SELinux
1.SELinux
全称是Security-Enhanced Linux，安全增强的linux；
一套强化linux安全的mac扩展模块；
美国国家安全局主导开发；
SELinux 的运作机制
集成到Linux内核（2.6及以上）
为操作系统提供可定制的策略，管理工具
2.红帽的SELinux策略
SELINUXTYPE=targeted
--仅保护最常见的/关键的网络服务，其他不限制
SELINUXTYPE=mls
--提供多层次，全面的安全防护策略
我们vim /etc/selinux/config进去之后看到的SELINUXTYPE=targeted是比较常用的类型
3.SELINUX的运行模式
修改文件/etc/selinux/config（或者vim /etc/sysconfig/selinux，其实是同一个文件）
设置 SELINUX=disabled 以禁用
设置 SELINUX=permissive 宽松模式 (0)：SELinux prints warnings instead of enforcing（警告而不是强制）
设置 SELINUX=enforcing 强制模式 （1）
查看当前运行模式
# getenforce
临时修改运行模式
[root@rhel6-1 html]# setenforce
usage: setenforce [ Enforcing | Permissive | 1 | 0 ]
当我们有时候怀疑是selinux的限制，导致某服务不能被访问时，我们可以临时修改selinux的运行模式，设为0，再查看下服务能否被访问，如果想永久修改，就需要修改他的配置文件
4、配置SELINUX的两个主要方面
1、SELINUX上下文环境
（1）查看一个文件的上下文环境值
# ls -Z //通过ls -Z 来查看上下文
（2）修改selinux上下文环境值
把文件恢复到所在目录的默认值
# restorecon -Rv /var/www/html //restrorecon表示恢复
或者设置某个文件的指定值
[root@rhel6-1 html]# chcon -t admin_home_t abc //chcon表示修改
常用选项：
-t，指定访问类型；
-u，-r，分别用来指定用户，角色；
-R，递归修改；
--reference=RFILE，参考指定文件的上下文
2、SELINUX布尔值
使用getsebool查看
#getsebool -a //-a 查看所有布尔值
使用setsebool设置
#setsebool -P allow_httpd_anon_write off //-P,永久更改，重启后仍然有效
设者布尔值的时候可以设为1或者on开启，同理，也可以设者为0或者off关闭
5.SELinux实例：
例一：SELINUX上下文环境
# echo ‘my test web site’ > ~/index.html
# ls -Z ~/index.html
# mv ~/index.html /var/www/html
通过web页面访问，无法访问到这个主页
# restorecon -Rv /var/www/html
# ls -Z /var/www/html/index.html
刷新web页面，可以访问到主页
例二：实现FTP匿名用户上传
（1）# mkdir –m 757 /var/ftp/incoming
（2）修改vsftpd.conf打开匿名上传
（3）上传文件测试，如果已经安装setroubleshoot，屏幕右上角会弹出提示，根据提示修改
# chcon -t public_content_rw_t /var/ftp/incoming
# getsebool -a | grep ftp ->获得与ftp相关的selinux布尔值
# setsebool -P allow_ftpd_anon_write 1（4）再次尝试上传，成功
例三：本地用户ftp登陆
直接用本地用户tom访问ftp，将会提示“不能改变目录”
查看相关的selinux布尔值
# getsebool -a | grep ftp ->获得与ftp相关的selinux布尔值
[root@rhel6-1 ~]# setsebool -P ftp_home_dir on
再次用tom登陆测试，成功
bool值相当于开关
可以装setroubleshooting
例四、windows通过samba访问linux
（1）安装samba
（2）# smbpasswd -a root
（3）启动服务
（4）在windows下用UNC路径访问，能够看到root的家目录，但是双击打不开
（5）# getsebool –a | grep samba
（6）# sebsebool -P samba_export_all_rw 1
（7）再次在windows下用UNC路径访问，可以打开root的家目录
6、图形化管理SELinux，安装setroubleshoot
# yum install –y setroubleshoot*
重启
有任何的selinux违规行为，系统都会给出提示和解决方案。
如果是图形界面下，屏幕右上角会弹出消息。如果是字符终端下，可以查看日志/var/log/message。如：
[root@rhel6-1 log]# tail -2 /var/log/messages
Dec 4 11:39:42 rhel6-1 setroubleshoot: SELinux is preventing /usr/sbin/httpd from getattr access on the file /var/www/html/index.html. For complete SELinux messages. run sealert -l 96114052-1747-4334-873e-3a48c35c514c
Dec 4 11:39:42 rhel6-1 setroubleshoot: SELinux is preventing /usr/sbin/httpd from getattr access on the file /var/www/html/index.html. For complete SELinux messages. run sealert -l 96114052-1747-4334-873e-3a48c35c514c
根据提示，在终端上运行命令：
# sealert -l 96114052-1747-4334-873e-3a48c35c514c ->显示selinux解决方案
7、获得SELINUX设置的帮助
（1）# man ftpd_selinux
# man httpd_selinux
# man samba_selinux
（2）有些服务，配置文件中也有说明
# vim /etc/samba/smb.conf
附：
1.SELinux安全上下文，Security Context，为文件/目录/设备标记访问控制属性；
属性构成 用户：角色：访问类型：选项...
[root@localhost html]# ls -Z /etc/samba/smb.conf
-rw-r--r--. root root system_u:object_r:samba_etc_t:s0 /etc/samba/smb.conf
比如，配置samba共享的时候，共享文件如果不更改上下文环境是不能共享出去的
2.安全上下文的一般规律：
移动的文件，原有的上下文属性不变；
复制的文件，自动继承目标位置的上下文。
1.SELinux
全称是Security-Enhanced Linux，安全增强的linux；
一套强化linux安全的mac扩展模块；
美国国家安全局主导开发；
SELinux 的运作机制
集成到Linux内核（2.6及以上）
为操作系统提供可定制的策略，管理工具
2.红帽的SELinux策略
SELINUXTYPE=targeted
--仅保护最常见的/关键的网络服务，其他不限制
SELINUXTYPE=mls
--提供多层次，全面的安全防护策略
我们vim /etc/selinux/config进去之后看到的SELINUXTYPE=targeted是比较常用的类型
3.SELINUX的运行模式
修改文件/etc/selinux/config（或者vim /etc/sysconfig/selinux，其实是同一个文件）
设置 SELINUX=disabled 以禁用
设置 SELINUX=permissive 宽松模式 (0)：SELinux prints warnings instead of enforcing（警告而不是强制）
设置 SELINUX=enforcing 强制模式 （1）
查看当前运行模式
# getenforce
临时修改运行模式
[root@rhel6-1 html]# setenforce
usage: setenforce [ Enforcing | Permissive | 1 | 0 ]
当我们有时候怀疑是selinux的限制，导致某服务不能被访问时，我们可以临时修改selinux的运行模式，设为0，再查看下服务能否被访问，如果想永久修改，就需要修改他的配置文件
4、配置SELINUX的两个主要方面
1、SELINUX上下文环境
（1）查看一个文件的上下文环境值
# ls -Z //通过ls -Z 来查看上下文
（2）修改selinux上下文环境值
把文件恢复到所在目录的默认值
# restorecon -Rv /var/www/html //restrorecon表示恢复
或者设置某个文件的指定值
[root@rhel6-1 html]# chcon -t admin_home_t abc //chcon表示修改
常用选项：
-t，指定访问类型；
-u，-r，分别用来指定用户，角色；
-R，递归修改；
--reference=RFILE，参考指定文件的上下文
2、SELINUX布尔值
使用getsebool查看
#getsebool -a //-a 查看所有布尔值
使用setsebool设置
#setsebool -P allow_httpd_anon_write off //-P,永久更改，重启后仍然有效
设者布尔值的时候可以设为1或者on开启，同理，也可以设者为0或者off关闭
5.SELinux实例：
例一：SELINUX上下文环境
# echo ‘my test web site’ > ~/index.html
# ls -Z ~/index.html
# mv ~/index.html /var/www/html
通过web页面访问，无法访问到这个主页
# restorecon -Rv /var/www/html
# ls -Z /var/www/html/index.html
刷新web页面，可以访问到主页
例二：实现FTP匿名用户上传
（1）# mkdir –m 757 /var/ftp/incoming
（2）修改vsftpd.conf打开匿名上传
（3）上传文件测试，如果已经安装setroubleshoot，屏幕右上角会弹出提示，根据提示修改
# chcon -t public_content_rw_t /var/ftp/incoming
# getsebool -a | grep ftp ->获得与ftp相关的selinux布尔值
# setsebool -P allow_ftpd_anon_write 1（4）再次尝试上传，成功
例三：本地用户ftp登陆
直接用本地用户tom访问ftp，将会提示“不能改变目录”
查看相关的selinux布尔值
# getsebool -a | grep ftp ->获得与ftp相关的selinux布尔值
[root@rhel6-1 ~]# setsebool -P ftp_home_dir on
再次用tom登陆测试，成功
bool值相当于开关
可以装setroubleshooting
例四、windows通过samba访问linux
（1）安装samba
（2）# smbpasswd -a root
（3）启动服务
（4）在windows下用UNC路径访问，能够看到root的家目录，但是双击打不开
（5）# getsebool –a | grep samba
（6）# sebsebool -P samba_export_all_rw 1
（7）再次在windows下用UNC路径访问，可以打开root的家目录
6、图形化管理SELinux，安装setroubleshoot
# yum install –y setroubleshoot*
重启
有任何的selinux违规行为，系统都会给出提示和解决方案。
如果是图形界面下，屏幕右上角会弹出消息。如果是字符终端下，可以查看日志/var/log/message。如：
[root@rhel6-1 log]# tail -2 /var/log/messages
Dec 4 11:39:42 rhel6-1 setroubleshoot: SELinux is preventing /usr/sbin/httpd from getattr access on the file /var/www/html/index.html. For complete SELinux messages. run sealert -l 96114052-1747-4334-873e-3a48c35c514c
Dec 4 11:39:42 rhel6-1 setroubleshoot: SELinux is preventing /usr/sbin/httpd from getattr access on the file /var/www/html/index.html. For complete SELinux messages. run sealert -l 96114052-1747-4334-873e-3a48c35c514c
根据提示，在终端上运行命令：
# sealert -l 96114052-1747-4334-873e-3a48c35c514c ->显示selinux解决方案
7、获得SELINUX设置的帮助
（1）# man ftpd_selinux
# man httpd_selinux
# man samba_selinux
（2）有些服务，配置文件中也有说明
# vim /etc/samba/smb.conf
附：
1.SELinux安全上下文，Security Context，为文件/目录/设备标记访问控制属性；
属性构成 用户：角色：访问类型：选项...
[root@localhost html]# ls -Z /etc/samba/smb.conf
-rw-r--r--. root root system_u:object_r:samba_etc_t:s0 /etc/samba/smb.conf
比如，配置samba共享的时候，共享文件如果不更改上下文环境是不能共享出去的
2.安全上下文的一般规律：
移动的文件，原有的上下文属性不变；
复制的文件，自动继承目标位置的上下文。
本文转自Jx战壕 51CTO博客，原文链接：http://blog.51cto.com/xujpxm/1403235，如需转载请自行联系原作者
