SELinux與防火墻如何配合

SELinux與防火墻（以firewalld為例）的配合機制及實踐
SELinux（強制訪問控制）與防火墻（網絡層訪問控制）是Linux系統中互補的安全組件，二者配合可實現“網絡層攔截+系統層管控”的多層防御體系。其中，防火墻負責過濾外部網絡流量（如允許/拒絕特定端口、IP的訪問），SELinux則進一步限制進程對系統資源（文件、端口、設備等）的訪問權限，防止內部進程越權操作或提權攻擊。

一、基礎準備：確保兩者均處于有效狀態

1. SELinux配置

   • 檢查SELinux狀態：使用sestatus命令確認是否啟用（enabled）及當前模式（Enforcing/Permissive/Disabled）。
   • 設置為Enforcing模式：編輯/etc/selinux/config文件，將SELINUX=的值改為enforcing，保存后重啟系統使配置生效（sudo reboot）。
   • 關鍵命令：setenforce 1（臨時切換至Enforcing模式，重啟失效）；setenforce 0（臨時切換至Permissive模式，用于調試）。

2. 防火墻配置

   • 啟動并啟用firewalld：使用systemctl start firewalld啟動服務，systemctl enable firewalld設置開機自啟。
   • 驗證狀態：firewall-cmd --state應返回running。

二、核心配合步驟：策略與規則的協同

1. 配置firewalld基礎規則

通過firewalld開放服務或端口（如HTTP、HTTPS），作為第一層網絡訪問控制。常用命令：

• 開放服務（自動關聯端口）：sudo firewall-cmd --permanent --add-service=http（HTTP服務，默認端口80）；sudo firewall-cmd --permanent --add-service=https（HTTPS服務，默認端口443）。
• 開放自定義端口：sudo firewall-cmd --permanent --add-port=8080/tcp（開放TCP 8080端口）。
• 重載配置：sudo firewall-cmd --reload（使永久規則生效）。

2. 調整SELinux上下文匹配firewalld規則

若firewalld開放了某端口（如8080），需確保對應服務的SELinux上下文允許其使用該端口。例如，若要將Nginx綁定到8080端口（默認僅允許80/443），需執行：

• 查看當前端口SELinux上下文：semanage port -l | grep http（默認HTTP端口為80/tcp、443/tcp）。
• 添加自定義端口到SELinux策略：sudo semanage port -a -t http_port_t -p tcp 8080（將TCP 8080端口標記為http_port_t類型，允許HTTP服務使用）。
• 驗證：semanage port -l | grep 8080應顯示http_port_t。

3. 針對特殊場景創建自定義SELinux策略

若firewalld放行的流量被SELinux攔截（可通過/var/log/audit/audit.log查看AVC拒絕日志），需生成并加載自定義SELinux策略。例如：

• 分析拒絕日志：使用ausearch -m avc -ts recent查看最近的SELinux拒絕事件，或通過audit2why工具解析原因（sudo ausearch -c 'httpd' --raw | audit2why）。
• 生成策略模塊：sudo ausearch -c 'httpd' --raw | audit2allow -M my_httpd_policy（根據日志生成名為my_httpd_policy的策略模塊）。
• 加載策略：sudo semodule -i my_httpd_policy.pp（將策略模塊加載到SELinux中）。

三、高級配合：富規則與SELinux的協同

firewalld的“富規則”（Rich Rules）可實現更精細的網絡控制（如限制特定IP訪問某端口），結合SELinux可進一步提升安全性。例如：

• 限制僅內部IP訪問SSH端口（22/tcp），并通過SELinux限制SSH進程的權限：
  1. firewalld配置：sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="22" protocol="tcp" accept'（僅允許192.168.1.0/24網段訪問SSH）。
  2. SELinux配置：若需限制SSH進程僅能讀取特定目錄（如/var/ssh_data），可使用semanage fcontext設置上下文：sudo semanage fcontext -a -t ssh_home_t "/var/ssh_data(/.*)?"，然后通過restorecon -Rv /var/ssh_data應用上下文。

四、監控與維護：確保配合有效性

1. 日志分析

   • SELinux日志：/var/log/audit/audit.log（記錄SELinux拒絕事件），使用grep AVC /var/log/audit/audit.log篩選拒絕信息。
   • firewalld日志：默認集成到系統日志（journalctl -u firewalld），或通過firewall-cmd --get-log-denied開啟詳細拒絕日志。

2. 定期驗證

   • 測試firewalld規則：使用nmap -p 80,443 <服務器IP>驗證端口是否開放。
   • 測試SELinux策略：使用sealert -a /var/log/audit/audit.log查看SELinux警報詳情，確認無未處理的拒絕事件。

通過上述步驟，SELinux與防火墻可實現“網絡層過濾+系統層管控”的協同防御，有效降低系統遭受外部攻擊和內部濫用的風險。需注意的是，配置過程中應遵循“最小權限原則”，僅開放必要的服務和端口，并定期更新SELinux策略以適應系統變化。