selinux-setroubleshoot安装及详解

 

查看文章

selinux

2011-05-18 11:50

对超级管理员有效 安全加强型linux 自主访问体制 ：又大变小 user         group           other         \                  |                  /                     file                   /        |            \              r      w       x 强制访问体制 最小权限：由小该大 打开SELINUX  sestatus 查看slinux状态 vim/etc/sysconfig/selinux                 enforcing - SELinux security policy is enforced.强制限制   4 #       permissive - SELinux prints warnings instead of enforcing. 警告但不限制   5 #       disabled - SELinux is fully disabled.  SELINUXTYPE=targeted 定义使用的SELINUX  保护大多数的网络服务 1改为 permissive 2.配置 sealert -a /var/log/audit/audit.log 显示所有的selinux报错 布尔直boolean 0关1开 安全上下文 man -k(模糊查询)ftp｜grep selinux ls －Zd      /var/ftp            安全上下文 system_u:object_r:public_content_t:s0        身份         角色              类型 设置semanage fcontext -a -t public_content_rw_t "/var/ftp/incoming(/.*)?" 恢复 restorecon -R -v /var/ftp/incoming setenforce 0关只警告不阻止1开启 警告1警告和阻止 setenforce  permissive <===> setenforce  0          0关只警告不阻止 setenforce  enforcing  <===> setenforce  1            1警告并且阻止 1、开启FTP服务，并用普通系统帐号直接登录FTP服务器，selinux会不允许访问，上传。  如何配置selinux来解决？    思路： A、看日志   1、tail /var/log/messages ---     sealert -l xxxxxxxxxxxxxxxxxxxxx  看指定ID的警告提示消息   2、sealert -a /var/log/audit/audit.log 看所有的ID的警告消息   3、有一个程序会自动弹出提示(右上角的五角星SelinuxTroubleshooter程序）,此程序要想正常的运行，必须ps aux | grep setroubleshootd 进程存在（]# setroubleshootd 执行此命令便可） B、日志中会提示如何配置selinux,以便开放相应的权限   最好自行查询帮助来解决问题 [root@ mnt]# man ftpd_selinux [root@ mnt]# man httpd_selinux [root@ mnt]# man samba_selinux [root@ mnt]# man nfs_selinux [root@ mnt]# man -k ftp  | grep selinux ftpd_selinux         (8)  - Security-Enhanced Linux policy for ftp daemons [root@ mnt]# man 8 ftpd_selinux [root@ mnt]# man -k http  | grep selinux httpd_selinux        (8)  - Security Enhanced Linux Policy for the httpd daemon setenforce  permissive <===> setenforce  0 setenforce  enforcing  <===> setenforce  1 sestatus 目的：设置匿名用户可以上传下载FTP  192.168.0.28 1、设置selinux为只警告，不阻止状态  setenforce  0 2、开始配置vsftpd vim /etc/vsftpd/vsftpd.conf anon_root=/ftp /ftp共享目录 anon_upload_enable=YES ／／允许下载 anon_mkdir_write_enable=YES  ／／允许上传 anon_other_write_enable=YES ／／允许其他人上传 --- mkdir -p /ftp/public chown ftp /ftp/public chmod u=rwx /ftp/public --- service vsftpd restart ---- 3、客户端匿名访问，确实可以上传，说明 FTP配置文件权限设置正确，/ftp/public目录权限设置正确 4、把selinux设置为enforcing状态。 需要配置selinux允许匿名写:   man  8  ftpd_selinux    a.根据Manual来修改匿名共享根目录的file type（ls -Z）  chcon -t public_content_rw_t  /ftp/public  如果不改，默认第三段是default_t  b.根据manual来修改布尔值,开启如下  setsebool -P allow_ftpd_anon_write on 或者  setsebool -P allow_ftpd_anon_write=1 作业1： 1 请问selinux开启的情况下，apache的默认页面是否可以查看 ，ftp的匿名访问是否可以访问 2 请在selinux开启的情况下，配置apache的别名 3 请在selinux开启的情况下，配置samba通过用户sambauser1访问家目录和访问指定的共享目录 4 quota配额 5 ext3 的acl属性 setfacl /getfacl 6 apache+ldap验证 SELINUX例子！ [root@localhost files]# system-config-selinux [root@localhost files]# pwd /etc/selinux/targeted/contexts/files [root@localhost files]# grep /var/www file_contexts 在selinux开启的情况下，策略为targeted时，配置网络服务时的思路如下   先setenforce  0 ----- permissive   然后配置服务   接下来找客户端测试服务正常    setenforce 1 ----- enforcing   然后客户端访问,看是否受限－－－－看日志／帮助－－－根据提示解决限制问题 解决问题的方法有三种： 1、看日志    得安装 [root@localhost www]# yum -y install  setroubleshoot-server   并启动此程序 [root@localhost www]# setroubleshootd    a.tail /var/log/messages Dec  5 18:29:32 localhost setroubleshoot: SELinux is preventing access to files with the default label, default_t. For complete SELinux messages. run sealert -l a098bbc4-3b76-44d7-a717-1181a0c7253d    b.sealert -a /var/log/audit/audit.log    c.点击 [系统]－－－［管理］－－－［SElinux Management］--五角星图标 2、看manual    man httpd_selinux    man ftpd_selinux    man samba_selinux 3、参照法 1、apache   apache别名 查看日志法: sealert -a /var/log/audit/audit.log 查看manual法： [root@localhost www]# man httpd_selinux [root@localhost www]# chcon -R -t httpd_sys_content_t /www 参照法： [root@localhost html]# chcon -R  --reference  /var/www/html/index.html   /www/ [root@localhost html]# ls -Zd /www/ drwxr-xr-x  root root root:object_r:httpd_sys_content_t /www/ 2、samba配置家目录共享和指定目录共享,并启动服务 [root@localhost html]# sestatus [root@localhost html]# setenforce 0 [root@localhost html]# yum -y install samba samba-common samba-client [root@localhost html]# vim /etc/samba/smb.conf [homes]  此段关于家目录的共享，默认存在，不用配置         comment = Home Directories         browseable = no         writable = yes ;       valid users = %S ;       valid users = MYDOMAIN\%S [myshare] 添加一段关于指定目录的共享，并且要求设置为用户sambauser1,sambauser2可读可写         comment = test for selinux         path    = /samba         writable = yes         browseable = yes         valid users = sambauser1 sambauser2 [root@localhost home]# mkdir /samba [root@localhost home]# useradd -s /sbin/nologin   sambauser1 [root@localhost home]# useradd -s /sbin/nologin   sambauser2 [root@localhost home]# smbpasswd -a sambauser1 New SMB password: Retype new SMB password: [root@localhost Server]# smbpasswd -a sambauser2 New SMB password: Retype new SMB password: Added user sambauser2. [root@localhost samba]# setfacl -m u:sambauser1:rwx /samba/ [root@localhost samba]# setfacl -m u:sambauser2:rwx /samba/ 找客户端验证samba的家目录共享 和 指定目录共享 [root@localhost Server]# smbclient -L 192.168.0.5 -U sambauser1 [root@localhost Server]# smbclient -L 192.168.0.5 [root@localhost /]# mount -t cifs //192.168.0.5/homes  /mnt -o user=sambauser2,pass=123 说明家目录共享实现成功 [root@localhost /]# mount.cifs //192.168.0.5/myshare  /net -o user=sambauser1,pass=1234 说明自定义共享实现成功 接下来！！！！！ 开启selinux为enforcing状态 [root@localhost samba]# setenforce 1 ]# chcon -t samba_share_t /samba ]# setsebool -P samba_enable_home_dirs＝1 ]# setsebool -P samba_export_all_rw=1 ]# setsebool -P samba_export_all_ro=1 [root@localhost html]# restorecon -vR a restorecon reset /var/www/html/a context root:object_r:default_t:s0->system_u:object_r:httpd_sys_content_t:s0 那么倒底哪种TYPE值应该被设置呢？ 提供了两大种帮助 ： man       man -k http | grep selinux      man -k ftp | grep selinux     selinux的故障诊断器     图形的         [root@ ~]# setroubleshootd 直接启动这个程序，会有一个黄色的一角星，在selinux阻止某些事件时，自动弹出帮助 ！         [root@ ~]# ps uax | grep setroubleshootd     文本的日志        ]# sealert -a  /var/log/audit/audit.log         其实/var/log/messages文件中也会有帮助         ------ setroubleshoot-server-2.0.5-3.el5.noarch.rpm －－－－ apache定义别名： man -k httpd| grep selinux man httpd_selinux  The following  file  contexts  types  are        defined for httpd:               httpd_sys_content_t               - Set  files  with  httpd_sys_con-               tent_t for content which is avail-               able from all  httpd  scripts  and               the daemon. chcon –Rt httpd_sys_content_t  /newdocumentroot -t选项指出文件的类型应该改变而安全上下文的剩余部分保持不动。 chcon --reference /var/www/html  /newdocumentroot --------------------------------------- cd  /etc/selinux/targeted/contexts grep –Rh httpd_sys_content_t  . SELINUX配置的时候，一般涉及到    1安全上下文中的 type字段 ，通过chcon    2配置相应的布尔值，来表示开启或关闭某种功能 ~~~~~~~~~~~~~~~~~~~~~~~~ setsebool -P ftp_home_dir on [root@stu254 contexts]# getsebool -a | grep ftp allow_ftpd_anon_write --> off allow_ftpd_full_access --> off allow_ftpd_use_cifs --> off allow_ftpd_use_nfs --> off allow_tftp_anon_write --> off ftp_home_dir --> off ftpd_disable_trans --> off ftpd_is_daemon --> on httpd_enable_ftp_server --> off tftpd_disable_trans --> off [root@stu254 contexts]# setsebool -P ftp_home_dir on  [root@stu254 ~]# restorecon /install.log [root@stu254 ~]# fixfiles relabel =========回顾========= [root@ ftp]# ls /etc/sysconfig/selinux [root@ ftp]# setenforce 0 [root@ ftp]# setenforce 1 [root@ ftp]# ls /selinux/booleans/ [root@ user1]# ls /selinux/booleans/ [root@ user1]# getsebool -a | grep ftp_home_dir ftp_home_dir --> on [root@ ftp]# ls /etc/selinux/targeted/contexts/ [root@ ftp]# id -Z |ps auxZ | ls -Z [root@ ftp]# man -k samba | grep selinux samba_selinux        (8)  - Security Enhanced Linux Policy for Samba [root@ ftp]# man -k nfs | grep selinux nfs_selinux          (8)  - Security Enhanced Linux Policy for NFS [root@ ftp]# tail  /var/log/messages [root@ ftp]# sealert -a /var/log/audit/audit.log [root@ ftp]# setroubleshootd [root@ ftp]# setroubleshootder----故障浏览器 dhcp  dns  ftp nfs samba postfix apache squid  mysql extmail ------------------------- [root@ ftp]# chcon -R --reference=/var/www/html/index.html  /www2 恢复上下文  1 restorecon -R  dir/file     restorecon -RF dir/file 2  [root@ home]# touch /.autorelabel     [root@ home]# reboot ++++++++++++++++++++++++ 1、配置HTTPD的别名 chcon -R -t  httpd_sys_content_t   /dir 2、配置FTP允许系统用户访问 在selinux为enforcing的模式下，FTP的匿名访问及下载是允许的！ 如果需要系统用户通过FTP读写家目录，则需要配置SELINUX开放权限 方法： 读日志获取信息或者查看手册 ： tail /var/log/messages ---> sealert  -l   xxxxxxxxxxxxxxxxxxxxxxxx man ftpd_selinux 根据提示配置如下布尔值： setsebool -P ftp_home_dir=1 或者 setsebool -P ftp_home_dir on  getsebool -a  查看所有布尔值 3、配置FTP允许匿名上传下载 /public/ftp目录 [root@host68 ~]# mkdir -p /public/ftp [root@host68 ~]# chown ftp.ftp /public/ftp/  允许ftp用户写目录 [root@host68 ~]# ls -ld /public/ftp/ drwxr-xr-x 2 ftp ftp 4096 02-12 14:15 /public/ftp/ [root@host68 ~]# vim /etc/vsftpd/vsftpd.conf anon_root=/public  指定匿名访问根位置 anon_upload_enable=YES 允许匿名上传 anon_mkdir_write_enable=YES  允许匿名的创建 anon_other_write_enable=YES  允许匿名的删除 [root@host68 ~]# service vsftpd restart [root@host68 ~]# chcon -R -t public_content_rw_t /public/ftp/ [root@host68 ~]# setsebool -P allow_ftpd_anon_write on 4、配置NFS实现共享 /nfspublic目录可读可写 [root@host68 ~]# mkdir /nfspublic [root@host68 ~]# chmod o+w /nfspublic/ [root@host68 ~]# ls drwxr-xrwx 2 root root 4096 02-12 14:55 /nfspublic/ [root@host68 ~]# tail -n 1  /etc/exports /nfspublic  *(rw) [root@host68 ~]# service portmap restart [root@host68 ~]# service nfs restart 客户端访问： [root@localhost /]# showmount -e 192.168.1.68 [root@localhost /]# mount -t nfs 192.168.1.68:/nfspublic /mnt [root@localhost /]# mkdir /mnt/cba man  nfs_selinux得知如下的帮助 ：  If you want to share files read/write you must        set the nfs_export_all_rw boolean.        setsebool -P nfs_export_all_ro＝1        chcon -R -t public_content_rw_t /nfspublic/ 5、配置SAMBA共享目录/smbpublic允许指定用户u1可读可写      并允许u1用户可通过samba服务访问自己的家目录 [root@host68 ~]# mkdir /smbpublic [root@host68 ~]# useradd -s /sbin/nologin u1 [root@host68 ~]# chmod o+w /smbpublic/ [root@host68 ~]# vim /etc/samba/smb.conf 290 [public] 291         comment = Public Stuff  描述 292         path = /smbpublic   共享路径 293         public = yes    294         valid users = u1  允许的用户 295         writable = yes        可写 [root@host68 ~]# smbpasswd  -a  u1 New SMB password: Retype new SMB password: [root@host68 ~]# service smb restart [root@localhost /]# smbclient -L 192.168.1.68 -U u1 Password: 输入正确的密码 Domain=[HOST68] OS=[Unix] Server=[Samba 3.0.33-3.28.el5]         Sharename       Type      Comment         ---------       ----      -------         public          Disk      Public Stuff         IPC$            IPC       IPC Service (Samba Server Version 3.0.33-3.28.el5)         u1              Disk      Home Directories  家目录共享不用定义，配置文件中已经有配置共享 Domain=[HOST68] OS=[Unix] Server=[Samba 3.0.33-3.28.el5]         Server               Comment         ---------            -------         Workgroup            Master         ---------            -------         MYGROUP              在selinux状态为permissive的情况下，客户访问共享： [root@localhost /]# mount -t cifs //192.168.1.68/public  /mnt -o user=u1,pass=u1 [root@localhost /]# cd /mnt [root@localhost mnt]# ls [root@localhost mnt]# mkdir a [root@localhost mnt]# ls a [root@localhost mnt]# cd .. [root@localhost /]# umount /mnt [root@localhost /]# mount -t cifs //192.168.1.68/u1  /mnt -o user=u1 Password: 接下来，把selinux设置为enforcing状态，发现家目录的共享不能挂载，于是看日志或者man 解决方法： [root@host68 ~]# setsebool -P samba_enable_home_dirs=1 指定的共享smbpublic目录也不可访问的，于是查手册 man samba_selinux  解决方法如下： [root@host68 ~]# chcon -t samba_share_t /smbpublic/ -R 用户,文件,进程都有上下文  id － Z  ls - Z  ps -Z 身份                         角色               类型 root                       system_r(用户)         xxxxx system_u(系统文件)        object_r (文件)    user_u selinux 描述了一种进程对文件的操作权限。 selinux在策略中定义 某些上下文的进程 要操作的文件的上下文 必须所指定的字符。指定的字符如何得知呢？通过MAN手册中的帮助来得知。不需要死记。 restorecon -v  filename - R 递归 恢复上下文        ftpd_selinux(8),   named_selinux(8),   rsync_selinux(8),   httpd_selinux(8),        nfs_selinux(8), samba_selinux(8),  nis_selinux(8), ypbind_selinux(8)

帮助中心  |  空间客服  |  投诉中心  |  空间协议

©2012 Baidu