centos中selinux功能及常用服务配置

SELinux: Secure Enhenced Linux

常用命令

获取selinux的当前状态：

# getenforce





临时启用或禁用：

# setenfoce 0|1







永久性启用，需要修改配置文件

/etc/sysconfig/selinux





设置：SELINUX=permissive





 /etc/selinux/config

 找到其中的一项：

 SELINUX={enforcing|permissive|disabled}



如果本身selinux的状态是disabled需要设置后重启生效

对apache服务的设置

1.安装配置apache软件

# yum install -y httpd





# ls -ldZ /var/www/html/

drwxr-xr-x. root root system_u:object_r:httpd_sys_content_t:s0 /var/www/html/





# ls -lZ /var/www/html

-rw-r--r--. root root unconfined_u:object_r:httpd_sys_content_t:s0 index.html





# touch /tmp/a.txt

# ls -lZ /tmp/a.txt

-rw-r--r--. root root unconfined_u:object_r:user_tmp_t:s0 /tmp/a.txt





2.编辑相关的配置文件

# mkdir /web/htdocs -pv





vim /etc/httpd/conf/httpd.conf





DocumentRoot "/web/htdocs"

<Directory "/web/htdocs">





删除默认的主页

# cd /etc/httpd/conf.d/

# rm welcome.conf





此时网站无法访问，查看文件属性

# ls -ldZ /web/htdocs

drwxr-xr-x. root root unconfined_u:object_r:default_t:s0 /web/htdocs

# ls -lZ /web/htdocs/

-rw-r--r--. root root unconfined_u:object_r:default_t:s0 index.html

3.使用chcon命令设置文件属性

将新的web目录下的文件参考原web目录属性

# chcon -R --reference=/var/www/html /web/htdocs/





设置后发现网站可以正常访问





还原原有文件属性

# restorecon -R /web/htdocs/

vsftp服务

1.安装ftp服务

# setenforce 0

# yum install -y vsftpd

启动服务

# service vsftpd start





selinux中查找ftp相关的属性

# getsebool -a | grep ftp





2.添加用户

# useradd hadoop

# passwd hadoop

客户端连接ftp服务可以使用ls命令

# lftp -u hadoop,hadoop 192.168.8.40





开启selinux 

# setenforce 1





# lftp -u hadoop,hadoop 192.168.8.40

lftp hadoop@192.168.8.40:~> ls

ls: 登录失败: 500 OOPS: cannot change directory:/home/hadoop





说明selinux阻止了用户的访问





# getsebool -a | grep ftp





allow_ftpd_anon_write --> off

allow_ftpd_full_access --> off

allow_ftpd_use_cifs --> off

allow_ftpd_use_nfs --> off

ftp_home_dir --> off

ftpd_connect_db --> off

ftpd_use_fusefs --> off

ftpd_use_passive_mode --> off

httpd_enable_ftp_server --> off

tftp_anon_write --> off

tftp_use_cifs --> off

tftp_use_nfs --> off





3.开启匿名upload权限# vim /etc/vsftpd/vsftpd.conf 

anon_upload_enable=YES

anon_other_write_enable=YES





# cd /var/ftp

# mkdir incoming

# setfacl -m u:ftp:rwx /var/ftp/incoming/

# setenforce 0





此时可以上传文件





# setenforce 1 不能上传文件





4.通过setsebool开启匿名上传权限

allow_ftpd_anon_write --> on

allow_ftpd_full_access --> on





# setsebool allow_ftpd_anon_write=1

# setsebool allow_ftpd_full_access=1

# getsebool -a | grep ftp





allow_ftpd_anon_write --> on

allow_ftpd_full_access --> on

allow_ftpd_use_cifs --> off

allow_ftpd_use_nfs --> off

ftp_home_dir --> off

ftpd_connect_db --> off

ftpd_use_fusefs --> off

ftpd_use_passive_mode --> off

httpd_enable_ftp_server --> off

tftp_anon_write --> off

tftp_use_cifs --> off

tftp_use_nfs --> off

samba服务

1.安装samba服务

# yum install -y samba

启动服务

# service smb start

# service nmb start

新建samba用户

# smbpasswd -a hadoop

# smbclient -L 192.168.8.40 -U hadoop

连接samba服务

# smbclient //192.168.8.40/hadoop -U hadoop

smb: \> ls

NT_STATUS_ACCESS_DENIED listing \*





共享home目录(可参考/etc/samba/smb.conf文件)

# setsebool -P samba_enable_home_dirs=1





重新访问共享目录

# smbclient //192.168.8.40/hadoop -U hadoop

Enter hadoop's password: 

Domain=[MYGROUP] OS=[Unix] Server=[Samba 3.6.23-24.el6_7]

smb: \> ls

  .                                   D        0  Mon Mar  7 20:51:44 2016

  ..                                  D        0  Mon Mar  7 20:35:12 2016

  .bash_profile                       H      176  Thu Jul 18 21:19:03 2013

  inittab                                    884  Mon Mar  7 20:52:27 2016

  .bash_logout                        H       18  Thu Jul 18 21:19:03 2013

  .bashrc                             H      124  Thu Jul 18 21:19:03 2013

  issue                                       47  Mon Mar  7 20:46:44 2016





51175 blocks of size 524288. 47761 blocks available









加入配置myshared

[myshared]

        comment = something

        path = /samba/shared

        public = yes

        browseable = yes

        write list = hadoop





语法检查# testparm





重启samba服务

# for i in smb nmb; do service $i restart ; done





访问samba共享，无法列出目录

# smbclient //192.168.8.40/myshared -U hadoop

Enter hadoop's password: 

Domain=[MYGROUP] OS=[Unix] Server=[Samba 3.6.23-24.el6_7]

smb: \> ls

NT_STATUS_ACCESS_DENIED listing \*





改变目录的属性

# chcon -R -t samba_share_t /samba/shared/





再次访问samba共享，可以正常列出目录

# smbclient //192.168.8.40/myshared -U hadoop

Enter hadoop's password: 

Domain=[MYGROUP] OS=[Unix] Server=[Samba 3.6.23-24.el6_7]

smb: \> ls

  .                                   D        0  Mon Mar  7 21:27:32 2016

  ..                                  D        0  Mon Mar  7 21:27:17 2016

  fstab                                      921  Mon Mar  7 21:27:32 2016





51175 blocks of size 524288. 47761 blocks available