前言Linux 服务器稳定运行离不开两大基础支撑内存调度机制、网络与系统安全防护。Swap、firewalld、SELinux 是运维必须吃透的三大核心模块本文抛开操作命令纯梳理底层原理、设计逻辑、核心概念与考点适合面试复习、理论梳理。一、Swap 交换空间理论详解1. 存储器分层体系逻辑计算机存储设备按照速度由快到慢、成本由高到低形成层级结构CPU 寄存器 CPU 高速缓存 物理内存 磁盘Swap 属于磁盘分区。层级设计目的是平衡性能与存储容量高速设备存放热点数据低速大容量设备存放冷数据。数据访问逻辑自顶向下匹配CPU 优先从寄存器取数据无匹配则逐级向下查询底层磁盘数据加载至内存后再向上传递。2. 虚拟内存与分页机制物理内存会被统一切分为固定 4KiB 大小的内存页 page是系统内存调度最小单位。进程只使用虚拟地址空间不直接操作物理内存依靠 MMU 内存管理单元完成虚拟地址→物理地址映射。虚拟内存 物理内存 Swap 交换空间虚拟地址可以映射到物理内存也可以映射到磁盘交换分区。设计价值解决物理内存碎片化问题保证进程自身地址空间连续实现多进程内存隔离单个程序崩溃不影响其他进程。3. Swap 交换空间核心作用Swap 是磁盘上划分的专用分区 / 文件充当磁盘虚拟内存内核内存子系统自动调度内存资源紧张时把进程长期闲置的内存页写入 Swap释放物理内存给活跃业务进程。程序需要读取已换出至磁盘的数据时内核将 Swap 页面重新加载回物理内存。休眠功能依赖 Swap关机前将全部内存数据存入 Swap开机直接恢复内存状态无需完整重启系统。4. Swap 固有缺陷Swap 依托磁盘介质机械硬盘读写速度远低于内存频繁交换会产生大量 IO 等待直接拖垮业务性能。Swap 仅作为内存不足的临时缓冲方案根本优化手段为增加物理内存。5. Swap 容量设计标准根据物理内存大小匹配交换分区分为日常使用规格、休眠专用规格两套标准内存≤2GiB常规 Swap 为内存 2 倍休眠需 3 倍内存。2GiB内存≤8GiB常规 Swap 与内存等大休眠需 2 倍内存。8GiB内存≤64GiBSwap 最低 4GiB休眠需 1.5 倍内存。内存64GiB最低配置 4GiB Swap不建议开启休眠。6. 多 Swap 分区优先级原理priority 优先级规则数值越大内核优先使用该交换分区取值区间 - 132767。负数优先级来源/etc/fstab 配置不填写 pri 参数时系统按开机加载顺序自动分配负数先加载的分区优先级数值更大-2后加载数值更小-3。配置限制永久配置文件 fstab 不支持书写负优先级负优先级仅系统自动生成或命令行临时指定。fstab 末尾两个 0 含义第一个 0 代表 dump 工具不备份 swap 分区第二个 0 代表开机磁盘自检跳过 swap。二、Firewalld 防火墙完整理论1. 防火墙分类标准按防护范围划分主机防火墙仅保护单台服务器firewalld、iptables 属于此类。网络防火墙部署于网络出口防护整个局域网多为华为、华三硬件防火墙。按实现形式划分硬件防火墙专用硬件设备转发性能高企业机房网关常用。软件防火墙运行在 Linux 系统之上依托内核 Netfilter 子系统实现包过滤。按 OSI 层级划分网络层包过滤防火墙工作在四层基于 IP、端口、协议过滤数据包优点转发快、无额外开销缺点无法识别应用层恶意请求。应用层 WAF 防火墙工作在七层解析 HTTP 等应用协议拦截注入、爬虫、越权访问缺点处理逻辑复杂性能损耗更大。2. 内核底层架构Netfilter 与 NftablesNetfilterLinux 原生内核网络过滤子系统iptables、firewalld 底层均依赖它负责数据包拦截、修改、转发。NftablesNetfilter 新一代增强架构统一管理 IPv4、IPv6、ARP、二层数据包规则更新、转发效率优于传统 iptables。3. 静态防火墙 vs 动态防火墙静态防火墙iptables service修改任意规则后需要完整重载全部规则重载过程断开所有现有 TCP 连接业务会短暂中断。动态防火墙firewalld仅增量更新修改过的规则不重置全量策略原有网络连接持续保留适合线上业务服务器。4. Zone 安全区域核心设计思想firewalld 为简化多网卡、多网段策略管理引入 Zone 区域机制每个 Zone 是一套独立完整的过滤规则集。网卡、源网段可以绑定指定 Zone匹配对应安全策略。九大 Zone 信任等级从宽松到严格trusted 信任区放行所有入站流量本地回环 lo 网卡默认绑定。home/internal/work 内网区域信任局域网设备默认放行 SSH、文件共享类服务。public 公共区系统默认区域仅开放基础远程 SSH拦截陌生外部访问。external 外网网关区自带 SNAT 地址伪装允许内网主机通过本机访问公网。dmz 隔离区放置对外业务服务器仅放行最小必要端口。block 限制区拒绝所有主动入站数据包返回 ICMP 拒绝提示。drop 丢弃区直接丢弃所有入站报文不返回任何响应外部无法判断主机存活。数据包 Zone 匹配优先级数据包源 IP 网段绑定特定 Zone优先匹配该区域规则无匹配源网段则匹配报文流入网卡绑定的 Zone以上均不匹配使用系统全局默认 Zone默认 public。5. 区域内规则优先级端口转发、地址伪装规则最先匹配服务、端口放行规则次之拒绝、丢弃规则最后匹配富规则 rich-rule 优先级高于所有普通区域规则无任何规则匹配时默认拒绝入站流量trusted 区域除外。6. 运行时配置与永久配置区别runtime 运行时命令直接生效重启防火墙 / 服务器全部丢失用于临时测试策略。permanent 永久配置写入磁盘配置文件不会实时生效必须执行重载命令才能同步至运行时。7. 核心功能理论SNAT 地址伪装部署双网卡网关服务器时内网主机无公网 IP通过 masquerade 伪装内网数据包转发公网时替换源 IP 为服务器公网网卡地址实现内网共享上网external 区域原生支持该功能。DNAT 端口转发外部访问本机指定端口时将数据包转发至内网另一台服务器的目标端口转发跨主机流量必须同时开启内核 IP 转发与区域地址伪装否则转发失效。ICMP 控制控制 ping 请求报文可全局屏蔽所有外部 ping也可通过富规则精细化放行指定 IP 的 ping 探测。富规则 Rich Rule自定义精细化访问策略支持限定源 IP、目的 IP、协议、访问速率、日志审计优先级高于端口 / 服务放行规则适用于严格的访问权限管控场景。三、SELinux 系统安全理论1. SELinux 诞生背景传统 Linux 权限模型自主访问控制 DAC仅管控用户、用户组读写权限存在安全漏洞进程获取用户权限后可访问该用户名下全部文件一旦 Web、数据库服务被入侵攻击者能读取服务器全部业务数据。SELinux 属于强制访问控制 MAC在内核层新增一套独立安全校验逻辑弥补传统权限的短板。2. SELinux 核心原理系统内所有进程、文件、目录、端口都会分配唯一安全上下文标签系统内置安全策略严格规定进程标签与资源标签之间允许的交互行为无策略授权则直接拦截访问。安全上下文格式用户角色类型_t: 安全级别生产环境核心判断字段为类型以_t 结尾例如网页目录标签 httpd_sys_content_t、临时目录标签 tmp_t。3. SELinux 三种运行模式Enforcing 强制模式系统默认严格执行安全策略违规访问直接拦截同时记录审计日志。Permissive 宽容模式仅记录违规日志不拦截访问多用于调试程序、排查标签异常。Disabled 关闭模式完全停用 SELinux 校验强制 / 宽容模式切换至关闭状态需要重启服务器生效。4. 经典安全场景逻辑以 Apache 网页服务举例httpd 进程标签为 httpd_t仅允许读取带有 httpd_sys_content_t 标签的目录文件/tmp 目录标签为 tmp_t策略不允许 httpd 进程访问即便文件权限 777依旧访问失败破解 root 密码故障原理修改 /etc/shadow 文件会破坏原有安全标签登录校验程序无法读取密码文件导致登录失败修复方式为重建全系统文件标签。5. 配套工具理论ls -Z /ps -Z查看文件、进程对应的 SELinux 安全上下文标签chcon临时修改文件标签重启或恢复默认标签后失效restorecon读取系统默认策略永久修复目录文件标准安全标签sealert解析审计日志 audit.log自动分析 SELinux 拦截原因并给出修复方案。四、三大模块理论总结Swap 是磁盘虚拟内存解决物理内存不足问题但会严重损耗性能仅作临时缓冲多交换分区依靠优先级控制调度顺序。Firewalld 基于 Zone 区域分层管理网络策略动态重载不中断业务SNAT 实现共享上网DNAT 实现端口流量转发富规则用于精细化 IP 权限管控。SELinux 是内核级强制安全机制依靠安全上下文标签管控进程访问资源分为强制、宽容、关闭三种模式解决传统文件权限的安全缺陷。
)
