02SELinux和firewalld防火墙的配置与管理电子课件 Linux网络服务器配置与管理.pptx

《02SELinux和firewalld防火墙的配置与管理电子课件 Linux网络服务器配置与管理.pptx》由会员分享，可在线阅读，更多相关《02SELinux和firewalld防火墙的配置与管理电子课件 Linux网络服务器配置与管理.pptx（77页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、SELinux和firewalld防火墙的配置与管理模块2模块2 SELinux和firewalld防火墙的配置与管理通过本模块的学习，读者应达到以下职业能力目标和要求。掌握SELinux工作模式的修改。掌握SELinux策略规则的查看和修改。掌握SELinux安全上下文修改和日志辅助。掌握SELin掌握firewalld防火墙需求设置。2.1 SELinux安全子系统2.1.1 了解SELinux系统账号主要分为系统管理员（root）和一般用户，而这两种身份能否使用系统的文件资源则与rwx权限的设置有关，当某个进程想要对文件进行读或写时，系统会根据该进程的拥有者和用户组比对文件的权限，只有通

2、过权限检查，才可以读或写该文件，但是各种权限设置对root是无效的。系统管理员（root）一般用户系统账号2.1 SELinux安全子系统2.1.1 了解SELinux这种读/写文件系统的方式称为主动访问控制（discretionary access control，DAC），其存在以下缺点：（1）root具有最高权限。如果某进程被别有用心的人获取，且该进程拥有root权限，那么这个进程就可以在系统上对任何资源进行读/写操作。（2）用户可通过进程来修改文件资源的访问权限。如果将某个目录的权限设置为777，该目录就会被任何人进行读/写操作。2.1 SELinux安全子系统2.1.2主体访问目标资

3、源流程SELinux是通过MAC的方式来管理进程的，它控制的主体是进程，而目标则是该进程能否读取的文件、套接字、网络主机等资源，具体的访问流程如图2-1所示。图2-1 主体访问目标资源的流程图2.1 SELinux安全子系统2.1.3 SELinux工作模式SELinux有enforcing、permissive和disabled三种配置模式，有targeted、minimum和mls三种策略类型，三种配置模式与实际运行流程如图2-2所示。图2-2 SELinux三种配置模式与实际运行流程2.1 SELinux安全子系统2.1.3 SELinux工作模式1.SELinux的启动、关闭与查看SE

4、Linux是预先配置的，可以在不进行任何手动配置的情况下使用其功能，不过预先配置的 SELinux 很难满足所有Linux系统的安全需求。SELinux有三种配置模式，具体如下：（1）enforcing：强制启用安全策略模式，将拦截服务的不合法请求。（2）permissive：遇到服务越权访问时，只发出警告而不强制拦截。（3）disabled：对于越权的行为，不警告也不拦截。2.1 SELinux安全子系统2.1.3 SELinux工作模式1.SELinux的启动、关闭与查看SELinux有三种策略类型，具体如下：（1）targeted（2）minimum（3）mls2.1 SELinux安全

5、子系统2.1.3 SELinux工作模式1.SELinux的启动、关闭与查看SELinux有三种策略类型，具体如下：（1）targeted：使用此策略可以更加安全地共享打印服务器、文件服务器、Web服务器等服务，同时降低因访问这些服务而对系统中其他资源造成不利影响的风险，是SELinux的默认值。（2）minimum：意思是“最小限制”，该策略最初是针对低内存计算机或设备（如智能手机）而创建的。本质上minimum 和 targeted 类似，但不同之处是它仅使用基本的策略规则包，只对选择的网络服务。对于低内存设备来说，minimum 策略允许SELinux在不消耗过多资源的情况下运行。2.1

6、 SELinux安全子系统2.1.3 SELinux工作模式1.SELinux的启动、关闭与查看（3）mls：multi-level security的缩写，该策略会对系统中的所有进程进行控制，启用后，用户即使执行最简单的指令（如ls）都会报错。只有root才能进行SELinux的设置和修改，配置和策略文件位于/etc/selinux目录中，主配置文件为/etc/selinux/config文件，如图2-3所示。图2-3 查看SELinux主配置文件2.1 SELinux安全子系统2.1.3 SELinux工作模式1.SELinux的启动、关闭与查看SELINUX=enforcing为SELi

7、nux默认的工作模式，SELINUXTYPE=targeted为启动的默认策略，此策略针对网络服务限制较多，针对本机限制较少。除了通过修改配置文件外，还可以通过命令查看、切换SELinux的工作模式，以及使用命令查看系统所使用的SELinux策略。2.1 SELinux安全子系统2.1.3 SELinux工作模式1.SELinux的启动、关闭与查看使用 sestatus 命令查询当前系统中所使用的 SELinux 策略，命令如下：2.1 SELinux安全子系统2.1.3 SELinux工作模式2.SELinux安全上下文的查看SELinux在管理过程中，进程是否可以正确地访问文件资源，取决于

8、它们的安全上下文,进程与目标文件都有自己的安全上下文，SELinux 会为进程与目标文件添加安全信息标签。并不是所有的进程都会被SELinux所管制，可以通过ps-eZ命令查看进程的安全上下文。2.1 SELinux安全子系统2.1.3 SELinux工作模式2.SELinux安全上下文的查看也可以通过ls的“-Z”参数查看文件/目录的安全上下文。2.1 SELinux安全子系统2.1.3 SELinux工作模式2.SELinux安全上下文的查看进程的安全上下文使用“：”分隔为五个字段，可以理解为：identify（身份）role（角色）type（类型|域）sensitivity（灵敏度）ca

9、tegory（类别）2.1 SELinux安全子系统2.1.3 SELinux工作模式2.SELinux安全上下文的查看1）identifyidentify（身份）相当于账号的身份识别，常见的类型有unconfined_u和system_u。（1）system_u：系统用户，大部分是系统自己产生的文件。系统、软件本身所提供的文件，或系统服务运行过程产生的文件，大多是system_u这个身份。（2）unconfined_u：不受限用户，即由不受限的程序所产生。预设的bash环境是不受SELinux管制的，同时bash也不是特别的网络服务，因此，这个不受SELinux管制的bash进程所产生的文件

10、，其身份大多是unconfined_u（不受限用户）。2.1 SELinux安全子系统2.1.3 SELinux工作模式2.SELinux安全上下文的查看2）rolerole（角色）主要用来表示数据是进程、文件还是目录，常见类型有object_r、system_r和unconfined_r。object_r代表的是文件或目录等资源，这也是最常见的。程序主要分为两大类：系统受限的 system_u:system_r不受限的unconfined_u:unconfined_r（通常是本机用户自己执行的程序）2.1 SELinux安全子系统2.1.3 SELinux工作模式2.SELinux安全上下文

11、的查看3）type类型字段是安全上下文中最重要的字段，进程是否可以访问目标资源，主要就是看进程和目标资源的安全上下文类型字段是否匹配，若匹配则可以访问。注意：类型字段在主体（进程）的安全上下文中被称为域，而在目标资源的安全上下文中被称为类型。域和类型需要匹配（进程和目标资源的类型相匹配），才能正确访问。2.1 SELinux安全子系统2.1.3 SELinux工作模式2.SELinux安全上下文的查看4）sensitivitysensitivity（灵敏度）一般用 s0、s1、s2 来命名，数字代表灵敏度的等级，数值越大，代表灵敏度越高，默认为s0。5）categorycategory（类别）

12、字段为可选字段，主要设置灵敏度可以识别的类别。2.1 SELinux安全子系统2.1.3 SELinux工作模式3.SELinux安全上下文的修改和设置SELinux对受限的主体进程有没有影响，第一考虑SELinux的三种类型，第二考虑SELinux的策略规则是否放行，第三则是比对SELinux类型，此时最应关注的是安全上下文的第三部分type（类型|域）标识符。受到SELinux保护的进程只能访问标识为自己只能够访问的安全上下文的文件与目录，安全上下文的修改是我们必须掌握的操作。2.1 SELinux安全子系统2.1.3 SELinux工作模式3.SELinux安全上下文的修改和设置1）修改

13、文件/目录的SELinux安全上下文通过chcon手动修改文件或目录的SELinux安全上下文，常用参数见表2-1。2.1 SELinux安全子系统2.1.3 SELinux工作模式3.SELinux安全上下文的修改和设置表2-1 chcon命令常用参数选项及作用1）修改文件/目录的SELinux安全上下文2.1 SELinux安全子系统2.1.3 SELinux工作模式3.SELinux安全上下文的修改和设置【例2-1】修改防火墙firewalld服务配置文件/etc/firewalld/firewalld.conf的type字段为admin_home_t，再重启firewalld服务并查看

14、效果。其中，错误提示为权限拒绝，已经知道是安全上下文不匹配导致的，此时可以通过 chcon 命令修改为正确的type类型来修复错误。1）修改文件/目录的SELinux安全上下文2.1 SELinux安全子系统2.1.3 SELinux工作模式3.SELinux安全上下文的修改和设置1）修改文件/目录的SELinux安全上下文【例2-2】利用chcon的-reference参数，恢复firewalld.conf文件正确的安全上下文。2.1 SELinux安全子系统2.1.3 SELinux工作模式3.SELinux安全上下文的修改和设置2）恢复正确的SELinux安全上下文通过restoreco

15、n把文件或目录的安全上下文恢复成默认的安全上下文，常用参数见表2-2。表2-2 restorecon命令常用参数选项及作用2.1 SELinux安全子系统2.1.3 SELinux工作模式3.SELinux安全上下文的修改和设置2）恢复正确的SELinux安全上下文【例2-3】利用restorecon恢复firewalld.conf文件默认的安全上下文。2.1 SELinux安全子系统2.1.3 SELinux工作模式3.SELinux安全上下文的修改和设置2）恢复正确的SELinux安全上下文SELinux的安全上下文设定已经非常完善，因此，通过使用restorecon 命令就可以将文件/目

16、录恢复成默认的安全上下文。注意：cp复制文件到新目录时，将采用新目录的label标记安全上下文；mv移动文件到新目录时，安全上下文是不变的。2.1 SELinux安全子系统2.1.3 SELinux工作模式3.SELinux安全上下文的修改和设置3）修改默认的SELinux安全上下文由于系统中记录了每个文件/目录的SELinux默认类型，因此，restorecon可以恢复文件/目录的默认安全上下文。2.1 SELinux安全子系统2.1.3 SELinux工作模式3.SELinux安全上下文的修改和设置3）修改默认的SELinux安全上下文如果系统没有安装semanage命令，那么通过dnf安

17、装policycoreutils-python-utils软件包即可。semanage命令不仅能够像chcon命令那样设置文件/目录的策略，还可以管理网络端口、消息接口等，常用参数选项见表2-3。表2-3 semanage命令常用参数选项及作用2.1 SELinux安全子系统2.1.3 SELinux工作模式3.SELinux安全上下文的修改和设置3）修改默认的SELinux安全上下文【例2-4】查询系统所有的默认端口和默认安全上下文。因此，如果对/etc/firewalld目录下firewalld.conf文件的安全上下文进行了修改，就可以使用 restorecon 命令进行恢复，因为默认安

18、全上下文已经明确定义了。2.1 SELinux安全子系统2.1.3 SELinux工作模式3.SELinux安全上下文的修改和设置3）修改默认的SELinux安全上下文【例2-5】修改默认端口。通过dnf/yum安装nginx，并创建了nginx用户进行系统资源的使用，但是nginx用户没有root权限，因为SELinux不允许，因此它无法监听除了默认可以使用的那些http端口（80,81,443,488,8008,8009,8443,9000）。2.1 SELinux安全子系统2.1.3 SELinux工作模式3.SELinux安全上下文的修改和设置3）修改默认的SELinux安全上下文【例

19、2-6】修改默认安全上下文。新建/web/目录作为Apache的网页主目录，而不再使用/var/www/html/目录，由于新建目录的安全上下文类型是default_t，因此，Apache进程就不能访问和使用/web/目录了。为了以后管理方便，直接修改/web/目录的默认安全上下文类型。2.1 SELinux安全子系统2.1.3 SELinux工作模式3.SELinux安全上下文的修改和设置semanage的功能还有很多，此处只用到了port和fcontext这两个选项的基本操作。读者可以使用semanage来查询所有的文件/目录默认值，也能够使用它来增加、删除或修改默认值的设置，有了这些基础

20、的操作，SELinux也不会很难。2.1 SELinux安全子系统2.1.4 SELinux日志辅助从图2-1和图2-2可知，如果主体访问目标资源被拒绝（也被称为 AVC 拒绝），那么会在一个日志文件中记录下拒绝消息。这些被拒绝的消息可以帮助诊断和解决常规的 SELinux 策略违规行为，至于这些拒绝消息到底被记录在什么位置，则取决于 auditd 和 rsyslog 守护进程的状态。（1）若auditd 守护进程正在运行，则拒绝消息将被记录到/var/log/audit/audit.log 中。（2）若 auditd 守护进程没有运行，但 rsyslog 守护进程正在运行，则拒绝消息会被记录

21、到/var/log/messages 中。（3）若auditd 和 rsyslogd 都在运行，那么拒绝消息将被发送到 audit.log 和 messages 日志文件中。2.1 SELinux安全子系统2.1.4 SELinux日志辅助1.audit2why命令audit2why命令用来分析audit.log日志文件，并分析SELinux为什么会拒绝进程的访问。这个命令只显示SELinux的拒绝访问信息，而正确的信息会被忽略。2.1 SELinux安全子系统2.1.4 SELinux日志辅助1.audit2why命令【例2-7】利用audit2why分析audit.log日志文件。这条信息

22、的意思是拒绝pid是3296的进程访问firewalld.conf文件,原因是主体的安全上下文和目标的安全上下文不匹配。其中，denied代表拒绝，name指定目标的文件名,scontext代表主体的安全上下文，tcontext代表目标的安全上下文。其实就是由主体的安全上下文类型firewalld_t和目标的安全上下文类型admin_home_t不匹配导致的。2.1 SELinux安全子系统2.1.4 SELinux日志辅助1.audit2why命令2.1 SELinux安全子系统2.1.4 SELinux日志辅助2.audit2allow命令audit2allow命令用来分析日志，并提供允许

23、的建议规则或拒绝的建议规则。【例2-8】利用audit2allow命令再次分析audit.log日志文件。2.1 SELinux安全子系统2.1.4 SELinux日志辅助2.audit2allow命令这种因为主体的安全上下文类型和目标的安全上下文类型不匹配导致的问题，都可以通过使用restorecon命令恢复目标（文件）的安全上下文为默认安全上下文来解决，简单方便，完全不用自己定义规则。但audit2allow命令对其他类型的SELinux错误还是很有帮助的，有了这些日志分析工具，就能够处理常见的SELinux错误，因此，需要熟练掌握这些工具。更多的SELinux应用将在后续的服务器配置中有

24、所体现，但对于策略的设置，应根据服务应用的特点来修改相应的策略值。2.2 firewalld防火墙2.2.1 了解防火墙防火墙是一项协助确保信息安全的设备，其会依照特定的规则允许或限制数据的通过。防火墙可能是一台专属的硬件或是架设在硬件上的一套软件。防火墙最基本的功能就是在计算机网络中控制不同区域间传送的数据流，以避免安全策略中禁止的一些通信。2.2 firewalld防火墙2.2.2 nftablesnftables是新的数据包分类框架，新的Linux防火墙管理程序，旨在替代现存的 ip,ip6,arp,eb_tables。02010304（3）它包含了一个兼容层，可以在新的nftables

25、内核框架之上运行iptables 命令。（4）提供了通用的集合基础允许建立映射和关联，可以使用这个新特性把规则集分类到多维树中，这大大地减少了找到包最终的行为之前所需要检查的规则数量。（1）在 Linux 内核版本高于 3.13 时可用。（2）有一个新的命令行工具ntf，语法与iptables不同。2.2 firewalld防火墙nftables相比iptables有如下优点：（1）更新速度更快。在iptables中添加一条规则，它会随着规则数量的增多而变得非常慢，有时调用iptables的脚本需要很久才完成，而nftables使用原子的快速操作来更新规则集合，则不存在此种情况。（2）内核更新

26、更少。使用iptables，每一个匹配或转发都需要内核模块的支持，而在nftables中，大部分工作是在用户态完成的，内核只知道一些基本指令（过滤是用伪状态机实现的）。例如，icmpv6支持可通过nft工具的一个简单补丁实现，而在iptables中则需要更改内核和升级iptables才可以。2.2.2 nftables2.2 firewalld防火墙2.2.3 firewalldfirewalld支持动态更新技术并加入了区域（zone）的概念，简单来说，区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同来选择合适的策略集合，从而实现防火墙策略之间的快

27、速切换。在以往，我们需要频繁地手动设置防火墙策略规则，而现在只需要预设好区域集合，然后简单修改配置或轻点鼠标就可以自动切换了，从而极大地提升了防火墙策略的应用效率。firewalld中常见的区域名称（默认为public）及相应的策略规则见表2-4。2.2 firewalld防火墙2.2.3 firewalld表2-4 firewalld中常用的区域名称及策略规则2.2 firewalld防火墙1.firewall-cmd图形界面(firewall-config)命令行界面(firewall-cmd)2.2.3 firewalldfirewalld防火墙配置管理工具有图形界面(firewall-

28、config)和命令行界面(firewall-cmd)版本，由于是在服务器上使用，建议采用命令行界面，图形界面请参考官方文档。firewall-cmd的参数一般都是以“长格式”来提供的，常用的参数及作用见表2-5。2.2 firewalld防火墙1.firewall-cmd表2-5 firewall-cmd命令中常用的参数及作用2.2.3 firewalld2.2 firewalld防火墙1.firewall-cmd与Linux系统中其他防火墙策略配置工具一样，使用firewalld配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会失效。如果想让配置策

29、略一直存在，就需要使用永久（Permanent）模式，其方法就是在用firewall-cmd命令正常设置防火墙策略时添加-permanent参数（重启生效），这样配置的防火墙策略就可以永久生效了。2.2.3 firewalld2.2 firewalld防火墙1.firewall-cmd查看firewalld服务当前所使用的区域。查询ens33网卡在firewalld服务中的区域。2.2.3 firewalld2.2 firewalld防火墙1.firewall-cmd把firewalld服务中ens33网卡的默认区域修改为public。把firewalld服务的当前默认区域设置为public。

30、2.2.3 firewalld2.2 firewalld防火墙2.2.3 firewalld1.firewall-cmd启动/关闭firewalld防火墙服务的应急状况模式，阻断一切网络连接。查询public区域是否允许请求ssh和ftp协议的流量。2.2 firewalld防火墙2.2.3 firewalld1.firewall-cmd把firewalld服务中请求ftp协议的流量设置为永久允许并立即生效。把firewalld服务中请求telnet协议的流量设置为永久拒绝并立即生效。2.2 firewalld防火墙1.firewall-cmd把在firewalld服务中访问80和88端口的流

31、量策略设置为允许，仅当前生效。2.2.3 firewalld2.2 firewalld防火墙1.firewall-cmd把原本访问本机2222端口的流量转发到22端口，且要求当前和长期均有效。2.2.3 firewalld2.2 firewalld防火墙1.firewall-cmd把原本访问本机80端口的流量转发到本机8080端口。把原本访问本机80端口的流量转发到192.168.136.129。2.2.3 firewalld2.2 firewalld防火墙1.firewall-cmd把原本访问本机80端口的流量转发到192.168.136.129主机的8080端口，使得外网可以通过公网的地址

32、与端口访问内网的地址与端口，即DNAT。开启NAT转发，使得内网用户通过NAT都可以访问外网，即SNAT。2.2.3 firewalld2.2 firewalld防火墙1.firewall-cmd注意：当执行开启SNAT和DNAT命令时，会自动打开系统转发功能，即cat/proc/sys/net/ipv4/ip_forward结果为1。firewalld中的富规则表示更细致、更详细的防火墙策略配置，它可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有针对性的策略配置。它的优先级在所有的防火墙策略中也是最高的，下面通过简单的实验巩固学习。2.2.3 firewalld2.2 firew

33、alld防火墙1.firewall-cmd允许192.168.136.22主机的所有流量。允许192.168.136.22主机的icmp协议，即允许192.168.136.22主机ping。取消允许192.168.136.22主机的所有流量。2.2.3 firewalld2.2 firewalld防火墙1.firewall-cmd允许192.168.136.22主机访问ssh服务。禁止192.168.136.22访问https服务，并返回错误信息。注意：若是drop，则直接丢弃，会返回timeout（连接超时）。2.2.3 firewalld2.2 firewalld防火墙1.firewall

34、-cmd允许192.168.136.0/24网段的主机访问23端口。每分钟允许2个新连接访问ftp服务。允许新的IPv4和IPv6连接ftp，并使用日志和审核，每分钟允许访问一次。2.2.3 firewalld2.2 firewalld防火墙1.firewall-cmd拒绝来自192.168.2.0/24网段的连接，10 s后自动取消。允许IPv6地址为2001:db8:/64子网的主机访问dns服务，并且每小时审核一次，300 s后自动取消。2.2.3 firewalld2.2 firewalld防火墙1.firewall-cmd将来自192.168.2.0/24网段访问本机80端口的流量转

35、发到本机的22端口。将来自192.168.136.0/24网段访问本机80端口的流量转发到192.168.2.200主机的80端口，即DNAT。2.2.3 firewalld2.2 firewalld防火墙1.firewall-cmd将来自局域网192.168.2.0/24网段访问外网的流量映射为网络出口公网IP，即修改源IP地址SNAT。2.2.3 firewalld2.2 firewalld防火墙1.firewall-cmd【例2-9】在firewalld服务中配置一条富规则，使其拒绝192.168.136.0/24网段的所有用户访问本机的ssh服务（22端口）。2.2.3 firewal

36、ld2.2 firewalld防火墙1.firewall-cmd如果要让计算机可以再次连接上，可以进行如下操作：2.2.3 firewalld2.2 firewalld防火墙1.firewall-cmd2.2.3 firewalld2.2 firewalld防火墙1.firewall-cmd1/etc/firewalld/usr/lib/firewalld/2firewalld的配置文件的存储位置：2.2.3 firewalld2.2 firewalld防火墙1.firewall-cmd文件firewalld.conflockdown-whitelist.xml目录zonesicmptypes

37、services2.2.3 firewalld2.2 firewalld防火墙1.firewall-cmd030201source，也就是源地址,优先级最高。interface，接收请求的网卡,优先级第二。firewalld.conf中配置的默认zone,优先级最低。它们的优先级按顺序依次降低，即按照source可以找到就不会再按interface去查找，如果前两个都找不到才会使用firewalld.conf中配置的默认zone。2.2.3 firewalld2.3 实训2SELinux和firewalld防火墙的配置与管理1.实训目的（1）了解SELinux和firewalld防火墙的规则。

38、（2）使用SELinux和firewalld进行基本需求设置。2.3 实训2SELinux和firewalld防火墙的配置与管理2.实训内容现有如图2-4所示的网络拓扑，该网络中有一台Linux Server提供SNAT和DNAT服务，ens33网卡地址为192.168.1.100，可以和外网Internet通信，ens38网卡连接内网192.168.68.0/24网段，主要起着192.168.68.0/24网段网关作用。图2-4 网络拓扑图2.3 实训2SELinux和firewalld防火墙的配置与管理2.实训内容现有如下要求：192.168.68.0/24网段的PC Client计算机可

39、以通过NAT方式访问外网。外网可以通过访问192.168.1.1的80端口就可以访问192.168.68.200地址的Web Server服务器80端口。请根据以下要求进行Linux Server和Web Server服务器的SELinux、firewalld配置，使其达到项目的要求。为Linux Server添加两块网卡，使得一块网卡连接外网（ens33），并设置IP地址为192.168.1.1/24，默认路由为192.168.1.1；另一块网卡连接内网（ens38），IP地址为192.168.68.1/24（代表学号后两位）。2.3 实训2SELinux和firewalld防火墙的配置与管

40、理2.实训内容在Linux Server上查看SELinux的模式状态。修改SELinux模式为宽容模式，查看SELinux的模式状态。修改SELinux模式为强制模式，查看SELinux的模式状态。查看当前系统所使用的SELinux的策略。查看smbd_anon_write策略的规则状态，如果为off就永久开启，如果为on就永久关闭。查看crond进程和/etc/cron.d目录的SELinux安全上下文。2.3 实训2SELinux和firewalld防火墙的配置与管理2.实训内容修改/etc/cron.d目录和目录下所有子文件的安全上下文为firewalld_etc_rw_t，并再次进行

41、确认查看。恢复/etc/cron.d目录和目录下所有子文件为默认的安全上下文，并再次查看。查询系统所有的包含http字符串的默认端口；增加http_port_t监听999端口，并再次查看。查询系统所有的包含/var/www/html的默认安全上下文。2.3 实训2SELinux和firewalld防火墙的配置与管理2.实训内容创建/tmp/目录，查看/tmp/目录的安全上下文，设置目录及目录下的所有内容的默认安全上下文类型为public_content_t，再次查询系统所有包含/tmp/的默认安全上下文，再次查看/tmp/的安全上下文是否已更改（代表学号后3位）。在Linux Server上查

42、询firewalld是否已安装,若未安装，则安装；若已安装，则查看当前状态。查询系统的默认区域名称。为了客户端能够正常使用域名访问互联网,需要允许内网计算机与外部DNS服务器的数据转发（UDP和TCP协议的53端口）。2.3 实训2SELinux和firewalld防火墙的配置与管理2.实训内容开启SSH使用的TCP协议22端口,以便网络管理员能从外网访问校园网内部的服务器,进行远程管理。允许内网主机发送邮件时访问邮件服务器的TCP25端口，接收邮件时使用的端口较多,因此,要开启UDP协议和TCP协议的110、143、993及995端口。配置SNAT策略,使得192.168.68.0/24网段的所有计算机能通过192.168.1.1连接到Internet（采用两种方式完成，代表学号后两位）。配置DNAT策略,将内网IP地址为192.168.68.200的Web网站对外发布,使得Internet上的用户能访问该网站（采用两种方式完成）。2.3 实训2SELinux和firewalld防火墙的配置与管理3.实训要求0102（1）按题目要求写出相应的命令（“文字+截图”方式）。（2）总结实训心得与体会。谢谢观看