2.16. 防火墙配置
红帽企业 Linux 为增加系统安全性提供了防火墙保护。防火墙存在于你的计算机和网络之间，用来判定网络中的远程用户有权访问你的计算机上的哪些资源。一个正确配置的防火墙可以极大地增加你的系统安全性。
下一步，你可以决定是否为 红帽企业 Linux 系统启用防火墙。
- 「无防火墙」
「无防火墙」给予完全访问权并不做任何安全检查。安全检查是对某些服务的禁用。建议你只有在一个可信任的网络（非互联网）中运行时，或者你想稍后再进行详细的防火墙配置时才选此项。
- 「启用防火墙」
如果你选择了「启用防火墙」，你的系统就不会接受那些没有被你具体指定的连接（除了默认设置外）。按照默认设置，只有答复输出请求如 DNS 答复或 DHCP 请求的连接是允许。如果需要访问在这个机器上运行的服务，你可以选择允许指定的服务穿过防火墙。
如果你要把系统连接到互联网上，这是最安全的选择。
默认下一步，选择应该被允许穿过防火墙的服务。
启用这些选项将允许具体指定的服务穿过防火墙。注意：这些服务在系统内可能没有被安装。请确定你选择启用了你可能需要的选项。
- 「远程登录 (SSH)」
Secure（安全）SHell（SSH）是用来在远程机器上登录及执行命令的一组工具。如果你打算使用 SSH 工具穿越防火墙来访问你的机器，启用该选项。你需要安装 openssh-server 软件包以便使用 SSH 工具来远程访问你的机器。
- 「万维网服务器 (WWW, HTTP)」
HTTP 和 HTTPS 协议被 Apache（以及其它万维网服务器）用来提供网页。如果你打算向公众开放你的万维网服务器，请启用该选项。你不必启用该选项来本地查看网页或开发网页。如果你打算提供网页服务的话，你需要安装 httpd 软件包。
- 「文件传输 (FTP)」
FTP 协议是用于在网络机器间传输文件的协议。如果你打算使你的 FTP 服务器可被公开利用，启用该选项。你必须安装 vsftpd 软件包才能利用该选项。
- 「邮件服务器 (SMTP)」
如果你想允许进入的邮递服务穿越防火墙，因此远程主机可以直接连接到你的机器来发送邮件，启用该选项。如果你只想从 ISP 服务器中收取 POP3 或 IMAP 邮件，或者你使用的是 fetchmail 之类的工具，则不必启用该选项。请注意，不正确配置的 SMTP 服务器会允许远程机器使用你的服务器来发送垃圾邮件。
注记 按照默认设置，Sendmail 邮件传输代理（MTA）不接受本地计算机以外的任何主机的连接。要把 Sendmail 配置成其它客户的服务器，你必须编辑 /etc/mail/sendmail.mc 文件，把 DAEMON_OPTIONS 这一行改成兼听往来设备（或者使用 dnl 把这个选项改成注释）。然后，你必须以根用户身份运行以下命令来重新生成 /etc/mail/sendmail.cf 文件：
make -C /etc/mail
你必须安装了 sendmail-cf 软件包才行。
除此以外，在安装 红帽企业 Linux 过程中，你还可以设置 SELinux（安全强化的 Linux）。
SELinux 允许为所有主体（用户、程序、进程等）和客体（文件和设备）明确规定具体权限。 你可以安全地仅仅授予应用程序执行其功能所必需的权限。
红帽企业 Linux 中对 SELinux 的实现，是为了提高各类服务器守护进程的安全性，同时又尽量减少对系统日常工作的影响。
在安装过程中，你可以选择以下三种状态：
「禁用」 — 如果不想在系统上启用 SELinux，则选择 「禁用」。「禁用」设置会关闭对 SELinux 的实施，不使用安全策略。
「警告」 — 选择「警告」会在拒绝时被通知。「警告」状态给数据和程序分配标签并记录它们，但是并不实施安全策略。「警告」状态适用于想首先观察 SELinux 策略对系统操作的影响后再全面激活它的用户。注意，选择这个状态的用户可能会收到些假警报。
「激活」 — 如果你想完全启用 SELinux，选择「激活」。「激活」状态实施所有的策略，如为额外的系统保护而拒绝未经授权的用户存取特定文件和程序等。只有当你确信系统在完全启用 SELinux 后仍能正常运行时才选择这个状态。
关于 SELinux 的额外信息，请参阅以下 URL：
 | 窍门 |
|---|---|
要在安装完毕后改变你的安全配置，使用安全级别配置工具。 在 shell 提示下键入 system-config-securitylevel 命令来启动安全级别配置工具。如果你不是根用户，你会被提示输入根口令后再继续。 |