大家好我是程序員碼農(nóng)拿鐵。很多政企單位最近幾年統(tǒng)一把辦公電腦換成了銀河麒麟操作系統(tǒng)。當(dāng)時大家心態(tài)都挺輕松這系統(tǒng)跟 Linux 沾邊防火墻那套總該通用吧。結(jié)果換完第一天我們部門一半人卡在同一個地方軟件裝好了、端口配好了服務(wù)死活不通。很多粉絲朋友后臺私信我問我這個問題其實雖然銀河麒麟是Linux操作系統(tǒng)但是防火墻管理和傳統(tǒng)Linux防火墻管理是不一樣的今天分享出來幫大家徹底捋明白銀河麒麟桌面操作系統(tǒng)的kysec防火墻。這篇就把我踩過的坑和整理出來的用法講清楚不吹不黑都是實測過的。一、麒麟的防火墻特殊在哪普通 Linux 防火墻你多半聽過 firewalld、iptables管的是端口和流量。銀河麒麟 V10 桌面版的 KySec 防火墻底層還是用 Linux 內(nèi)核的 Netfilter 做數(shù)據(jù)包過濾但管控入口換成了麒麟自己的 kylin-firewall 命令不是通用的 firewall-cmd。它特別的地方是疊加了一層 KySec 安全標(biāo)記機制能給可執(zhí)行文件、進(jìn)程、內(nèi)核模塊打上標(biāo)記再管控。說人話就是它不光管哪個端口能不能進(jìn)還管哪個程序能不能上網(wǎng)。KYSECKylin Security是麒麟軟件自主研發(fā)的操作系統(tǒng)安全防護(hù)機制。它不是在別人的框架上改個名而是一套從底層設(shè)計的內(nèi)核級安全體系。簡單說kysec干的事是給系統(tǒng)里每個“重要角色”——進(jìn)程、文件、網(wǎng)絡(luò)連接——都打上“身份標(biāo)簽”然后按照一套預(yù)定義規(guī)則主動攔截任何越界行為。舉個例子你就明白了。傳統(tǒng)Linux的權(quán)限管理自主訪問控制邏輯是只要你是root你想干嘛就干嘛。但kysec的強制訪問控制邏輯是就算你是root如果安全標(biāo)記對不上修改照樣被攔。這就是為什么很多人在麒麟系統(tǒng)上配服務(wù)時明明用root權(quán)限操作卻各種報錯——不是系統(tǒng)有bug是kysec在按規(guī)則辦事。kysec主要管這幾件事執(zhí)行控制沒授權(quán)的程序別想跑文件保護(hù)關(guān)鍵文件誰也別想亂改內(nèi)核模塊保護(hù)惡意驅(qū)動進(jìn)不來應(yīng)用聯(lián)網(wǎng)控制每個app能連哪、不能連哪我說了算二、不想敲命令圖形界面幾下就配好如果你是桌面用戶不習(xí)慣敲命令圖形界面完全夠用。銀河麒麟系統(tǒng)自帶安全中心這是一款基于kysec框架的圖形管理工具。打開方式很簡單點擊左下角“開始菜單”搜索“安全中心”就行。進(jìn)入安全中心后左側(cè)導(dǎo)航欄找到“網(wǎng)絡(luò)保護(hù)”點進(jìn)去就能看到防火墻模塊。開啟防火墻把防火墻開關(guān)滑動到“開啟”位置開放端口最常用很多場景下你需要開放特定端口比如遠(yuǎn)程連接要用22端口SSH、搭網(wǎng)站要用80和443端口。操作路徑網(wǎng)絡(luò)保護(hù) → 防火墻 → 配置訪問策略 → 新建規(guī)則點擊號新建規(guī)則時填寫**名稱隨便寫能記住就行比如“SSH服務(wù)”**協(xié)議一般選TCP本地端口填你要開放的端口號多個端口用英文逗號隔開方向選“入站”動作選“允許”關(guān)閉防火墻僅限臨時場景路徑開始菜單 → 設(shè)置 → 安全 → 防火墻與網(wǎng)絡(luò)保護(hù)把開關(guān)關(guān)掉就行。不過我得提醒一句沒事別關(guān)防火墻。這等于把家門敞開誰都能進(jìn)來逛逛。臨時測試用完記得馬上開回去。三、運維常用的幾條命令復(fù)雜規(guī)則和批量配置還是命令行快。注意用的是 kylin-firewall不是通用的 firewall-cmd。3.1 查看KySec防火墻整體狀態(tài)打開終端快捷鍵CtrlAltT執(zhí)行專屬命令查看完整安全狀態(tài)包含網(wǎng)絡(luò)管控、文件保護(hù)、執(zhí)行控制等模塊狀態(tài)getstatus關(guān)鍵參數(shù)說明netctl代表網(wǎng)絡(luò)防火墻管控狀態(tài)exectl代表程序執(zhí)行聯(lián)網(wǎng)控制顯示on為開啟、off為關(guān)閉、warning為警告模式。3.2 啟停防火墻核心服務(wù)銀河麒麟桌面系統(tǒng)KySec防火墻不依賴firewalld服務(wù)核心啟停、規(guī)則配置均使用系統(tǒng)原生kylin-firewall專屬命令無需兼容通用Linux防火墻指令專屬基礎(chǔ)啟停命令如下# 開啟KySec防火墻永久生效 sudo kylin-firewall -s on # 關(guān)閉KySec防火墻永久生效 sudo kylin-firewall -s off # 查看防火墻完整運行狀態(tài)、公私網(wǎng)防護(hù)模式 sudo kylin-firewall -g # 重載防火墻所有規(guī)則修改配置后必執(zhí)行 sudo kylin-firewall -r3.3 切換KySec安全管控模式# 切換為強制模式生產(chǎn)默認(rèn) sudo setstatus enable normal # 切換為警告模式日常調(diào)試 sudo setstatus enable warning # 切換為軟模式日志審計調(diào)試 sudo setstatus enable softmode # 以上僅是臨時切換如果需要永久切換模式需要加-p 參數(shù)如 sudo setstatus enable normal -p3.4 基礎(chǔ)信息查詢命令①命令# 查看防火墻整體運行狀態(tài)、開關(guān)狀態(tài)、防護(hù)模式 sudo kylin-firewall -g # 查看所有已放行端口、服務(wù)、IP白名單完整規(guī)則 sudo kylin-firewall -S②示例3.5.添加麒麟防火墻規(guī)則①命令sudokylin-firewall-A# 常用參數(shù)如下-A, --add-rule RULE_NAME[-c,--commandCOMM][-d,--directionDIRECTION][-m,--modeMODE][-p,--protocolPROTO][-l, --local-ip ADDR][-L, --local-ports PORTS][-r, --remote-ip 地址][-R, --remote-ports 端口][-a,--action操作]②示例$sudokylin-firewall-Anginx-server-mpublic-ptcp-L80-aallow $sudokylin-firewall-Srule_name|program|direction|mode|proto|local-IP|local-ports|remote-IP|remote-ports|action|status nginx-server all all public tcp all80all all allow on sshd sshd all all all all all all all allow on Dhclient all all all udp all68all all allow on Remote-Ports all all all tcp all all all80,443,59546 allow on APT-P2P all all all all all9977all all allow on Avahi-Daemon all all all udp all5353all all allow on Remote-Desktop all all private tcp all3350,3389,5900 all all allow on Remote-Monitor all all all tcp all39275,39276,45623 all all allow on SNMP all all private udp all all all161allow on icmp all all private icmp all all all all allow on SSHD all all private tcp all22all all allow on System-Activation all all all all all all all7070,17070allow on Other-Service2 all all private udp all500,1701,4500 all all allow on feige all all all all all2425all all allow on Kylin-Ipmsg all all all all all39900,39901all all allow on Other-Service1 all all private tcp all25,7250,8668,8750,10080 all all allow on CUPSD all all private tcp all631all all allow on Systemd-Resolve all all private all all53all all allow on Risk-Ports all all public all all21,23,25,111,427,631 all all deny on Wireless-Projection all all all all all1991,24605all all allow on Kylin-Connectivity all all all all all27180,27181,27182,27185:27198 all all allow on3.6.刪除麒麟防火墻規(guī)則①命令sudokylin-firewall-D規(guī)則名稱②示例$sudokylin-firewall-Srule_name|program|direction|mode|proto|local-IP|local-ports|remote-IP|remote-ports|action|status nginx-server all all public tcp all80all all allow on sshd sshd all all all all all all all allow on Dhclient all all all udp all68all all allow on Remote-Ports all all all tcp all all all80,443,59546 allow on APT-P2P all all all all all9977all all allow on Avahi-Daemon all all all udp all5353all all allow on Remote-Desktop all all private tcp all3350,3389,5900 all all allow on Remote-Monitor all all all tcp all39275,39276,45623 all all allow on SNMP all all private udp all all all161allow on icmp all all private icmp all all all all allow on SSHD all all private tcp all22all all allow on System-Activation all all all all all all all7070,17070allow on Other-Service2 all all private udp all500,1701,4500 all all allow on feige all all all all all2425all all allow on Kylin-Ipmsg all all all all all39900,39901all all allow on Other-Service1 all all private tcp all25,7250,8668,8750,10080 all all allow on CUPSD all all private tcp all631all all allow on Systemd-Resolve all all private all all53all all allow on Risk-Ports all all public all all21,23,25,111,427,631 all all deny on Wireless-Projection all all all all all1991,24605all all allow on Kylin-Connectivity all all all all all27180,27181,27182,27185:27198 all all allow on $sudokylin-firewall-Dnginx-server $sudokylin-firewall-Srule_name|program|direction|mode|proto|local-IP|local-ports|remote-IP|remote-ports|action|status sshd sshd all all all all all all all allow on Dhclient all all all udp all68all all allow on Remote-Ports all all all tcp all all all80,443,59546 allow on APT-P2P all all all all all9977all all allow on Avahi-Daemon all all all udp all5353all all allow on Remote-Desktop all all private tcp all3350,3389,5900 all all allow on Remote-Monitor all all all tcp all39275,39276,45623 all all allow on SNMP all all private udp all all all161allow on icmp all all private icmp all all all all allow on SSHD all all private tcp all22all all allow on System-Activation all all all all all all all7070,17070allow on Other-Service2 all all private udp all500,1701,4500 all all allow on feige all all all all all2425all all allow on Kylin-Ipmsg all all all all all39900,39901all all allow on Other-Service1 all all private tcp all25,7250,8668,8750,10080 all all allow on CUPSD all all private tcp all631all all allow on Systemd-Resolve all all private all all53all all allow on Risk-Ports all all public all all21,23,25,111,427,631 all all deny on Wireless-Projection all all all all all1991,24605all all allow on Kylin-Connectivity all all all all all27180,27181,27182,27185:27198 all all allow on四、幾個實用建議1. 能開就別關(guān)。防火墻是你系統(tǒng)的第一道防線除非做臨時測試否則保持開啟狀態(tài)。2. 按需開放端口。需要什么開什么別圖省事全放開。最小權(quán)限原則放哪都適用。3. 圖形界面和命令行結(jié)合用。日常管理用圖形界面省事排查問題時命令行更直接。兩個都會心里不慌。4. 遇到問題先看kysec。在麒麟系統(tǒng)上遇到權(quán)限類的奇怪問題先想想是不是kysec在“依法辦事”——很多時候不是你操作錯了是安全策略在起作用。總結(jié)KySec防火墻是銀河麒麟桌面系統(tǒng)國產(chǎn)化安全防護(hù)的核心區(qū)別于通用Linux firewalld防火墻麒麟系統(tǒng)采用kylin-firewall專屬管控工具KySec安全框架的國產(chǎn)化方案實現(xiàn)網(wǎng)絡(luò)流量過濾程序聯(lián)網(wǎng)管控系統(tǒng)內(nèi)核防護(hù)三位一體的安全能力。普通用戶可通過圖形化界面快速完成日常配置運維人員可通過原生kylin-firewall命令實現(xiàn)精細(xì)化、批量安全管控完全適配銀河麒麟V10系列系統(tǒng)規(guī)范滿足日常防護(hù)、網(wǎng)絡(luò)調(diào)試、等保加固全場景需求。如果你覺得這篇文章有用歡迎點贊、在看、轉(zhuǎn)發(fā)讓更多用國產(chǎn)系統(tǒng)的朋友少走彎路。有什么問題也可以在評論區(qū)留言我看到都會回復(fù)。