selinux

selinux查看状态更改

1. selinux是强制访问控制的一种策略，可以指明某一个进程访问哪些资源，在传统的linux中，一切皆文件，由用户、组和权限来控制访问，在selinux中，一切皆对象，由存放在扩展属性领域的安全元素控制访问，所有文件、端口、进程都具备安全上下文
2. selinux影响

• 程序访问文件
• 程序访问功能，进程本身功能，开关

3. 查询selinux状态
   命令：getenforce #查询结果有3种状态

• enforcing #如果违反了策略，无法继续操作，表示强制
• disabled #禁止
• permissive #selinux有效，即是违法策略，依旧可以继续操作，但是会有警告,查看警告信息：cat /var/log/audit/audit.log

4. 更改selinux状态

• vim /etc/sysconfig/selinux #文件编辑
• reboot #重启
  [root@localhost ~]# getenforce
  Disabled
  [root@localhost ~]#vim /etc/sysconfig/selinux #修改selinux=Enforcing
  [root@localhost ~]#reboot #重启
  [root@localhost ~]# getenforce
  Enforcing

5. 临时改变selinux状态

• setenforce 0 | 1 #临时改变selinux状态，其中0表示警告模式；1表示强制模式
• getenforce 查看状态
  • Permissive #警告模式，警告不被拒绝
  • Enforcing #强制模式，拒绝并且警告
    [root@localhost ~]# setenforce 0
    [root@localhost ~]# getenforce
    Permissive
    [root@localhost ~]# setenforce 1
    [root@localhost ~]# getenforce
    Enforcing

selinux安全上下文管理

• 做selinux安全上下文时首先需要开启vsftpd，关闭firewalld

[root@localhost ~]# systemctl restart vsftpd
[root@localhost ~]# systemctl enable vsftpd
[root@localhost ~]# systemctl stop firewalld
[root@localhost ~]# systemctl disable firewalld
rm ‘/etc/systemd/system/basic.target.wants/firewalld.service’
rm ‘/etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service’

1. 安全上下文

• ls -Z #查看文件的安全上下文
• semanage fcontext -l #内核指定的所有文件的安全上下文的列表 ； 查看文件安全上下文（man semanage fontext）
  服务端：
  [root@localhost ~]# touch /mnt/haha1
  [root@localhost ~]# mv /mnt/haha1 /var/ftp/haha1 复制是新建的过程，移动是重命名的过程,文件系统权限和属性不会改变
  [root@localhost ~]# getenforce
  Enforcing
  [root@localhost ~]# cd /var/ftp
  [root@localhost ftp]# ls -Z
  -rw-r–r--. root root unconfined_u:object_r:mnt_t:s0 haha1 安全上下文为mnt_t
  -rw-r–r--. root root system_u:object_r:public_content_t:s0 hellohello 安全上下文为public_content_t
  drwxr-xr-x. root root system_u:object_r:public_content_t:s0 pub
  [root@localhost ftp]# semanage fcontext -l | grep /var/ftp 内核记录的/var/ftp的安全上下文
  /var/ftp(/.)? all files system_u:object_r:public_content_t:s0
  /var/ftp/bin(/.)? all files system_u:object_r:bin_t:s0
  /var/ftp/etc(/.)? all files system_u:object_r:etc_t:s0
  /va