Linux基础 - 系统安全（SELinux与Firewalld）_selinux firewalld(2)

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以添加戳这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

Enforcing

**永久配置**

[root@wangwu ~]# cat /etc/sysconfig/selinux

This file controls the state of SELinux on the system.

… … …

SELINUX=enforcing

… … …

SELINUXTYPE=targeted

[root@wangwu ~]# sed -i ‘s/SELINUX=enforcing/SELINUX=disabled/g’ /etc/sysconfig/selinux

[root@wangwu ~]# cat /etc/sysconfig/selinux

This file controls the state of SELinux on the system.

… … …

SELINUX=disabled

… … …

SELINUXTYPE=targeted

[root@wangwu ~]# reboot

[root@wangwu ~]# getenforce

Disabled

## 三、Firewalld概述


        RHEL 7系统中集成了多款防火墙管理工具，其中firewalld全称“Dynamic Firewall Manager of Linux systems”，是Linux系统的动态防火墙管理器，服务是默认的防火墙配置管理工具，它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。



## 四、防火墙体系


### 1、介绍


系统服务:firewalld


管理工具:firewall-cmd、firewall-config



![](https://img-blog.csdnimg.cn/93e54bbf0e364e69b4a2c5ff01ed254d.png)



### 2、预设安全区域


#### 1）根据所在的网络场所区分，预设保护规则集




|  |  |
| --- | --- |
| 区域 | 描述 |
| block（限制） | 任何接收的网络连接都被IPv4的icmp-host-prohibited信息和IPv6的icmp6-adm- prohibited 信息所拒绝 |
| dmz（非军事区） | 用于非军事区内的电脑，此区域内可公开访问，可以有限地逬入您的内部网络，仅仅接收经过选择的连接 |
| drop（丟弃） | 任何接收的网络数据包都被丟弃，没有任何回复，仅能有发送出去的网络连接 |
| external（外部） | 特别是为路由器启用了伪装功能的外部网，您不能信任来自网络的其他计算，不能相信它们不会对您的计算机造成危害，只能接收经过选择的连接 |
| home（家庭） | 用于家庭网络，您可以基本信任网络内的其他计算机不会危害您的计算机，仅仅接收经过选择的连接 |
| internal（内部） | 用于内部网络，您可以基本上信任网络内的其他计算机不会威胁您的计算机，仅仅接受经过选择的连接 |
| public（公共） | 在公共区域内使用，不能相信网络内的其他计算机不会对您的计算机造成危害，只能接收经过选取的连接 |
| trusted（信任） | 可接受所有的网络连接 |
| work（工作） | 用于工作区，您可以基本相信网络内的其他电脑不会危害您的电脑，仅仅接收经过选择的连接 |



#### 2）配置规则的位置


运行时(runtime)


永久(permanent)



### 3、查看防火墙规则列表


#### 1）命令


firewall-cmd --list-all #显示当前区域的网卡配置参数、资源、端口以及服务等信息


firewall-cmd --list-all-zones #显示所有区域的网卡配置参数、资源、端口以及服务等信息


firewall-cmd --list-all [--zone=区域名] #显示指定区域的网卡配置参数、资源、端口以及服务等信息


firewall-cmd --get-zones #查询默认的区域名称


firewall-cmd --get-services #显示预先定义的服务


firewall-cmd --get-default-zone #查询默认的区域名称



#### 2）实例

[root@wangwu ~]# firewall-cmd --list-all

public (active)

target: default

icmp-block-inversion: no

… … …

[root@wangwu ~]# firewall-cmd --list-all-zones

block

target: %%REJECT%%

icmp-block-inversion: no

… … …

dmz

target: default

icmp-block-inversion: no

… … …

drop

target: DROP

icmp-block-inversion: no

… … …

external

target: default

icmp-block-inversion: no

… … …

home

target: default

icmp-block-inversion: no

… … …

internal

target: default

icmp-block-inversion: no

… … …

public (active)

target: default

icmp-block-inversion: no

… … …

trusted

target: ACCEPT

icmp-block-inversion: no

… … …

work

target: default

icmp-block-inversion: no

… … …

[root@wangwu ~]# firewall-cmd --list-all --zone=public

public (active)

target: default

icmp-block-inversion: no

… … …

[root@wangwu ~]# firewall-cmd --get-zones

block dmz drop external home internal public trusted work

[root@wangwu ~]# firewall-cmd --get-services

RH-Satellite-6 amanda-client … … … xmpp-server

[root@wangwu ~]# firewall-cmd --get-default-zone

public

### 4、指定默认的安全区域


#### 1）命令


使用“firewall-cmd --set-default-zone=区域名”，针对“运行时/永久配置”均有效



#### 2）实例

[root@wangwu ~]# firewall-cmd --get-default-zone #默认为public，限制较严格

public

[root@wangwu ~]# firewall-cmd --set-default-zone=trusted

success

#对于开放式环境，建议将默认区域修改为trusted

[root@wangwu ~]# firewall-cmd --get-default-zone #修改成功

trusted

### 5、管理方式


#### 1）网段管理


**命令**


firewall-cmd --permanent --zone=区域 --add-source=网段地址



**实例**

[root@wangwu ~]# firewall-cmd --permanent --zone=block --add-source=192.168.6.0/24

#添加192.168.6.0网段到限制区域（block），针对“永久配置”，需添加 --permanent

[root@wangwu ~]# firewall-cmd --reload

#在不改变状态的条件下重新加载防火墙

#### 2）服务管理


**命令**


firewall-cmd --permanent --zone=区域 --add-service=服务名





![img](https://img-blog.csdnimg.cn/img_convert/1639f7ced5a8ae9849a4f5c68ad94f0e.png)
![img](https://img-blog.csdnimg.cn/img_convert/a09a9eddab083d523e5235c79dbd4367.png)

**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**[需要这份系统化的资料的朋友，可以添加戳这里获取](https://bbs.csdn.net/topics/618668825)**


**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**

-service=服务名





[外链图片转存中...(img-j33M0PTb-1715766949823)]
[外链图片转存中...(img-h926hhvi-1715766949823)]

**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**[需要这份系统化的资料的朋友，可以添加戳这里获取](https://bbs.csdn.net/topics/618668825)**


**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**