揭阳企业网站模板建站_我国十大b2c网站_营销网络是什么意思_昆明网站seo优化

一、selinux

1、selinux的说明

2、selinux的工作原理

主体（subject ）：就是进程

目标（object ）：被主体访问的资源，可以是文件、目录、端口等。

策略（policy ）：由于进程与文件数量庞大，因此 SELinux 会依据某些服务来制定基本的访问安全策略。

        这些策略内还会有详细的规则（rule ）来指定不同的服务开放某些资源的访问与否。目前主要的策略 有：

• targeted：针对网络服务限制较多，针对本机限制较少，是默认的策略；
• strict：完整的SELinux限制，限制方面较为严格。

安全上下文（security context）：主体能不能访问目标除了策略指定外，主体与目标的安全上下文必须一致才能够顺利访问。

最终文件的成功访问还是与文件系统的rwx权限设置有关 。

#查看文件的安全上下文
[root@localhost ~]# ls -Z
-rw-------. root root system_u:object_r:admin_home_t:s0 anaconda-ks.cfg
drwxr-xr-x. root root unconfined_u:object_r:admin_home_t:s0 home

安全上下文用冒号分为四个字段：

Identify、 role、 type

1. 身份标识（Identify）：相当于账号方面的身份标识，主要有以下三种常见的类型
   • root：表示root的账号身份；
   • system_u：表示程序方面的标识，通常就是进程；
   • unconfined_u：代表的是一般用户账号相关的身份。
2. 角色（role）：通过角色字段，可知道这个数据是属于程序、文件资源还是代表用户。一般角色 有：
   1.   object_r：代表的是文件或目录等文件资源；
   2. system_r：代表的是进程。
3. 类型（type）：在默认的targeted策略中，Identify与role字段基本上是不重要的，重要的在于这 个类型字段。而类型字段在文件与进程的定义不太相同，分别是：
   1. type  ：在文件资源上面称为类型 。
   2. domain：在主体程序中则称为域。
   3. domain需要与type搭配，则该程序才能够顺利读取文件资源。
4. 最后一个字段是和MLS和MCS相关的东西，代表灵敏度，一般用s0、s1、s2来命名，数字代表灵敏度的分级。数值越大、灵敏度越高。

[root@localhost ~]# ll -Zd /usr/sbin/httpd /var/www/html/
-rwxr-xr-x. root root system_u:object_r:httpd_exec_t:s0 /usr/sbin/httpd
drwxr-xr-x. root root system_u:object_r:httpd_sys_content_t:s0 /var/www/html/
以上两个文件的角色字段都是object_r，代表都是文件，/usr/sbin/httpd属于httpd_exec_t类
型，/var/www/html/则属于httpd_sys_content_t类型。

访问过程：

（ 1 ）首先，触发具有 httpd_exec_t 这个类型的 /usr/sbin/httpd 这个可执行文件；

（ 2 ）该文件的类型会让这个文件所造成的主体进程具有 httpd 这个域，我们的策略已经针对这个域制定了许多规则，其中包括这个域可以读取的目标资源类型；

（ 3 ）由于 httpd domain 被设置为可读取 httpd_sys_content_t 这个类型的目标文件，因此 httpd 进程就能够读取在/var/www/html/ 目录下面的文件了；

（ 4 ）最终能否读到 /var/www/html/ 目录下面的数据，还要看 rwx 是否符合 linux 权限的规范。

2、selinux的启动、关闭与查看

（1）SELinux三种模式

• enforcing：强制模式，代表SELinux正在运行中，开始限制domain/type。
• permissive：宽容模式，代表SELinux正在运行中，不过仅会有警告信息并不会实际限制domain/type的访问。
• disabled：关闭，SELinux并没有实际运行。

（2）修改安全上下文

chcon [-R] [-t type] [-u user] [-r role] 文件

-R ：连同该目录下的子目录也同时修改；

-t ：后面接安全上下文的类型字段；

-u ：后面接身份识别；

-r ：后面接角色

chcon [-R] --reference = 范例文件 文件 将文件的安全上下文按照范例文件修改

restorecon [-Rv] 文件或目录

-R ：连同子目录一起修改；

-v ：将过程显示到屏幕上

restorecon 怎么会知道每个目录记载的默认 selinux type 类型呢？因为系统将每个目录的默认

selinux type 类型记录在 /etc/selinux/targeted/contexts/ 目录内。但是该目录内有很多不同

的数据，所以我们可以用 semanage 这个命令的功能来查询与修改。

semanage ｛ login|user|port|interface|fcontext|translation ｝ -l

semanage fcontext - {a|d|m} [-frst] file_spec

-l 为查询；

-a ：增加一些目录的默认安全上下文的设置；

-m ：修改；

-d ：删除。

4、selinux对linux服务的影响

实验一：使用web服务演示安全上下文值的设定

实验二：使用web服务端口的改变来演示端口的设定

二、防火墙

1、什么是防火墙

（1）概念

（2）分类

• 拒绝让 Internet 的数据包进入主机的某些端口；
• 拒绝让某些来源ip 的数据包进入；
• 拒绝让带有某些特殊标志（flag ）的数据包进入，最常拒绝的就是带有 SYN 的主动连接的标志了；
• 分析硬件地址（MAC ）来决定连接与否

• 防火墙并不能有效阻挡病毒或木马程序。（假设主机开放了 www 服务，防火墙的设置是一定要将 www服务的 port 开放给 client 端的。假设 www 服务器软件有漏洞，或者请求 www 服务的数据包本身就是病毒的一部分时，防火墙是阻止不了的）
• 防火墙对于内部LAN 的攻击无能为力（防火墙对于内部的规则设置通常比较少，所以就很容易造成内部员工对于网络无用或滥用的情况）

2、iptables

[root@localhost ~] # yum install iptables -y

[root@localhost ~] # systemctl stop firewalld

[root@localhost ~] # systemctl start iptables

[root@server ~] # iptables -F # 清空所有的规则表，清空之后客户端可以访问 ssh 和 http 服务

语法格式： iptables -t 表名 <-A/I/D/R> 规则链名 [ 规则号 ] <-i/o 网卡名 > -p 协议名 <-s

源 IP/ 源子网 > --sport 源端口 <-d 目标 IP/ 目标子网 > --dport 目标端口 -j 动作

参数说明：

参数	说明
-t	对指定的表进行操作， table 必须是 raw ， nat ， filter ， mangle 中的一个。默认是 filter表.
-p	指定要匹配的数据包协议类型
-s	--source address[/mask][,...] ：把指定的一个或者一组地址作为源地址，按此规则进行过滤。当后面没有mask 时， address 是一个地址，比如： 192.168.1.1 ；当 mask 指定时，可以表示一组范围内的地址，比如：192.168.1.0/255.255.255.0
-d	--destination address[/mask][,...] ：地址格式同上，但这里指定地址为目的地址，按此进行过滤
-i	--in-interface name ：指定数据包的来自来自网络接口，比如最常见的 eth0 。注意：它只对 INPUT ， FORWARD ， PREROUTING 这三个链起作用。如果没有指定此选项， 说明可以来自任何一个网络接口。同前面类似，"!" 表示取反
-o	--out-interface name ：指定数据包出去的网络接口。只对 OUTPUT ， FORWARD ，POSTROUTING 三个链起作用
-L	--list [chain] 列出链 chain 上面的所有规则，如果没有指定链，列出表上所有链的所有规则
-A	--append chain rule-specification ：在指定链 chain 的末尾插入指定的规则，也就是说，这条规则会被放到最后，最后才会被执行。规则是由后面的匹配来指定
-l	--insert chain [rulenum] rule-specification ：在链 chain 中的指定位置插入一条或多条规则。如果指定的规则号是1 ，则在链的头部插入。这也是默认的情况，如果没有指定规则号
-D	--delete chain rule-specification -D, --delete chain rulenum ：在指定的链 chain 中删除一个或多个指定规则
-R num	Replays 替换 / 修改第几条规则
-P	--policy chain target ：为指定的链 chain 设置策略 target 。注意，只有内置的链才允许有策略，用户自定义的是不允许的
-F	--flush [chain] 清空指定链 chain 上面的所有规则。如果没有指定链，清空该表上所有链的所有规则
-N	--new-chain chain 用指定的名字创建一个新的链
-X	--delete-chain [chain] ：删除指定的链，这个链必须没有被其它任何规则引用，而且这条上必须没有任何规则。如果没有指定链名，则会删除该表中所有非内置的链
-E	--rename-chain old-chain new-chain ：用指定的新名字去重命名指定的链。这并不会对链内部造成任何影响
-Z	--zero [chain] ：把指定链，或者表中的所有链上的所有计数器清零
-j	--jump target < 指定目标 > ：即满足某条件时该执行什么样的动作。 target 可以是内置的目标，比如 ACCEPT ，也可以是用户自定义的链
-h	显示帮助信息

（2）实验

实验一：搭建web服务，设置任何人能够通过80端口访问。

实验二：禁止所有人ssh远程登录该服务器

实验三：禁止某个主机地址ssh远程登录该服务器，允许该主机访问服务器的web服务。服务器地址为 172.24.8.128

3、firewalld

（1）firewalld介绍