Linux之SELinux

准备工作：

1、selinux功能

selinux关闭状态：

在/mnt/中建立文件，文件安全上下文为空，文件被移动到ftp默认发布目录中可以被访问
ftp程序安全上下文为空
用户可以上传文件

当selinux开启以上功能操作均失败
selinux：内核级加强型火墙
selinux功能：
1）当selinux开启会给系统中的每一个文件及每一个程序加载安全上下文，特定安全上下文的程序只能访问特定安全上下文的文件
2）当selinux开启会对服务本身相对不安全的功能加载开关sebool并且设定开关为关闭状态以保证服务安全性，当需要此功能时需要超级用户手动调节

2、selinux状态

selinux状态查看getenforce
状态类型：

disabled      #关闭
enforing      #强制
permissive    #警告

setenforce      #0表示警告模式，1表示强制模式

selinux开关：
vim /etc/sysconfig/selinux
SELINUX=selinux的状态

reboot         #当Disabled<——>enforcing/permissive都需要重启系统

3、安全上下文

安全上下文的临时更改

chcon -t 安全上下文 文件
chron -R -t 安全上下文 目录
chcon -t public_content_t /var/ftp/westoslinuxfile 
lftp访问服务器会发现此文件可被访问成功

reboot

reboot

永久更改目录或文件的安全上下文

mkdir /ftpuserdir/westosdir
设定westos用户登录ftp服务时默认家目录为/ftpuserdir
当用westos用户登录ftp时/ftpuserdir中的内容无法访问，因为selinux安全上下文不匹配
semanage fcontext -l | grep ftpuserdir       #内核安全上下文列表中无信息
semanage fcontext -a -t public_content_t /ftpuserdir'(/.*)?'    #(/.*)?表示目录中将要出现的内容，此条命令只添加列表信息当前不生效
restorecon -RvvF /ftpuserdir/    		#刷新文件安全上下文

4、SEBOOL

SEBOOL：
selinux对服务功能能添加的开关

getsebool -a | grep ftp      		#查看ftp的功能开关
setsebool -P ftpd_anon_write=1/on	#表示开启匿名用户写的功能

5、SETROUBLE

dnf install setroubleshoot-3.3.19-1.el8.x86_64 -y
sealert -a  /var/log/audit/audit.log 		#分析日志并提供解决方案