網(wǎng)站地圖 怎么做,網(wǎng)站開(kāi)發(fā)軟件環(huán)境,維護(hù)網(wǎng)站需要多少錢(qián),鞍山市殘疾人網(wǎng)站開(kāi)發(fā)一、發(fā)現(xiàn)問(wèn)題 事情起因#xff1a; 同事反饋ESXI中的A虛擬機(jī)#xff08;Centos#xff09;無(wú)法ssh遠(yuǎn)程了#xff08;遠(yuǎn)程端口在虛擬機(jī)創(chuàng)建時(shí)就被修改為了10022#xff09;#xff0c;但前段時(shí)間都還可以正常登錄。 初步排查#xff1a; A虛擬機(jī)可以被ping通#xff0…一、發(fā)現(xiàn)問(wèn)題事情起因同事反饋ESXI中的A虛擬機(jī)Centos無(wú)法ssh遠(yuǎn)程了遠(yuǎn)程端口在虛擬機(jī)創(chuàng)建時(shí)就被修改為了10022但前段時(shí)間都還可以正常登錄。初步排查A虛擬機(jī)可以被ping通但是telnet 10022端口顯示超時(shí)。因此初步判斷是防火墻攔截問(wèn)題。二、排查經(jīng)過(guò)和解決辦法1、查看虛擬機(jī)內(nèi)防火墻發(fā)現(xiàn)是關(guān)閉狀態(tài)。嘗試重啟沒(méi)用看報(bào)錯(cuò)也無(wú)法看出什么如下圖因此journalctl -xe進(jìn)一步查看報(bào)錯(cuò)如下圖這里顯示我們報(bào)錯(cuò)的原因跟selinux目前策略有關(guān)根據(jù)過(guò)完經(jīng)歷大概明白是因?yàn)镾ELinux做安全加固是使用了targeted策略導(dǎo)致。2、查看selinux發(fā)現(xiàn)是正常運(yùn)行targeted策略不允許未經(jīng)授權(quán)的程序訪問(wèn)網(wǎng)絡(luò)端口除非這些端口已經(jīng)被明確地添加到 SELinux 的策略中。解決辦法有2種但本篇文章只寫(xiě)了最簡(jiǎn)單的一種將10022添加到策略中相關(guān)命令及解釋如下圖上圖命令可以查看SELinux在targeted策略下允許的協(xié)議類型及對(duì)應(yīng)的端口號(hào)semanage port -a -t http_port_t -p tcp8080-a 表示添加。 -t 后面跟的是類型在這個(gè)例子中是 http_port_t這是專門(mén)為 HTTP 服務(wù)預(yù)留的類型。 -p 指定協(xié)議在這個(gè)例子中是 tcp。8080是你要開(kāi)放的端口號(hào)。再次重啟ssh就可以正常啟動(dòng)成功了如下圖3、再次用其他主機(jī)嘗試telnet A主機(jī)的10022端口發(fā)現(xiàn)還是超時(shí)。反思后想起來(lái)Centos的防火墻除了firewall還有iptables如下圖將1002端口在iptables中配置為允許如下圖添加成功后查看iptables全部策略可以看到添加成功4、問(wèn)題解決。三、總結(jié)在重要機(jī)關(guān)單位和大型企業(yè)中安全加固是必不可少了因此將selinux設(shè)置為target策略、將許多重要服務(wù)的默認(rèn)端口修改比如ssh端口修改為10022、將防火墻打開(kāi)都是必須的。但相應(yīng)帶來(lái)的問(wèn)題就是許多重要服務(wù)的默認(rèn)端口被修改后運(yùn)維人員必須要注意修改相應(yīng)的selinux策略和防火墻規(guī)則。本篇文章最初的起因就是不熟悉運(yùn)維流程的虛擬機(jī)使用者在進(jìn)行相應(yīng)的安全加固操作后并未做完整的加固流程。教訓(xùn)修改默認(rèn)端口、修改selinux策略、封禁和開(kāi)放重要端口往往都是配套的。