控制SELinux端口标记
SELiunx不仅进行文件和进程标记,SELinux用来控制网络流量的一种方法是标记网络端口。
当某个进程希望侦听端口时,SELinux将检查是否允许与该进程(域)相关联的标签绑定该端口标签,这样可以阻止恶意服务控制应由本地合法网络服务使用的端口。
在targeted策略中,端口22/TCP具有标签ssh_port_t与其相关联,默认HTTP端口80/TCP和443/TCP具有标签http_port_t与其相关联。8008、TCP通常用于Web应用程序,此端口使用http_port_t进行标记。
管理SELinux端口标记
(1)列出端口标签:semanage port -l
优化搜索可以使用管道搭配grep命令
(2)添加端口:semanage port -a -t port_label -p tcp|udp PORTNUMBER
-a添加,-t表示类型,-p表示协议
(3)查看对默认策略的本地更改:semanage port -l -C
(4)删除端口标签:semanage port -d -t http_port_t -p tcp 71
(5)修改端口绑定:semanage port -m -t http_port_t -p tcp 71
(6)查看修改内容:semanage port -l -C
(7)检查是否可以访问端口上运行的Web服务器命令:curl:http://主机名:端口号