Linux服务器安全配置实战：从网络到SELinux八大服务

如果你正在为这份《Linux安全服务器配置》作业头疼，那大概率不是题目难，而是你把它当成了八个互不相干的零散模块。题目里的“网络+VNC+Samba+vsFTP+Apache+DNS+firewalld+SELinux”看着像是一堆命令的拼盘，实际上它完整还原了一台真实Linux服务器从接入内网、开放远程管理、共享文件、发布网站、解析域名再到安全加固的全过程。这不是一份普通作业，它是一个浓缩版的企业服务器落地场景。

这篇文章我会按实际部署顺序拆开讲：先做网络和防火墙规划，再依次搭建VNC远程桌面、Samba与vsFTP文件服务、Apache与DNS联动，最后用SELinux把整个系统收口。每个环节都给出命令、配置文件示例和我踩过的坑，适合正在做Linux课程综合实验、准备运维入门面试，或者想把零散服务知识串成体系的人。你不需要照着抄一遍，你需要理解“为什么要这么配”。

1 整体设计思路：为什么作业题偏偏选这几个服务？

拿到题目先别急着敲命令，先看题目里藏着的逻辑。网络配置是地基，没有固定IP和正确的网关，后面所有服务都是空中楼阁；VNC解决的是图形化远程管理问题，让运维人员不用坐在机房显示器前；Samba和vsFTP解决文件传输与共享，但面向场景不同，一个偏内网共享文件夹、一个偏跨平台文件分发；Apache是业务入口，网站发布是服务器存在的核心价值；DNS让用户不用记IP地址，用域名访问业务；最后firewalld和SELinux一外一内做安全防护，一个管网络边界放行，一个管进程权限边界。这个服务组合覆盖了服务器生命周期里最常接触的八类操作，所以它才会成为经典作业题，也是企业Linux运维的基础能力模型。

1.1 八个服务的内在依赖顺序

部署顺序不能乱。我推荐的执行顺序是：操作系统安装与网络配置→firewalld基础策略→SELinux模式确认→VNC远程管理→Samba文件共享→vsFTP文件传输→DNS域名解析→Apache网站发布→安全策略复核。为什么把DNS放在Apache前面？因为如果你希望用域名访问网站，Apache虚拟主机配置里要填ServerName，DNS解析没就绪，你只能拿IP凑合测试，后面还得回头改配置。而DNS一旦指向自己，系统里所有依赖域名解析的操作（包括yum源）都会受影响，所以要在Apache之前确认DNS能正常解析外部域名。

另一个容易忽略的点是防火墙和SELinux的联动。firewalld管的是“谁能访问我的端口”，SELinux管的是“进程拿到端口的服务权限后还能干什么”。很多初学者在firewalld放行了端口仍然连不上服务，八成是SELinux在背后拦截。所以我把防火墙放前面配置，SELinux的排错方法放在后面统一讲，实操时两个要对照着看。

1.2 实验环境与IP规划表

我这次实验用的是Rocky Linux 9，其实就是CentOS Stream的替代品，命令体系和CentOS 7/8几乎一致，你如果手头是CentOS 7.9也没问题，最多是软件包版本差异。虚拟机建议2核4G内存，硬盘40G就够跑完这一整套。网络模型用NAT或仅主机模式都可以，但一定要保证各虚拟机之间互通。

内网实验可以全部跑在一台虚拟机里，这反而更接近真实场景：小公司一台物理服务器又当Web服务器又当DNS服务器又当文件服务器是很常见的事，关键是每个服务占用的端口和资源不要冲突。

1.3 系统初始化三件事

装完系统后先做三件基础动作。第一，更新软件源缓存并升级内核相关包，dnf update -y，这一步能避免很多因为软件包版本过旧导致的疑难杂症。第二，确认主机名和hosts解析，hostnamectl set-hostname server1，然后在/etc/hosts里加上本机IP和主机名的映射，DNS服务没起来之前系统解析全靠它，这步不做，后面Apache启动都可能被主机名解析拖慢。第三，确认SELinux当前状态，getenforce，如果显示Enforcing就先别动它，我们按完整实验来做，如果显示Disabled就需要检查配置文件把SELINUX改成enforcing后重启。记住一个原则：先确认安全基线，再开服务，而不是服务全挂好以后再回来补安全配置。

2 网络配置与firewalld规划：先让服务器“有人管”

网络配置是这份作业里看起来最简单、但最容易在最后翻车的一步。很多人装系统时图省事选了DHCP自动获取IP，结果所有服务都配好了，一重启虚拟机IP变了，Apache和VNC全部失联。做服务器实验必须用静态IP，这不是习惯问题，是企业里服务器的硬性要求——IP变了等于服务器丢了。

2.1 静态IP配置：nmtui和nmcli二选一

我推荐用nmtui文本图形界面配，对新手友好，不容易填错字段。执行nmtui，选择“Edit a connection”，找到你的网卡设备名（一般是ens160或ens33），把IPv4配置方式从Auto改为Manual，然后依次填入IP地址、网关和DNS服务器地址。

如果你想用纯命令行方式，nmcli同样能做到：

bash复制nmcli connection modify ens160 ipv4.addresses 192.168.10.10/24
nmcli connection modify ens160 ipv4.gateway 192.168.10.1
nmcli connection modify ens160 ipv4.dns 192.168.10.10
nmcli connection modify ens160 ipv4.method manual
nmcli connection up ens160

注意第二台及以后的主机（如果做DNS从机或Web测试机），IP往后排，网关和DNS保持一致即可。配完以后用ip addr show和ip route确认地址和网关都生效了，再用ping -c 3 网关IP测一下物理链路通不通。

2.2 firewalld区域概念：服务器该放进什么区域

firewalld和传统的iptables最大区别是引入了“区域”概念，你可以把区域理解成不同的信任等级房间：public区域是对外开放的，ssh服务默认放行，其他端口一律拒绝；internal区域是内网可信环境，同网段主机之间互访限制更宽松；dmz区域是隔离区，一般部署对外业务时使用。

服务器如果只给内网用，我建议把默认区域设为internal，然后按需放行服务：

bash复制systemctl enable --now firewalld
firewall-cmd --set-default-zone=internal
firewall-cmd --get-default-zone

2.3 按服务逐项放行：准出从严，持久化优先

放行规则跟着服务走，每装好一个服务就立即放行对应端口，不要攒到最后一起放。这里有个习惯问题：firewall-cmd --add-service=http默认只对当前运行时生效，重启后就没有了，必须加--permanent参数并执行firewall-cmd --reload使其持久化。

bash复制firewall-cmd --permanent --add-service=http
firewall-cmd --permanent --add-service=https
firewall-cmd --permanent --add-service=dns
firewall-cmd --permanent --add-service=samba
firewall-cmd --permanent --add-service=ftp
firewall-cmd --permanent --add-port=5901/tcp
firewall-cmd --permanent --add-port=30000-31000/tcp
firewall-cmd --reload

放行GTP被动模式的端口范围时有个细节：vsFTP默认数据连接使用随机高端口，如果不把整个范围放行，客户端能登录但列目录或下载文件会卡死。经验是主动模式只开放21端口，被动模式至少放行1000个连续端口，我习惯给vsftpd预留30000-31000区间。

2.4 网络与防火墙验证清单

配置完成后建议按这个清单逐条验证：一查网卡状态nmcli device status；二查默认区域firewall-cmd --get-default-zone；三查已放行列表firewall-cmd --list-all；四从另一台机器扫描端口nmap -p 5901,80,21,445 192.168.10.10，确认服务端口确实对外可见。nmap没有的话先dnf install -y nmap。如果端口没通，先看服务有没有起来，再看防火墙，顺序不能反。防火墙在这里承担的是第一道关卡，验证顺序不对，你会把防火墙问题误判成服务配置问题，浪费大量时间。

3 VNC与远程桌面：给服务器配一个“图形化遥控器”

很多初学者不理解：既然有SSH，为什么还要VNC？SSH是命令行远程，VNC是图形桌面远程。实际运维中确实以SSH为主，但偶尔需要打开图形化工具（比如Oracle安装界面、某些管理平台的浏览器控制台），或者对面坐着一个只习惯点鼠标的同事，VNC就派上用场了。作业题把你安排得明明白白：SSH管理能力你已经有了，VNC让你多一条图形化的路子。

3.1 安装并初始化VNC服务

Rocky Linux/CentOS 7以上用tigervnc，安装命令：

bash复制dnf install -y tigervnc-server
vncpasswd root

vncpasswd是给当前用户设置VNC独立密码，注意这个密码和系统登录密码不是一回事，它是存在用户家目录的.vnc目录下的。设置完密码后，用systemd管理VNC服务实例：

bash复制systemctl enable --now vncserver@:1.service

这里的:1是显示器编号，对应端口5901。如果要第二个会话，就开:2对应5902，以此类推。不同发行版对vncserver@.service的模板略有差异，CentOS 7通常需要你手动创建/etc/systemd/system/vncserver@.service并指定用户，Rocky 9直接用系统自带的模板启动就行了。如果启动失败，先看日志：journalctl -u vncserver@:1.service -n 50。

3.2 VNC配置细节：桌面环境和分辨率

VNC启动后默认可能只有一个简陋的终端窗口，或者干脆黑屏，这是因为xstartup脚本里没有启动完整的桌面环境。编辑/root/.vnc/xstartup，确认里面有这样几行：

bash复制#!/bin/sh
unset SESSION_MANAGER
unset DBUS_SESSION_BUS_ADDRESS
exec gnome-session

如果系统装的是GNOME桌面，用exec gnome-session；如果是XFCE，换成exec startxfce4。改完后重启VNC服务：systemctl restart vncserver@:1.service。分辨率在/root/.vnc/config里设置，比如geometry=1920x1080，不设置默认可能是800x600，远程操作体验非常差。

3.3 客户端连接与常见坑位

客户端用RealVNC Viewer、TigerVNC Viewer或者TightVNC都行，连接地址写192.168.10.10:5901。需要提醒的是：VNC默认不加密，在企业内网用没问题，如果跨公网就必须配合SSH隧道，这个作业里我们只做内网验证。

我踩过的坑有两个，这里直接写出来。第一个是VNC登录后看到“由于账户受限，无法登录”之类的提示，这是SELinux标签问题，终端里执行restorecon -Rv /root/.vnc恢复上下文后重启服务。第二个是端口通了但连接超时，检查一下xstartup有没有可执行权限：chmod +x /root/.vnc/xstartup。这两个看似不相关的错误，占了VNC排错的八成场景。

4 Samba文件共享与vsFTP文件服务：内网交换文件的两种姿势

Samba和vsFTP解决的问题重叠但不完全相同。Samba面向Windows和Linux之间的文件夹共享，走的是SMB/CIFS协议，体验上就像在Windows网上邻居里双击文件夹；vsFTP是标准的FTP服务，面向的是批量文件分发、跨平台上传下载、给外部用户提供临时下载路径。作业题把两个都列出来，就是要你理解同一需求的不同技术选型。

4.1 Samba配置：三个关键参数决定共享成败

安装和创建用户这一步比较顺手：

bash复制dnf install -y samba samba-client
useradd -s /sbin/nologin smbuser
smbpasswd -a smbuser

这里创建的smbuser是系统用户，但sbin/nologin表示它不能登录Shell，只用于Samba验证。核心配置在/etc/samba/smb.conf，我给出一个最小可用配置：

ini复制[global]
   workgroup = WORKGROUP
   security = user
   passdb backend = tdbsam

[public]
   path = /data/share
   browseable = yes
   writable = yes
   guest ok = no
   valid users = @samba

security = user表示必须用Samba账号密码验证；guest ok = no禁止匿名访问；valid users = @samba限制只有samba组的用户可以访问。对应在系统层建组并把smbuser加进去：

bash复制groupadd samba
usermod -aG samba smbuser
mkdir -p /data/share
chown root:samba /data/share
chmod 2770 /data/share

目录权限用2770，2表示setgid位，子文件自动继承组归属，这样组内用户都能读写，这是Samba共享目录的标准权限模板。配置完执行testparm检查语法，然后systemctl enable --now smb。

4.2 Samba客户端挂载与SELinux放行

Windows端验证最简单：Win+R输入\\192.168.10.10\public，然后输入smbuser的账号密码。Linux客户端验证用：

bash复制dnf install -y cifs-utils
mount -t cifs //192.168.10.10/public /mnt -o username=smbuser,password=你的密码

如果Windows能看到共享但双击时报权限错误，先查目录系统权限ls -ld /data/share，再查SELinux布尔值getsebool -a | grep samba。通常情况下需要开启：

bash复制setsebool -P samba_enable_home_dirs 1
setsebool -P samba_export_all_rw 1

这里-P参数让布尔值永久生效，否则重启后SELinux又恢复到默认策略，共享就再次无法访问了。

4.3 vsFTP配置：匿名关闭、本地用户开写、被动模式固定

vsftpd安装简单，重点是/etc/vsftpd/vsftpd.conf里的几个参数：

ini复制anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=022
chroot_local_user=YES
allow_writeable_chroot=YES
pasv_enable=YES
pasv_min_port=30000
pasv_max_port=31000

anonymous_enable=NO关闭匿名登录，这是安全基线要求；chroot_local_user=YES把用户锁在自己的家目录里，防止登录后看全盘文件；allow_writeable_chroot=YES允许用户在锁定的目录里上传文件，这个参数在CentOS 7以后必须显式设置，否则FTP客户端登录后会报“500 OOPS: vsftpd: refusing to run with writable root inside chroot”。FTP的被动模式端口范围要跟防火墙放行范围一一对应，30000-31000共1001个端口，够用。

配置完同样用systemd管理：systemctl enable --now vsftpd。注意SELinux还有一个布尔值ftpd_full_access，如果不开启，本地用户即使登录成功也无法写文件：

bash复制setsebool -P ftpd_full_access 1

4.4 Samba和FTP怎么选

我在项目里给客户做方案时，通常给内网办公文件共享选Samba，因为Windows域环境集成度高、用户无感知；给跨网络、跨防火墙、对带宽有要求的场景选FTP，因为FTP协议穿透性好、支持断点续传、客户端工具成熟。作业实验里两个都配好以后，你应当能说出“Samba重在共享、FTP重在传输”这句话，这就是方案选型的底层逻辑。

5 Apache与DNS协同：让网站拥有一个“人类友好地址”

Apache和DNS单独看都不算复杂，但放在一起就形成了完整业务链：用户输入域名，DNS把域名解析成IP，浏览器通过IP访问Apache站点。这个“域名→IP→网站”的链路，就是你以后配置任何Web业务的基础模型。

5.1 Apache安装与虚拟主机

Rocky Linux/CentOS的Apache包名是httpd，不是apache2，命令也是httpd。安装配置：

bash复制dnf install -y httpd
systemctl enable --now httpd

配置虚拟主机放在/etc/httpd/conf.d/目录下，我建了一个www.test.lab.conf：

apache复制<VirtualHost *:80>
    ServerName www.test.lab
    DocumentRoot /var/www/html
    <Directory /var/www/html>
        Options Indexes FollowSymLinks
        AllowOverride None
        Require all granted
    </Directory>
    ErrorLog logs/www-error_log
    CustomLog logs/www-access_log common
</VirtualHost>

这里ServerName要和DNS里配置的域名完全一致，大小写不敏感，但拼写必须对。写完语法检查：

bash复制apachectl configtest

看到“Syntax OK”再重启服务。如果显示Syntax error，按提示去改，最常见的是ServerName缺失警告和Require all granted写错导致403。

5.2 DNS主配置文件与正解区数据

bind的包名叫bind，服务名叫named：

bash复制dnf install -y bind bind-utils

/etc/named.conf是主配置，我只贴关键片段：

bash复制zone "test.lab" IN {
    type master;
    file "test.lab.zone";
};

然后把正解区文件写到/var/named/test.lab.zone：

bash复制$TTL 1D
@ IN SOA ns1.test.lab. admin.test.lab. (
    2024091001 ; serial
    3H ; refresh
    1H ; retry
    1W ; expire
    3H ) ; minimum
    IN NS ns1.test.lab.
ns1 IN A 192.168.10.10
www IN A 192.168.10.10
ftp IN A 192.168.10.10

正向区文件里的SOA序列号是排错的关键，alter记录后必须递增serial，从服务器才会同步；实验环境只有主DNS的话，serial格式建议用日期+编号，比如2024091001。写完用工具验证：

bash复制named-checkconf /etc/named.conf
named-checkzone test.lab /var/named/test.lab.zone

确认无报错后systemctl enable --now named。本地客户端把/etc/resolv.conf改成nameserver 192.168.10.10，用nslookup www.test.lab验证。

5.3 域名访问测试：先解析后HTTP

测试顺序必须是先DNS后HTTP，否则分不清是解析失败还是Web服务失败。执行：

bash复制nslookup www.test.lab
curl -I http://www.test.lab

如果nslookup正常返回192.168.10.10但curl报错，去查httpd服务；如果nslookup就失败了，去查named配置。另外，如果DNS服务器本身无法解析外部域名，比如dig baidu.com超时，先检查/etc/named.conf里是否配置了forwarders，我习惯在options段加上：

bash复制forwarders { 223.5.5.5; 119.29.29.29; };

这是公共DNS地址，只做实验可以，生产环境要根据运营商网络选配。不加forwarders的情况下，bind默认走根服务器递归查询，如果出不去网，解析外部域名就会超时。

5.4 启动失败排查：Apache最常见的三个原因

热词里提到的“Apache启动失败，请检查相关配置”其实覆盖了三种情况。一是配置语法错误，执行apachectl configtest能定位；二是80端口被占用，执行ss -tlnp | grep :80查看，常见占用者包括nginx、系统的httpd缓存进程；三是SELinux阻止绑定非标准端口，如果虚拟主机用的是8080、8090这类端口，要执行semanage port -a -t http_port_t -p tcp 8080，否则启动时报“Permission denied”。日志在/var/log/httpd/error_log，排错前先看日志永远是最高效的动作。

6 SELinux安全策略：把最后一道“内门”锁好

作业题把SELinux放在最后，但它恰恰是最容易让整个实验前功尽弃的部分。SELinux是内核级强制访问控制，它比文件权限和防火墙更底层，即使root用户、即使防火墙放行，只要SELinux策略不允许，进程照样被拒之门外。我的比喻是这样：防火墙是小区的保安，SELinux是你家客厅的智能门锁——保安放你进了小区，门锁不放行你还是进不了屋。

6.1 三种模式与配置文件

SELinux有三种模式：enforcing强制、permissive宽容、disabled关闭。getenforce查看当前模式，setenforce 0临时切到permissive，setenforce 1临时切回enforcing。注意setenforce只对当前运行生效，重启失效。永久修改要编辑/etc/selinux/config：

bash复制SELINUX=enforcing
SELINUXTYPE=targeted

生产环境必须保持enforcing，permissive只适合调试。实验作业里我也建议从头到尾保持enforcing，这样你才能体会到“安全策略与服务协作”的真实体感。

6.2 网络服务对应的SELinux开关速查表

各服务在SELinux里有对应的布尔值，直接列出我配置时常用的几个：

临时生效用setsebool 布尔值 1，永久生效加-P：setsebool -P httpd_can_network_connect 1。修改完后用getsebool -a | grep httpd确认。

6.3 文件上下文：SELinux下的“文件身份标签”

布尔值管的是进程权限，文件上下文管的是文件本身在SELinux视角里的身份。比如你自己把网站目录放在/data/www，Apache默认只能读/var/www下的httpd_sys_content_t类型文件，这时候你必须告诉SELinux：/data/www也是网站文件。

bash复制semanage fcontext -a -t httpd_sys_content_t "/data/www(/.*)?"
restorecon -Rv /data/www

semanage fcontext -a是添加规则，restorecon -Rv则是按规则恢复文件标签。很多人改了网站目录后Apache一直403，十有八九是漏了这步。Samba和FTP同理，如果共享目录挪到了非标准路径，也要用semanage fcontext设置samba_share_t或public_content_t类型。

6.4 排错三件套：ausearch、sealert、audit2why

遇到“权限明明没问题但服务就是拒绝访问”的情况，用三件套定位：

bash复制ausearch -m avc -ts recent
sealert -a /var/log/audit/audit.log
audit2why < /var/log/audit/audit.log

ausearch直接提取最近的AVC拒绝记录，能告诉我哪个进程因为哪个标签被拦；sealert会给出可读性很高的解决方案提示；audit2why能从内核审计日志反向生成对应的allow规则来源。不过我要特别说一句：不要遇到SELinux拦截就setenforce 0或直接audit2allow生成自定义策略，排错的目标是理解为什么被拦，而不是绕过它。命令不给权限，往往是文件上下文没恢复对或布尔值没开，修复策略本身才是正确动作。

7 常见问题与排查技巧实录

我把这个项目里最常出现、也最容易被“卡死”的问题整理成一张速查表，每一条都是我自己在实验和真实环境里踩过的。你可以把这章当成故障手册，遇到问题直接对号入座。

7.1 现象与原因速查表

7.2 现场排查实录：一次“全服务瘫痪”的教训

我拿到这个作业做完整套复现时，遇到过最经典的问题：VNC、Samba、FTP、Apache全配好后，从Windows宿主机逐一验证，前三个全挂。防火墙已经全部放行，端口在虚拟机里用ss查都是监听状态，为什么宿主机就是连不上？最后定位发现是虚拟机的网络模式从NAT切换到了仅主机模式，IP网段变了，防火墙默认区域还是internal，而宿主机根本不在internal区域定义的允许网段里，所有端口直接被拒。

这个教训值得写给你：firewalld按区域管理连接来源，默认区域是internal不代表任何内网IP都能通行，区域关联的source才是关键。在多网卡、多网段实验环境里，务必检查firewall-cmd --list-all里的sources是否有你客户端的网段。正确做法：

bash复制firewall-cmd --permanent --zone=internal --add-source=192.168.10.0/24
firewall-cmd --reload

或者干脆把默认区域设为trusted图省事，但我不建议——作业考察的就是安全策略规划能力，“全放通”失去了意义。

7.3 一个昆经验：验证的顺序永远是从底层到上层

服务联调时，我习惯按“网络层→端口层→服务层→应用层”逐步验证。网络层ping通则继续，ping不通先查IP和网关；端口层用nmap扫，扫不到就查服务状态和防火墙；服务层用systemctl status看进程活没活；应用层再执行curl或nslookup验证功能。每层都有对应的检索命令，定位速度比直接翻配置文件快得多。这个顺序在整个作业里你可以反复套用，省下的排错时间够你多测两遍SELinux策略。

我个人实际做完这套实验最大的体会是：Linux服务配置不是背命令，而是理解每个组件在系统里的“生态位”。网络给服务提供了声音，防火墙决定了声音能不能传出去，SELinux决定了声音会不会被邻居投诉，而DNS和Apache就是让用户能准确找到你楼下门牌号的导航。你把这套逻辑跑通了，再遇到题目换成Nginx、MariaDB、Redis，也只是一次“组件替换”而不是重新学习。先夯实这套基础组合，再往容器化、自动化方向走，路会顺很多。