Linux交换空间管理、网络安全加固实战

Linux交换空间管理、网络安全加固实战Linux 交换空间管理计算机存储器的层次结构计算机存储器速度越快成本较高。 为了获得好的性能/价格比计算机中各种存储器组成一个层状的塔式结构取长补短协调工作。CPU 寄存器是 CPU 内部用来存放数据的一些小型存储区域用来暂时存放参与运算的数据和运算结果以及一些 CPU 运行需要的信息。CPU 高速缓存也就是CPU Cache是一种容量小、速度快的高缓冲存储器由SRAM组成直接制作在CPU芯片内速度几乎与CPU一样快。在金字塔式存储体系中它位于自顶向下的第二层仅次于CPU寄存器。其容量远小于内存但速度却可以接近处理器的频率。主存储器Main memory简称主存或内存其作用是存放指令和数据并能由中央处理器CPU直接随机存取。主存储器速度比CPU高速缓存慢但存储容器却大的多。主存储器的速度一般用存取时间衡量即每次与CPU间数据处理耗费的时间以纳秒(ns)为单位。大多数SDRAM内存芯片的存取时间为5、6、7、8或10ns。主存储器的带宽计算公式带宽频率*位宽8。例如DDR4 内存频率是3600 MHz在64位系统双通道位宽为128以此类推1B8bit,单通道 DDR4-36003600MHz * 64bit / 828800MB/S双通道 DDR4-36003600MHz * 64bit * 2 / 857600MB/S辅助存储器速度慢的多优点是容量大可持久化存储。计算机存储器的工作原理CPU运行程序时先从寄存器中读取数据。如果在寄存器中可以找到数据则直接从寄存器中读取。如果在寄存器中找不到数据则从CPU Cache中读取数据并将数据缓存在CPU Cache中。如果在CPU cache中可以找到数据则直接从CPU Cache中读取。如果在CPU cache中找不到数据则从主存储器内存中读取数据将数据缓存在主存储器中。如果在内存中可以找到数据则直接从内存中读取。如果在内存中找不到数据则从辅助存储器中读取数据例如机械磁盘、光盘、U盘等并将数据缓存在内存中。物理内存计算机系统将内存划分为固定大小的块称为 page标准 page 大小为 4 KiB。进程并不直接对物理内存寻址每个进程具有虚拟地址空间virtual address space。当进程请求内存时MMU 将进程获得的虚拟地址VAVirtual Address 映射到物理地址PAPhysical Address 。MMU是Memory Management Unit的缩写即内存管理单元它是CPU中用来管理虚拟存储器、物理存储器的控制线路负责将虚拟地址映射为物理地址以及提供硬件机制的内存访问授权。思考为什么CPU不直接访问物理地址虚拟内存的容量是物理内存和交换空间的总和而虚拟地址负责映射到物理内存地址和交换空间地址。进程使用内存的过程中希望内存是连续的。如果进程直接访问物理地址则内核很难保证进程获得的物理地址空间是连续的因为进程存在着运行和退出就会出现内存碎片化。进程的虚拟地址在虚拟内存中是连续的达到了内存连续的目的而 MMU 会将进程的虚拟地址映射到物理地址。Swap 空间Swap意思是“交换”、“实物交易”。Linux Swap交换空间是受Linux内核内存子系统控制的磁盘区域。功能1当内存使用量超过定义的限制时内核寻找已分配给进程但空闲的内存页将该空闲的内存页写入到交换空间并向其他进程重新分配RAM页面。功能2如果某个程序需要访问磁盘上的页面则内核会找到另一个空闲的内存页 将其写入到磁盘然后从交换区重新调用所需的页面。功能3如果某个程序需要访问数据访问的数据存放在交换空间则该程序直接从交换空间读取数据而不需要从磁盘原始位置读取进而提高速度。简单地说Linux Swap 空间就是在内存不够的情况下操作系统先把内存中暂时不用的数据存到硬盘的交换空间腾出内存来让别的程序运行和Windows的虚拟内存pagefile.sys的作用是一样的。交换空间只是临时的解决办法。虽然交换空间能够作为虚拟内存使用但由于交换区位于磁盘上它的速度比物理内存慢的多因此如果需要更快的速度的话最好的办法仍然是加大物理内存。查看内存默认单位是KiB使用-m选项以MiB为单位[rootcentos7 ~]# freetotal used free shared buff/cache availableMem: 4026156 330460 3528844 12136 166852 3485576Swap: 4063228 0 4063228输出说明Memtotal物理内存空间大小。used使用的内存 (total - free - buffers - cache)。free未使用的内存空间大小(真正的空闲未被任何程序占用)。shared多个进程共享的内存空间大小。cached从磁盘读取的数据占用的内存空间大小待以后使用数据没有被修改。buffers被更改但未写回磁盘的数据占用的内存空间大小。Swap:total交换空间大小。used使用的交换空间大小。free未使用交换空间大小。Swap 空间大小管理员应根据系统的内存工作负载来调整交换空间大小。 应用供应商有时会提供这方面的建议。根据物理内存总量下表提供了一些指导。笔记本电脑和台式机的Hibernate功能会在关闭系统电源之前使用交换空间来保存RAM内容。重新打开系统时 内核将从交换空间恢复RAM内容无需完全启动。 对于这些系统而言交换空间需要超过RAM量。创建交换空间[rootserver ~ 11:34:35]# vgs VG #PV #LV #SN Attr VSize VFree centos 1 3 0 wz--n- 199.00g 40.00g webapp 2 2 1 wz--n- 39.99g 29.99g 在webapp中创建4G的交换空间 [rootserver ~ 11:34:38]# lvcreate -n swap -L 4G webapp Logical volume swap created. [rootserver ~ 11:35:07]# lvs LV VG Attr LSize Pool Origin Data% Meta% Move Log Cpy%Sync Convert home centos -wi-ao---- 45.12g root centos -wi-ao---- 110.00g swap centos -wi-ao---- 3.88g swap webapp -wi-a----- 4.00g webapp01 webapp owi-aos--- 5.00g webapp01-s1 webapp swi-a-s--- 5.00g webapp01 0.01 格式化swap空间 [rootserver ~ 11:35:19]# mkswap /dev/webapp/swap 正在设置交换空间版本 1大小 4194300 KiB 无标签UUID0a13afb3-5b82-411d-b366-73922f8edba5 激活 swap 空间 [rootserver ~ 11:35:56]# swapon /dev/webapp/swap 查看swap设备列表 [rootserver ~ 11:36:46]# swapon -s 文件名 类型 大小 已用 权限 /dev/dm-1 partition 4063228 0 -2 /dev/dm-7 partition 4194300 0 -3 取消 swap 空间激活 [rootserver ~ 11:37:01]# swapoff /dev/webapp/swap 持久化激活 swap 空间 [rootserver ~ 11:37:13]# vim /etc/fstab UUID0a13afb3-5b82-411d-b366-73922f8edba5 swap swap pri4 0 0 激活所有交换设备 [rootserver ~ 11:38:46]# swapon -a 取消激活所有交换设备 [rootserver ~ 11:38:59]# swapon -s 文件名 类型 大小 已用 权限 /dev/dm-1 partition 4063228 0 -2 /dev/dm-7 partition 4194300 0 -3Linux 网络安全加固Firewalld 防火墙Firewalld 介绍Firewalld 是 Red Hat 公司开发的防火墙软件默认后端为 nftables。在 CentOS 7 之前的发行版中默认使用 iptables 命令来管理防火墙。在 CentOS 7 之后的发行版中 firewalld 取代 iptables 成为了默认防火墙软件。用户可以同时使用 iptables 和 firewalld 两个防火墙软件但容易搞混规则。建议将一个防火墙关闭或默认允许所有流量只使用另一个防火墙。Firewalld 防火墙的另外一个特点就是动态加载防火墙规则。Firewalld 和 iptables 之间的关系firewalld 提供了一个 daemon 和 service还有命令行和图形界面配置工具它仅仅是替代了 iptables service 部分其底层还是使用 iptables 作为防火墙规则管理入口。firewalld 和 iptables 一样他们的作用都是用于维护规则自身并不具备防火墙的功能而真正使用规则干活的是内核的 netfilter只不过 firewalld 和 iptables 的结构以及使用方法不一样罢了。Firewalld 区域firewalld 防火墙为了简化管理将所有网络流量分为多个区域(zone)每个 zone 就是一套过滤规则集。Firewalld 提供的区域firewalld 防火墙提供了如下zonetrusted(信任区域)允许所有的传入流量。public(公共区域)允许与ssh或dhcpv6-client预定义服务匹配的传入流量其余均拒绝。是新添加网络接口的默认区域。external(外部区域)允许与ssh预定义服务匹配的传入流量其余均拒绝。默认将通过此区域转发的IPv4传出流量将进行地址伪装可用于为路由器启用了伪装功能的外部网络。home(家庭区域)允许与ssh、mdn3、samba-client或dhcpv6-client预定义服务匹配的传入流量其余均拒绝。internal(内部区域)默认值时与homel区域相同。work(工作区域)允许与 ssh、dhcpv6-client预定义服务匹配的传入流量其余均拒绝。dmz(隔离区域也称为非军事区域)允许与ssh 预定义服务匹配的传入流量其余均拒绝。block(限制区域)拒绝所有传入流量。drop(丢弃区域)丢弃所有传入流量并且不产生包含ICMP的错误响应。查看zone配置 [rootcentos7 ~]# cd /usr/lib/firewalld/ [rootcentos7 firewalld]# ls helpers icmptypes ipsets services zones # 查看zone配置 [rootcentos7 firewalld]# ls zones/ block.xml drop.xml home.xml public.xml work.xml dmz.xml external.xml internal.xml trusted.xml [rootcentos7 firewalld]# cat zones/trusted.xml ?xml version1.0 encodingutf-8? zone targetACCEPT shortTrusted/short descriptionAll network connections are accepted./description /zone [rootcentos7 firewalld]# cat zones/block.xml ?xml version1.0 encodingutf-8? zone target%%REJECT%% shortBlock/short descriptionUnsolicited incoming network packets are rejected. Incoming packets that are related to outgoing network connections are accepted. Outgoing network connections are allowed./description /zone [rootcentos7 firewalld]# cat zones/drop.xml ?xml version1.0 encodingutf-8? zone targetDROP shortDrop/short descriptionUnsolicited incoming network packets are dropped. Incoming packets that are related to outgoing network connections are accepted. Outgoing network connections are allowed./description /zonefirewall-cmd 命令行工具两个基本概念配置防火墙必须知道两个基本概念防火墙的配置有两个状态runtime运行时命令行执行是的默认状态该状态下的配置立刻生效。permanent永久通过选项 --permanent 指定该状态下的配置不会立刻生效而是写入配置文件需要通过选项 --reload 重新reload才会生效重新reload将导致运行时状态下未保存的配置丢失但会保留当前连接状态。如果使用选项 --complete-reload 重新reload永久配置将导致当前连接状态也丢失。建议配置防火墙一次性写两条规则第一条使用选项 --permanent永久生效第二条不使用选项 --permanent 立刻生效。配置防火墙的规则必须一个区域内直接规则除外如果不使用选项 --zone 明确指明区域则使用默认区域。默认区域是public。zone 管理安装nginx服务为后续做准备 [rootserver ~ 14:18:02]# yum install -y nginx 设置开机自启并立即启动 [rootserver ~ 14:18:16]# systemctl enable nginx.service --now Created symlink from /etc/systemd/system/multi-user.target.wants/nginx.service to /usr/lib/systemd/system/nginx.service. [rootserver ~ 14:18:44]# curl 10.1.8.10 !DOCTYPE HTML PUBLIC -//W3C//DTD HTML 4.01 Transitional//EN html head titleWelcome to CentOS/title style relstylesheet typetext/css html { background-image:url(img/html-background.png); background-color: white; font-family: DejaVu Sans, Liberation Sans, sans-serif; font-size: 0.85em; line-height: 1.25em; margin: 0 4% 0 4%; } .... 查看默认zone中的规则 [rootserver ~ 14:19:08]# firewall-cmd --list-all public (active) target: default icmp-block-inversion: no interfaces: ens33 sources: services: dhcpv6-client ssh ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules: 添加http服务到zone [rootserver ~ 14:19:44]# firewall-cmd --add-servicehttp success [rootserver ~ 14:19:52]# firewall-cmd --list-all public (active) target: default icmp-block-inversion: no interfaces: ens33 sources: services: dhcpv6-client http ssh ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules: 查看特定zone中的规则 [rootserver ~ 14:20:47]# firewall-cmd --list-all --zonehome home target: default icmp-block-inversion: no interfaces: sources: services: dhcpv6-client mdns samba-client ssh ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules: 查看激活的zone清单也就是分配了interface和source的zone [rootserver ~ 14:21:25]# firewall-cmd --get-active-zones public interfaces: ens33 来源于特定source的数据包交给特定zone处理 [rootserver ~ 14:22:11]# firewall-cmd --add-source 192.168.1.0/24 --zone internal success 查看激活的zone清单也就是分配了interface和source的zone [rootserver ~ 14:22:21]# firewall-cmd --get-active-zones internal sources: 192.168.1.0/24 public interfaces: ens33 查看zone配置 [rootserver ~ 14:23:13]# ls /usr/lib/firewalld/zones block.xml drop.xml home.xml public.xml work.xml dmz.xml external.xml internal.xml trusted.xml查看默认zone [rootserver ~ 14:52:50]# firewall-cmd --get-default-zone public 设置默认zone例如设置为block该操作同时设置永久态默认zone [rootserver ~ 14:53:02]# firewall-cmd --set-default-zone block success 查看默认zone [rootserver ~ 14:53:15]# firewall-cmd --get-default-zone block 设置回原来的zone [rootserver ~ 14:53:24]# firewall-cmd --set-default-zone public success [rootserver ~ 14:53:37]# firewall-cmd --list-all public (active) target: default icmp-block-inversion: no interfaces: ens33 sources: services: dhcpv6-client http ssh ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules: 查看单条zone规则 [rootserver ~ 14:53:57]# firewall-cmd --list-services dhcpv6-client http ssh 查看单条zone规则 [rootserver ~ 14:54:14]# firewall-cmd --list-interfaces ens33 查看激活的zone清单也就是分配了interface和source的zone [rootserver ~ 14:54:22]# firewall-cmd --get-active-zones internal sources: 192.168.1.0/24 public interfaces: ens33 变更source到其他zone [rootserver ~ 14:54:34]# firewall-cmd --change-source192.168.1.0/24 --zonework success [rootserver ~ 14:55:16]# firewall-cmd --get-active-zones work sources: 192.168.1.0/24 public interfaces: ens33 查看source是否添加 [rootserver ~ 14:55:18]# firewall-cmd --query-source192.168.1.0/24 --zonework yes 查看source是否添加 [rootserver ~ 14:55:57]# firewall-cmd --query-source192.168.1.0/24 --zonehome no 删除zone中source [rootserver ~ 14:56:11]# firewall-cmd --remove-source192.168.1.0/24 --zonework success [rootserver ~ 14:56:25]# firewall-cmd --get-active-zones public interfaces: ens33 [rootserver ~ 14:56:31]# cat /etc/firewalld/zones/public.xml ?xml version1.0 encodingutf-8? zone shortPublic/short descriptionFor use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted./description service namessh/ service namedhcpv6-client/ /zone 添加放行服务到配置文件中 [rootserver ~ 14:56:54]# firewall-cmd --add-servicehttp --permanent success [rootserver ~ 14:57:04]# cat /etc/firewalld/zones/public.xml ?xml version1.0 encodingutf-8? zone shortPublic/short descriptionFor use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted./description service namessh/ service namedhcpv6-client/ service namehttp/ /zone 删除服务 [rootserver ~ 14:57:06]# firewall-cmd --remove-servicehttp success [rootserver ~ 14:57:20]# firewall-cmd --list-all public (active) target: default icmp-block-inversion: no interfaces: ens33 sources: services: dhcpv6-client ssh ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules: 重新从配置文件中拉取 [rootserver ~ 14:57:39]# firewall-cmd --reload success 查询发现http服务回来了 [rootserver ~ 14:57:54]# firewall-cmd --list-all public (active) target: default icmp-block-inversion: no interfaces: ens33 sources: services: dhcpv6-client http ssh ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules: 删除配置文件中http服务 [rootserver ~ 14:57:55]# firewall-cmd --remove-servicehttp --permanent success [rootserver ~ 14:58:34]# cat /etc/firewalld/zones/public.xml ?xml version1.0 encodingutf-8? zone shortPublic/short descriptionFor use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted./description service namessh/ service namedhcpv6-client/ /zone 同步服务到配置文件中 [rootserver ~ 14:58:51]# firewall-cmd --runtime-to-permanent success [rootserver ~ 14:59:10]# cat /etc/firewalld/zones/public.xml ?xml version1.0 encodingutf-8? zone shortPublic/short descriptionFor use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted./description service namessh/ service namedhcpv6-client/ service namehttp/ /zone 删除服务 [rootserver ~ 14:59:14]# firewall-cmd --remove-servicehttp success 添加放行端口 [rootserver ~ 14:59:49]# firewall-cmd --add-port80/tcp success 删除端口 [rootserver ~ 15:00:27]# firewall-cmd --remove-port80/tcp success