selinux常用操作

#selinux操作，操作系统centos7，系统selinux为打开状态。
破坏selinux标签：
# cp /var/log/messages /root/ //只需反复复制到不同的目录，selinux标签就变了 admin_home_t变成了var_log_t，如果系统不开启selinux，新复制的文件标签为空。
# ll -Z /var/log/messages
-rw-------. root root system_u:object_r:var_log_t:s0 /var/log/messages
# ll -Z /root/messages
-rw-------. root root unconfined_u:object_r:admin_home_t:s0 /root/messages
# \mv /root/messages /var/log/
# ll -Z /var/log/messages
-rw-------. root root unconfined_u:object_r:admin_home_t:s0 /var/log/messages //此时原来的标签已被破坏，原来为var_log_t，现在变成了admin_home_t，现在原进程往这个文件记录日志会被禁止。
# logger "this is log test" //写入这个命令会以某个用户身份向/var/log/message里写日志
# tail -f /var/log/message 日志没有反应
# chcon -t var_log_t /var/log/messages //修改标签
# ll -Z /var/log/messages
-rw-------. root root unconfined_u:object_r:var_log_t:s0 /var/log/messages //改回了var_log_t

systemctl restart rsyslog //要重启使用/var/log/messages的服务才能生效

# logger 'this is test log'
# tail -f /var/log/messages 日志写入成功

参考某个文件修改selinux标签：

ll -Z

    -rw-r--r--. root root unconfined_u:object_r:default_t:s0 test.txt
\# ll -Z /var/log/messages
    -rw-------. root root unconfined_u:object_r:var_log_t:s0 /var/log/messages
\# chcon --reference /var/log/messages /testdir/test.txt  //参考messages 修改 test.txt

\ # ll -Z /testdir/test.txt
rw-r--rw-r--r--. root root unconfined_u:object_r:var_log_t:s0 /testdir/test.txt
selinux httpd修改网站代码路径并添加selinux标签

mkdir /data/www --> # touch /data/www/index.html

\# ll -Z /data/www/index.html 
    rw-r--rw-r--r--. root root unconfined_u:object_r:default_t:s0 /data/www/index.html  //此时标签为default_t

\ # semanage fcontext -l | grep "/var/www/html" //httpd默认selinux标签
# semanage fcontext -a -t httpd_sys_rw_content_t "/data/www(/.)?"
# semanage fcontext -l | grep /data/www //多了一条规则
# ll -Z /www/data //标签还没生效
# restorecon -R /data/www/ //根据selinux数据库规则递归重新更新标签
# semanage fcontext -d "/data/www(/.)?" //从数据库删除规则
# semanage fcontext -l | grep data/www 规则不存在了

selinux httpd端口修改：

semanage port -l | grep http //查看允许的端口

\# systemctl start httpd   # ss -ntl  //服务正常访问
将httpd监听端口改为 9527 后，重启httpd服务失败
\# semanage port -a -t http_port_t -p tcp 9527  //增加端口
\# systemctl restart httpd  //重启成功

selinux 修改ssh默认端口：

semanage port -l | grep ssh

\# semanage port -m -t ssh_port_t -p tcp 9527  //9527端口要已被添加到selinux的端口，随便加一个不行。
\# semanage port -d -t ssh_port_t -p tcp 9527  //删除端口

selinux 设置bool布尔值

getsebool -a

\ # semanage boolean -l | grep samba_enable //查看临时生效与永久生效
# getsebool -a | grep samba_enable
# setsebool samba_enable_home_dirs 1 //临时生效
# setsebool sambgetsebool -a | grep samba_enable 已开启
# setsebool -P samba_enable_home_dirs on //永久生效
# semanage boolean -l -C //查看修改过的布尔值

转载于:https://blog.51cto.com/12555197/2172684