RHEL 5上的SELinux配置

作者：Khurram Shiraz 2011-02-15 10:09:40

本文的主題是RHEL 5上的SELinux配置。RHEL同時提供了圖形用戶界面(GUI)和命令行兩種方式配置SELinux。為了表現(xiàn)SELinux的簡單易用，本文使用RHEL的GUI來啟用SELinux。

要從RHEL的GUI啟用SELinux，依次點(diǎn)擊系統(tǒng)(system)>管理(Administration)>安全級別和防火墻(Security Level and Firewall)。進(jìn)入SELinux選項卡，將SELinux設(shè)置為“允許模式(permissive mode)”，然后重啟服務(wù)器。

以允許模式啟動SELinux是(學(xué)習(xí)配置使用SELinux的)不錯的實踐。在這種模式下，你可以近距離感受和接觸SELinux，但不影響服務(wù)器和應(yīng)用程序/數(shù)據(jù)庫中的任何東西。測試期間，你必須仔細(xì)查看日志信息，檢查所有的警告以及所有由程序和數(shù)據(jù)庫在操作期間產(chǎn)生的拒絕錯誤。

設(shè)置SELinux為允許模式并重啟我的RHEL后，我沒有發(fā)現(xiàn)任何不同。我以根賬戶登入系統(tǒng)，然后使用sestatus命令查看SELinux環(huán)境的運(yùn)行狀況。

既然SELinux已經(jīng)啟動并在允許模式下運(yùn)行，那么是時候?qū)ELinux進(jìn)行管理了。RHEL提供了一個GUI來進(jìn)行SELinux的策略管理，根用戶可以使用system-config-SELinux命令對這個GUI進(jìn)行初始化。該命令將打開GUI的主界面，在RHEL或Fedora Linux中你都可以看到如下的窗口：

上圖中，你可以在左邊框中找到SELinux管理的主要選項。第二個選項“Boolean”包含了SELinux管理中大部分默認(rèn)服務(wù)和進(jìn)程的布爾條件。同樣的條件也可以使用getsebool命令列出。舉個例子，如果你只想知道已有的關(guān)于ftpd守護(hù)進(jìn)程的布爾條件，那么你可以使用如下的命令：

要改變布爾條件，如allow_ftpd_use_cifs=off——該條件意味著FTP進(jìn)程不能使用cifs協(xié)議進(jìn)行公共文件傳輸——我們可以在system-config-SELinux界面中單擊“Boolean”選項卡下對應(yīng)的條件(條目)，如下圖所示。此項操作將允許FTP服務(wù)使用cifs協(xié)議進(jìn)行公共文件傳輸。你可以針對ftpd進(jìn)程執(zhí)行g(shù)etsebool和grep命令，確認(rèn)剛才的操作是否生效。

使用SELinux的安全上下文保護(hù)Web服務(wù)器

假設(shè)我們想要在Linux服務(wù)器上運(yùn)行Apache Web服務(wù)器程序，由于這臺服務(wù)器會運(yùn)行一些關(guān)鍵應(yīng)用，并暴露在互聯(lián)網(wǎng)上，所以我們想確保這臺Web服務(wù)器受到盡可能多的保護(hù)。

如果你啟動Web服務(wù)并嘗試配置你的Web服務(wù)器允許執(zhí)行某些CGI腳本，如hello.pl，那么如果不改變SELinux的配置，Linux系統(tǒng)日志和SELinux審計日志都會記錄到錯誤。要在SELinux審計日志中查看這些錯誤，執(zhí)行sealert –b。這會打開SELinux審計日志，如下所示：

現(xiàn)在的問題是，為什么會出現(xiàn)這種情況?答案很簡單，因為hello.pl是一個CGI可執(zhí)行程序，它應(yīng)該被歸為httpd_sys_script_exec_tdomain上下文，而不是httpd_sys_content_t。

我們可以使用chcon命令解決這個問題：

root@test3 cgi-bin]# ls -lZ *.pl
-rwxr-xr-x apache apache root:object_r:httpd_sys_content_t hello.pl
[root@test3 cgi-bin]# chcon -v --type=httpd_sys_script_exec_t hello.pl
context of hello.pl changed to
root:object_r:httpd_sys_script_exec_t[root@test3 cgi-root@test3 cgi-bin]
# ls -lZ *.pl
-rwxr-xr-x apache apache root:object_r:httpd_sys_script_exec_t hello.pl

現(xiàn)在我們應(yīng)該能夠看到，我們的Web服務(wù)器執(zhí)行了hello.pl，而且在SELinux日志中也沒有產(chǎn)生任何警告或者錯誤。