linux網關及安全應用總結

1、第一章系統(tǒng)安全常規(guī)優(yōu)化一、用戶賬號安全優(yōu)化1、基本安全措施刪除系統(tǒng)中不使用的用戶和組passwdlzhangsan或vietcshadow（用戶名前加?。﹗serdellp確認程序或服務用戶的登錄shell不可用vietcpasswdusermod–ssbinnologinrpm限制用戶的密碼有效期（最大天數(shù)）vietclogin.defs(PASS_MAX_DAYS30)只對新建立的用戶有效chageM30zhangsan對已有用戶有

2、效指定用戶在下次登錄時必須修改密碼Chaged0zhangsan限制用戶密碼的最小長度vietcpam.dsystemauthpasswdrequisitepam_cracklib.sotry_first_passretry=3minlen=12限制記錄命令歷史的條數(shù)HISTSIZE=100設置閑置超時自動注銷終端vietcprofileexptTMOUT=6002、使用su切換切換用戶身份gpasswdazhangsanwheelvi

3、etcpam.dsuauthrequiredpam_wheel.souse_uid3、使用sudo提升執(zhí)行權限vietcsudoers或visudo用戶主機名=（權限用戶）NOPASSWD:命令列表lisilocalhost=sbinifconfigjerrylocalhost=NOPASSWD:sbinifconfig%wheelALL=(ALL)NOPASSWD:ALLzhangsanlocalhost=(lisi)NOPASSWD

4、:ALL使用sudo執(zhí)行命令（以jerry為例）sudolsudosbinifconfigeth010.0.0.1二、文件和文件系統(tǒng)安全優(yōu)化1、文件系統(tǒng)層次的安全優(yōu)化合理規(guī)劃系統(tǒng)分區(qū)建議部分分區(qū)為獨立的分區(qū)boot、home、var、opt等通過掛載選項禁止執(zhí)行set位程序、二進制程序vietcfstabdevsdc1varext3defaultsnoexec12mountoremountvar鎖定不希望更改的系統(tǒng)文件chattriet

5、cservicesetcpasswdbootgrub.conflsattretcpasswdchattrietcpasswdfilter：INPUT、OUTPUT、FWARDnat：PREROUTING、POSTROUTING、OUTPUTmangle：PREROUTING、POSTROUTING、FWARD、INPUT、OUTPUTraw：OUTPUT、PREROUTING2、數(shù)據包過濾匹配流程規(guī)則表優(yōu)先順序：raw、mangle、n

6、at、filter各規(guī)則間的優(yōu)先順序：按順序匹配處理，有匹配項并處理后，不再繼續(xù)查找（除LOG記錄日志外），均不匹配，按默認規(guī)則處理二、管理和設置iptables規(guī)則1、iptables[t表名]命令選項[鏈名][條件匹配][j目標動作或跳轉]iptables[t表名]命令選項[鏈名][條件匹配][j目標動作或跳轉]tfilterAINPUT通用條件匹配jtnatDOUTPUTpicmptcpudpjACCEPTtmangleIFWAR

7、Ds10.0.0.08jREJECTtrawLPREROUTINGd20.0.0.10jLOGFPOSTROUTING隱含條件匹配jSNATXdpt22jDNATNspt20:1024jREDIRECTntcp標記匹配vtcpflags[！]SYNRSTACKSYNVICMP類型匹配hicmptypeEchoRequestPicmptypeEchoReplylinenumbersicmptypedestinationUnreachabl

8、e顯式條件匹配mmacmacsourcemmultiptdpt202125miprangesrcrange10.0.0.1010.0.0.100mstatestateNEWmstatestateESTABLISHEDRELATEDmlimitlimit3minutelimitburst8jLOG2、語法示例：iptablesLINPUTlinenumbersiptablesvnLiptablesDINPUT2iptablesFiptab