Linux中最杰出的新安全子系统——内核加强型防火墙SELinux

seliunx开关

vim  /etc/sysconfig/selinux ##配置文件
三种级别控制
SELINUX=enforcing  ##强制级别
SELINUX=permissive  ##警告级别
SELINUX=disabled ##关闭
setenforce  0|1 ##更改当前级别0警告1强制  
getenforce  ##查看当前selinux状态

注意：enforcing和premissive可以在不重启系统时进行切换
enforcing和disabled必须要重启系统后才能生效

selinux在开启和关闭情况下对安全上下文的影响

selinux开启时会给文件加上标签 只有当标签匹配时才能被访问

1.当selinux开启时
先建立一个文件 将文件移动到/var/ftp/pub中 因为selinux是开启状态 所以建立的文件不能访问

2.当seliunx关闭时
建立一个文件 将文件移动到/var/ftp/pub中 因为selinux是关闭状态 所以建立的文件可以访问

如何解决安全上下文不一致问题
1.临时更改
chcon -t 安全上下文类型 文件名称 ##可以临时更改文件的安全上下文，重启之后就不会生效

之前移动的文件安全上下文不一致 不能被访问

修改文件的安全上下文后 移动之后的文件可以访问
2.永久更改

semanage fcontext -l | grep /var/ftp ##查看系统默认发布目录的标签
semanage fcontext -a -t public_content_t ‘/westos(/.*)?’ ##设置该目录下的文件安全上下文 使文件能够访问
semanage fcontext -l | grep /westos ##查看到我们建立的目录安全上下文改变
restorecon -RvvF/westos ##刷新

强制级别 建立文件

设置/westos为匿名用户根目录 进入不能访问文件
查看目录标签

给目录以及他下面的文件标签改变 设定标签后能够查看

刷新之后 目录下的文件标签才能改变

selinux设置为enforcing依然能够上传文件
selinux设置为强制级别时 lftp很多功能会受到限制 现在我们来设置当其为强制级别时 依然能够执行上传功能

getsebool -a | grep ftp ##查看匿名用户能够执行的权力
setsebool -P 服务参数 on|off  ##-P永久设定该服务开启或关闭
getsebool | grep 服务参数
bool值设定：sebool值是控制服务的功能开关

强制模式匿名用户不能上传文件
列出匿名用户执行权力状态 打开匿名用户上传功能

chcon -t public_content_rw_t /var/ftp/pub ##让匿名用户具有读写这个目录的权限
在编辑配置文件中的内容 设定所有组 给与pub目录权限 这样才能使匿名用户在强制级别下也能上传文件


**selinux相关的两个日志

/var/log/messages ##系统日志 提供解决方案 需要拥有软件
/var/audit/audit.log ##selinux真正日志不提供解决方案