时，会触发预先定义的规则（如防火墙策略），从而实现对流量的 “拦截 – 检查 – 放行 / 拒绝” 操作。

作用：

        所有 Linux 防火墙工具的底层支撑，所有网络流量的控制逻辑最终都依赖 netfilter 框架来执行。

1.2nftables框架

        nftables框架是基于 netfilter 构建的新一代数据包分类与规则管理框架，在 RHEL 9 等现代 Linux 发行版中取代了老旧的 iptables，成为防火墙规则的核心实现。

优势：

迁移兼容性：

        为了平滑过渡，系统提供 iptables-translate 和 ip6tables-translate 工具，可将旧的 iptables 配置文件自动转换为 nftables 格式的配置，降低迁移成本。

1.3 firewalld

1.3.1 firewalld简介

        firewalld 是基于 nftables的防火墙管理器，简化了防火墙的管理，让防火墙配置更简单。

        firewalld的底层在 RHEL 9 及以后依赖 nftables，但对用户来说无需关注底层细节，只需通过firewalld 的逻辑（zone、服务）配置即可。

1.3.2 zone概念

        firewalld引入了zone（区域）的概念，每个zone都是一组预定义的规则，根据数据包的源IP或传入网络接口，将流量分类到不同的zone，并应用相应规则；

        zone 是一组预定义的防火墙规则集合，每个 zone 对应不同的 “信任级别”。例如，对完全可信的内部网络，可使用 trusted zone（允许所有流量）；对不可信的公网，可使用 public zone（仅允许少数必要服务，如 SSH）。

1.3.2.1常规匹配：

（1）源IP匹配

        服务器有trusted zone； 源IP：192.168.1.100

        此时，来自 192.168.1.100 的所有流量，都会应用 trusted zone 的规则

（2）网络接口匹配

        服务器网卡：ens33；绑定到public zone

        所有从 ens33 接口进入的流量（无论源 IP），都会应用 public zone 的规则

1.3.2.2默认zone兜底

        如果流量的源 IP 没绑定 zone，网络接口也没关联 zone，就会匹配默认 zone（firewalld 默认是 public zone）。

        比如服务器有一个新网卡 ens34 未关联任何 zone，那么从 ens34 进入的流量会自动应用 public zone 的规则。

1.3.3核心流程：

1.4预定义zone

        预定义 zone 是 firewalld 内置的一组预先配置好的 “区域 – 规则集合”，每个 zone 对应不同的信任级别和流量控制策略。管理员可直接使用这些预定义 zone，也可基于它们进行自定义修改，从而快速搭建防火墙策略。

        通过将网络流量按“信任级别”（如“完全可信的内部网络”“不可信的公网”）归类到不同预定义 zone，简化防火墙规则的配置逻辑 —— 无需从零开始编写规则，只需选择合适的 zone 并微调即可。

预定义zone规则详解

1.5预定义服务

        预定义服务是 firewalld 内置“网络服务 – 端口 / 协议映射集合”。它将常见网络服务（如 SSH、DNS、文件共享）与对应的端口、协议（TCP/UDP）预先关联，让管理员无需记忆复杂的端口号，只需通过 “服务名称” 即可快速配置防火墙规则。

常见预定义服务

列出预定义服务：

        firewall-cmd –get-services

如：

        预定义服务的配置文件位置——/usr/lib/firewalld/services

        文件的格式由firewalld.zone（5）定义（官方文档，定义规则与约束）

1.7从命令行配置防火墙

1.7.1概念

        firewall-cmd 命令会与firewalld进行交互，所有防火墙的规则配置、zone 管理、服务启用等操作，都可通过它完成。

防火墙配置：

（1）runtime 配置：

        临时生效的规则，服务器重启或 firewalld 服务重启后会丢失。

（2）permanent 配置：

        永久生效的规则，需通过 firewall-cmd –reload 加载后才能在 runtime 中生效。

选项：

        –zone=ZONE：

        用于指定命令作用的区域（zone），若不指定则默认作用于 “默认 zone”（通常是 public）。

        如果需要子网掩码，使用CIDR表示法，如192.168.1/24；

firewalld 配置架构图解：

1.7.2常见命令

1.7.3标准操作步骤

（1）查看默认的zone

        firewall-cmd –get-default-zone

（2）设置默认zone

        firewall-cmd –set-default-zone=目标zone

（2）选择类型（临时/永久），添加服务，  在防火墙中永久放行“服务”

        firewall-cmd –permanent \\

        —service=服务

（3）重置防火墙配置

        firewall-cmd –reload

（4）验证永久配置是否存储成功

        firewall-cmd –permanent –list-services \\

        –list-all

        观察列出的zone所有规则是否有之前添加的内容。

完成配置后应进行完整的验证：

2.控制SELinux端口标记

2.1SELinux端口标记

        SELinux（安全增强型 Linux）是 Linux 系统的强制访问控制（MAC）安全机制。

        其中，“端口标记” 是 SELinux 控制网络流量的核心手段之一，它为每个网络端口（如 22/TCP、80/TCP）分配一个专属的安全标签（如 ssh_port_t、http_port_t），并通过策略规则限制 “哪些进程可以绑定哪些带标签的端口”。

工作机制：

        当一个进程（如 SSH 服务、Web 服务）想要监听某个网络端口时，SELinux 会执行以下校验逻辑：

（1）进程的安全标签：

        每个进程运行时会被赋予一个 SELinux 标签（如 SSH 进程的标签是 sshd_t）。

（2）端口的安全标签：

        每个端口被标记为特定标签（如 22/TCP 是 ssh_port_t，80/TCP 是 http_port_t）。

（3）策略规则校验：

        SELinux 会检查 “进程标签是否被允许绑定该端口标签”。只有策略明确允许的组合（如 sshd_t 绑定 ssh_port_t），进程才能成功监听端口；否则，SELinux 会拦截操作并记录拒绝日志。

2.2列出端口标签

        如果在非标准端口上运行服务，SELinux会拦截此流量，必须更新SELinux端口标签

（1）获取所有当前端口标签分配信息；

        semanage port -l

（2）通过服务名称过滤SELinux端口标签

        semanage port -l | grep 服务名

如：

        semanage port -l | grep http

（3）使用端口号过滤SELinux端口标签

        semanage port -l | grep -w 端口号

如：

        semanage port -l | grep -w 80

2.3管理端口标签

        使用semanage命令可以分配新端口标签、删除端口标签或修改现有端口标签；

选项：

        -a：添加

        -d：删除

        -m：修改

        -t：类型

        -p：协议

        -C：查看对默认策略的修改

2.4删除端口标签

        删除自定义端口标签的语法和添加标签语法相同，使用-d选项；

如：

        semanage port -d -t gopher_port_t -p tcp 71

验证：

        semanage port -l | grep -w 71

        无输出则已经删除标签。

        删除失败，该端口未绑定，无法删除不存在标签。

2.5修改端口标签

        使用-m选项更改端口绑定，比删除旧的添加新的端口标签更高效；

如：

        semanage port -m -t http_port_t -p tcp 71

验证：

        semanage port -l | grep -w 71

        修改成功。

2.6实例

        访问网址失败，在Web服务器主机上配置防火墙和SELinux设置

（1）访问服务器

        curl http://服务器IP:30080

（2）调查失败原因

检查服务状态：

        systemctl status httpd（服务）

重启服务：

        systemctl restart httpd

失败，调查原因

        systemctl status httpd.service

        SELinux限制导致无法绑定端口

（3）调整SELinux配置

查找端口正确的类型：

        semanage port -l | grep “http”

为要求的端口分配类型

        semanage port  -a -t http_port_t -p tcp 30080 （端口）

重启服务

        systemctl restart httpd.service

（4）验证

        systemctl status httpd

或

        curl http://服务器IP:30080

（5）对防火墙设置做出相应调整

添加端口到public区域：

        firewall-cmd –add-port=端口/协议 \\

        –zone=public \\

        –permanent

重启防火墙配置：

验证public区域的开放端口：

        firewall-cmd –zone=public –list-ports –permanent