防火墙与内核加固：把好第三道门

0. 元信息

• 主题路径：docs/topics/linux-hardening/subtopics/network-and-kernel/
• 父主题：linux-hardening
• 主分类：安全与可靠性
• 辅助分类：工程技术
• 适合对象：理解 TCP/IP 基础、ip addr / ip route、能读 iptables 规则的运维 / 后端 / 安全工程师
• 建议周期：1.5～2 周（每周 8～10 小时，含 nftables 实验与 sysctl 验证）
• 前置知识：network（TCP/UDP/CIDR/conntrack 概念）；permissions-and-mac
• 最终目标：能用 nftables 给一台 Web 服务器搭出”默认 DROP、放行 22/80/443、限速 SSH、限 conntrack”的规则集；能按 CIS 把 20+ 个 sysctl 字段写进 /etc/sysctl.d/99-hardening.conf 并在重启后持久；能解释 kernel lockdown 行为并设为 integrity；能禁用不用的 module 与危险系统调用

1. 学习路线

nftables 范式（tables / chains / sets / maps / verdict）
  → INPUT/OUTPUT/FORWARD chain 与 default policy
  → conntrack（ct state established,related / new / invalid）
  → rate-limit（limit / meter）
  → TCP Wrappers（hosts.allow / hosts.deny）
  → sysctl 基础（net.ipv4.* / net.ipv6.* / kernel.* / fs.*）
  → 反欺骗（rp_filter、accept_redirects、send_redirects、source_route）
  → ASLR 与信息泄露（randomize_va_space、kptr_restrict、dmesg_restrict）
  → Kernel lockdown（integrity / confidentiality）
  → Secure Boot 与 MOK
  → Module 禁用（blacklist / install <mod> /bin/true）
  → 危险系统调用（kexec_load、kexec_file_load、SYS_PTRACE、Yama ptrace_scope）

按”先收网络入口，再锁内核”的顺序：网络层先拒绝默认，限速已知服务；内核层先 ASLR / kptr 收信息，再 lockdown 改 root 信任，再禁危险调用。

2. 阶段周数分配（1.5～2 周，建议 2 周）

每天 1.5 小时；1.5 周速通每天 2 小时能跑完，但 lockdown + Secure Boot 容易踩兼容性。建议 2 周：给 lockdown 与黑名单模块被 initrd 依赖的时间调试。

3. 九阶段表

关键陷阱：INPUT 默认 DROP 但没放行已建连接，SSH 上得去下不来；IPv6 单独处理；ufw / firewalld 与 nftables 冲突；sysctl -w 改了不写文件；lockdown=confidentiality 后调试复杂；黑名单模块被 initrd 强依赖清不掉。

4. 第一周任务（每天 1.5～2 小时）

Day 1 约定：用一台 Ubuntu 22.04 或 RHEL 9.x 虚机/容器，先建快照；记录 cat /etc/os-release、uname -r、nft --version、sysctl -a | wc -l、mokutil --sb-state。保 console / 第二 SSH 会话，避免 INPUT DROP 锁外。

Day 7 拆解

步骤 A —— 最小可用（90 分钟）

1. 备份：sudo cp /etc/default/grub /etc/default/grub.bak；
2. sudo sed -i 's/^GRUB_CMDLINE_LINUX="/GRUB_CMDLINE_LINUX="lockdown=integrity /' /etc/default/grub；
3. sudo grub-mkconfig -o /boot/grub/grub.cfg（UEFI：sudo grub-mkconfig -o /boot/efi/EFI/<distro>/grub.cfg）；
4. sudo reboot；
5. 重启后 cat /sys/kernel/security/lockdown 应包含 [integrity];
6. /etc/modprobe.d/blacklist.conf 加：

   install usb-storage /bin/true
   blacklist usb-storage
   install firewire-core /bin/true
   blacklist firewire-core
   

7. sudo sysctl -w kernel.kexec_load_disabled=1 && echo 'kernel.kexec_load_disabled = 1' | sudo tee /etc/sysctl.d/99-hardening.conf；
8. sudo dracut -f（RHEL）或 sudo update-initramfs -u（Ubuntu）重建 initrd，否则 initrd 早加载；
9. sudo reboot，lsmod | grep -E 'usb-storage|firewire-core' 应为空。

步骤 B —— 验证 + 边界（30～45 分钟）

1. cat /sys/kernel/security/lockdown 看精确模式 [integrity] 还是 [confidentiality]；
2. sudo modprobe -v usb-storage 应 modprobe: ERROR: could not insert 'usb-storage': Operation not permitted；
3. sudo sysctl kernel.kexec_load_disabled = 1；echo c > /proc/sysrq-trigger 不应触发 kexec；
4. journalctl -k --since today | grep -i lockdown 看启动日志；
5. 关键 sysctl 与 CIS 对照表写进 notes/cis-3x4x-gap.md；
6. 把 lockdown 临时改 confidentiality 跑 5 分钟验证差异化访问，再改回 integrity 持久。

5. 阶段通用验收（每一阶段都通过）

1. 能用 1 张表说出 CIS Benchmark 3.x（网络）/ 4.x（防火墙）/ 6.x（sysctl 与服务）的核心控制项；
2. 改完配置用 nft list ruleset、sysctl -a、cat /sys/kernel/security/lockdown、lsmod、sysctl kernel.kexec_load_disabled 看证据，存进 notes/；
3. 制造 1 个对照实验：留 net.ipv4.conf.all.accept_source_route=1 → scapy 伪造源路由包进入；改 0 → 收到 RST/丢弃；
4. 至少 3 组自定义数据：故意暴露 SSH 到公网看 journalctl -u sshd 暴力破解记录；故意 accept_redirects=1 接收伪造 ICMP redirect；故意 randomize_va_space=0 跑 gdb 验证地址布局；
5. 记录变更：每改一个规则 / sysctl / modprobe 块 写 1 条（who/when/what/why/CIS 控制项号）；
6. 能修改已有规则集（删/加一条 nftables 规则、删/加一条 sysctl），而不是只照搬。

6. 最终验收（学完 9 阶段后）

• 独立完成：nftables INPUT 默认 DROP + 已建连接放行 + 22/80/443 白名单 + SSH rate-limit；sysctl 持久化 20+ 字段；ASLR=2、kptr=2、dmesg=1；kernel lockdown=integrity；黑名单 usb-storage / firewire-core；kexec_load 禁用；
• 完成至少 30 条 CIS 3.x / 4.x / 6.x 网络 + 内核 控制项对照：每条用 nft list ruleset、sysctl -a | grep、cat /sys/kernel/security/lockdown、lsmod | grep -E '<mod>' 验证通过；
• 完成 1 个综合项目：在一台云主机上落地完整网络 + 内核加固（/etc/nftables.d/、/etc/sysctl.d/99-hardening.conf、/etc/modprobe.d/blacklist.conf、grub cmdline lockdown=integrity）；nmap 从外网只看 22/80/443；lynis 跑分；30 分钟能回滚到默认；
• 用 15 分钟讲清”网络层（NAT/conntrack/限速）→ 内核参数（ASLR/kptr/dmesg）→ 启动信任（Secure Boot/lockdown）→ 模块/调用（blacklist/kexec/Yama）“四层防御各堵哪类威胁，nftables ct state established,related 为什么必须放行。

7. 综合项目

首选：写一份 harden-firewall-kernel.md —— 准备一台干净的 Ubuntu 22.04 虚机，先基线（nmap localhost、sysctl -a | wc -l、cat /sys/kernel/security/lockdown、lsmod | wc -l），按 9 阶段顺序加固，用同一组命令对比前后。

要求：

• 准备 notes/baseline-before.md 与 notes/baseline-after.md；
• 逐项改：nftables INPUT → conntrack → rate-limit → TCP Wrappers → sysctl → ASLR/kptr → lockdown → module；
• 持久化：/etc/nftables.d/01-base.nft、/etc/nftables.d/02-rate.nft、/etc/sysctl.d/99-hardening.conf、/etc/modprobe.d/blacklist.conf、/etc/default/grub；
• 验证：外网 nmap -Pn <host> 只看到 22/80/443；SSH 暴力破解 6 次/分钟被拒；cat /proc/kallsyms 非 root 只看到 0 地址；sysctl kernel.kexec_load_disabled = 1；lsmod | grep -E 'usb-storage|firewire-core' 空；
• 输出 notes/retrospective.md：哪些被坑过（INPUT DROP 锁外、ipv6 规则漏、initrd 黑名单不生效、lockdown 影响调试）。

备选：在一台故意”老配置”（INPUT ACCEPT 默认）机器上配置 nftables，验证仅放行 22/80/443；用 hydra 或 medusa 模拟 SSH 爆破看 rate-limit 生效。

任何综合项目都必须包含：

1. 需求与成功标准（含端口白名单、sysctl 持久化、lockdown 模式）；
2. 基线 vs 目标差距表；
3. 配置按层（nftables / TCP Wrappers / sysctl / ASLR / lockdown / module）；
4. 脚本化（scripts/harden-net-kernel.sh + scripts/verify-net-kernel.sh），幂等可重跑；
5. 正常 + 异常验证（INPUT ACCEPT → 端口全暴露；INPUT DROP + conntrack → 上得去下不来；lockdown none → root 自由加载 module）；
6. 报告：基线、目标、结果、剩余项、复盘；
7. README；
8. 复盘记录。

本主题贡献（Loop 6-D · linux-hardening / network-and-kernel）

本主题交付”nftables + sysctl + ASLR + 模块黑名单 + lockdown”五层网络与内核加固脚本化包，故意把 INPUT 切回 ACCEPT 看端口暴露，再切回 DROP + conntrack 看正常放行，作为验收金标准。

3 项核心职责

• nftables 白名单：用 nftables 写 INPUT 默认 DROP，仅放行 22 / 80 / 443 / 必要出站；配 conntrack（ct state established,related accept）保证回程通；故意 INPUT ACCEPT 验证端口全暴露，再切回 DROP + conntrack 验证正常。
• sysctl + ASLR：用 sysctl 持久化（/etc/sysctl.d/99-hardening.conf）关 IPv4 / IPv6 转发、开 SYN cookies / reverse path filtering / 忽略 ICMP redirect；kernel.randomize_va_space=2 开全随机化 ASLR。
• 内核模块 + lockdown：用 modprobe 黑名单（/etc/modprobe.d/hardening-blacklist.conf）禁 dccp / sctp / rds / tipc 等罕见协议；lockdown 模式 ≥ integrity（限制 root 加载 module 与读 kernel dmesg），initrd 同步加黑名单。

4 项交付物

1. 基线 vs 目标差距表：含端口白名单（22 / 80 / 443 必要出站）、sysctl 持久化核对、ASLR 等级、lockdown 模式四项指标 + 验证命令（nft list ruleset / sysctl -a / cat /proc/sys/kernel/randomize_va_space / cat /sys/kernel/security/lockdown）。
2. nftables 规则集 + conntrack：/etc/nftables.conf（含 base chain / ct state / rate limit），故意 INPUT ACCEPT 验证暴露后切回 DROP + conntrack 验证回程通。
3. sysctl + ASLR 持久化：/etc/sysctl.d/99-hardening.conf（IPv4 / IPv6 转发、SYN cookies、rp_filter、ignore redirect）+ kernel.randomize_va_space=2 写入 /etc/sysctl.d/ 与 initrd。
4. 模块黑名单 + lockdown：/etc/modprobe.d/hardening-blacklist.conf（dccp / sctp / rds / tipc 等）+ lockdown ≥ integrity + initrd 黑名单同步，配 scripts/harden-net-kernel.sh + scripts/verify-net-kernel.sh 幂等可重跑。

3 个验收指标

• nft list ruleset：INPUT 默认 policy drop；22 / 80 / 443 端口放行；ct state established,related accept 在列；INPUT ACCEPT 状态下端口全暴露可复现。
• sysctl -a 输出全部命中持久化清单，randomize_va_space=2 全局生效，initrd 内 sysctl 与运行时一致。
• lockdown ≥ integrity：cat /sys/kernel/security/lockdown 显示 [ integrity ]，root 加载 module 被拒；modprobe 黑名单在 initrd 与运行时均生效。

8. 推荐开源资料（按角色分工，避免堆链接）

许可证提示：CIS Benchmarks 注册免费账号下载；kernel docs 公开；ComplianceAsCode SSG 是 GPL-3.0+ / BSD；systemd / iptables / nftables 都是 GPL-2.0；Brendan Gregg 书籍按出版社许可。复制 CIS 控制点脚本到生产前先在 staging 验证 —— 默认读思路后自己写。

默认使用顺序：man page → kernel docs / Arch Wiki → CIS / DISA → Brendan Gregg 性能视角 → 实操（nft / sysctl / modprobe）→ 复盘到 notes/retrospective.md。

9. 学习资料汇聚（v0.3 自包含）

本节由本计划生成。

9.1 背景与动机

账号和权限层把”谁能进”和”能做什么”管住。剩下的问题是”能连到哪”和”内核能信谁”。

网络层是攻击面最大的部分：SSH 爆破、CVE 利用、UDP flood、内部横向。Linux 提供 iptables / nftables 内核层包过滤、conntrack 状态机、TCP Wrappers 进程层守护、UFW/firewalld 高级抽象。CIS / DISA 都把防火墙列为必做项。

内核层是 rootkit 和漏洞利用的最终战场。ASLR 抬高利用门槛，kptr_restrict 泄露降低，lockdown 切断 root 与内核的信任链，模块禁用减少攻击面，kexec_load 限制则防止”内加载内核”逃避 UEFI Secure Boot。Yama 的 ptrace_scope 限制跨进程 ptrace。

9.2 概念地图

flowchart TB
  Netfilter[Linux Netfilter]
  NFT[nftables]
  IPT[iptables]
  UFW[ufw / firewalld]
  CT[conntrack]
  TW[TCP Wrappers / libwrap]
  IPv4[net.ipv4.*]
  IPv6[net.ipv6.*]
  Kernel[kernel.*]
  FS[fs.*]
  ASLR[ASLR / kptr / dmesg]
  Lockdown[lockdown integrity / confidentiality]
  SB[Secure Boot / MOK]
  Mod[Module blacklist / install]
  Kexec[kexec_load / SYS_PTRACE]
  Yama[Yama ptrace_scope]
  Netfilter --> NFT
  Netfilter --> IPT
  NFT --> CT
  IPT --> CT
  NFT --> UFW
  TW --> Netfilter
  Kernel --> ASLR
  Kernel --> Lockdown
  Kernel --> Mod
  Lockdown --> SB
  Kernel --> Kexec
  Kernel --> Yama

9.3 基础知识讲解

9.3.1 主推

9.3.2 备查

9.3.3 必查 man pages

• nft(8) nftables(8)
• iptables(8) iptables-extensions(8) ip6tables(8)
• ufw(8) firewalld(1) firewall-cmd(1)
• sysctl(8) sysctl.conf(5)
• tcpd(8) hosts_access(5) hosts_options(5) libwrap(3)
• modprobe(8) modprobe.d(5) lsmod(8) rmmod(8)
• kexec(8) kernel-install(8)
• efivar(8) mokutil(1)

9.4 经典问题与经典案例

9.5 学习难点

概念难点

思维难点

工程难点

9.6 技术标准与接口

9.6.1 Entity

9.6.2 Scope

• nftables / iptables：内核包过滤；nft 是后继。
• conntrack：状态跟踪；与 NAT/防火墙共用。
• TCP Wrappers / libwrap：进程级守护；@ / EXCEPT / spawn 语法。
• sysctl：运行时内核参数。
• Lockdown：限制 root 对内核的操作。
• Secure Boot：启动链信任根。
• Module blacklist：减少攻击面。
• kexec_load / SYS_PTRACE / Yama：限制危险系统调用。
• CIS 3.x / 4.x / 6.x：网络、内核参数、模块、sysctl。

9.6.3 Structure

• nftables 关键：

  table inet filter {
    chain input { type filter hook input priority 0 ; policy drop ; }
    chain output { type filter hook output priority 0 ; policy accept ; }
    chain forward { type filter hook forward priority 0 ; policy drop ; }
  }
  

• sysctl 关键字段（按攻击面分类）：

  • 抗 spoofing：net.ipv4.conf.all.rp_filter=1
  • 抗 redirect：net.ipv4.conf.all.accept_redirects=0 net.ipv4.conf.all.send_redirects=0
  • 抗 source route：net.ipv4.conf.all.accept_source_route=0
  • 抗 ICMP：net.ipv4.icmp_echo_ignore_broadcasts=1
  • 抗 SYN flood：net.ipv4.tcp_syncookies=1
  • 信息泄露：kernel.randomize_va_space=2 kernel.kptr_restrict=2 kernel.dmesg_restrict=1
  • 反 ptrace：kernel.yama.ptrace_scope=1
  • 禁 IP 转发：net.ipv4.ip_forward=0
  • 禁 kexec：kernel.kexec_load_disabled=1
  • 文件系统：fs.protected_hardlinks=1 fs.protected_symlinks=1

• modprobe 黑名单：/etc/modprobe.d/<name>.conf 写 blacklist <mod> install <mod> /bin/true。

• lockdown：通过 grub cmdline lockdown=integrity 或 confidentiality；也可 /sys/kernel/security/lockdown 读模式。

9.6.4 Ecosystem

• 工具：nft iptables ip6tables conntrack tcpdump ss nmap kmod mokutil efivar。
• 防火墙高级：firewalld、ufw、shorewall、opensnitch（出网守护）。
• 配置管理：Ansible（含 ansible.builtin.sysctl ansible.builtin.copy 给 nftables.conf）。
• 性能：Brendan Gregg 的 perf 工具集与 sysctl 性能影响分析。
• 事实标准：firewalld 是 RHEL 默认，ufw 是 Ubuntu 默认；nftables 是上游推荐；Security Guide / CIS 写 nftables 范式。

9.6.5 Depth Tiers

| 层级 | 能力 | |---|---|---| | L0 | 知道防火墙、内核参数、Secure Boot | | L1 | 看得懂一段 nftables 规则与 sysctl 输出 | | L2 | 能写 nftables 限 SSH / rate-limit；写 sysctl 持久化 | | L3 | 能解释每条规则的 conntrack 行为、ASLR 原理、lockdown 模式区别 | | L4 | 能为多机集群写统一防火墙基线、自动化验证新规则、CI 卡 lockdown |

本计划目标：L3。

9.6.6 Source

• kernel.org / sysctl：https://docs.kernel.org/admin-guide/sysctl/
• nftables wiki：https://wiki.nftables.org/
• Linux Kernel Lockdown：https://www.kernel.org/doc/html/latest/admin-guide/index.html
• Red Hat Security Guide：https://docs.redhat.com/en/documentation/en-us/red_hat_enterprise_linux/9/html/security_hardening
• ComplianceAsCode：https://github.com/ComplianceAsCode/content
• 引用版本快照日期：2026-07-30。

10. 常见误区

• INPUT 默认 DROP 但没放行 ct state established,related，SSH 上得去下不来；
• OUTPUT 默认 ACCEPT，认为”出网无害”，反向 shell 数据外泄；
• sysctl -w 改完不写 /etc/sysctl.d/，重启失效；
• ufw / firewalld / nftables 三套规则混用，顺序错乱；
• IPv6 规则没单独写，攻击者走 v6 绕过 v4 防火墙；
• 禁了 ICMP 全部 ping，PMTUD 失败；
• kptr_restrict=0 时把内核地址当信息泄露源；
• lockdown=none 当默认值，写脚本”安全”；
• Secure Boot 没启就装 MOK；
• 黑名单 usb-storage 没用 install /bin/true，modprobe 仍能加载；
• kexec_load_disabled=0，运维常用 kdump 与之冲突；先确认 kdump 需求；
• yama.ptrace_scope=0 默认，认为 gdb 不受影响；
• nftables 规则不持久，重启全丢；
• tcp_syncookies=0 强调”性能”，但 SYN flood 风险变高；
• 把 sysctl 调成”无脑最严”，导致业务跑不动（DNS 解析、IPv6 访问）；
• 改 nftables 之前没保 console，把自己锁外面；
• log_martians=0 当性能优化，但异常包不记录 IR 时查不到。

11. 所有知识点分类（统一规则）

1. 编程语言
2. 数据结构与算法
3. 计算机基础
4. 工程技术
5. Web 与后端
6. 前端与客户端
7. 数据与人工智能
8. 项目与职业能力
9. 安全与可靠性

本计划归属：安全与可靠性 主 + 工程技术 辅。