笔记 | 网站安全

晓松

职位：运维开发工程师
技能：熟练Centos系统操作、管理和维护
技能：熟悉 MySQL 数据库基本使用方法
技能：熟练 SHELL 脚本的编写
技能：熟悉 LNMP 平台相关技术配置和管理
技能：熟悉 ZABBIX 监控系统的配置和使用
技能：熟悉 Prometheus 监控系统的安装配置和使用
技能：熟悉 ansible 自动化运维工具
技能：了解 HTML,CSS,JavaScript前端页面基本编写
技能：熟悉 WAF 应用防火墙的使用和配置
技能：熟悉 Linux7 firewall 防火墙的使用
技能：熟悉阿里云平台的使用
技能：熟悉Docker虚拟化技术
技能：熟悉 Redis、MongoDB NoSQL数据库使用

### firewalld服务基础

#### RHEL7&8的防火墙体系

系统服务：firewalld
管理工具：firewall-cmd 、 firewall-config

```shell
# 检查firewall是否开启，没有开启则启动
systemctl status firewalld || systemctl start firewalld
```

#### 预设安全区域

根据所在的网络场所区分，预设保护规则集

- public: 仅允许访问本机的sshd等少数几个服务
- trusted: 允许任何访问
- block: 阻塞任何来访请求
- drop: 丢弃任何来访的数据包
- ... ...

![firewall 防火墙](/media/images/editor/operation/firewalld_01_20201117181832019466.png "firewall 防火墙")

配置规则的位置

- 运行时(runtime)
- 永久(permanent)

#### 查看防火墙规则列表

列表查看操作

- firewall-cmd \-\-list-all [\-\-zone=区域名]
- firewall-cmd \-\-list-all
- firewall-cmd \-\-get-zones
- firewall-cmd \-\-get-services
- firewall-cmd \-\-get-default-zone

```
[root@testserver ~]# firewall-cmd --get-zones
block dmz drop external home internal public trusted work
[root@testserver ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33
  sources:
  services: dhcpv6-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
```

### 配置防火墙

#### 指定默认的安全区域

使用\-\-set-default-zone=区域名

- 默认为 public ，限制较严格
- 对于**开放式环境**，建议将默认区域修改为 trusted
- 针对 “运行时/永久配置” 均有效

```BASH
# 检查当前区域
firewall-cmd --get-default-zone
# 更改区域为 public
firewall-cmd --set-default-zone=public
```

#### 封网段、开服务

若针对 “永久配置” ，需添加 --permanent

- 使用 \-\-add-source=网段地址
- 使用 \-\-add-service=服务名

示例

- 允许访问

```shell
# 允许80端口所有地址访问
firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address=0.0.0.0/0 port port="80" protocol="tcp" accept'

# 允许443端口所有地址访问
firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address=0.0.0.0/0 port port="443" protocol="tcp" accept'

# 只允许192.168.119.0 网段访问数据库
firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address=192.168.119.0/24 port port="3306" protocol="tcp" accept'

# 重新加载firewall使配置生效
firewall-cmd --reload
```

- 禁止访问

```shell
# 阻止 192.168.92.0 网段访问 80 端口
firewall-cmd --permanent --zone=block --add-rich-rule='rule family="ipv4" source address=192.168.92.0/24 port port="80" protocol="tcp" accept'
firewall-cmd --reload
```

- 删除规则

```BASH
# 删除 192.168.92.0 网段访问 80 端口
firewall-cmd --permanent --zone=block --delete-rich-rule='rule family="ipv4" source address=192.168.92.0/24 port port="80" protocol="tcp" accept'
firewall-cmd --reload
```

#### 实现本机的端口映射

本地应用的端口重定向 (端口1 --> 端口2)

- 从客户机访问 端口1 的请求，自动映射到本机的 端口2

```shell
# 将访问本机的80端口转发到8080端口
firewall-cmd --permanent --add-forward-port=port=80:proto=tcp:toport=8080
```

晓松

firewalld 防火墙策略 firewalld 防火墙策略配置

firewalld 防火墙策略

firewalld 防火墙策略配置