Day 4 - 보안·방화벽·로그 작업형: 규칙을 쓰고 컨텍스트를 바로잡는다

# 규칙 조회
iptables -L -n -v --line-numbers     # 줄 번호 포함 상세 조회
 
# 80(HTTP), 22(SSH) 들어오는 TCP 허용
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
 
# 특정 IP만 허용
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 3306 -j ACCEPT
 
# 나머지 INPUT은 모두 차단(기본 정책)
iptables -P INPUT DROP
 
# 규칙 삭제 / 초기화
iptables -D INPUT 3                   # 3번 규칙 삭제
iptables -F                           # 전체 규칙 플러시
 
# 저장(재부팅 후 유지) — 메모리에만 있으므로 필수
service iptables save                 # 또는 iptables-save > /etc/sysconfig/iptables

# 상태·기본 정보
firewall-cmd --state                       # 동작 여부
firewall-cmd --get-default-zone            # 기본 zone
firewall-cmd --list-all                    # 현재 zone 전체 규칙
 
# 서비스/포트 허용 (영구 + 즉시 적용)
firewall-cmd --permanent --add-service=http
firewall-cmd --permanent --add-port=8080/tcp
firewall-cmd --reload                      # permanent를 현재에 반영
 
# 특정 IP만 허용 (rich rule)
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" service name="ssh" accept'
 
# 제거
firewall-cmd --permanent --remove-service=http
firewall-cmd --reload

getenforce                    # 현재 모드 (Enforcing/Permissive/Disabled)
setenforce 0                  # Permissive로 일시 전환
setenforce 1                  # Enforcing로 일시 전환
# 영구 변경(disabled 포함)은 /etc/selinux/config의 SELINUX= 수정 후 재부팅

ls -Z /var/www/html           # 파일 컨텍스트 확인 (-Z)
ps -eZ                         # 프로세스 컨텍스트
 
# 컨텍스트 변경
chcon -t httpd_sys_content_t /web/index.html      # 즉시 변경(임시)
semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?"   # 정책에 영구 등록
restorecon -Rv /web           # 정책 기준으로 기본 컨텍스트 복원
 
# 불리언(기능 on/off)
getsebool -a | grep httpd
setsebool -P httpd_can_network_connect on    # -P=영구

# facility.priority         대상파일
*.info;mail.none;authpriv.none;cron.none   /var/log/messages
authpriv.*                                  /var/log/secure
mail.*                                      /var/log/maillog
cron.*                                      /var/log/cron
*.emerg                                     :omusrmsg:*
kern.*                                      /var/log/kern.log
local7.*                                    /var/log/boot.log

# 수정 후 적용
systemctl restart rsyslog

# /etc/logrotate.d/myapp
/var/log/myapp/*.log {
    weekly                  # 순환 주기: daily/weekly/monthly
    rotate 4                # 보관 개수(4개=약 4주치), 초과분 삭제
    compress                # 순환된 로그 gzip 압축
    delaycompress           # 한 세대는 압축 지연(직전 로그 가독)
    missingok               # 파일 없어도 오류 안 냄
    notifempty              # 비어 있으면 순환 안 함
    create 0640 root root   # 새 로그 파일 권한·소유자
    size 100M               # (선택) 크기 기준 순환
    postrotate              # 순환 후 실행할 명령
        systemctl reload rsyslog > /dev/null 2>&1 || true
    endscript
}

logrotate -d /etc/logrotate.d/myapp   # 디버그(실제 실행 X, 동작 예측)
logrotate -f /etc/logrotate.d/myapp   # 강제 즉시 순환

# /etc/hosts.allow  (먼저 검사, 일치하면 허용)
sshd: 192.168.1.0/24
vsftpd: 192.168.1.10
 
# /etc/hosts.deny   (그 다음 검사, 일치하면 거부)
ALL: ALL

# 현재 방화벽 상태 한눈에
iptables -L -n -v --line-numbers
firewall-cmd --list-all
 
# SELinux 상태와 컨텍스트
getenforce
ls -Z /var/www/html 2>/dev/null
 
# 로그 설정 미리보기(실제 순환 X)
logrotate -d /etc/logrotate.conf 2>&1 | head -20