24.3. 使用 selinux RHEL 系统角色管理端口

先决条件

• 您已准备好控制节点和受管节点。
• 以可在受管主机上运行 playbook 的用户登录到控制节点。
• 用于连接到受管节点的帐户具有 sudo 权限。
• 可选：要使用 semanage 命令验证端口状态，必须安装 policycoreutils-python-utils 软件包。

流程

• 要在不进行其他更改的情况下只配置端口号，请使用 seport 模块：

  - name: Allow Apache to listen on tcp port <port_number>
    community.general.seport:
      ports: <port_number>
      proto: tcp
      setype: http_port_t
      state: present

  将 <port_number> 替换为您要为其分配 http_port_t 类型的端口号。

• 对于涉及其他 SELinux 自定义的受管节点的更复杂的配置，请使用 selinux RHEL 系统角色。创建一个 playbook 文件，如 ~/playbook.yml，并添加以下内容：

  ---
  - name: Modify SELinux port mapping example
    hosts: all
    vars:
      # Map tcp port <port_number> to the 'http_port_t' SELinux port type
      selinux_ports:
        - ports: <port_number>
          proto: tcp
          setype: http_port_t
          state: present
  
    tasks:
      - name: Include selinux role
        ansible.builtin.include_role:
          name: rhel-system-roles.selinux

  将 <port_number> 替换为您要为其分配 http_port_t 类型的端口号。

验证

• 验证端口是否被分配了 http_port_t 类型：

  # semanage port --list | grep http_port_t
  http_port_t                	tcp  	<port_number>, 80, 81, 443, 488, 8008, 8009, 8443, 9000