Fedora CentOS 等Linux发行版SELinux安全设置问题重谈
作者：博爱老头 发布：2011-12-31 11:37
我曾经写过两篇日志，都是关于SELinux的安全设置问题，请参考：
前两天，一同事去现场给客户部署系统，装好RHEL5.6之后，发现ftp和http都连不上，但是服务器的启动和服务状态都正常，ftp的返回结果是
500 OOPS: cannot change directory:/home/userDir
我再让他查看下权限、登陆的用户等，这些都没有问题，然后我问他，SELinux的状态是什么样的？他说是打开的，我就知道是这个问题了，在这些版本之后，默认SELinux都对网络操作本地文件系统做了很严格的控制，我觉得有必要在说一说这些东西。
首先是两个命令，getsebool和setsebool，从名字上面就可以知道，这是设置SELinux相关配置的开关（布尔值），那就说明各项开关的作用就行了。
//用此命令即可查询对应的SELinux开放情况[root@rhel6 www]# getsebool -a |grep httpdallow_httpd_anon_write --> offallow_httpd_mod_auth_ntlm_winbind --> offallow_httpd_mod_auth_pam --> offallow_httpd_sys_script_anon_write --> offhttpd_builtin_scripting --> onhttpd_can_check_spam --> offhttpd_can_network_connect --> onhttpd_can_network_connect_cobbler --> offhttpd_can_network_connect_db --> offhttpd_can_network_relay --> offhttpd_can_sendmail --> offhttpd_dbus_avahi --> onhttpd_enable_cgi --> onhttpd_enable_ftp_server --> offhttpd_enable_homedirs --> offhttpd_execmem --> offhttpd_read_user_content --> offhttpd_setrlimit --> offhttpd_ssi_exec --> offhttpd_tmp_exec --> offhttpd_tty_comm --> onhttpd_unified --> onhttpd_use_cifs --> offhttpd_use_gpg --> offhttpd_use_nfs --> off｛ftp｝//打开Anonymous文件共享chcon -R -t public_content_t /var/ftp//设置一个可以上传文件的文件夹chcon -t public_content_rw_t /var/ftp/incoming//同时需要打开allow_ftpd_anon_writesetsebool -P allow_ftpd_anon_write=1//设置用户可以访问家目录setsebool -P ftp_home_dir 1//以镜像方式运行ftp服务器setsebool -P ftpd_is_daemon 1//彻底关闭SELinux对FTP的保护setsebool -P ftpd_disable_trans 1｛httpd｝//特定的域写入权限setsebool -P allow_httpd_anon_write=1//或者setsebool -P allow_httpd_sys_script_anon_write=1//打开http 的cgi功能setsebool -P httpd_enable_cgi 1//打开http访问用户家目录setsebool -P httpd_enable_homedirs 1chcon -R -t httpd_sys_content_t ~user/public_html//运行http登陆终端setsebool -P httpd_tty_comm 1//打开http服务互不干扰setsebool -P httpd_unified 0//可装载模块作为http服务在同样的context下服务setsebool -P httpd_builtin_scripting 0//打开http脚本访问网络setsebool -P httpd_can_network_connect 1//禁用suexec传输setsebool -P httpd_suexec_disable_trans 1//停止SELinux对httpd的保护setsebool -P httpd_disable_trans 1service httpd restart｛named｝//打开更新主域setsebool -P named_write_master_zones 1//停止SELinux对named的保护setsebool -P named_disable_trans 1service named restart｛nfs｝//设置nfs为只读setsebool -P nfs_export_all_ro 1//设置nfs可写setsebool -P nfs_export_all_rw 1//打开nfs家目录访问setsebool -P use_nfs_home_dirs 1｛samba｝//打开另外的目录共享chcon -t samba_share_t /directory//打开多域共享setsebool -P allow_smbd_anon_write=1//将服务器设置成samba服务器，并允许家目录共享setsebool -P samba_enable_home_dirs 1//用其他samba服务器共享本机的家目录setsebool -P use_samba_home_dirs 1//停止SELinux对samba的保护setsebool -P smbd_disable_trans 1service smb restart｛rsync｝//打开rsync共享chcon -t public_content_t /directories//打开多域共享setsebool -P allow_rsync_anon_write=1//停止SELinux对rsync的保护setsebool -P rsync_disable_trans 1｛kerberos｝//打开kerberossetsebool -P allow_kerberos 1//以 kadmind 或 krb5kdc 方式运行setsebool -P krb5kdc_disable_trans 1service krb5kdc restartsetsebool -P kadmind_disable_trans 1service kadmind restart｛nis｝//打开nis支持setsebool -P allow_ypbind 1看完这些，就应该知道大概怎么设置SELinux了，这里只列出经常要用的。
