五、SELinux安全防护

rwx 针对用户和组   SELinux  针对程序

targeted：定义网络程序规则   minimum：限制少量软件   mls：限制全部，没定义的全拒绝

[root@proxy ~]# vim /etc/selinux/config   //SELinux固定配置文件

SELINUX=enforcing                                //设置SELinux为强制模式

SELINUXTYPE=targeted                            //保护策略为保护主要的网络服务安全

disabled则需要修改配置文件重启系统

[root@proxy ~]# getenforce                        //查看当前状态为警告模式

Permissive

[root@proxy ~]# setenforce 1                      //设置SELinux为强制模式（临时）

[root@proxy ~]# getenforce                        //查看当前模式为强制模式

Enforcing

[root@proxy ~]# setenforce 0                      //设置SELinux为宽松模式（临时）

[root@proxy ~]# getenforce                        //查看当前模式为警告模式

Permissive

搭建FTP（SELinux启用）

cp 拷贝不保留标签，继承新上级目录的标签   mv 移动保留原本的标签

[root@proxy ~]# yum –y install vsftpd      //安装ftp，默认ftp共享目录为/var/ftp/

[root@proxy ~]# vim /etc/vsftpd/vsftpd.conf   //修改配置文件

anonymous_enable=YES                                  //开启匿名访问，只能下载,ftp用户就是服务端主机上useradd创建的用户

write_enable=YES

anon_upload_enable=YES                              //允许匿名上传文件

anon_mkdir_write_enable=YES                          //允许匿名上传目录

[root@proxy ~]# systemctl start vsftpd                //启动服务

[root@proxy ~]# tar -czf  /var/ftp/log1.tar  /var/log   //测试文件1

[root@proxy ~]# tar -czf  log2.tar  /var/log    //测试文件2

[root@proxy ~]# mv log2.tar   /var/ftp/      //mv 移动保留原本的标签

[root@proxy ~]# wget ftp://192.168.4.5/log1.tar            //下载第一个文件，成功

[root@proxy ~]# wget ftp://192.168.4.5/log2.tar            //下载第二个文件，失败（看不到文件）

[root@proxy ~]# ls -lZ /var/ftp/          //查看文件标签值

-rw-r--r--. root root unconfined_u:object_r:public_content_t:s0 log1.tar

-rw-r--r--. 1 root root unconfined_u:object_r:admin_home_t:s0   log2.tar

[root@proxy ~]# chcon -t  public_content_t  /var/ftp/log2.tar.gz   //为log2设置标签值

[root@proxy ~]# ls -Z /var/ftp/log2.tar

-rw-r--r--. root root unconfined_u:object_r:public_content_t:s0 log2.tar

[root@proxy ~]# wget ftp://192.168.4.5/log2.tar            //再次下载，成功

修改标签值的3种方法：

restorecon /var/ftp/d2.tar.gz       //重置文件标签为上级目录标签值

chcon --reference=/var/ftp/d1.tar.gz  /var/ftp/d2.tar.gz   //参照d1的标签值修改d2的标签值

chcon -t  public_content_t  /var/ftp/log2.tar.gz    //为log2设置标签值