Linux操作系统

第11讲SElinux管理（SELinux的上下文，端口号，布尔值）

1 Linux系统的安全机制分为四层
(1)Filesystem：chmod, chown, setfacl 基于文件系统的保障用户安全性操作
(2)Service：vim /etc/*.conf 服务 配置文件
(3)Firewall： firewall-cmd … 防火墙
(4)SELinux：vim /etc/selinux/config(fcontext,port,setsebool)
注意：root用户是凌驾于Filesystem权限之上的，但如果开启了SELinux，不是针对用户是否具有权限能访问文件或目录了，而是针对进程，是否有权限访问特定的文件目录。变相加强了安全性。
3 SElinux的配置文件
vim /etc/selinux/config
两个参数
(1)SELINUX=enforcing //设置SELINUX的状态(或工作模式)
SELINUX的三种工作模式：
enforcing - SELinux security policy is enforced. //强制，即监控也干预（如果fcontext不一致，则不允许访问）
permissive - SELinux prints warnings instead of enforcing. //允许（警告），即只监控，不干预
disabled - No SELinux policy is loaded. //关闭
(2)SELINUXTYPE=targeted //设置SELINUX对系统的管理范围，一般不进行设置
#targeted -Targeted processes are protected.
//对大部分网络服务进行管制，缺省值
#minimum - Modification of targeted policy. Only selected processes are protected. //仅对选定的网络服务进行管制，一般不使用
#mls - Multi Level Security protection.//多级别安全，它会对Linux系统中所有的选项生效，会占用系统40%的性能，一般不使用
4 查看和设置SElinux工作模式的方法
(1)查看SElinux工作模式
getenforce


(2)设置SElinux工作模式
方法一：命令方式修改（仅本次有效，重启无效）
setenforce 0
getenforce
setenforce 1
Getenforce

方法二：修改配置文件/etc/selinux/config


SELINUX=enforcing按照提示修改值
重启系统测试

重启后永久生效

第11讲续 防火墙firewalld管理（规则，服务，端口，重载）
使用系统防火墙和SELinux规划来控制与服务的网络连接
使用防火墙规则来接受或拒绝与系统服务的网络连接
通过管理SELinux端口标签来控制网络服务是否可以使用特定的网络端口

1.管理服务器防火墙
RHEL7之前防火墙使用的是iptables，RHEL8使用的是firewalld
不管是iptables，还是firewalled，都是借助于Linux内核中包含的netfilter组件（可以实现数据包过滤、网络地址转换和端口转换）
nftables是Linux内核中包含的一个增强型的netfilter，包含了netfilter的功能，具有过滤器和数据包分类的功能
firewalld是一个动态防火墙管理器，是一种改进的iptables，它是nftables框架的前端（使用nft命令）

[root@servera ~]# systemctl status firewalld.service //看到servera上的防火墙默认是开启的running
stop
start
restart
enable设置为开机自启动