Linux中内核级加强型火墙的管理（Selinux）

目录

一、Selinux的状态及管理

1、selinux的开启和关闭（永久的）

2、selinux开启后强制和警告级别的转换（临时的）

二、Selinux的安全上下文

1、查看

2、修改安全上下文

3、实验

      3.1临时修改安全上下文（注意：selinux要为permissive的状态）

      3.2 永久修改安全上下文

三、SEBOOL

四、SEPORT

五、setrouoble

1、制造问题

2、查看解决方案

3、按照解决方案解决问题

---

 

一、Selinux的状态及管理

1、selinux的开启和关闭（永久的）

SELINUX = disabled #selinux 关闭

SELINUX = enforcing #selinux 开机设定为强制状态此状态为 selinux 开启

SELINUX = permissive #selinux 开机设定为警告状态此状态为 selinux 开启

        enforcing ： 不符合条件一定不能被允许， 并会收到警告信息

        permissive ： 不符合条件被允许， 并会收到警告信息

注：selinux开启或关闭需要重启系统

selinux日志位置 ： / var / log / audit / audit. log

[root@westosa100 ~]# vim /etc/selinux/config 
[root@westosa100 ~]# reboot
[root@westosa100 ~]# getenforce    ##查看selinux状态 
Enforcing

•  等它慢慢启动就好了

•  状态修改成功（永久的）

2、selinux开启后强制和警告级别的转换（临时的）

[root@westosa100 ~]# setenforce 0    ##警告
[root@westosa100 ~]# getenforce 
Permissive
[root@westosa100 ~]# setenforce 1    ##强制
[root@westosa100 ~]# getenforce 
Enforcing

二、Selinux的安全上下文

1、查看

ls -Z ##查看文件的安全上下文
ls -Zd ##查看目录的安全上下文
ps axZ ##查看进程的安全上下文

2、修改安全上下文

临时修改 ，此方式更改的安全上下文在selinux重启后会还原

chcon -t         标签         文件|目录
chcon -t public_content_t /var/ftp/westosfile1
chcon -Rt public_content_t /westosdir #修改目录及目录中的所有子文件的安全上下文

永久修改安全上下文

# 如果需要特殊指定安全上下文需要修改内核安全上下文列表

semanage fcontext -l ##查看内核安全上下文列表
semanage fcontext -a -t public_content_t '/westosdir(/.*)?'    ##增加
semanage fcontext -d -t public_content_t '/westosdir(/.*)?'    ##删除
restorecon -RvvF /westosdir/    ###刷新安全上下文列表
touch /.autorelabel ##重启系统时selinux初始化文件标签开关文件

3、实验

3.1临时修改安全上下文（注意：selinux要为permissive的状态）

• 建立文件test，查看其安全上下文

•  临时修改/test的安全上下文

•  重启后还原，因此为临时修改

3.2 永久修改安全上下文

[root@westosa100 ~]# semanage fcontext -a -t public_content_t '/test(/.*)?'
[root@westosa100 ~]# restorecon -RvvF /test/
[root@westosa100 ~]# ls -Zd /test

 三、SEBOOL

getsebool - a         ##现实服务的bool 值

setsebool - P ftpd_anon_write on         #更改

 四、SEPORT

semanage port - l | grep ssh        ####查看安全上下文中ssh端口号

semanage port - a - t ssh_port_t - p tcp 1111        ####修改 安全上下文中 端口号

• 增加端口号

•  删除端口号

五、setrouoble

• /var/log/audit/audit.log         ##selinux警告信息
• /var/log/messages               ##selinux问题解决方案
• setroubleshoot-server         ##此软件功能是采集警告信息并分析得到解决方案存放到                                                    message中

1、制造问题

修改ssh端口号，使它发生错误，按照messages中给的提示修改错误

 2、查看解决方案

3、按照解决方案解决问题

•  错误修改成功