首页 > 系统相关 > 详细

Linux学习日记之seLinux的简单管理

时间：2018-12-04 22:36:51 阅读：251 评论：0 收藏：0 [点我收藏+]

标签：ges 导入 vsftp blog dfa 永久权限上下优先级

1.seLinux
SELinux(Security-Enhanced Linux) 是美国国家安全局（NSA）对于强制访问控制的实现，是 Linux历史上最杰出的新安全子系统。NSA是在Linux社区的帮助下开发了一种访问控制体系，在这种访问控制体系的限制下，进程只能访问那些在他的任务中所需要文件。SELinux 是 2.6 版本的 Linux 内核中提供的强制访问控制(MAC）系统。对于目前可用的 Linux安全模块来说，SELinux 是功能最全面，而且测试最充分的。
2.selinux的三种状态及查看这三种状态的命令
selinux的三种状态
1）disable 关闭状态
2）enforcing 强制状态，如果违反安全策略，则无法执行，此时会有警告，警告信息的查看：cat /var/log/audit/audit.log
3）permissive 警告状态，selinux仍然有效，即使违反策略，依然可以执行，此时会有警告，警告信息的查看：cat /var/log/audit/audit.log
3.selinux状态的查看
getenforce
3.selinux三种状态的切换
关闭状态和其他两种状态之间的切换，必须重启系统(reboot)，才能生效
警告状态和强制状态之间的切换(临时设定)，不需要重启系统(reboot)，立即生效
但是，警告状态和强制状态之间的切换(永久设定)，需要重启系统(reboot)，才能生效
1.临时设定（只限于强制状态和警告状态的切换）
系统重启之后，又会恢复为原来的selinux状态
set enforce 0 将selinux设置为警告状态
技术分享图片

技术分享图片

set enforce 1 将selinux设置为强制状态
技术分享图片

技术分享图片

2.永久设定
编辑配置文件/etc/sysconfig/selinux
vim /etc/sysconfig/selinux
技术分享图片

技术分享图片

如果临时设定和永久设定的selinux状态不同的时候，如果没有重启电脑，因为临时设定是立即生效，而永久设定需要重启系统之后才能生效，所以，此时，临时设定的优先级要高一些
三种状态下，警告状态与强制状态会有警告日志，关闭状态没有警告日志
4.三种状态产生的效果及警告日志的查看
（1）警告状态(会有警告日志)
与关闭状态的效果相同，只是警告状态有警告日志；而关闭状态不会由警告日志
所有的文件都可以看到
服务端
1）查看selinux状态为警告状态
技术分享图片

技术分享图片

2）清空日志，（将空导入）
技术分享图片

技术分享图片

3）剪切文件到/var/ftp(vsftpd服务的默认发布目录)
技术分享图片

技术分享图片

技术分享图片

4）用客户端用lftp命令连接服务端，因为selinux为警告状态，所以会连接成功，能够看到file文件，并有警告日志产生
技术分享图片

技术分享图片

5）在服务端查看是否有警告日志产生
技术分享图片

技术分享图片

有警告日志产生
（2）强制状态(会有警告日志)
1）在服务端查看selinux是否为强制状态
技术分享图片

技术分享图片

2）剪切文件到/var/ftp(vsftpd服务的默认发布目录
技术分享图片

技术分享图片

3）用客户端连接，连接成功，因为selinux为强制状态，所以不能看到file与efile文件，并产生警告日志
技术分享图片

技术分享图片

4）查看警告日志

技术分享图片

（3）关闭状态（无警告日志）
1）在服务端查看selinux状态，为关闭状态
技术分享图片

技术分享图片

2）清空警告日志，将空导入
技术分享图片

技术分享图片

3）剪切文件到/var/ftp(vsftpd服务的默认发布目录)
技术分享图片

技术分享图片

4）用客户端连接，因为selinux为关闭状态，所以连接成功并能够看到所有文件及目录，并不会产生警告日志
技术分享图片

技术分享图片

5）在服务端查看，并无警告日志产生
技术分享图片

技术分享图片

5.selinux的安全上下文的查看与修改
强制状态（enforcing）
当文件的安全上下文与ftp的默认安全上下文(publiccontentt)一致时，才可以查看剪切过来的文件
安全上下文查看
技术分享图片

技术分享图片

（1）临时修改安全上下文
1)对文件来说：chcon -t publiccontentt /var/ftp/efile
服务端
技术分享图片

技术分享图片

技术分享图片

客户端

技术分享图片

但是如果目录的上下文与ftp的默认上下文(publiccontentt)不一致时，虽然可以看到该目录，但是目录中的文件的上下文不是publiccontentt，也看不到文件
技术分享图片

技术分享图片

技术分享图片

2)对目录来说：chcon -t publiccontentt var/ftp/edir -R
在服务端：
修改安全上下文
技术分享图片

技术分享图片

技术分享图片

在客户端

技术分享图片

（2）永久修改安全上下文
服务端
semanage fcontext -a -t publiccontentt ‘/var/ftp/edir(/.)?‘ 修改/var/ftp/edir的目录本身及目录中的所有内容的安全上下文为publiccontentt
技术分享图片

技术分享图片

技术分享图片

修改后，需要刷新才能生效
restorecon -RvvF /var/ftp/edir
技术分享图片

技术分享图片

技术分享图片

在客户端测试

技术分享图片

能看到所有文件与目录，修改成功
5.sebool值
selinux布尔值是更改selinux的开关；有时候，selinux的访问权限可选可通过selinux布尔值触发，可以提高系统安全性。
1）getsebool -a | grep ftp 显示布尔值，查看功能的开启或关闭状态
技术分享图片

技术分享图片

可以看到vsftpd服务的某些功能是默认关闭的
ftphomedir-------> off 表示本地用户上传文件的功能没有开启
本地用户上传不允许
测试：
技术分享图片

技术分享图片

上传失败
2.setsebool -P ftphomedir on 开启本地用户的上传功能
技术分享图片

技术分享图片

再次查看是否修改成功
技术分享图片

技术分享图片

修改成功
在客户端测试：
技术分享图片

技术分享图片

上传成功
提供日志的插件：setroubleshoot-server.x8664*

Linux学习日记之seLinux的简单管理

标签：ges 导入 vsftp blog dfa 永久权限上下优先级

原文地址：http://blog.51cto.com/14050771/2326188

踩

(0)

赞

(0)

举报

评论一句话评论（0）

分享档案

更多>

2021年07月29日 (22)
2021年07月28日 (40)
2021年07月27日 (32)
2021年07月26日 (79)
2021年07月23日 (29)
2021年07月22日 (30)
2021年07月21日 (42)
2021年07月20日 (16)
2021年07月19日 (90)
2021年07月16日 (35)

周排行

更多

友情链接

兰亭集智国之画百度统计站长统计阿里云 chrome插件新版天听网

关于我们 - 联系我们 - 留言反馈

© 2014 mamicode.com 版权所有联系我们:gaon5@hotmail.com

迷上了代码！