selinux
1.selinux
内核级加强型防火墙
1.针对文件，会对系统中每个文件添加安全上下文（context）
2.针对进程，会对系统中的每个进程添加全上下文（context）
3.会在系统服务上设定sebool开关
4.当进程安全上下文和文件的安全上下文不匹配时，那么进程无法访问此文件
5.sebool会限制服务的不安全功能，如果需要用此功能，必须调整sebool值
2.管理selinux
-
selinux的开关
vim /etc/sysconfig/selinux
SELINUX=enforcing ##selinux开启，级别为强制
SELINUX=permissive ##selinux开启，级别为警告
SELINUX=disabled ##selinux关闭，
setenforce 0|1 ##更改selinux当前的级别0警告1标示强制
getenforce ##查看selinux的状态
注意：当selinux从关到开，或者从开到关，需要重启系统,而从警告状态到强制状态或强制状态到警告状态不需要重启
Selinux的影响
- selinux中对文件安全上下文的设定
实验环境：
Selinux状态为enforcing，配置好ftp服务
在/mnt下建立一个文件，将它移动到ftp的发布目录下
Lftp登录查看
在/var/ftp/pub目录下建立一个文件
为什么一个可以看到一个不可以看到呢
Ls -Z 查看文件标签
因为他们的安全上下文不同
临时更改适用于更改文件
chcon -t 安全上下文 文件
chcon -t public_content_t /var/ftp/file
临时更改目录安全上下文
Chcon -t public_content_t /westos -R
1.首先将匿名用户的发布目录改为/westos
2.在/westos 目录下建立文件并登录lftp查看
3.更改目录安全上下文
Chcon -t public_content_t /westos -R
4.修改selinux状态，重启再打开selinux，再重启
5.查看/westos及其文件的安全上下文
又恢复原样，那么如何永久更改呢
永久更改文件安全上下文
semanage fcontext -l
semanage fcontext -a -t public_content_t '/westos(/.*)?'
restorecon -RvvF /westos
管理本地用户文件传输----bool开关
-
selinux的bool值的设定
sebool值是控制服务功能开关getsebool | grep 服务名称
setsebool -P bool值 on |off
本地用户上传文件
因为我的版本是新版本，所以本地用户可以直接上传
匿名用户上传文件
1.修改本地文件系统的权限Chmod 775 /var/ftp/pub Chgrp ftp /var/ftp/pub
之前做过的修改发布目录，记得改回成默认的，不该也可以，但要时刻牢记
2.修改配置文件
Vim /etc/vsftpd/vsftpd.conf
Anon_upload_enable=YES
Systemctl restart vsftpd
3.设置bool开关
Getsebool -a |grep ftp
Setsebool -P ftpd_anon_write on
4.修改安全上下文
semanage fcontext -a -t public_content_rw_t /var/ftp/pub
restorecon -RvvF /westos
测试
selinux的排错
报错详细信息可以在系统日志中查看
首先清空日志
/var/log/messages
/var/log/audit/audit.log
Cat /var/log/audit/audit.log
Cat /var/log/messages
将匿名用户上传的布尔开关关掉
Setsebool -P ftpd_anon_write 0
现在使用匿名用户登录并上传文件
查看日志，提示你要打开匿名用户上传的开关
提示：如果没有解决反感提示的话可能是没有软件，需要自己下载一个
