linux中的selinux管理

1 selinux的状态及管理

• selinux的配置文件：/etc/sysconfig/selinux

• selinux日志位置：/var/log/audit/audit.log

• selinux的状态
  （1）selinux开启状态：enforcing 强制状态 ；permissive 被动状态
  （2）selinux关闭状态：disabled

• 当selinux开启时，enforcing与permissive之间可以通过setenforce切换：

   切换到permissive被动状态：setenforce=0,不符合条件被允许，并会收到警告信息
   切换到enforcing强制状态：setenforce=1,不符合条件一定不能被允许，并会收到警告信息
  

• selinux开启和关闭状态可以在配置文件中修改，但是更改配置文件和必须重启系统才能生效

2 selinux对程序和文件的影响

实验前的准备：

• 开启vsftpd服务： systemctl start vsftpd
• 在vsftpd中开启匿名访问和上传文件： /etc/vsftpd/vsftpd.conf

2.1 当Selinux未开启时

• 在/mnt中建立文件，移动到/var/ftp下可以被vsftpd服务访问
• 匿名用户可以通过设置后上传文件
• 当使用ls -Z /var/ftp查看文件时显示"?"

2.2 selinux处于关闭状态

• 关闭selinux，在配置文件中修改：/etc/selinux/config

• 在配置文件中切换selinux开启和关闭状态时，必须重启系统reboot：

1. selinux在强制状态时

• 查看selinux的状态：getenforce

• 新建文件/mnt/westos1，将该文件移动到目录：/var/ftp/pub
  westos1文件存在于目录/var/ftp/pub中，登陆ftp，进入pub目录后看不到westos1

• 匿名用户不能上传文件

2. selinux在被动状态时

• 切换selinux的状态为被动状态：setenforce 0
• 查看selinux的状态：getenforce

• 匿名用户上传文件生效：

• 新建文件/mnt/westos2，将该文件移动到目录：/var/ftp/pub
  westos2文件存在于目录/var/ftp/pub中，登陆ftp，进入pub目录后看不到westos2，是因为westos2的安全上下文和/var/ftp中文件的安全上下文不一致

3 修改安全上下文

（1）临时修改安全上下文，此方式更改的安全上下文在selinux重启后会还原

	- chcon -t 	标签			文件|目录	
	- chcon -t 	public_content_t 	/var/ftp/westosfile1
	- chcon -Rt 	public_content_t	/westosdir	#修改目录及目录中的所有子文件的安全上下文

（2）永久修改安全上下文，如果需要特殊指定安全上下文需要修改内核安全上下文列表

	- semanage fcontext -l 		##查看内核安全上下文列表 
	- semanage fcontext -a -t public_content_t  '/var/ftp/dir1(/.*)?'  ## -a：添加  -t：类型 （/.*）?表示/var/ftp/dir1目录下的所有内容
	- restorecon -RvvF /var/ftp/dir1 ## 刷新，保存对永久上下文的更改，-R：递归处理目录， -v：将过程显示到屏幕上，-F：强制恢复文件安全语境
	- vim /etc/sysconfig/selinux ##将selinux关闭
	- touch  /.autorelabel		##重启系统时selinux初始化文件标签开关文件

（3）临时和永久修改安全上下文的对比修改

• 更改selinux=disabled，重启系统后查看/mnt目录下file1和file2的安全上下文均为被改变
• 再次更改selinux=enforing，重启系统后查看/mnt目录下file1的安全上下文被还原，而file2的安全上下文均未被改变

4 setboot

	给/var/ftp/pub 上下文添加写的权限:semanage fcontext -a -t public_content_rw_t /var/ftp/pub
	刷新：restorecon -R -v /var/ftp/pub 
	显示ftp服务的bool值： `getsebool -a |grep ftp`
	实现匿名用户可写，更改ftpd_anon_write的状态：`setsebool  -P ftpd_anon_write on`
	重启ftp服务：systemctl restart vsftpd.service

5 selinux对端口号的影响

当selinux=enforing，更改服务的端口号，如果更改后的端口号不是该服务允许的端口号，那么将无法重启服务

• 查看apche服务的端口号：netstat -antlupe | grep http
• 在配置文件中修改apche的端口号为6666：vim /etc/httpd/conf/httpd.conf
• 切换selinux的状态为enforing：setenforce 1
• 重启apche服务：systemctl restart httpd，将出现错误无法重启

解决方案

• 默认使用的http端口号：semanage port -l |grep http
• 为http添加类型为tcp端口号6666：semanage port -a -t http_cache_port_t -p tcp 6666
• 重启服务：systemctl restart httpd

6 selinux排错

• selinux警告信息：/var/log/audit/audit.log
• selinux警告信息以及解决方案：/var/log/messages

• setroubleshoot-server：此软件功能是采集警告信息并分析得到解决方案存放到message中