4장. 비표준 구성을 사용하여 애플리케이션 및 서비스에 대한 SELinux 구성

절차

1. httpd 서비스를 시작하고 상태를 확인합니다.

   # systemctl start httpd
   # systemctl status httpd
   ...
   httpd[14523]: (13)Permission denied: AH00072: make_sock: could not bind to address [::]:3131
   ...
   systemd[1]: Failed to start The Apache HTTP Server.
   ...

2. SELinux 정책은 httpd 가 포트 80에서 실행되는 것으로 가정합니다.

   # semanage port -l | grep http
   http_cache_port_t              tcp      8080, 8118, 8123, 10001-10010
   http_cache_port_t              udp      3130
   http_port_t                    tcp      80, 81, 443, 488, 8008, 8009, 8443, 9000
   pegasus_http_port_t            tcp      5988
   pegasus_https_port_t           tcp      5989

3. 포트 3131의 SELinux 유형을 포트 80과 일치하도록 변경합니다.

   # semanage port -a -t http_port_t -p tcp 3131

4. httpd 를 다시 시작합니다.

   # systemctl start httpd

5. 그러나 콘텐츠는 계속 액세스할 수 없습니다.

   # wget localhost:3131/index.html
   ...
   HTTP request sent, awaiting response... 403 Forbidden
   ...

   sealert 툴로 이유를 찾으십시오.

   # sealert -l "*"
   ...
   SELinux is preventing httpd from getattr access on the file /var/test_www/html/index.html.
   ...

6. matchpathcon 도구를 사용하여 표준 및 새 경로의 SELinux 유형을 비교합니다.

   # matchpathcon /var/www/html /var/test_www/html
   /var/www/html       system_u:object_r:httpd_sys_content_t:s0
   /var/test_www/html  system_u:object_r:var_t:s0

7. 새 /var/test_www/html/ 콘텐츠 디렉터리의 SELinux 유형을 기본 /var/www/html 디렉터리 유형으로 변경합니다.

   # semanage fcontext -a -e /var/www /var/test_www

8. /var 디렉터리의 레이블을 재귀적으로 레이블을 다시 지정합니다.

   # restorecon -Rv /var/
   ...
   Relabeled /var/test_www/html from unconfined_u:object_r:var_t:s0 to unconfined_u:object_r:httpd_sys_content_t:s0
   Relabeled /var/test_www/html/index.html from unconfined_u:object_r:var_t:s0 to unconfined_u:object_r:httpd_sys_content_t:s0

검증

1. httpd 서비스가 실행 중인지 확인합니다.

   # systemctl status httpd
   ...
   Active: active (running)
   ...
   systemd[1]: Started The Apache HTTP Server.
   httpd[14888]: Server configured, listening on: port 3131
   ...

2. Apache HTTP 서버에서 제공하는 콘텐츠에 액세스할 수 있는지 확인합니다.

   # wget localhost:3131/index.html
   ...
   HTTP request sent, awaiting response... 200 OK
   Length: 0 [text/html]
   Saving to: ‘index.html’
   ...