se linux ll-z,selinux常用操作

#selinux操作，操作系统centos7，系统selinux为打开状态。

破坏selinux标签：

# cp /var/log/messages /root/ //只需反复复制到不同的目录，selinux标签就变了 admin_home_t变成了var_log_t，如果系统不开启selinux，新复制的文件标签为空。

# ll -Z /var/log/messages

-rw-------. root root system_u:object_r:var_log_t:s0 /var/log/messages

# ll -Z /root/messages

-rw-------. root root unconfined_u:object_r:admin_home_t:s0 /root/messages

# \mv /root/messages /var/log/

# ll -Z /var/log/messages

-rw-------. root root unconfined_u:object_r:admin_home_t:s0 /var/log/messages //此时原来的标签已被破坏，原来为var_log_t，现在变成了admin_home_t，现在原进程往这个文件记录日志会被禁止。

# logger "this is log test" //写入这个命令会以某个用户身份向/var/log/message里写日志

# tail -f /var/log/message 日志没有反应

# chcon -t var_log_t /var/log/messages //修改标签

# ll -Z /var/log/messages

-rw-------. root root unconfined_u:object_r:var_log_t:s0 /var/log/messages //改回了var_log_t

systemctl restart rsyslog //要重启使用/var/log/messages的服务才能生效

# logger 'this is test log'

# tail -f /var/log/messages 日志写入成功

参考某个文件修改selinux标签：

ll -Z

-rw-r--r--. root root unconfined_u:object_r:default_t:s0 test.txt

\# ll -Z /var/log/messages

-rw-------. root root unconfined_u:object_r:var_log_t:s0 /var/log/messages

\# chcon --reference /var/log/messages /testdir/test.txt //参考messages 修改 test.txt

\ # ll -Z /testdir/test.txt

rw-r--rw-r--r--. root root unconfined_u:object_r:var_log_t:s0 /testdir/test.txt

selinux httpd修改网站代码路径并添加selinux标签

mkdir /data/www --> # touch /data/www/index.html

\# ll -Z /data/www/index.html

rw-r--rw-r--r--. root root unconfined_u:object_r:default_t:s0 /data/www/index.html //此时标签为default_t

\ # semanage fcontext -l | grep "/var/www/html" //httpd默认selinux标签

# semanage fcontext -a -t httpd_sys_rw_content_t "/data/www(/.)?"

# semanage fcontext -l | grep /data/www //多了一条规则

# ll -Z /www/data //标签还没生效

# restorecon -R /data/www/ //根据selinux数据库规则递归重新更新标签

# semanage fcontext -d "/data/www(/.)?" //从数据库删除规则

# semanage fcontext -l | grep data/www 规则不存在了

selinux httpd端口修改：

semanage port -l | grep http //查看允许的端口

\# systemctl start httpd # ss -ntl //服务正常访问

将httpd监听端口改为 9527 后，重启httpd服务失败

\# semanage port -a -t http_port_t -p tcp 9527 //增加端口

\# systemctl restart httpd //重启成功

selinux 修改ssh默认端口：

semanage port -l | grep ssh

\# semanage port -m -t ssh_port_t -p tcp 9527 //9527端口要已被添加到selinux的端口，随便加一个不行。

\# semanage port -d -t ssh_port_t -p tcp 9527 //删除端口

selinux 设置bool布尔值

getsebool -a

\ # semanage boolean -l | grep samba_enable //查看临时生效与永久生效

# getsebool -a | grep samba_enable

# setsebool samba_enable_home_dirs 1 //临时生效

# setsebool sambgetsebool -a | grep samba_enable 已开启

# setsebool -P samba_enable_home_dirs on //永久生效

# semanage boolean -l -C //查看修改过的布尔值