网络服务器搭建、配置与管理-Linux版 教案（含思政） 03 配置与管理防火墙和SELinux

《网络服务器搭建、配置与管理——Linux(RHEL8、CentOS8)(微课版)(第4版)》学时4授课地点目标1.明确职业技术岗位所需的职业规范和精神，树立社会主义2.知悉读大学的真正含义，以德化人，激发学生的科学精神目标目目标1.掌握firewalld防火墙的配置2.掌握服务的访问控制列表能力目标1.培养学生动手操作能力2.培养学生规划管理能力1.防火墙概述、iptables与firewalld教学重点1.使用firewalld服务教学难点1.宏观上采用“项目引导”,在微观上采用“任务驱动”、“问题牵引”,以课程慕课、项目实录2.在课堂上注意讲、学、做相结合，注重与学生的互动，充分调动学生的积极性，教学过程设计时间某高校组建了校园网，并且已经架设了Web、FTP、DNS、DHCP、M器来为校园网用户提供服务，现有如下问题需要解决：(1)需要园网的安全。(2)需要将子网连接在一起构成整个校园网。(3)由于校园网使用的是私有地址，需要转换网络地址，使校园网中的用户能够访问互联网。该火墙firewalld来实现，通过部署防火墙firewalld和NAT,能够实现上述功能。提问5’1.使用firewalld服务3.设置SELinux安全上下文5.NAT(SNAT和DNAT)企业实战1.分析知识目标5’1.使用终端管理工具①查看firewalld服务当前状态和使用的区域。 ②查询防火墙生效ens160网卡在firewalld服务中的区域。案例③把firewalld服务中ens160网卡的默认区域修改为external,并在系统重启后生效。分别查看运行时模式与永久模式下的区域名[root8Server01~]#firewall-cnd--list-all--zone-work#查看指定区域的防火墙[root@Server01~]#firewall-and--permanent--get-zone-of-int④把firewalld服务的当前默认区域设置为public。⑤启动/关闭firewalld服务的应急状况模式，阻断一切网络连接(时请慎用)。⑥查询public区域是否允许请求SSH和HTTPS的流量。[root@Server01~]#firewall-cmd--zone=public--qu[root@Server01~]#firewall-cmd--zone=public--query-service=h⑦把firewalld服务中请求htt[root@Server01~]#firewall-cmd--zone=public--add-se[root]Server01~]#firewall-cmd--permanent--zone=public--add-service ⑧把firewalld服务中请求htt[root]Server01~1#firewall-cmd--permanent--zone=public--remove-service [root@Server01~]#firewall-cmd--l⑨把在firewalld服务中访问8088和8089端口的流量策略设置为允许，但仅限当前生效。[root@Server01~]#firewall-cmd--zone=public--add-port=[root@Server01~]#firew 在终端输入命令firewall-config或者选择“活动”→“防火墙”命令，打开firewall-config界面。磨磨,同卡以及是响址的可他程度，医屋，口。协说.sDET文TE的RR学生实践三、模仿练习学生上机练习修改firewalld配置。1.使用配置文件设置SELinux的模式直接修改letc/selinuxlconfig和/etclsysconfiglselinux文件来控制是否启用SELinux就可以了。[root4Server]1-]*getenforce[x₀ot45erver01~1:setenforcePermissive:切换到宽容模式(Pemisst*e)[zoot4Sarver01*1*aetenforce1:[root0server01-]tsetenforce040代表宽容模[root@5arver01-]*aeatatun#查看SEL1nux的运行状态Menoryprotectionchecking:actual(secMaxkernelpolicyversion:三、模仿练习案例实践练习设置SELinux安全上下文1.查看用户、文件和进程的安全上下文unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.总用量8drwxr-xr-x.2rootrootunconfined_u:object_r:admin_home_t:s068月1816:13公共drwxr-xr-x.2rootrootunconfined_u:object_r:admin_home_t:s068月1816:13模板unconfined_u:unconfinedr:unconfined_t:s0-s0:c0.c10232948pts/000:00:00 unconfinedu:unconfinedr:unconfin/6ireCtOTYsysten_u:object_/.*a11Filessysten_u:object_r:default_t:s0/[*/]+regularfilesysten_[root@Server01~1#ls-Z1anaconda-ks.cfg#查看anaco-w-------.1rootrootsystem:ohject:adminhome_t:s017228月1816:06[root@Servex01*1#chcon-thttpd_cache_tanaconda-ka.cfg*修改文件的上下文类型案例实践练习模练习--------.1rootrootsystemu:object:httpd__cache__t:s017228月[root@Server01~1#restorecon-vanaconda-ks.cfg#恢复anaconda-ks.cfg的安全上下文Relabeled/root/anaconda-ks.cfgfromsystem_u:object_r:httpd_cache_t:s0to-ru-------.1rootrootsystem_u:object_r:admin_home_t:s017228月三、模仿练习学生按照实例完成设置过程。一、课堂讲解二、操作示范1.查看系统中所有管理布尔值的设置abrt_upload_watch_anon_write--antivirus_can_scan_syst 案例(E)nttpd_builtin_scriptinhttpd_can_check_spam3.查看系统中有关ftp的所有管理布尔值的设置ftpd_connect_all_unresehttpd_can_connect_ftphttpd_enable_ftp_server4.使用setsebool命令修改ftpd_full_access的管理布尔值的设置#使vsftpd具有访问ftp根目录以#数字1表示开启，数字0表示关闭#以上设置重启系统后会失效，加上大写的-P选项可以