在RHEL8中如何使用 SELinux

[root@pp ~]# ps axZ | grep -v grep | grep httpd
system_u:system_r:httpd_t:s0      36960 ?        Ss     0:00 /usr/sbin/httpd -DFOREGROUND
system_u:system_r:httpd_t:s0      36961 ?        S      0:00 /usr/sbin/httpd -DFOREGROUND
system_u:system_r:httpd_t:s0      36962 ?        Sl     0:01 /usr/sbin/httpd -DFOREGROUND
system_u:system_r:httpd_t:s0      36963 ?        Sl     0:01 /usr/sbin/httpd -DFOREGROUND
system_u:system_r:httpd_t:s0      36964 ?        Sl     0:01 /usr/sbin/httpd -DFOREGROUND
system_u:system_r:httpd_t:s0      37245 ?        Sl     0:01 /usr/sbin/httpd -DFOREGROUND
[root@pp ~]# 

[root@pp ~]# mkdir /web
[root@pp ~]# echo 555 > /web/index.html
[root@pp ~]# 

[root@pp ~]# ls -dZ /web/
unconfined_u:object_r:default_t:s0 /web/
[root@pp ~]# 

可以看到，/web 的上下文为 default_t。

把/web软链接到/var/www/html/www，命令如下。

[root@pp ~]# ln -s /web /var/www/html/www
[root@pp ~]# 

这里的www是/web的软链接（快捷方式)，当我们在地址栏中输

入“192.168.26.100/www"时，其实访问的是/web中的index.html。

确保httpd服务是运行的

确保防火墙放行了httpd服务，命令如下。

[root@pp ~]# firewall-cmd --add-service=http
success
[root@pp ~]# 

在客户端上访问此内容，结果如图26-3所示。

发现访问是被拒绝的，原因是当客户端在浏览器的地址栏中输

入“192.168.26.101/www"连接到服务器时，服务器会有一个httpd进程来“接待”这个客

户端的连接请求，然后 httpd根

据用户的请求去访问目录/web，如图26-4所示。

[root@pp ~]# chcon -R -t httpd_sys_content_t /web/
[root@pp ~]# 

[root@pp ~]# ls -dZ /web/
unconfined_u:object_r:httpd_sys_content_t:s0 /web/
[root@pp ~]# 

[root@pp ~]# restorecon -R /web/
[root@pp ~]# 

[root@pp ~]# ls -dZ /web/
unconfined_u:object_r:default_t:s0 /web/
[root@pp ~]# 

1 semanage fcontext ‐d ‐t httpd_sys_content_t "/目录(/.*)?"

[root@pp ~]# semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?"
[root@pp ~]# 

[root@pp ~]# ls -dZ /web/
unconfined_u:object_r:default_t:s0 /web/
[root@pp ~]# 

[root@pp ~]# restorecon -R /web
[root@pp ~]# ls -dZ /web/
unconfined_u:object_r:httpd_sys_content_t:s0 /web/
[root@pp ~]# 

可以看到，此时已经修改了默认上下文。

26.2 端口上下文 端口也是有上下文的，如果一个端口没有上下文或上下文和进程不匹配，则进程就无法访

问此端口。

查看系统所有端口上下文的命令是semanage port -l（小写字母l，list的意思)。

练习：请通过如下命令把httpd端口改为808，命令如下。

[root@pp ~]# sed ‐i '/^Listen/cListen 808' /etc/httpd/conf/httpd.c
onf
[root@server ~]#

然后重启 httpd服务，命令如下。

[root@pp ~]# systemctl restart httpd
Job for httpd.service failed because the control process exited with e
rror code.
See "systemctl status httpd.service" and "journalctl ‐xe" for details.
[root@pp ~]#

发现启动服务失败，通过journalctl -xe l grep httpd查看日志，发现里面有一段话，如

下所示。

[root@server ~]# journalctl -xe | grep httpd

4月 12 17:23:05 server.rhce.cc setroubleshoot[41672]: SELinux is preventing

/usr/sbin/httpd from name_bind access on the tcp_socket port 808. For complete

SELinux messages run: sealert -l b2ede99e-5451-46b9-99c8-3ff84f150288

这里的意思是无法绑定端口808，这是因为端口808没有对应的上下文,命令如下。

1 [root@pp ~]# semanage port ‐l | grep 'b808\b'
2 [root@pp ~]#

这样httpd进程是访问不了端口808的。但是端口80是正常工作的，查看端口80的上下文,

命令如下。

[root@pp ~]# semanage port ‐l | grep '\b80\b'
http_port_t tcp 80, 81, 443, 488, 8008, 8009, 8443, 9000
[root@pp ~]#

可以看到，端口80的上下文是 http_port_t。如果把端口808的上下文改成和端口80一样

不就可以了吗?试试修改端口808的上下文。

修改端口上下文的语法如下。

1 semanage port ‐a ‐t 上下文 ‐p 协议 端口
如果要删除端口上下文，语法如下。
1 semanage port ‐d ‐t 上下文 ‐p 协议 端口

下面把端口808的上下文改成http_port_t，命令如下。

[root@pp ~]# semanage port ‐a ‐t http_port_t ‐p tcp 808

这里的意思是把端口808的上下文改成http_port_t。

再次查看端口808的上下文，命令如下。

[root@pp ~]# semanage port ‐l | grep '\b808\b'
http_port_t tcp 808, 80, 81, 443, 488, 8008, 8009, 8443, 9000
[root@pp ~]#

再次重启httpd服务，命令如下。

1 [root@pp ~]# systemctl restart httpd
2 [root@pp ~]#

26.3 了解SELinux的布尔值

布尔值可以理解为一个功能开关，如图26-6所示。

在没有SELinux的情况下，电灯亮不亮完全由开关控制，打开开关电灯亮，关闭开关电灯

灭。现在有了SELinux，情况如图26-7所示。

现在电灯亮还是不亮，不能完全由原来的开关A决定，这当中 SELinux也具有决定权。如

果把开关A打开，但是 SELinux不允许打开，则电灯仍然是不亮的。

[root@pp ~]# lftp 192.168.8.11/incoming
cd 成功, 当前目录=/incoming
lftp 192.168.8.11:/incoming> ls
lftp 192.168.8.11:/incoming>

26.4 了解SELinux的模式

SELinux一共有以下两种模式。

（1） Enforcing:如果不满足SELinux条件，则SELinux 会阻止访问服务并提供警报。

（2） Permissive:如果不满足SELinux条件，则SELinux不会阻止访问，但是会警报。查看

当前处于什么模式用getenforce命令，命令如下。

[root@pp ~]# getenforce 
Permissive
[root@pp ~]# 

要是想切换模式，需要用setenforce命令。

setenforce 1：切换到Enforcing模式。

setenforce0：切换到Permissive模式。

[root@pp ~]# setenforce 0
[root@pp ~]# getenforce 
Permissive
[root@pp ~]# setenforce 1
[root@pp ~]# getenforce 
Enforcing
[root@pp ~]# 

但是使用setenforce命令切换也只是临时生效，重启系统之后又变成默认模式了。如果想

修改默认模式，可以通过修改配置文件/etc/SELinux/config或/etc/sysconfig/SELinux，后

者是前者的快捷方式（软链接)。

使用vim打开/etc/SELinux/config，如图26-8所示。