14、网络通信控制与虚拟化安全：SELinux 的应用与实践

网络通信控制与虚拟化安全：SELinux 的应用与实践

1. 网络通信控制基础

在网络通信控制方面，顶层控制在域级别（如 httpd_t ）处理，而底层控制在对等级别（如 netlabel_peer_t ）进行。多数 Linux 发行版启用了 network_peer_control 功能，这是 SELinux 子系统的一项增强功能，利用对等类来验证对等流量。不过，SELinux 策略也可以选择回到之前的方法，即不再通过对等类控制对等流量，而是使用 tcp_socket 类进行通信。此时， tcp_socket 类将用于对等域，并会使用 recvfrom 权限（除了现有的 tcp_socket 权限）。

可以通过 SELinux 文件系统查询 network_peer_control 功能的当前值：

# cat /sys/fs/selinux/policy_capabilities/network_peer_controls
1

若值为 0，则上述对等控制将通过 tcp_socket 类而非对等类处理。需要注意的是，策略功能由 SELinux 策略本身硬编码，管理员无法控制。

2. 标记 IPsec

标记 IPsec 是一种增强网络安全的技术。在 IPsec 设置中有两个重要概