<< Back to shouce.jb51.net

2.15. 防火墙配置

红帽企业 Linux 为增加系统安全性提供了防火墙保护。防火墙存在于你的计算机和网络之间,用来判定网络中的远程用户有权访问你的计算机上的哪些资源。一个正确配置的防火墙可以极大地增加你的系统安全性。

图 2-12. 防火墙配置

下一步,你可以决定是否为 红帽企业 Linux 系统启用防火墙。

「无防火墙」

「无防火墙」给予完全访问权并不做任何安全检查。安全检查是对某些服务的禁用。建议你只有在一个可信任的网络(非互联网)中运行时,或者你想稍后再进行详细的防火墙配置时才选此项。

「启用防火墙」

如果你选择了「启用防火墙」,你的系统就不会接受那些没有被你具体指定的连接(除了默认设置外)。按照默认设置,只有答复输出请求如 DNS 答复或 DHCP 请求的连接是允许。如果需要访问在这个机器上运行的服务,你可以选择允许指定的服务穿过防火墙。

如果你要把系统连接到互联网上,这是最安全的选择。

默认下一步,选择应该被允许穿过防火墙的服务。

启用这些选项将允许具体指定的服务穿过防火墙。注意:这些服务在系统内可能没有被安装。请确定你选择启用了你可能需要的选项。

「远程登录 (SSH)」

Secure(安全)SHell(SSH)是用来在远程机器上登录及执行命令的一组工具。如果你打算使用 SSH 工具穿越防火墙来访问你的机器,启用该选项。你需要安装 openssh-server 软件包以便使用 SSH 工具来远程访问你的机器。

「万维网服务器 (WWW, HTTP)」

HTTP 和 HTTPS 协议被 Apache(以及其它万维网服务器)用来提供网页。如果你打算向公众开放你的万维网服务器,请启用该选项。你不必启用该选项来本地查看网页或开发网页。如果你打算提供网页服务的话,你需要安装 httpd 软件包。

「文件传输 (FTP)」

FTP 协议是用于在网络机器间传输文件的协议。如果你打算使你的 FTP 服务器可被公开利用,启用该选项。你必须安装 vsftpd 软件包才能利用该选项。

「邮件服务器 (SMTP)」

如果你想允许进入的邮递服务穿越防火墙,因此远程主机可以直接连接到你的机器来发送邮件,启用该选项。如果你只想从 ISP 服务器中收取 POP3 或 IMAP 邮件,或者你使用的是 fetchmail 之类的工具,则不必启用该选项。请注意,不正确配置的 SMTP 服务器会允许远程机器使用你的服务器来发送垃圾邮件。

注记注记
 

按照默认设置,Sendmail 邮件传输代理(MTA)不接受本地计算机以外的任何主机的连接。要把 Sendmail 配置成其它客户的服务器,你必须编辑 /etc/mail/sendmail.mc 文件,把 DAEMON_OPTIONS 这一行改成兼听往来设备(或者使用 dnl 把这个选项改成注释)。然后,你必须以根用户身份运行以下命令来重新生成 /etc/mail/sendmail.cf 文件:

make -C /etc/mail

你必须安装了 sendmail-cf 软件包才行。

除此以外,在安装 红帽企业 Linux 过程中,你还可以设置 SELinux(安全强化的 Linux)。

SELinux 允许为所有主体(用户、程序、进程等)和客体(文件和设备)明确规定具体权限。 你可以安全地仅仅授予应用程序执行其功能所必需的权限。

红帽企业 Linux 中对 SELinux 的实现,是为了提高各类服务器守护进程的安全性,同时又尽量减少对系统日常工作的影响。

在安装过程中,你可以选择以下三种状态:

关于 SELinux 的额外信息,请参阅以下 URL:

窍门窍门
 

要在安装完毕后改变你的安全配置,使用安全级别配置工具

在 shell 提示下键入 system-config-securitylevel 命令来启动安全级别配置工具。如果你不是根用户,你会被提示输入根口令后再继续。