selinux的初级管理
1.什么是selinux
selinux,内核级加强型防火墙
(对文件影响,安全上下文)对文件和服务进行标签,程序标签和文件标签不一致(看不了文件)
(对服务影响)set..把服务不安全的功能去掉,对程序功能进行限制,在内核上限制掉(删除不了了)
getsebool -a | grep ftp
2.如何管理selinux级别
selinux开启或者关闭)
vim /etc/sysconfig/selinux
selinux=disabled ##关闭状态
selinux=Enforcing ##强制状态
selinux=Permissive ##警告状态
getenforce ##查看状态
在开启状态下可以这样切换
setenforce 1 ##设定为阻挡
setenforce 0 ##设定为警告
3.如何更改文件安全上下文
ls -Z ##查看文件的安全上下文
ls -Zd ##查看目录的安全上下文
临时更改
chcon -t 安全上下文 文件
chcon -t public_content_t /publicftp -R
关掉内核火墙重启,打开内核火墙重启后 /westos的安全上下文还原
semanage fcontext -l | grep /westos ##内核上下文安全列表
发现没有 所以会被还原
永久性改变安区上下文,即用命令给内核上下文安全列表加目录
semanage fcontext -l ##列出内核安全上下文列表内容
semanage fcontext -a -t public_content_t ‘/publicftp(/.*)?’
restorecon -RvvF /publicftp/ ##R vv显示 F刷新
#
在开启状态下,匿名用户怎样才能上传(vstp的配置文件ok的情况下)
改安全上下文
ls -Zd /var/ftp/pub
drwxr-xr-x. root root system_u:object_r:public_content_t:s0 /var/ftp/pub ##不能写,SELINUX的文件是只读的,需要加
chcon -t public_content_rw_t /var/ftp/pub ##添加写
4.如何控制selinux对服务功能的开关
getsebool -a | grep 服务名称
getsebool -a | grep ftp
setsebool -P 功能bool值 on|off ##P永久开启功能
setsebool -P ftpd_anon_write on
5.监控selinux的错误信息
setroubleshootd-server
提供解决SELINUX问题的方案的软件
@@setroubleshoot-server -y@@
实验:
1
put /etc/passwd
cat /var/log/messages ##系统日志
getsebool -a | grep ftp ##列出sebool值 (俗称功能开关)
setsebool -P ftpd_anon_write off ##关掉写功能
var/log/messages ##清空日志
put /etc/passwd
cat /var/log/messages ##如果是SELINUX的问题会报错且提供解决方案
cat /var/log/audit/audit.log ##SELINUX的日志
sebool值改的次数过多出问题时,需要重启,(初始化)
touch /.autorelabel
reboot