Linux Overlay 配置中的安全问题与解决方案
一 基础安全原则
- 启用并维持 SELinux 为 Enforcing，仅对确有必要的场景编写最小化的策略模块，避免直接改为 Permissive 或关闭。
- 以 最小权限 运行服务与容器：禁止直接使用 root 登录，采用 sudo 或专用的管理员账户；通过 PAM 限制 su 的使用范围。
- 强化 口令策略 与登录安全：口令长度不少于 10 位，包含大小写字母、数字与特殊字符；为 root 设置会话 TMOUT 自动注销；限制 SSH 仅密钥登录、限制来源网段、可变更默认端口。
- 做好 网络隔离与访问控制：仅开放必要端口，使用 firewalld/iptables 实施白名单策略。
- 持续 审计与更新：启用 auditd 记录关键安全事件，定期执行系统与安全组件更新。
二 存储与文件系统安全
- 容器场景优先选用 overlay2 存储驱动，并在 /etc/docker/daemon.json 中显式配置；变更后重启 Docker 生效。
- 底层 XFS 必须支持 d_type（检查命令：
xfs_info /var/lib/docker | grep ftype）；若返回不是 ftype=1，需按 mkfs.xfs -n ftype=1 <device> 重新格式化，否则可能出现权限与可见性异常。
- 确保内核支持 OverlayFS（推荐 3.10.0-514+）；必要时配置系统启动自动加载模块（示例脚本位于 /etc/sysconfig/modules/overlayfs.modules，赋予可执行权限并
modprobe overlay）。
- 运行中的实例应定期核查挂载与层级：使用
mount、findmnt 观察 OverlayFS 挂载点，排查异常挂载与权限错配。
三 容器与网络隔离
- 在 Docker 中启用并配置基于 Overlay 网络 的隔离，按业务划分 网络段 与 访问控制，仅允许必要的容器间通信。
- 为容器设置 资源限制（CPU、内存、磁盘 I/O），通过 cgroups/systemd-run 或容器运行时参数控制，防止资源耗尽导致的风险扩散。
- 对宿主机与容器之间的共享与挂载进行最小化授权，避免将敏感目录以读写方式挂载进不受信任的容器。
四 审计监控与应急响应
- 启用 auditd 对关键目录（如 /var/lib/docker、Overlay 挂载点、业务数据目录）与关键系统调用进行审计，保留可追溯记录。
- 集中采集与告警：汇总 journalctl、容器运行时日志与系统日志，对异常挂载、权限变更、策略拒绝等进行实时告警。
- 建立变更与回滚机制：对 SELinux 策略、firewalld 规则、Docker 配置与存储驱动变更实行变更单与回滚预案，变更前在测试环境验证。
- 定期 漏洞扫描与补丁：操作系统、容器运行时、内核与依赖库保持最新安全修复。
五 故障排查与临时处置
- 出现挂载或权限异常时，先检查：
- 存储驱动是否为 overlay2（
docker info | grep -i storage）；
- XFS ftype 是否为 1；
- 内核版本是否满足要求；
- lowerdir/upperdir/workdir 是否存在且权限正确。
- 若怀疑 SELinux 引起冲突，优先通过
ausearch/sealert 分析 auditd 拒绝日志并编写最小策略放行，避免长期将 SELinux 设为 Permissive 或关闭。
- 在容器网络场景，使用
docker network create -d overlay <name>、docker network inspect <name> 验证 Overlay 网络 的创建与连通性，并核查相关日志。