CentOS下SELinux如何配置防火墙

在CentOS系统中，SELinux（Security-Enhanced Linux）和防火墙（Firewall）是两个不同的安全组件。SELinux提供了强制访问控制（MAC）功能，而防火墙则用于控制网络流量。下面是如何在CentOS中配置SELinux和防火墙的步骤：

SELinux配置

1. 查看SELinux状态

   sestatus
   

   这将显示SELinux的当前状态（启用或禁用）以及模式（enforcing, permissive, disabled）。

2. 临时更改SELinux模式 如果你想临时将SELinux设置为permissive模式（只记录而不阻止操作），可以使用以下命令：

   setenforce 0
   

   要恢复到enforcing模式：

   setenforce 1
   

3. 永久更改SELinux模式 编辑/etc/selinux/config文件：

   sudo vi /etc/selinux/config
   

   找到SELINUX=enforcing这一行，将其改为SELINUX=permissive或SELINUX=disabled，然后保存并退出。

4. 配置SELinux策略 SELinux策略可以通过多种方式配置，包括使用semanage工具、编辑策略文件等。例如，使用semanage添加一个端口：

   sudo semanage port -a -t http_port_t -p tcp 8080
   

防火墙配置

CentOS 7及更高版本使用firewalld作为默认的防火墙管理工具。

1. 查看防火墙状态

   sudo firewall-cmd --state
   

2. 启动防火墙

   sudo systemctl start firewalld
   

3. 设置防火墙开机自启

   sudo systemctl enable firewalld
   

4. 添加端口 要添加一个端口（例如8080端口）到防火墙规则中：

   sudo firewall-cmd --permanent --zone=public --add-port=8080/tcp
   

5. 重新加载防火墙配置 添加或修改规则后，需要重新加载防火墙配置：

   sudo firewall-cmd --reload
   

6. 查看防火墙规则

   sudo firewall-cmd --list-all
   

结合SELinux和防火墙

在某些情况下，你可能需要同时配置SELinux和防火墙以确保系统的安全性。例如，如果你开放了一个新的端口，可能需要在SELinux中添加相应的策略。

1. 查看SELinux日志

   sudo ausearch -m avc -ts recent
   

2. 生成SELinux策略模块 如果发现SELinux阻止了某些操作，可以使用audit2allow工具生成自定义策略模块：

   sudo ausearch -m avc -ts recent | audit2allow -M mypol
   sudo semodule -i mypol.pp
   

通过以上步骤，你可以在CentOS系统中有效地配置SELinux和防火墙，以提高系统的安全性。