RHEL7.0修改SSH默认端口及SELinux运行状态修改
Linux系统安装好后,默认会开启SSH服务以便远程配置。但使用默认端口22不安全,一般不建议使用默认端口,那就需要修改SSH默认端口。在RHEL7.0上修改和7.0以下类似,但要注意SELinux的修改。
SSH 为 Secure Shell,由IETF的网络工作小组(Network Working Group)所制定;SSH 是建立在应用层和传输层基础上的一种安全协议。SSH传输数据是加密的,可以有效防止传输过程被截取数据保障安全。SSH的数据是经过压缩的,所以可以加快传输的速度。
修改步骤:
1、查看是否已安装SSH软件包,#rpm -qa|grep ssh
2、检查服务是否开启,# systemctl status sshd.service
3、检查进程运行状态,# ps -ef |grep sshd
4、检查程序运行端口,# netstat -anpl |grep sshd
5、修改sshd配置文件,# vi /etc/ssh/sshd_config
取消“#Port 22”前面的#号,另起一行新增Port 6022(自定义端口),wq保存退出。
6、重启SSH服务,# systemctl restart sshd.service
7、开放防火墙端口:
添加端口,# firewall-cmd --zone=public --add-port=6022/tcp --permanent
重新加载,# firewall-cmd --reload
重启服务,# systemctl restart firewalld.service
查看端口,# firewall-cmd --zone=public --list-all
8、修改SELinux端口:
检查SELinux是否启用,# sestatus -v |grep SELinux
SELinux status: enabled #表示启用
检查semanage是否安装,# rpm -qa |grep semanage
查看当前selinux允许的端口,# semanage port -l|grep ssh
添加新端口,# semanage port -a -t ssh_port_t -p tcp 6022
检查是否添加成功,# semanage port -l|grep ssh
重启SSH服务,# systemctl restart sshd.service
注意:
SSH端口默认是22,如果要修改端口,可先增加一个端口,方法如上,使用新端口登录后再把22端口注释掉(注意同时修改防火墙# firewall-cmd --zone=public --remove-port=22/tcp --permanent,再重新加载# firewall-cmd --reload)。如果是增加端口号,需要先取消22端口的#号,再另起一行新增一个port端口。
若想删除已停用的端口可使用-d删除命令,# semanage port -d -t ssh_port_t -p tcp 6022
若想添加其他已定义的端口(如443)到SSH,可使用-m修改命令,# semanage port -m -t ssh_port_t -p tcp 443
直接使用-a命令添加443端口会报错:ValueError: Port tcp/443 already defined
一般停用默认端口后我们会想到从selinux中删除22端口,但在执行# semanage port -d -t ssh_port_t -p tcp 22命令后会报以下错误:ValueError: Port tcp/22 is defined in policy, cannot be deleted而无法删除。暂时无法实现。
PS:semanage命令参数
NAME
semanage - SELinux Policy Management tool
SYNOPSIS
semanage {login|user|port|interface|fcontext|translation} -l [-n]
semanage login -{a|d|m} [-sr] login_name
semanage user -{a|d|m} [-LrRP] selinux_name
semanage port -{a|d|m} [-tr] [-p protocol] port | port_range
semanage interface -{a|d|m} [-tr] interface_spec
semanage fcontext -{a|d|m} [-frst] file_spec
semanage translation -{a|d|m} [-T] level
OPTIONS
Tag | Description |
---|---|
-a, --add | |
Add a OBJECT record NAME | |
-d, --delete | |
Delete a OBJECT record NAME | |
-f, --ftype | |
File Type. This is used with fcontext. Requires a file type as shown in the mode field by ls, e.g. use -d to match only directories or -- to match only regular files. | |
-h, --help | |
display this message | |
-l, --list | |
List the OBJECTS | |
-L, --level | |
Default SELinux Level for SELinux use, s0 Default. (MLS/MCS Systems only) | |
-m, --modify | |
Modify a OBJECT record NAME | |
-n, --noheading | |
Do not print heading when listing OBJECTS. | |
-p, --proto | |
Protocol for the specified port (tcp|udp). | |
-r, --range | |
MLS/MCS Security Range (MLS/MCS Systems only) | |
-R, --role | |
SELinux Roles. You must enclose multiple roles within quotes, separate by spaces. Or specify -R multiple times. | |
-P, --prefix | |
SELinux Prefix. Prefix added to home_dir_t and home_t for labeling users home directories. | |
-s, --seuser | |
SELinux user name | |
-t, --type | |
SELinux Type for the object | |
-T, --trans | |
SELinux Translation |
EXAMPLE
# View SELinux user mappings |
SELinux的运行状态修改:
SELinux 全称 Security Enhanced Linux (安全强化 Linux),是 MAC (Mandatory Access Control,强制访问控制系统)的一个实现,目的在于明确的指明某个进程可以访问哪些资源(文件、网络端口等)。强制访问控制系统的用途在于增强系统抵御 0-Day 攻击(利用尚未公开的漏洞实现的攻击行为)的能力。所以它不是网络防火墙或 ACL 的替代品,在用途上也不重复。
SELinux运行状态:
# setenforce
usage: setenforce [ Enforcing | Permissive | 1 | 0 ]
返回结果有两种:Enforcing和Permissive
Permissive 代表仅记录安全警告但不阻止可疑行为,
Enforcing 代表记录警告且阻止可疑行为。
还有一种状态为Disabled,Disabled 代表 SELinux 被禁用。
查看SELinux运行状态:
1、# getenforceRHEL默认设置为Enforcing
2、# /usr/sbin/sestatus -v |grep SELinux如果SELinux status:为enable表示开启状态
设置SELinux运行状态:
# setenforce permissive 或# setenforce 0#设置SELinux 成为Permissive模式
# setenforce enforcing 或# setenforce 1#设置SELinux 成为Enforcing模式
以上操作可以立刻改变SELinux运行状态,在 Enforcing 和 Permissive 之间切换,结果保持至关机。
若是想要永久变更系统 SELinux 运行环境,可以通过更改配置文件/etc/selinux/config或/etc/sysconfig/selinux(链接文件,指向/etc/selinux/config)实现,将SELINUX=enforcing改为SELINUX=disabled(需要重启计算机)。
注意当从 Disabled 切换到 Permissive 或者 Enforcing 模式后需要重启计算机。若要判断某一程序无法运行是否是selinux所致可以先将其设置为permisive再运行,如仍无法运行表明与其无关。
SELinux运行策略:
在/etc/selinux/config配置文件里,还有一个值SELINUXTYPE=targeted。通过改变变量SELINUXTYPE的值实现修改策略,targeted代表仅针对预制的几种网络服务和访问请求使用SELinux保护,mls代表所有网络服务和访问请求都要经过SELinux。RHEL默认设置为targeted,包含了对几乎所有常见网络服务的SELinux策略配置,已经默认安装并且可以无需修改直接使用。
常用命令:
sestatus #查看SELinux的状态
sestatus -b #查看application管理状态
getenforce #显示目前SELinux工作模式
setenforce 0 #临时将SELinux模式设为宽容模式
setenforce 1 #临时将SELinux模式设为强制模式
注:setenforce必需在SELinux enable状态才有用
ls -Z 文档名 #查看SELinux对档案管理状态
ls -dZ 资料夹 #查看SELinux对资料夹管理状态
chcon #变更档案、资料夹管理
getsebool #查看application管理状态
setsebool #变更application管理
restorecon #恢复成原有的SELinux type
semanage #安全性文件的查询与修改
semanage port -l |grep http #查看SELinux管理http套件所使用的端口
semanage port -a -t http_port_t -p tcp 90 #加入90端口给httpd使用
注:必需安装policycoreutils-python套件,在加入Port时需先检查该port是否已经被使用了。
seinfo #查看政策中规则数量
注:必需安装setools-console套件
sealert -l ** #SELinux错误信息详细列出,**为错误代码。
注:必需安装setroubleshoot及setroubleshoot-server套件,安装完后需要重启系统。
范例:
1.查找SELinux对FTP的管理状态(列出所有规则的种类),# sestatus -b |grep ftp
2.开放FTP匿名者写入权限,
# setsebool -P allow_ftpd_anon_write=1
ftpd_anon_write on
# setsebool -P allow_ftpd_anon_write=0
ftpd_anon_write off
3.查看test文件夹状态
# ls -dZ test
drwxr-xr-x. root root unconfined_u:object_r:admin_home_t:s0 test
4.变更test文件夹设定
# chcon -t user_home_t test
# ls -dZ test
drwxr-xr-x. root root unconfined_u:object_r:user_home_t:s0 test
5.检查关于SELinux的错误
log文档:/var/log/messages,错误关键字setroubleshoot
先查看错误,# less /var/log/messages |grep setroubleshoot
根据错误描述找出详细问题,# sealert -l ** (**为错误代码)
郑重声明:本站内容如果来自互联网及其他传播媒体,其版权均属原媒体及文章作者所有。转载目的在于传递更多信息及用于网络分享,并不代表本站赞同其观点和对其真实性负责,也不构成任何其他建议。