Linux之SElinux服务详解

作者:@郑琰
本文转载请注明出处！：https://www.cnblogs.com/zhengyan6/p/15656013.html

---

SElinux -> Linux安全访问策略 -> 强制性 （security安全）
是Linux操作系统的一个额外的强制性的安全访问规则。用于确定哪个进程可以访问哪些文件、目录和端口的一组安全规则。保护的对象是服务、服务对应的文件/目录、服务对应的端口；其中，服务的实例（实际运行当中的一个例子）就是进程，所以进程也受selinux的保护。可以被看作是与标准权限系统并行的权限系统，如果selinux开启，以root身份运行进程，访问文件不光要受用户对文件访问权限的限定，还要受进程对文件selinux上下文类型的限定，否则，就算是root用户运行的进程，也不一定能访问某个文件。

1).selinux 的三种模式（状态）：

 enforcing  ->  强制模式  ->  拒绝非法访问并录入日志；
 permissive  ->  许可模式（警告模式）  ->  暂时允许非法访问并录入日志；（debug）
 disabled  ->  禁用模式  ->  允许非法访问且不录入日志。

2).selinux 模式的切换：

 getenforce  ->  获取selinux状态
 临时切换：
 setenforce 0  -> 临时关闭selinux策略  ->  enforcing-permissive
 setenforce 1  -> 临时开启selinux策略  ->  permissive-enforcing
 永久切换：
 #vim  /etc/sysconfig/selinux 
 vim  /etc/selinux/config ->
 SELINUX=enforcing/permissive/disabled  ->  reboot生效

3).selinux 上下文 -> 在linux系统里面，每个文件、进程、端口都具有特别的安全标签，这个标签就是selinux上下文，它是selinux安全策略用来判断某个进程能否访问文件、目录或端口的工具。

A). 内容： 
用户：角色：类型：敏感度   ->  类型是重点
-> 用户 -> 系统用户 （system_u）；root及普通用户组成的未指定用户（unconfined_u）
-> 角色 -> 系统角色（system_r）；未指定角色（unconfined_r）；对象角色（object_r）
-> 类型 -> 以_t结尾，每一个服务都有三个方面的类型 ->  服务本身，服务对应的文件，服务对应的端口 -> 服务和对应的文件，它们的selinux上下文类型得是一一对应的，服务与对应的端口也是要一一对应的；但是，这不代表selinux上下文类型不能改，原则上是可以改的，只不过要做重新的类型配对。
-> 敏感度 -> s0，指的是安全等级，有0、1、2三种，数值越大，灵敏度越高
B). 查看selinux上下文：
查看文件的selinux上下文方法一  -> ll  -Z  filename
查看文件的selinux上下文方法二  -> semanage  fcontext  -l | grep  filename  ->  filename要写文件的绝对路径  ->eg:  semanage fcontext -l|grep /etc/ssh ->不一定能查看所有文件，所以还是方法一跟保险
查看进程的selinux上下文  -> ps  -auxZ -> eg: ps  -auxZ | grep sshd
查看所有（开放或不开放）端口的selinux上下文  -> semamage  port -l | grep 端口号   ->  semanage  port  -l | grep  22
查看当前已经开放的端口的selinux上下文  ->  netstat  -pantZ

4).修改selinux上下文类型：

A).文件  ->  
a). 临时修改：
chcon  -t  上下文类型  filename  ->  将selinux设置成disabled后reboot，然后再设置成enforcing后reboot，修改会失效，将还原成原始默认类型  -> 不推荐使用
chcon  -t  httpd_sys_content_t  /opt/testfile
sed  -i  's/SELINUX=enforcing/SELINUX=disabled/g'  /etc/selinux/config
#reboot
sed  -i  's/SELINUX=disabled/SELINUX=enforcing/g'  /etc/selinux/config
#reboot
ll  -dZ  /opt/testfile
b). 永久修改：
semanage  fcontext  -a -t  上下文类型  ‘/filename(/.*)?’-> 注意：这里的filename要写绝对路径
restorecon  -RFv  /filename  -> 强制递归刷新上下文类型并显示刷新过程
semanage  fcontext  -a  -t  httpd_sys_content_t  '/opt/test(/.*)?'
restorecon  -RFv  /opt/test/
B).端口  ->  给一个端口添加selinux上下文类型
semanage  port  -a -t  端口上下文类型  -p  tcp/udp  端口号
semanage port -a -t ssh_port_t -p tcp 22022
semanage port -l|grep ssh
->  端口不用强刷

5).selinux布尔值 -> 当selinux开启时，系统默认会设置很多服务功能的开关，而且默认都是关闭的，sebool就是那个开关

a). 查看  ->  getsebool  -a  （|  grep  布尔值）
b). 设置开启或关闭  ->  setsebool  bool名  on/off
c). semanage  boolean  -l  （|  grep  布尔值）->  查看布尔值是否永久开启（括号中右边那个值），并显示该布尔值状态的简短描述

注意：
a).文件会默认继承父文件夹的selinux类型；
b).文件被cp到新的文件夹下，会自动继承新文件夹的selinux上下文类型，但mv不会这样，仍会保留原上下文类型；
c).如果修改了某服务的配置文件位置，则必须重新修改该文件的selinux上下文类型，以重新匹配服务，否则服务无法访问该配置文件。