权限管理————————————————————————————————————————————————————————————————————————————————————————————
1.用户权限管理
chown：设置用户的属主属组
命令格式：
chown [选项] [所有者][:[组]] 文件
选项：-R 处理指定目录以及其子目录下的所有文件
-v 显示详细的处理信息
-f 忽略错误信息
chgrp [属组] [文件] 修改文件属组
实例：[root@localhost ~]# useradd cat
[root@localhost ~]# mkdir miao
[root@localhost ~]# ll
total 4
-rw-------. 1 root root 815 Oct 31 09:44 anaconda-ks.cfg
drwxr-xr-x 2 root root 6 Jan 12 06:33 miao
[root@localhost ~]# chown cat:cat miao
[root@localhost ~]# ll
total 4
-rw-------. 1 root root 815 Oct 31 09:44 anaconda-ks.cfg
drwxr-xr-x 2 cat cat 6 Jan 12 06:33 miao
2.文件权限管理
chmod：设置文件的管理权限
命令格式：
chmod [who] operator [permission] filename
who包含的选项及其含义：u 文件属主权限 ； g 属组用户权限 ；
o 其他用户权限 ； a 所有用户(文件属主、属组用户及其他用户）
operator包含的选项及其含义：+ 增加权限；- 取消权限；= 设定权限。
permission包含的选项及其含义：r 读权限（4）；w 写权限（2）；x 执行权限（1）。
s 文件属主和组set-ID；t 粘性位*；l 给文件加锁，使其他用户无法访问。
u,g,o 针对文件属主、属组用户及其他用户的操作。
filename为想要操作的文件的文件名。
选项：-R 连同子目录下的文件一起设置
实例：[root@localhost ~]# chmod 744 miao
[root@localhost ~]# ll
total 4
-rw-------. 1 root root 815 Oct 31 09:44 anaconda-ks.cfg
drwxr--r-- 2 711 cat 6 Jan 12 06:33 miao
[root@localhost ~]# chmod a+w miao
[root@localhost ~]# ll
total 4
-rw-------. 1 root root 815 Oct 31 09:44 anaconda-ks.cfg
drwxrw-rw- 2 711 cat 6 Jan 12 06:33 miao
3.安全策略
禁止系统响应任何从外部/内部来的ping请求（禁Ping）
[root@localhost ~]#echo “1”> /proc/sys/net/ipv4/icmp_echo_ignore_all
禁止Control-Alt-Delete组合键重启系统
[root@localhost ~]#vi /etc/inittab（注释掉此行：ca::ctrlaltdel:/sbin/shutdown -t3 -r now）
[root@localhost ~]#telinit q
限制Shell记录历史命令大小
[root@localhost ~]# vi /etc/profile（修改HISTSIZE=X，X为设置的历史记录数，重启以生效）
删除系统默认的不必要用户和组
[root@localhost ~]# userdel username
[root@localhost ~]# groupdel groupname
配置iptables实现防火墙、NAT
删除已有规则
在新设定iptables规则时，我们一般先确保旧规则被清除
用iptables -F命令清除旧规则(or iptables --flush)
设置chain策略 chain：链；束缚；枷锁。
默认的chain策略为ACCEPT（接受），可以通过以下命令修改chain的策略：
iptables -P INPUT DROP （接受包丢弃）
iptables -P FORWARD DROP（转发包丢弃）
iptables -P OUTPUT DROP （发出包丢弃，如果信任本机往外发包，可不配置）
以上命令配置将接收、转发和发出包均丢弃，施行比较严格的包管理。
由于接收和发包均被设置为丢弃，当进一步配置其他规则的时候，需要注意针对INPUT和OUTPUT分别配置。
屏蔽指定ip
BLOCK_THIS_IP="x.x.x.x"
iptables -A INPUT -i eth0 -p tcp -s "$BLOCK_THIS_IP" -j DROP
以上命令设置将由x.x.x.x ip发往eth0网口的tcp包丢弃。
配置服务项
利用iptables，对日常用到的服务项进行安全管理，如设定只能通过指定网段、由指定网口通过SSH连接本机：
iptables -A INPUT -i eth0 -p tcp -s 192.168.100.0/24 --dport 22 -m state --state NEW,ESTABLESHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
若要支持由本机通过SSH连接其他机器，由于在本机端口建立连接，因而还需要设置以下规则：
iptables -A INPUT -i eth0 -p tcp -s 192.168.100.0/24 --dport 22 -m state --state ESTABLESHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
对于HTTP/HTTPS(80/443)、pop3(110)、rsync(873)、MySQL(3306)等基于tcp连接的服务，也可以参照上述命令配置。
对于基于udp的dns服务，使用以下命令开启端口服务：
iptables -A OUTPUT -p udp -o eth0 --dport 53 -j ACCEPT
iptables -A INPUT -p udp -i eth0 --sport 53 -j ACCEPT
网口转发配置
对于用作防火墙或网关的服务器，一个网口连接到公网，其他网口的包转发到该网口实现内网向公网通信，假设eth0连接内网，eth1连接公网，配置规则如下：
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
端口转发配置
对于端口，我们也可以运用iptables完成转发配置：
iptables -t nat -A PREROUTING -p tcp -d 192.168.102.37 --dport 422 -j DNAT --to 192.168.102.37:22
以上命令将422端口的包转发到22端口，因而通过422端口也可进行SSH连接，当然对于422端口，我们也需要像以上“4.配置服务项”一节一样，配置其支持连接建立的规则。
DoS攻击防范
利用扩展模块limit，我们还可以配置iptables规则，实现DoS攻击防范：
iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT
--litmit 25/minute 指示每分钟限制最大连接数为25
--litmit-burst 100 指示当总连接数超过100时，启动 litmit/minute 限制
配置web流量均衡
可以将一台服务器作为前端服务器，利用iptables进行流量分发，配置方法如下：
iptables -A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NEW -m nth --counter 0 --every 3 --packet 0 -j DNAT --to-destination 192.168.1.101:80
iptables -A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NEW -m nth --counter 0 --every 3 --packet 0 -j DNAT --to-destination 192.168.1.102:80
iptables -A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NEW -m nth --counter 0 --every 3 --packet 0 -j DNAT --to-destination 192.168.1.103:80
以上配置规则用到nth扩展模块，将80端口的流量均衡到三台服务器。
将丢弃包情况记入日志
使用LOG目标和syslog服务，我们可以记录某协议某端口下的收发包情况。拿记录丢包情况举例，可以通过以下方式实现。
首先自定义一个chain：
iptables -N LOGGING
其次将所有接收包导入LOGGING chain中：
iptables -A INPUT -j LOGGING
然后设置日志前缀、日志级别：
iptables -A LOGGING -m limit --limit 2/min -j LOG --log-prefix "IPTables Packet Dropped: " --log-level 7
最后将包倒向DROP，将包丢弃：
iptables -A LOGGING -j DROP
另可以配置syslog.conf文件，指定iptables的日志输出。
4.SElinux
SElinux的开启和关闭：
临时开启/关闭：setenforce 1/0
查看selinux状态：getenforce（enforcing：强制模式；permissiv：宽容模式；disabled：关闭。）
通过配置文件调整SElinux
[root@localhost ~]# vi /etc/selinux/config（修改SElinux=）（重启Linux以生效）
5.服务的权限------所有服务都是以普通用户启动的
权限应用模型：
判断运行此进程的用户是否与被访问的资源的属主相同，如果相同，则运用属主的权限，如果不同，则判断运行此进程的用户是否属于被访问资源的属组，如果是，则应用属组权限，如果不是，则应用其他权限
root用户：创建目录默认权限为755，创建文件的默认权限为644
普通用户：创建目录的默认权限为775，创建文件的默认权限为664
