CentOS上的安全防护软件Selinux详解

下面是针对CentOS上的安全防护软件Selinux的完整攻略：

步骤1：安装selinux软件包

在CentOS上，Selinux可以通过以下命令安装：

yum install -y policycoreutils policycoreutils-python selinux-policy selinux-policy-targeted libselinux-utils setools setools-console mcstrans

在执行此命令之前，请确保您的系统已经安装了EPEL仓库。如果没有，可以通过以下命令安装：

yum install -y epel-release

步骤2：启用selinux

要启用Selinux，您需要编辑/etc/selinux/config文件，并将SELINUX=enforcing行的注释取消。这可以通过一下命令完成：

vim /etc/selinux/config

请注意，如果您在编辑该文件时出错，可能会导致系统启动时Selinux不会启动。因此，要小心对待该文件。一些正确的SELINUX值包括enforcing、permissive和disabled。

步骤3：设置Selinux策略

要设置Selinux策略，在CentOS系统上，有许多默认的Selinux策略可供选择。默认策略是基于目标策略的，在大多数情况下，您应该使用默认策略并从那里开始。以下命令将查看系统中的所有Selinux策略：

seinfo -a

其中一些常见的Selinux策略包括：

• targeted
• minimum
• mls

有关Selinux策略的更多信息，请参见《官方文档》。

步骤4：为selinux配置规则

默认情况下，Selinux不会启用联网功能，因为涉及到网络连接的文件访问请求可能会被阻止。如果您需要在网络上操作某些文件，那么您就需要为Selinux配置规则。以下是一个示例，展示如何在Selinux中为Apache配置规则：

#允许http进程写入 /var/www 
semanage fcontext -a -t httpd_sys_content_t "/var/www(/.*)?"

#允许http进程读取/tmp中的文件
semanage fcontext -a -t httpd_sys_script_exec_t "/tmp(/.*)?"

#更新服务器上的所有selinux规则，同时为新规则设置标记
restorecon -Rv /var/www

#重启apache
systemctl restart httpd

上述示例中，semanage fcontext 用于设置新的fcontext规则，以便Selinux可以增加对特定文件的访问权限。restorecon 命令用于为文件设置正确的上下文。请记住，需要重启Apache才能使这些规则生效。

示例1：使用Selinux保护SSH服务器

您可以通过以下命令安装OpenSSH：

yum install -y openssh-server

打开/etc/ssh/sshd_config文件，并将“PermitRootLogin”行设置为“no”：

PermitRootLogin no

重启OpenSSH以使更改生效：

systemctl restart sshd

现在，您可以编辑以下文件，并将rootuser列出为不允许SSH登录：

vim /etc/security/access.conf

在此文件中，您可以添加类似以下的条目：

- : root: ALL

现在可以启用Selinux并配置规则以防止任何SSH相关的安全问题：

#启用selinux
setenforce 1

#配置SSH禁止root用户
semanage login -a -s ssh_user_t root

#重启SSH
systemctl restart sshd

示例2：控制访问Nginx服务器

以下示例将演示如何使用Selinux为Nginx服务器设置访问规则。首先，您需要安装Nginx：

yum install -y nginx

打开/etc/nginx/nginx.conf配置文件，并添加“user”行：

user nginx;

重启Nginx以使更改生效：

systemctl restart nginx

现在，您可以使用以下命令来为Nginx服务器配置规则：

#允许Nginx访问默认的Nginx文件夹
semanage fcontext -a -t httpd_sys_content_t "/usr/share/nginx/html(/.*)?"

#将nginx启动并创建新的fcontext规则
systemctl start nginx
restorecon -Rv /usr/share/nginx/html

上述命令将允许Nginx访问其默认文件夹。您可以使用相同的方式为其他常见的Web服务器（如Apache）添加规则。