SELinux如何配置CentOS防火墙

SELinux与CentOS防火墙（firewalld）配合配置步骤如下：

1. 检查并设置SELinux状态

   • 查看状态：sestatus
   • 临时启用：setenforce 1
   • 永久启用：编辑/etc/selinux/config，设置SELINUX=enforcing，重启生效。

2. 配置firewalld基础规则

   • 启动服务：systemctl start firewalld
   • 开放服务端口（如HTTP）：firewall-cmd --permanent --add-service=http
   • 开放自定义端口（如31415）：firewall-cmd --permanent --add-port=31415/tcp
   • 重新加载规则：firewall-cmd --reload。

3. SELinux与防火墙协同配置

   • 管理端口上下文：若需开放非标准端口，需用semanage添加SELinux端口规则，例如：
     semanage port -a -t http_port_t -p tcp 31415（需先安装policycoreutils-python）。
   • 限制服务访问：通过SELinux策略限制仅允许特定服务通过防火墙，例如禁止非授权进程访问HTTP端口。
   • 审计与验证：定期查看/var/log/audit/audit.log，使用audit2why分析SELinux拒绝记录，调整策略。

注意：配置前建议备份重要数据，生产环境需谨慎测试规则兼容性。
参考来源：