Linux运维--SElinux详解

秒速五厘米 2023-06-13 04:45 56阅读 0赞

# 一、SElinux #

**1 SElinux**

安全增强型 Linux（`Security-Enhanced Linux`）简称 SELinux，它是一个 Linux 内核模块，也是 Linux 的一个安全子系统

SELinux 主要作用就是最大限度地减小系统中服务进程可访问的资源（最小权限原则）

**2 SElinux对系统的影响**

SELinux插件开启时会为系统中开启的每一个程序和每一个文件加载一个标签，特定标签的程序只能读取或者操作特定标签的文件，如果标签不配套，该访问就会被禁止，这种在文件上的标签被称为 `安全上下文`，在程序上的标签为`sebool值`

# 二、selinux的开启及模式调整 #

改变selinux状态：

vim /etc/sysconfig/selinux

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70]

<table> 
 <thead> 
  <tr> 
   <th>参数</th> 
   <th>含义</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>SELINUX=enforcing</td> 
   <td>selinux开启，级别为强制</td> 
  </tr> 
  <tr> 
   <td>SELINUX=permissive</td> 
   <td>selinux开启，级别为警告</td> 
  </tr> 
  <tr> 
   <td>SELINUX=disable</td> 
   <td>selinux关闭</td> 
  </tr> 
 </tbody> 
</table>

其中强制模式表示警告加拒绝，警告模式只有警告

setenforce 0|1		##更改selinux当前的级别0警告1强制
     getenforce			##查看selinux的状态

**注意：当selinux从关到开，或值从开到关，需要重启系统**

# 三、sebool的设定 #

selinux的bool值的查看：

getsebool -a | grep ftp

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 1]  
设定sebool值：

setsebool -P ftp_home_dir on

![在这里插入图片描述][20191113225337868.png]

查看目录安全上下文：

ls -Zd /var/ftp/pub/

![在这里插入图片描述][20191113225650111.png]  
更改目录安全上下文：

semanage fcontext -a -t public_content_rw_t "/var/ftp/pub(/.*)?"		#更改安全上下文
     
     restorecon -RvvF /var/ftp/pub/ 		#刷新

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 2]

# 四、修改文件上下文 #

**1 临时修改文件上下文**

在`/mnt`目录中新建文件`testfile`并移动到ftp发布目录`/var/ftp`中，使用命令`ls -Z`查看文件的上下文如下：  
![在这里插入图片描述][20191114092444918.png]  
登陆`ftp`查看文件：  
![在这里插入图片描述][20191114092629506.png]  
可以用以下命令来修改文件上下文：

chcon -t public_content_t testfile				#public_content_t为新的文件上下文

![在这里插入图片描述][2019111409282379.png]  
再次登陆ftp发现可以看到文件`testfile`：  
![在这里插入图片描述][20191114092950278.png]  
**2 永久更改文件上下文**

使用`chcon`命令更改目录上下文**后重启selinux，更改将会还原**，要使更改永久生效，需要将目录增加到`selinux`安全列表中，可以使用以下命令查看`selinux`安全列表：

semanage fcontext -l
     semanage fcontext -l | grep ftp		#筛选出与ftp有关的信息

使用以下命令永久更改文件上下文：

semanage fcontext -a -t public_content_t '/westos(/.*)?'		#将文件或目录添加到selinux安全列表中
     restorecon -RvvF /westos/		#刷新

# 五、SElinux的排错 #

在系统中负责记录SElinux错误信息的服务为 `setroubshoot-server`，并会在`/var/log/messages`中提供解决方案

示例：  
当`/var/ftp/`目录下有`ftp`不能访问的文件时，错误信息会被记录在`/var/log/audit/audit.log`：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 3]  
在`/var/log/messages`中提供解决方案：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 4]  
![在这里插入图片描述][20191114101738503.png]  
当`setroubshoot-server`被卸载时，错误信息将不会被记录，并且不会有解决方案

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20191113224231539.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20191113225109674.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2,size_16,color_FFFFFF,t_70
[20191113225337868.png]: https://img-blog.csdnimg.cn/20191113225337868.png
[20191113225650111.png]: https://img-blog.csdnimg.cn/20191113225650111.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20191113230148609.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2,size_16,color_FFFFFF,t_70
[20191114092444918.png]: https://img-blog.csdnimg.cn/20191114092444918.png
[20191114092629506.png]: https://img-blog.csdnimg.cn/20191114092629506.png
[2019111409282379.png]: https://img-blog.csdnimg.cn/2019111409282379.png
[20191114092950278.png]: https://img-blog.csdnimg.cn/20191114092950278.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20191114101631644.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 4]: https://img-blog.csdnimg.cn/20191114101700852.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2,size_16,color_FFFFFF,t_70
[20191114101738503.png]: https://img-blog.csdnimg.cn/20191114101738503.png