SElinux: อนุญาตให้ httpd เชื่อมต่อกับพอร์ตเฉพาะ

ระบบของฉันใช้งาน CentOS 6.4 ด้วย apache2.2.15 SElinux บังคับใช้และฉันพยายามเชื่อมต่อกับอินสแตนซ์ในพื้นที่ของ redis ผ่านแอพ python / wsgi ของฉัน ฉันได้รับข้อผิดพลาด 13 สิทธิ์ถูกปฏิเสธ ฉันสามารถแก้ไขได้ผ่านคำสั่ง:

setsebool -P httpd_can_network_connect

อย่างไรก็ตามฉันไม่ต้องการให้ httpd เชื่อมต่อกับพอร์ต tcp ทั้งหมดได้อย่างแน่นอน ฉันจะระบุพอร์ต http / เครือข่ายที่อนุญาตให้เชื่อมต่อได้อย่างไร ถ้าฉันสามารถสร้างโมดูลเพื่ออนุญาตให้ httpd เชื่อมต่อกับพอร์ต 6379 (redis) หรือ tcp ใด ๆ บน 127.0.0.1 นั่นจะเป็นสิ่งที่ดีกว่า ไม่แน่ใจว่าทำไมความหวาดระแวงของฉันถึงแข็งแรงมากในเรื่องนี้ แต่เฮ้ ...

ใครรู้บ้าง

โดยค่าเริ่มต้นนโยบาย SELinux จะอนุญาตการเข้าถึงบริการไปยังพอร์ตที่รู้จักซึ่งเชื่อมโยงกับบริการเหล่านั้นเท่านั้น:

# semanage port -l | egrep '(^http_port_t|6379)'
http_port_t                    tcp      80, 81, 443, 488, 8008, 8009, 8443, 9000
# curl http://localhost/redis.php
Cannot connect to redis server.

- เพิ่มพอร์ต Redis (6379) ในนโยบาย SELinux

# semanage port -a -t http_port_t -p tcp 6379
# semanage port -l | egrep '(^http_port_t|6379)'
http_port_t                    tcp      6379, 80, 81, 443, 488, 8008, 8009, 8443, 9000
# curl http://localhost/redis.php
Connected successfully.

นอกจากนี้คุณยังสามารถติดตั้งsetroubleshoot-serverRPM และเรียกใช้: sealert -a /var/log/audit/audit.log- มันจะให้รายงานที่ดีพร้อมคำแนะนำที่เป็นประโยชน์ (รวมถึงคำสั่งด้านบน)

สคริปต์ PHP เพื่อทดสอบการเชื่อมต่อ:

# cat redis.php 
<?php

$redis=new Redis();
$connected= $redis->connect('127.0.0.1', 6379);

if(!$connected) {
        die( "Cannot connect to redis server.\n" );
}

echo "Connected successfully.\n";

?>

คุณอาจต้องใช้

semanage port -m -t http_port_t -p tcp 6379

ถ้า semanage หายไปให้เพิ่มแพ็คเกจ policycoreutils-python

yum install policycoreutils-python

คุณสามารถวาง selinux ชั่วคราวในโหมดอนุญาตและให้ httpd เชื่อมต่อกับ redis จากนั้นสร้างและสร้างโมดูลนโยบายที่กำหนดเองโดยใช้audit2allow