大家好我是程序員碼農拿鐵。很多政企單位最近幾年統(tǒng)一把辦公電腦換成了銀河麒麟操作系統(tǒng)。當時大家心態(tài)都挺輕松這系統(tǒng)跟 Linux 沾邊防火墻那套總該通用吧。結果換完第一天我們部門一半人卡在同一個地方軟件裝好了、端口配好了服務死活不通。很多粉絲朋友后臺私信我問我這個問題其實雖然銀河麒麟是Linux操作系統(tǒng)但是防火墻管理和傳統(tǒng)Linux防火墻管理是不一樣的今天分享出來幫大家徹底捋明白銀河麒麟桌面操作系統(tǒng)的kysec防火墻。這篇就把我踩過的坑和整理出來的用法講清楚不吹不黑都是實測過的。一、麒麟的防火墻特殊在哪普通 Linux 防火墻你多半聽過 firewalld、iptables管的是端口和流量。銀河麒麟 V10 桌面版的 KySec 防火墻底層還是用 Linux 內核的 Netfilter 做數據包過濾但管控入口換成了麒麟自己的 kylin-firewall 命令不是通用的 firewall-cmd。它特別的地方是疊加了一層 KySec 安全標記機制能給可執(zhí)行文件、進程、內核模塊打上標記再管控。說人話就是它不光管哪個端口能不能進還管哪個程序能不能上網。KYSECKylin Security是麒麟軟件自主研發(fā)的操作系統(tǒng)安全防護機制。它不是在別人的框架上改個名而是一套從底層設計的內核級安全體系。簡單說kysec干的事是給系統(tǒng)里每個“重要角色”——進程、文件、網絡連接——都打上“身份標簽”然后按照一套預定義規(guī)則主動攔截任何越界行為。舉個例子你就明白了。傳統(tǒng)Linux的權限管理自主訪問控制邏輯是只要你是root你想干嘛就干嘛。但kysec的強制訪問控制邏輯是就算你是root如果安全標記對不上修改照樣被攔。這就是為什么很多人在麒麟系統(tǒng)上配服務時明明用root權限操作卻各種報錯——不是系統(tǒng)有bug是kysec在按規(guī)則辦事。kysec主要管這幾件事執(zhí)行控制沒授權的程序別想跑文件保護關鍵文件誰也別想亂改內核模塊保護惡意驅動進不來應用聯網控制每個app能連哪、不能連哪我說了算二、不想敲命令圖形界面幾下就配好如果你是桌面用戶不習慣敲命令圖形界面完全夠用。銀河麒麟系統(tǒng)自帶安全中心這是一款基于kysec框架的圖形管理工具。打開方式很簡單點擊左下角“開始菜單”搜索“安全中心”就行。進入安全中心后左側導航欄找到“網絡保護”點進去就能看到防火墻模塊。開啟防火墻把防火墻開關滑動到“開啟”位置開放端口最常用很多場景下你需要開放特定端口比如遠程連接要用22端口SSH、搭網站要用80和443端口。操作路徑網絡保護 → 防火墻 → 配置訪問策略 → 新建規(guī)則點擊號新建規(guī)則時填寫**名稱隨便寫能記住就行比如“SSH服務”**協議一般選TCP本地端口填你要開放的端口號多個端口用英文逗號隔開方向選“入站”動作選“允許”關閉防火墻僅限臨時場景路徑開始菜單 → 設置 → 安全 → 防火墻與網絡保護把開關關掉就行。不過我得提醒一句沒事別關防火墻。這等于把家門敞開誰都能進來逛逛。臨時測試用完記得馬上開回去。三、運維常用的幾條命令復雜規(guī)則和批量配置還是命令行快。注意用的是 kylin-firewall不是通用的 firewall-cmd。3.1 查看KySec防火墻整體狀態(tài)打開終端快捷鍵CtrlAltT執(zhí)行專屬命令查看完整安全狀態(tài)包含網絡管控、文件保護、執(zhí)行控制等模塊狀態(tài)getstatus關鍵參數說明netctl代表網絡防火墻管控狀態(tài)exectl代表程序執(zhí)行聯網控制顯示on為開啟、off為關閉、warning為警告模式。3.2 啟停防火墻核心服務銀河麒麟桌面系統(tǒng)KySec防火墻不依賴firewalld服務核心啟停、規(guī)則配置均使用系統(tǒng)原生kylin-firewall專屬命令無需兼容通用Linux防火墻指令專屬基礎啟停命令如下# 開啟KySec防火墻永久生效 sudo kylin-firewall -s on # 關閉KySec防火墻永久生效 sudo kylin-firewall -s off # 查看防火墻完整運行狀態(tài)、公私網防護模式 sudo kylin-firewall -g # 重載防火墻所有規(guī)則修改配置后必執(zhí)行 sudo kylin-firewall -r3.3 切換KySec安全管控模式# 切換為強制模式生產默認 sudo setstatus enable normal # 切換為警告模式日常調試 sudo setstatus enable warning # 切換為軟模式日志審計調試 sudo setstatus enable softmode # 以上僅是臨時切換如果需要永久切換模式需要加-p 參數如 sudo setstatus enable normal -p3.4 基礎信息查詢命令①命令# 查看防火墻整體運行狀態(tài)、開關狀態(tài)、防護模式 sudo kylin-firewall -g # 查看所有已放行端口、服務、IP白名單完整規(guī)則 sudo kylin-firewall -S②示例3.5.添加麒麟防火墻規(guī)則①命令sudokylin-firewall-A# 常用參數如下-A, --add-rule RULE_NAME[-c,--commandCOMM][-d,--directionDIRECTION][-m,--modeMODE][-p,--protocolPROTO][-l, --local-ip ADDR][-L, --local-ports PORTS][-r, --remote-ip 地址][-R, --remote-ports 端口][-a,--action操作]②示例$sudokylin-firewall-Anginx-server-mpublic-ptcp-L80-aallow $sudokylin-firewall-Srule_name|program|direction|mode|proto|local-IP|local-ports|remote-IP|remote-ports|action|status nginx-server all all public tcp all80all all allow on sshd sshd all all all all all all all allow on Dhclient all all all udp all68all all allow on Remote-Ports all all all tcp all all all80,443,59546 allow on APT-P2P all all all all all9977all all allow on Avahi-Daemon all all all udp all5353all all allow on Remote-Desktop all all private tcp all3350,3389,5900 all all allow on Remote-Monitor all all all tcp all39275,39276,45623 all all allow on SNMP all all private udp all all all161allow on icmp all all private icmp all all all all allow on SSHD all all private tcp all22all all allow on System-Activation all all all all all all all7070,17070allow on Other-Service2 all all private udp all500,1701,4500 all all allow on feige all all all all all2425all all allow on Kylin-Ipmsg all all all all all39900,39901all all allow on Other-Service1 all all private tcp all25,7250,8668,8750,10080 all all allow on CUPSD all all private tcp all631all all allow on Systemd-Resolve all all private all all53all all allow on Risk-Ports all all public all all21,23,25,111,427,631 all all deny on Wireless-Projection all all all all all1991,24605all all allow on Kylin-Connectivity all all all all all27180,27181,27182,27185:27198 all all allow on3.6.刪除麒麟防火墻規(guī)則①命令sudokylin-firewall-D規(guī)則名稱②示例$sudokylin-firewall-Srule_name|program|direction|mode|proto|local-IP|local-ports|remote-IP|remote-ports|action|status nginx-server all all public tcp all80all all allow on sshd sshd all all all all all all all allow on Dhclient all all all udp all68all all allow on Remote-Ports all all all tcp all all all80,443,59546 allow on APT-P2P all all all all all9977all all allow on Avahi-Daemon all all all udp all5353all all allow on Remote-Desktop all all private tcp all3350,3389,5900 all all allow on Remote-Monitor all all all tcp all39275,39276,45623 all all allow on SNMP all all private udp all all all161allow on icmp all all private icmp all all all all allow on SSHD all all private tcp all22all all allow on System-Activation all all all all all all all7070,17070allow on Other-Service2 all all private udp all500,1701,4500 all all allow on feige all all all all all2425all all allow on Kylin-Ipmsg all all all all all39900,39901all all allow on Other-Service1 all all private tcp all25,7250,8668,8750,10080 all all allow on CUPSD all all private tcp all631all all allow on Systemd-Resolve all all private all all53all all allow on Risk-Ports all all public all all21,23,25,111,427,631 all all deny on Wireless-Projection all all all all all1991,24605all all allow on Kylin-Connectivity all all all all all27180,27181,27182,27185:27198 all all allow on $sudokylin-firewall-Dnginx-server $sudokylin-firewall-Srule_name|program|direction|mode|proto|local-IP|local-ports|remote-IP|remote-ports|action|status sshd sshd all all all all all all all allow on Dhclient all all all udp all68all all allow on Remote-Ports all all all tcp all all all80,443,59546 allow on APT-P2P all all all all all9977all all allow on Avahi-Daemon all all all udp all5353all all allow on Remote-Desktop all all private tcp all3350,3389,5900 all all allow on Remote-Monitor all all all tcp all39275,39276,45623 all all allow on SNMP all all private udp all all all161allow on icmp all all private icmp all all all all allow on SSHD all all private tcp all22all all allow on System-Activation all all all all all all all7070,17070allow on Other-Service2 all all private udp all500,1701,4500 all all allow on feige all all all all all2425all all allow on Kylin-Ipmsg all all all all all39900,39901all all allow on Other-Service1 all all private tcp all25,7250,8668,8750,10080 all all allow on CUPSD all all private tcp all631all all allow on Systemd-Resolve all all private all all53all all allow on Risk-Ports all all public all all21,23,25,111,427,631 all all deny on Wireless-Projection all all all all all1991,24605all all allow on Kylin-Connectivity all all all all all27180,27181,27182,27185:27198 all all allow on四、幾個實用建議1. 能開就別關。防火墻是你系統(tǒng)的第一道防線除非做臨時測試否則保持開啟狀態(tài)。2. 按需開放端口。需要什么開什么別圖省事全放開。最小權限原則放哪都適用。3. 圖形界面和命令行結合用。日常管理用圖形界面省事排查問題時命令行更直接。兩個都會心里不慌。4. 遇到問題先看kysec。在麒麟系統(tǒng)上遇到權限類的奇怪問題先想想是不是kysec在“依法辦事”——很多時候不是你操作錯了是安全策略在起作用。總結KySec防火墻是銀河麒麟桌面系統(tǒng)國產化安全防護的核心區(qū)別于通用Linux firewalld防火墻麒麟系統(tǒng)采用kylin-firewall專屬管控工具KySec安全框架的國產化方案實現網絡流量過濾程序聯網管控系統(tǒng)內核防護三位一體的安全能力。普通用戶可通過圖形化界面快速完成日常配置運維人員可通過原生kylin-firewall命令實現精細化、批量安全管控完全適配銀河麒麟V10系列系統(tǒng)規(guī)范滿足日常防護、網絡調試、等保加固全場景需求。如果你覺得這篇文章有用歡迎點贊、在看、轉發(fā)讓更多用國產系統(tǒng)的朋友少走彎路。有什么問題也可以在評論區(qū)留言我看到都會回復。