常见问题 安全加固防火墙回退
加固把正常业务拦了？
安全加固后业务被误拦的排查方法：防火墙放通名单不全、密码策略过严、来源白名单漏配、SELinux 过窄，逐项核对并留回退记录。
发布于 2026/11/11
所属频道 银河麒麟
简短答案
加固”误伤”几乎都集中在这四类项上：防火墙放通名单没覆盖业务端口、登录与密码策略比业务账号要求还严、来源地址白名单漏了对端、SELinux 自定义模块拦了非常规访问路径。原则是逐项开、逐项验证，不要整包加固。
现象对照表
| 现象 | 大概率是哪项加固 |
|---|---|
| 对端连不上，本机自通 | 防火墙放通名单缺端口或网段 |
| 老账号突然登不进 | 密码策略（长度/有效期/历史限制） |
| 特定来源 IP 被拒 | 来源白名单漏配 |
| 服务起得来但功能缺 | SELinux 自定义策略过窄 |
排查步骤
# 1. 防火墙：看当前放通内容
firewall-cmd --list-all
# 补业务端口后重载
firewall-cmd --add-port=业务端口/tcp --permanent
firewall-cmd --reload
# 2. 账号是否被登录锁定
faillock --user 账号名
# 3. 审计拒绝记录
ausearch -m av -ts recent | grep denied | head每项加固动作建议登记台账（项 / 参数 / 时间 / 操作人），误拦时按台账逐项回退，不靠猜。
处理办法
- 漏端口：按行业规范放通最小集合，补完立即让对端复测；
- 策略过严：放宽参数到业务可接受值（最长寿命、重试次数等），不整项关闭；
- SELinux 误拦：先切 permissive 复现确认是该项，再收窄模块规则；基线参考 服务器 V11 条目 的安全说明，桌面侧对照 桌面 V11 条目；
- 加固前务必留快照：
firewall-cmd --list-all与策略文件各存一份，出问题先回退再查；整系统兜底用 Rufus 启动盘条目 重写介质。
操作小结
- 加固按项来，不整包；
- 每项留台账与回退快照；
- 误拦先对现象表分诊，再动对应项；
- 放行最小化，改完立即让对端验证。