Selinux管理

###什么是selinux###

selinux，内核级加强型防火墙

--对文件影响   安全上下文对文件和服务进行标签，程序标签和文件标签不一致（看不了文件）
--对服务影响   把服务不安全的功能去掉，对程序功能进行限制，在内核上限制掉（删除不了了）
eg：getsebool -a | grep ftp

####管理selinux级别####

selinux开启或者关闭）
vim /etc/sysconfig/selinux
selinux=disabled                                                                        ##关闭状态
selinux=Enforcing                                                                      ##强制状态
selinux=Permissive                                                                    ##警告状态

getenforce                                                                                  ##查看状态

在开启状态下可以这样切换

setenforce 1                                                                                ##设定为阻挡
setenforce 0                                                                                ##设定为警告

如何更改文件安全上下文

ls -Z                                                                                             ##查看文件的安全上下文
ls -Zd                                                                                           ##查看目录的安全上下文

临时更改
chcon -t 安全上下文文件
chcon -t public_content_t /publicftp -R
关掉内核火墙重启，打开内核火墙重启后 /westos的安全上下文还原
semanage fcontext -l | grep /westos                                          ##内核上下文安全列表
发现没有 所以会被还原

永久性改变安区上下文，即用命令给内核上下文安全列表加目录
semanage fcontext -l                                                                   ##列出内核安全上下文列表内容
semanage fcontext -a -t public_content_t ‘/publicftp(/.*)?’
restorecon -RvvF /publicftp/                                                         ##R递归 vv显示 F刷新

#

在开启状态下，匿名用户怎样才能上传(vstp的配置文件ok的情况下)

改安全上下文

ls -Zd /var/ftp/pub
drwxr-xr-x. root root system_u:object_r:public_content_t:s0 /var/ftp/pub ##不能写，SELINUX的文件是只读的，需要加
chcon -t public_content_rw_t /var/ftp/pub                                       ##添加写权限

4.如何控制selinux对服务功能的开关
getsebool -a | grep 服务名称
eg: getsebool -a | grep ftp
setsebool -P 功能bool值 on|off                                                       ##P永久开启功能
setsebool -P ftpd_anon_write on