Ubuntu SELinux如何配置防火墙规则 - 问答

Ubuntu默认安全机制与SELinux的关系
Ubuntu的默认安全增强工具是AppArmor，而非SELinux（Security-Enhanced Linux）。SELinux是一个内核级强制访问控制（MAC）模块，需手动安装配置，用于提供更细粒度的资源访问限制。若需同时使用SELinux与防火墙（Ubuntu默认使用ufw），需分别配置两者并注意兼容性。

一、SELinux配置步骤

1. 安装SELinux相关包

通过APT安装SELinux基础工具、策略及审计工具：

sudo apt update
sudo apt install selinux-basics selinux-policy-default auditd setools setools-gui selinux-policy-dev

2. 激活SELinux

运行以下命令激活SELinux（需重启系统使更改生效）：

sudo selinux-activate

3. 设置SELinux模式

SELinux有三种运行模式，可通过setenforce临时调整或修改配置文件永久生效：

Permissive（宽容模式）：仅记录拒绝操作，不强制执行（适合调试）；
Enforcing（强制模式）：强制执行策略，拒绝未授权操作（生产环境推荐）；
Disabled（禁用模式）：完全关闭SELinux。

临时切换模式：

sudo setenforce 0  # 切换至Permissive模式
sudo setenforce 1  # 切换至Enforcing模式

永久修改模式：编辑/etc/selinux/config文件，将SELINUX=行改为对应值（如SELINUX=enforcing），然后重启系统。

二、Ubuntu防火墙（ufw）配置步骤

1. 安装ufw

Ubuntu默认未安装ufw，需通过APT安装：

sudo apt update
sudo apt install ufw

2. 启用ufw

启用ufw以启动防火墙保护：

sudo ufw enable

3. 配置基本规则

设置默认策略：默认拒绝所有传入连接，允许所有传出连接（增强安全性）：
```
sudo ufw default deny incoming
sudo ufw default allow outgoing
```

允许特定端口：如允许SSH（22/tcp）、HTTP（80/tcp）、HTTPS（443/tcp）：

sudo ufw allow 22/tcp    # 允许SSH
sudo ufw allow 80/tcp    # 允许HTTP
sudo ufw allow 443/tcp   # 允许HTTPS

允许特定IP或网段：如允许192.168.1.100或192.168.1.0/24网段访问所有端口：
```
sudo ufw allow from 192.168.1.100
sudo ufw allow from 192.168.1.0/24
```
删除规则：如删除允许SSH的规则：
```
sudo ufw delete allow 22/tcp
```

4. 查看与管理规则

查看ufw状态：显示当前规则及状态（verbose模式显示详细信息）：
```
sudo ufw status
sudo ufw status verbose
```
禁用ufw：如需临时关闭防火墙：
```
sudo ufw disable
```

三、SELinux与ufw的兼容性注意事项

避免策略冲突：ufw基于iptables管理网络流量，SELinux通过安全上下文（如port_t）控制进程对端口的访问。配置ufw规则时，需确保SELinux允许对应服务访问网络（如允许Apache访问80端口，需确认SELinux中http_port_t包含80端口）。
调整SELinux端口标签：若ufw放行了某端口（如8080），但SELinux阻止进程访问，需通过semanage将端口添加至对应SELinux类型：
```
sudo semanage port -a -t http_port_t -p tcp 8080  # 将8080/tcp添加至http_port_t类型
```

查看SELinux拒绝日志：若出现访问问题，可通过以下命令查看SELinux拒绝日志，并使用audit2allow生成自定义策略：

sudo ausearch -m avc -ts recent  # 查找最近的SELinux拒绝事件
sudo audit2allow -M my-custom-policy  # 生成自定义策略模块
sudo semodule -i my-custom-policy.pp  # 加载自定义策略

通过以上步骤，可在Ubuntu系统中完成SELinux与ufw的配置，实现内核级强制访问控制与网络层流量过滤的双重安全保障。需根据实际需求调整规则，平衡安全性与可用性。

0 赞

0 踩