云計(jì)算服務(wù)
服務(wù)器租用
DDOS 防護(hù)
虛擬主機(jī)
域名服務(wù)
基礎(chǔ)設(shè)施
關(guān)于我們
CentOS7安全策略端口配置指南
端口安全的核心意義
在CentOS7系統(tǒng)中，端口作為網(wǎng)絡(luò)通信的核心接口，直接關(guān)系服務(wù)器安全。合理的端口管理策略能有效減少攻擊面，防止未授權(quán)訪問，同時(shí)確保合法服務(wù)的正常運(yùn)行。
防火墻基礎(chǔ)配置
1. firewalld服務(wù)啟用
systemctl start firewalld
systemctl enable firewalld激活并設(shè)置防火墻開機(jī)自啟，為后續(xù)策略部署奠定基礎(chǔ)。
2. 端口開放與關(guān)閉
# 開放HTTP/HTTPS端口
firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --permanent --add-port=443/tcp
# 禁用高風(fēng)險(xiǎn)端口示例
firewall-cmd --permanent --remove-port=23/tcp通過白名單機(jī)制僅開放必要服務(wù)端口，默認(rèn)拒絕其他所有連接請求。
3. 區(qū)域策略優(yōu)化
firewall-cmd --set-default-zone=public
firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" accept'設(shè)置默認(rèn)安全區(qū)域，并通過富規(guī)則實(shí)現(xiàn)基于IP段的精細(xì)化控制。
服務(wù)管理規(guī)范
1. 非必要服務(wù)禁用
systemctl disable telnet.socket
systemctl mask rpcbind通過systemctl禁用遺留服務(wù)，使用mask命令徹底屏蔽高危服務(wù)啟動(dòng)。
2. SSH安全強(qiáng)化
# 修改默認(rèn)端口
sed -i 's/#Port 22/Port 5022/' /etc/ssh/sshd_config
# 啟用證書認(rèn)證
echo "PasswordAuthentication no" >> /etc/ssh/sshd_config變更SSH監(jiān)聽端口，強(qiáng)制使用密鑰認(rèn)證，顯著提升遠(yuǎn)程管理安全性。
端口監(jiān)控與防御
1. 端口掃描檢測
nmap -sS -p 1-65535 127.0.0.1
netstat -tulnp | grep LISTEN定期使用掃描工具檢測開放端口，比對預(yù)期結(jié)果排查異常監(jiān)聽。
2. 入侵防御部署
yum install -y fail2ban
echo "[sshd]
enabled = true
port = 5022" > /etc/fail2ban/jail.d/sshd.local通過fail2ban實(shí)現(xiàn)自動(dòng)封禁惡意IP，動(dòng)態(tài)增強(qiáng)端口防護(hù)能力。
高級安全策略
1. 端口隱身技術(shù)
echo "net.ipv4.icmp_echo_ignore_all = 1" >> /etc/sysctl.conf
sysctl -p關(guān)閉ICMP響應(yīng)，降低服務(wù)器被掃描發(fā)現(xiàn)的概率。
2. 連接速率限制
firewall-cmd --add-rich-rule='rule protocol value="tcp" limit value="10/m" accept'針對特定端口實(shí)施連接頻率控制，緩解暴力破解攻擊。
3. SELinux策略聯(lián)動(dòng)
semanage port -a -t http_port_t -p tcp 8080
setsebool -P httpd_can_network_connect 1通過SELinux上下文管理，實(shí)現(xiàn)服務(wù)與端口的強(qiáng)制訪問控制。
持續(xù)維護(hù)建議
定期執(zhí)行firewall-cmd --reload應(yīng)用策略變更，使用auditd監(jiān)控端口訪問日志，及時(shí)更新系統(tǒng)補(bǔ)丁修復(fù)已知漏洞。
.png)
.png)
