SElinux: httpd'nin belirli bir porta bağlanmasına izin ver

Sistemim apache2.2.15 ile CentOS 6.4 kullanıyor. SElinux zorluyor ve python / wsgi uygulamam aracılığıyla yerel bir redis örneğine bağlanmaya çalışıyorum. 13 hata alıyorum, izin reddedildi. Bunu komut aracılığıyla çözebilirim:

setsebool -P httpd_can_network_connect

Ancak, httpd'nin tüm tcp bağlantı noktalarına bağlanabilmesini istemiyorum. Httpd'nin hangi portlara / ağlara bağlanmasına izin verildiğini nasıl belirleyebilirim? Httpd'nin 127.0.0.1'deki 6379 (redis) bağlantı noktasına veya herhangi bir tcp'ye bağlanmasına izin verecek bir modül yapabilirsem, bu tercih edilir. Paranoyamın neden bu kadar güçlü olduğundan emin değilim, ama hey ...

Bilen var mı?

SELinux politikası varsayılan olarak, servislerin yalnızca bu servislerle ilişkili tanınmış portlara erişmesine izin verir:

# semanage port -l | egrep '(^http_port_t|6379)'
http_port_t                    tcp      80, 81, 443, 488, 8008, 8009, 8443, 9000
# curl http://localhost/redis.php
Cannot connect to redis server.

- SELinux politikasına Redis limanını (6379) ekle

# semanage port -a -t http_port_t -p tcp 6379
# semanage port -l | egrep '(^http_port_t|6379)'
http_port_t                    tcp      6379, 80, 81, 443, 488, 8008, 8009, 8443, 9000
# curl http://localhost/redis.php
Connected successfully.

Ayrıca setroubleshoot-serverRPM'yi yükleyebilir ve çalıştırabilirsiniz: sealert -a /var/log/audit/audit.log- size yararlı önerileri içeren güzel bir rapor verir (yukarıdaki komut dahil).

Bağlantıyı test etmek için PHP betiği:

# cat redis.php 
<?php

$redis=new Redis();
$connected= $redis->connect('127.0.0.1', 6379);

if(!$connected) {
        die( "Cannot connect to redis server.\n" );
}

echo "Connected successfully.\n";

?>

Kullanmanız gerekebilir

semanage port -m -t http_port_t -p tcp 6379

Semanage yoksa, policycoreutils-python paketini ekleyin.

yum install policycoreutils-python

Geçici olarak selinux'u izin verilen moda geçirip httpd'nin redis'e bağlanmasına izin verebilir, ardından audit2allow kullanarak bir özel ilke modülü oluşturabilir ve oluşturabilirsiniz.