关闭不必要的端口和服务-CentOS

上一篇文章我们讲到了CentOS Linux自动更新的问题，这里讲一下关闭不必要端口/服务。

为了保证服务器的安全，严格限制开放的端口是非常必要的，一般来讲，非必要的端口/服务都应该关闭。

首先要检测一下哪些端口是开放的：

运行： netstat -tunlp

在我的CentOS 6主机上的结果如下：

 
       1 
       @H_502_24@Active Internet connections (only servers) 
      
       2 
       @H_502_24@Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name 
      
       3 
       @H_502_24@tcp 0 0 0.0.0.0:3306 0.0.0.0:* LISTEN 1760/MysqLd 
      
       4 
       @H_502_24@tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 907/sshd 
      
       5 
       @H_502_24@tcp 0 0 127.0.0.1:25 0.0.0.0:* LISTEN 983/master 
      
       6 
       @H_502_24@tcp 0 0 0.0.0.0:21 0.0.0.0:* LISTEN 2280/vsftpd 
      
       7 
       @H_502_24@tcp 0 0 :::80 :::* LISTEN 28671/httpd 
      
       8 
       @H_502_24@tcp 0 0 :::22 :::* LISTEN 907/sshd 
      
       9 
       @H_502_24@tcp 0 0 ::1:25 :::* LISTEN 983/master 
      
       10 
       @H_502_24@tcp 0 0 :::21 :::* LISTEN 2280/vsftpd

可以看到这个linux服务器上4个端口是开放的。– 前4条是IPv4的表示，后面4条是给IPv6用的。@H_502_178@其中25号端口只有本地(127.0.0.1)才可以连接。@H_502_178@sshd 当然不能关闭，否则无法ssh登录了。@H_502_178@MysqLd也不可一关闭，否则数据库就无法连接了。

但FTP(vsftp)应该是不需要的，几乎在所有的情况下，都可以用SFTP (SSH FTP)来代替传统的FTP。因此我们需要把ftp服务关闭。

 
       1 
       @H_502_24@chkconfig vsftp off 
      
       2 
        
       3 
       @H_502_24@/etc/init.d/vsftp stop

如果你的列表中有服务是你不希望开放的，你可以通过service xxx stop 以及 chkconfig来关闭这些服务

但有个问题，我希望MysqL只接收localhost的连接，拒绝任何外部连接。如何设置呢？@H_502_178@最简单的方法：通过设置/etc/my.cnf来实现：@H_502_178@在my.cnf配置文件中[MysqLd]部分加上

`1`	@H_502_24@bind-address=127.0.0.1

然后重新启动MysqLd 的服务。

`1`	@H_502_24@sudo /etc/init.d/MysqLd restart

我们再次运行 netstat -tunlp ，结果如下

 
       1 
       @H_502_24@Active Internet connections (only servers) 
      
       2 
       @H_502_24@Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name 
      
       3 
       @H_502_24@tcp 0 0 127.0.0.1:3306 0.0.0.0:* LISTEN 1760/MysqLd 
      
       4 
       @H_502_24@tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 907/sshd 
      
       5 
       @H_502_24@tcp 0 0 127.0.0.1:25 0.0.0.0:* LISTEN 983/master 
      
       6 
       @H_502_24@tcp 0 0 :::80 :::* LISTEN 28671/httpd 
      
       7 
       @H_502_24@tcp 0 0 :::22 :::* LISTEN 907/sshd 
      
       8 
       @H_502_24@tcp 0 0 ::1:25 :::* LISTEN 983/master

这表明MysqL目前确实只监听来自localhost（127.0.0.1）的请求了。

是不是这样可以了呢？那防火墙还有没有必要设置了呢？事实上，这样设置并没有彻底向外界关闭3306端口，一些端口探测工具仍然会检测到你的服务器上的3306端口是OPEN的，并可以向这个端口发包，只是这些试图连接和攻击的数据包会被MysqL服务拒绝而已。因此我们还是需要配置相应的防火墙来彻底阻断外界的攻击。

关闭不必要的端口和服务-CentOS

相关文章