常用的SELinux操作

曾经终败给现在 2022-10-28 10:13 359阅读 0赞

### 文章目录 ###

*  常用的SELinux操作
 *   *  前言
     *  查看SELinux状态
     *  关闭SELinux
     *  重新打SELinux标签
     *  开启非常规端口
     *  开启或关闭安全特性开关
     *  参考文档

# 常用的SELinux操作 #

## 前言 ##

本文描述了在CentOS8上的常用SELinux操作。

## 查看SELinux状态 ##

安装CentOS后，默认SELinux是开启状态。

# 查看SELinux状态
    getenforce
    
    # 查看SELinux状态的详细信息
    sestatus

说明：

*  SELinux在命令中的缩写为`se`，通过`man -k 'selinux'` 搜索SELinux相关命令。
 *  SELinux状态包括：
    
     *  `enforcing` \- SELinux security policy is enforced. 强制模式
     *  `permissive` \- SELinux prints warnings instead of enforcing. 许可模式
     *  `disabled` \- No SELinux policy is loaded. 禁用模式

## 关闭SELinux ##

临时关闭SELinux：

# 临时关闭SELinux
    setenforce 0
    
    # 关闭SELinux后，查看SELinux状态是否为 Permissive
    getenforce
    
    # 临时关闭SELinux后，执行sestatus可以看到SELinux当前模式和配置文件的模式不同
    Current mode:                   permissive
    Mode from config file:          enforcing
    
    # 临时开启SELinux
    setenforce 1
    
    # 开启SELinux后，查看SELinux状态是否为 Enforcing
    getenforce

永久关闭SELinux：

# 先关闭SELinux
    setenforce 0
    
    # 再编辑 /etc/selinux/config ， 将 SELINUX=enforcing 改为 SELINUX=permissive
    SELINUX=permissive
    
    # 执行sestatus可以看到SELinux当前模式和配置文件的模式都为 permissive
    # 下次重启后，SELinux状态的改动依然生效
    Current mode:                   permissive
    Mode from config file:          permissive

注意不要将`SELINUX`的模式设置为`disabled`，避免以后重新开启SELinux后需要重新打SELinux标签。

## 重新打SELinux标签 ##

创建`/.autorelabel`文件：

touch /.autorelabel

重启系统：

reboot

在恢复root用户密码时需要重新打SELinux标签，参见[CentOS8恢复root密码][CentOS8_root]。

## 开启非常规端口 ##

作为安全增强，SELinux对端口的使用也作了限制。

如果应用要开启非常规接口，需要在SELinux上先放通该接口，否则该应用无法启动。

示例：允许httpd侦听82端口

# 修改 /etc/httpd/conf/httpd.conf ， 将 Listen 80 改为 Listen 82
    Listen 82
    
    # 重启httpd服务
    systemctl restart httpd
    
    # 重启httpd服务失败
    # 查看服务日志发现无法绑定82端口
    # Permission denied: AH00072: make_sock: could not bind to address [::]:82
    systemctl status httpd -l
    
    # 查看SELinux允许的http端口
    # http_port_t tcp 80, 81, 443, 488, 8008, 8009, 8443, 9000
    semanage port -l | grep http
    
    # 可见82端口不在允许的http端口范围内
    # 添加82端口到SELinux允许的http端口中
    # -a --add
    # -t --type
    semanage port -a -t http_port_t -p tcp 82
    
    # 重启httpd服务
    systemctl restart httpd
    
    # 查看82端口是否工作正常
    netstat -tunlp | grep 82
    
    # 查看本地修改了哪些SELinux的默认端口设置
    # -C 表示customization，定制化
    semanage port -l -C
    
    # 如果想从SELinux允许的http端口中删除82端口
    # -d --delete
    semanage port -d -t http_port_t -p tcp 82

## 开启或关闭安全特性开关 ##

前面的开发或关闭SELinux像是总开关，SELinux boolean value （布尔值）像一个个独立的小开关，可用来开启或关闭细粒度的安全特性。

# 查看全部SELinux布尔值
    getsebool -a
    
    # 查看全部SELinux布尔值的详细信息
    semanage boolean -l
    
    # 查看某个安全特性开关
    semanage boolean -l | grep http | grep home
    
    # 打开安全特性开关
    # -P 表示Persistent ，永久有效
    setsebool -P httpd_enable_homedirs on
    
    # 查看某个安全特性开关
    getsebool httpd_enable_homedirs
    
    # 查看本地修改了哪些SELinux布尔值
    # -C 表示customization，定制化
    semanage boolean -l -C
    
    # 关闭安全特性开关
    setsebool -P httpd_enable_homedirs off

## 参考文档 ##

*  [CentOS: SELinux][CentOS_ SELinux]

[CentOS8_root]: https://cookcode.blog.csdn.net/article/details/113641014
[CentOS_ SELinux]: https://www.server-world.info/en/note?os=CentOS_8&p=selinux

发表评论取消回复

表情：

评论列表（有 0 条评论，359人围观）

还没有评论，来说两句吧...

相关阅读

相关查看SELinux状态&关闭SELinux

1. 查看SELinux状态 1.1 getenforce getenforce 命令是单词get（获取）和enforce(执行)连写，可查看selinux状

秒速五厘米/ 2023年10月17日 17:32/ 0 赞/ 39 阅读

相关查看 SELinux状态及关闭SELinux

查看SELinux状态： 1、/usr/sbin/sestatus -v \\如果SELinux status参数为enabled即为开启状态 SELinux s

左手的ㄟ右手/ 2023年01月17日 08:53/ 0 赞/ 170 阅读

相关 Docker常用的操作汇总

一、Docker服务重启 service docker restart 二、Docker搜索需要的镜像 docker search [镜像名] 三、Do

悠悠/ 2022年11月20日 08:14/ 0 赞/ 207 阅读

相关常用的SELinux操作

文章目录常用的SELinux操作前言查看SELinux状态关闭SELinux 重新打SELinux标签

曾经终败给现在/ 2022年10月28日 10:13/ 0 赞/ 360 阅读

相关数据库常用的操作

列的操作 MySQL 添加列，修改列，删除列 ALTER TABLE：添加，修改，删除表的列，约束等表的定义。查看列：desc 表名; 修改表名：a

Dear 丶/ 2022年06月08日 05:41/ 0 赞/ 214 阅读

相关前端常用的JavaScript操作

1.删除字符串中指定的一段字符例：删除"10km"中的km var str = "10km" //方法一： var res = st

男娘i/ 2022年05月10日 03:26/ 0 赞/ 203 阅读

相关 SELinux

存取文件系统的传统方式成为【自主式访问控制（DAC）】，基本上就是根据进程的拥有者与文件资源的rwx权限来决定有无存储的能力。有以下缺点： ![2019031111234

素颜马尾好姑娘i/ 2022年03月10日 13:42/ 0 赞/ 206 阅读

相关 Git操作常用的命令

创建仓库 git init 在当前目录执行，会生成 .git目录文件，这个和SVN一致。提交到仓库 git commit -m "first commit" \-m

迷南。/ 2021年11月23日 08:54/ 0 赞/ 342 阅读

相关 Docker常用的操作

1、docker image 2、docker container 1-1 查看所有的image 命令 docker image --help ![在这里

傷城~/ 2021年11月16日 19:04/ 0 赞/ 329 阅读

相关 HBuilder常用的快捷操作

HBuilder常用的快捷操作一、快捷操作 ①.新建项目： ctrl+N+W(web端) ctrl+N+A

布满荆棘的人生/ 2021年09月16日 20:16/ 0 赞/ 793 阅读