selinux详解及相关配置

比眉伴天荒 2023-06-13 06:24 27阅读 0赞

## 1.什么是selinux ##

> selinux是一种控制服务安全，是内核上面的一个插件，也叫做内核加强型火墙  
> SELinux(Security-Enhanced Linux) 是美国国家安全局（NSA）对于强制访问控制的实现，是 Linux历史上最杰出的新安全子系统  
> NSA是在Linux社区的帮助下开发了一种访问控制体系，在这种访问控制体系的限制下，进程只能访问那些在他的任务中所需要文件  
> SELinux 默认安装在 Fedora 和 Red Hat Enterprise Linux 上，也可以作为其他发行版上容易安装的包得到  
> SELinux 是 2.6 版本的 Linux 内核中提供的强制访问控制(MAC）系统  
> 对于目前可用的 Linux安全模块来说，SELinux 是功能最全面，而且测试最充分的，它是在 20 年的 MAC 研究基础上建立的  
> SELinux 在类型强制服务器中合并了多级安全性或一种可选的多类策略，并采用了基于角色的访问控制概念\`

> selinux是内核上的插件，改完之后一定要重启才起作用  
> selinux对服务访问文件以及功能的影响  
> enforceing与permissive二者可以直接进行切换，但是二者与disable（关闭selinux）进行切换时要reboot

<table> 
 <thead> 
  <tr> 
   <th>enforceing</th> 
   <th>表示强制</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>permissive</td> 
   <td>表示警告</td> 
  </tr> 
  <tr> 
   <td>disable</td> 
   <td>表示关闭</td> 
  </tr> 
 </tbody> 
</table>

## 2.selinux对文件的影响 ##

> selinux给每个文件加标签 标签匹配才能被访问，每个程序安全上下文要匹配（例如：在/var/ftp/下看mv过去的能不能看到）

> selinux对功能的影响：  
> 在每个不安全的功能上面加功能开关（默认关闭），安全性提高，0关闭，1开启（在/var/ftp/pub/能不能上传文件)

eg：当selinux状态为disable时，  
![在这里插入图片描述][20191114163258860.png]  
当selinux状态为enforcing时，westosfile1并没有在lftp 服务中看到  
![在这里插入图片描述][20191114163343451.png]  
原因：westosfile1的安全上下文与lftp的安全上下文不匹配，lftp只能访问到与之标签相匹配的文件

ls -Z /var/ftp \#-Z查看安全上下文  
![在这里插入图片描述][20191114163959750.png]  
显示进程的selinux的安全上下文：  
ps axZ | grep vsftpd \#\#-Z参数可以查询进程的安全上下文  
![在这里插入图片描述][20191114163658945.png]

## 3.selinux状态的设置 ##

强制和警告表示selinux服务开启  
disable表示selinux服务关闭

<table> 
 <thead> 
  <tr> 
   <th>getenforce</th> 
   <th>查看selinux服务的状态</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>setenforce 0</td> 
   <td>将selinux设置为警告模式，前提selinux开启</td> 
  </tr> 
  <tr> 
   <td>setenforce 1</td> 
   <td>将selinux设置为强制模式，前提selinux开启</td> 
  </tr> 
  <tr> 
   <td>vim/etc/sysconfig/selinux</td> 
   <td>修改SELINUX=disable</td> 
  </tr> 
 </tbody> 
</table>

注意：当selinux关闭到开启，或者开启到关闭都要重启才能生效

## sebool的设定 ##

getsebool -a | grep  ftp  #查看ftp相关功能的开启状态

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3_size_16_color_FFFFFF_t_70]

setsebool -P ftp_home_dir   on|1    #开启本地上传服务设置

测试  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3_size_16_color_FFFFFF_t_70 1]  
在开启安装上下文状态下，开启匿名用户 上传服务

getsebool -a  | grep  ftp  # 查看ftp相关功能的开启状态
    setsebool -P ftpd_anon_write on  #开启匿名用户上传功能
    lz -Zd  /var/ftp/pub  #查看该目录的安全上下文
    semange  fcontext -a -t public_content_rw_t  "/var/ftp/pub(/.*)?"   #修改/var/ftp/pub目录的安全上下文
    restorecon -RvvF /var/ftp/pub/   #刷新该目录上下文

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3_size_16_color_FFFFFF_t_70 2]  
![在这里插入图片描述][20191114172915128.png]测试  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3_size_16_color_FFFFFF_t_70 3]修改文件的安全上下文

#临时修改
    chcon -t public_content_t westosfile1   #public_content_t 为安全上下文， westosfile1为文件名

![在这里插入图片描述][20191114173546609.png]  
现在westosfile1就可以传过来了

![在这里插入图片描述][20191114182204536.png]永久修改文件的安全上下文

semanage  fcontext  -l   #查看文件的安全上下文
    semanage  fcontext -a  -t  public_content_t    "/westos(/.*)?"  #更改/westos目录本身以及该目录下的所有文件的安全上下文为public_content_t
    restorecon  -RvvF /westos   #同步安全上下文到该目录本身，不会因重启而改变
    ls  -Zd  /westos   查看该目录安全上下文

![在这里插入图片描述][20191114184050805.png]  
selinux 的排错

/var/log/messages 为系统日志，提供一些解决方案 ，需要安装服务才能提供解决方案 
    /var/audit/audit.log 为selinux真正的日志，不提供解决方案 
    yum search selinux 
    yum install setroubleshoot-server.x86_64 -y

>/var/log/messages
    >/var/log/audit/audit.log   #清空日志

实验：

cd /mnt/
    touch /mnt/file
    mv /mnt/sfile   /var/ftp/

![在这里插入图片描述][20191114190410961.png]

lftp 172.25.254.100
    ls 查看并没有mv过来的东西

![在这里插入图片描述][2019111419065424.png]

cat /var/log/messages #可以看到日志提供的解决办法 然后就能看到mv过去的了
     restorecon -v /var/ftp/file #刷新 
     ls -Z /var/ftp/      #查看标签是否一致（只有标签一致的时候才能看见mv过去的东西） 
     再次 lftp 172.25.254.111    #ls查看就可以看到mv进去的东西了

![在这里插入图片描述][20191114190833552.png]![在这里插入图片描述][20191114191011380.png]

[20191114163258860.png]: https://img-blog.csdnimg.cn/20191114163258860.png
[20191114163343451.png]: https://img-blog.csdnimg.cn/20191114163343451.png
[20191114163959750.png]: https://img-blog.csdnimg.cn/20191114163959750.png
[20191114163658945.png]: https://img-blog.csdnimg.cn/20191114163658945.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20191114172046714.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20191114172233827.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20191114172940551.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3,size_16,color_FFFFFF,t_70
[20191114172915128.png]: https://img-blog.csdnimg.cn/20191114172915128.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20191114173033923.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3,size_16,color_FFFFFF,t_70
[20191114173546609.png]: https://img-blog.csdnimg.cn/20191114173546609.png
[20191114182204536.png]: https://img-blog.csdnimg.cn/20191114182204536.png
[20191114184050805.png]: https://img-blog.csdnimg.cn/20191114184050805.png
[20191114190410961.png]: https://img-blog.csdnimg.cn/20191114190410961.png
[2019111419065424.png]: https://img-blog.csdnimg.cn/2019111419065424.png
[20191114190833552.png]: https://img-blog.csdnimg.cn/20191114190833552.png
[20191114191011380.png]: https://img-blog.csdnimg.cn/20191114191011380.png