24、SELinux使用案例详解

SELinux使用案例详解

1. SSH服务管理

1.1 分离实例与临时锁定服务

分离实例允许管理员临时锁定服务，例如关闭用户SSH守护进程，同时仍能保持自身的SSH访问。

1.2 更新网络规则

• SECMARK标签设置 ：与Web服务器调整类似，需查看防火墙规则。不过，这里不需要使用强烈不同的SECMARK标签（除非基于源地址进行区分）。只需在数据包级别启用SECMARK标签，并省略基于类别的标签，以确保与两个SSH服务的通信被标记为SSH通信。

# iptables -t security -A INPUT -p tcp --dport 22 -j SECMARK \
    --selctx "system_u:object_r:ssh_server_packet_t:s0"
# iptables -t security -A INPUT -p tcp --dport 4971 -j SECMARK \
    --selctx "system_u:object_r:ssh_server_packet_t:s0"

• 端口类型声明更改 ：对于非默认端口4971，需要将其在SELinux中的端口类型从默认的 unreserved_port_t 切换为 ssh_port_t 。