第二章 linux中内核级加强型火墙的管理

一.Selinux的功能

selinux对于文件的影响：
当selinux开启时,内核会对每个文件及每个开启的程序进行标签加载,标签内记录程序和文件的安全上下文(context)。

selinux对于程序功能的影响：
当selinux开启会对程序的功能加载开关,并设定此开关的状态为关闭，当需要此功能时需要手动开启功能开关，此开关叫做sebool

二.Selinux的状态及管理

rm -fr /etc/vsftpd/   ##删除目录
dnf reinstall vsftpd -y    重新下载服务
ls -ld /var/ftp/pub/
chmod 775 /var/ftp/pub/
chgrp ftp /var/ftp/pub/
ls -ld /var/ftp/pub/
vim /etc/vsftpd/vsftpd.conf   ##允许匿名用户登陆和上传
systemctl restart vsftpd
lftp 172.25.254.100
rm -fr /var/ftp/pub/*
ls /var/ftp/pub/
vim /etc/sysconfig/selinux   
SELINUX=enforcing

 

 

 

 

 2.selinux的开启

vim /etc/selinux/config  
7 SELINUX=disabled  #selinux关闭
7 SELINUX=enforcing  #selinux开机设定为强制状态此状态为selinux开启
7 SELINUX=permissive    #selinux开机设定为警告状态此状态为selinux开启
"selinux开启或关闭需要重启系统"
enforcing: 不符合条件一定不能被允许,并会收到警告信息
permissive: 不符合条件被允许,并会收到警告信息

三.Selinux的安全上下文

 

1.查看

ls -Z       ##查看文件的安全上下文
ls -Zd      ##查看目录的安全上下文
ps axZ     ##查看进程的安全上下文

2.修改安全上下文

 注意：此方式更改的安全上下文在selinux重启后会还原

四.SEBOOL

getsebool -a    ##现实服务的bool值
setsebool -P ftpd_anon_write on     ##更改

selinux为Enforcing之后，匿名用户可以上传文件： 

getsebool -a | grep ftp  ##查看ftp服务的bool值
setsebool -P ftpd_anon_write on     ##修改ftp的sebool值
lftp 172.25.254.100

五.SEPORT

 

 六.setrouble

/var/log/audit/audit.log   ##selinux警告信息
/var/log/messages         ##selinux问题解决方案
setroubleshoot-server   ##此软件功能是采集警告信息并分析得到解决方案存放到message中

 
dnf install setroubleshoot-server.x86_64 -y  ##下载
rm -fr /mnt/*
touch /mnt/gyy1
mv /mnt/gyy1 /var/ftp/
 >/var/log/messages   ##清空日志
lftp 172.25.254.100
cat /var/log/messages   ##selinux问题解决方案
sealert -l 9bca91e3-1420-4470-8750-0594539e449c | less
/sbin/restorecon -v /var/ftp/gyy1