🎇 💖 ⛰️ SELinux - प्रणाली के साथ काम करने का विवरण और विशेषताएं। भाग 1 🛬 👩🏼‍🤝‍👩🏻 🤳🏻

हैबरे पर SELinux के बारे में पहले ही लिखा था, हालाँकि, इस प्रणाली पर इतने विस्तृत मैनुअल प्रकाशित नहीं हुए हैं। आज हम सिलेक्ट पर इस तरह के एक विस्तृत मैनुअल को प्रकाशित करते हैं, सिस्टम से लेकर लचीली नीति सेटिंग्स तक की जानकारी।
पोस्ट को "शीट" में नहीं बदलने के लिए, समझने में मुश्किल है, हमने मैनुअल को दो भागों में विभाजित करने का निर्णय लिया। पहले सिस्टम के बारे में बात करेंगे, और इसके कुछ फीचर्स के बारे में। दूसरा नीतियों को स्थापित करने के बारे में है। अब हम पहले भाग को प्रकाशित करते हैं, थोड़ी देर बाद दूसरे भाग को प्रकाशित किया जाएगा।

1. परिचय

SELinux (SELinux) एक कर्नेल-स्तरीय अभिगम नियंत्रण प्रणाली है। पहली बार, यह प्रणाली CentOS के चौथे संस्करण में दिखाई दी, और 5 और 6 के संस्करणों में, कार्यान्वयन को काफी पूरक और बेहतर बनाया गया था। इन सुधारों ने SELinux को एक सार्वभौमिक प्रणाली बनने की अनुमति दी, जो बहुत से आवश्यक कार्यों को प्रभावी ढंग से हल कर सकती है। यह याद रखने योग्य है कि अधिकारों की क्लासिक यूनिक्स प्रणाली को पहले लागू किया जाता है, और नियंत्रण केवल SELinux को हस्तांतरित किया जाएगा यदि यह प्रारंभिक चेक सफलतापूर्वक पारित हो जाता है।

१.१ कुछ प्रासंगिक कार्य।

यह समझने के लिए कि SELinux का व्यावहारिक मूल्य क्या है, आइए हम कुछ उदाहरण देखते हैं जब एक मानक अभिगम नियंत्रण प्रणाली अपर्याप्त होती है। यदि SELinux अक्षम है, तो आप केवल क्लासिक विवेकाधीन अभिगम नियंत्रण प्रणाली का उपयोग कर सकते हैं, जिसमें DAC (चयनात्मक अभिगम नियंत्रण) या ACL (अभिगम नियंत्रण सूचियाँ) शामिल हैं। यही है, हम उपयोगकर्ताओं और उपयोगकर्ता समूहों के स्तर पर लिखने, पढ़ने और निष्पादित करने के अधिकारों में हेरफेर करने के बारे में बात कर रहे हैं, जो कुछ मामलों में पूरी तरह से अपर्याप्त हो सकता है। उदाहरण के लिए:

- व्यवस्थापक उपयोगकर्ता के कार्यों को पूरी तरह से नियंत्रित नहीं कर सकता है। उदाहरण के लिए, एक उपयोगकर्ता अन्य सभी उपयोगकर्ताओं को अपनी गोपनीय फाइलों को पढ़ने का अधिकार देने में काफी सक्षम है, जैसे एसएसएच कुंजी।

- प्रक्रियाएँ सुरक्षा सेटिंग्स बदल सकती हैं। उदाहरण के लिए, उपयोगकर्ता के मेल वाली फ़ाइलों को केवल एक विशिष्ट उपयोगकर्ता द्वारा पठनीय होना चाहिए, लेकिन मेल क्लाइंट एक्सेस अधिकारों को बहुत अच्छी तरह से बदल सकता है ताकि ये फाइलें हर किसी के द्वारा पढ़ने योग्य हों।

- प्रक्रियाओं ने उन्हें लॉन्च करने वाले उपयोगकर्ता के अधिकारों को विरासत में दिया है। उदाहरण के लिए, फ़ायरफ़ॉक्स का एक ट्रोजन-संक्रमित संस्करण उपयोगकर्ता की एसएसएच कुंजी को पढ़ने में सक्षम है, हालांकि इसका कोई कारण नहीं है।

वास्तव में, चयनात्मक अभिगम नियंत्रण (डीएसी) के पारंपरिक मॉडल में, केवल दो पहुंच स्तर अच्छी तरह से कार्यान्वित किए जाते हैं - उपयोगकर्ता और सुपरयुसर। कोई सरल विधि नहीं है जो आपको प्रत्येक उपयोगकर्ता के लिए आवश्यक न्यूनतम विशेषाधिकार सेट करने की अनुमति देती है।
बेशक, शास्त्रीय सुरक्षा मॉडल के ढांचे के भीतर इन समस्याओं के आसपास काम करने के लिए कई तरीके हैं, लेकिन उनमें से कोई भी सार्वभौमिक नहीं है।

1.1.1 मूल शब्द SELinux में प्रयुक्त:

डोमेन - कार्यों की एक सूची जो प्रक्रिया प्रदर्शन कर सकती है। आमतौर पर, डोमेन को कार्यों के सबसे छोटे संभव सेट के रूप में परिभाषित किया जाता है जिसके द्वारा प्रक्रिया कार्य करने में सक्षम होती है। इस प्रकार, यदि प्रक्रिया को बदनाम किया जाता है, तो हमलावर बहुत नुकसान नहीं कर पाएगा।

भूमिका - उन डोमेन की सूची, जिन्हें लागू किया जा सकता है। यदि कोई डोमेन किसी भूमिका की डोमेन सूची में नहीं है, तो इस डोमेन से क्रियाएं लागू नहीं की जा सकती हैं।

प्रकार - ऑब्जेक्ट के संबंध में मान्य कार्यों का एक समूह। प्रकार डोमेन से भिन्न होता है जिसमें इसे पाइप, निर्देशिका और फ़ाइलों पर लागू किया जा सकता है, जबकि डोमेन प्रक्रियाओं पर लागू होता है।

सुरक्षा संदर्भ - सभी SELinux विशेषताएँ - भूमिकाएँ, प्रकार और डोमेन।

1.2 पारंपरिक सुरक्षा मॉडल की समस्याओं का समाधान।

SELinux प्रत्येक सेवा, उपयोगकर्ता और प्रोग्राम के लिए न्यूनतम आवश्यक विशेषाधिकारों के मॉडल का सख्ती से पालन करता है। डिफ़ॉल्ट सेटिंग "निषेधात्मक मोड" है, जब सिस्टम के प्रत्येक तत्व में केवल वे अधिकार होते हैं जो कार्य करने के लिए महत्वपूर्ण होते हैं। यदि उपयोगकर्ता, प्रोग्राम या सेवा फ़ाइल को संशोधित करने या संसाधन तक पहुंच प्राप्त करने की कोशिश कर रहा है जो स्पष्ट रूप से उन्हें हल करने के लिए आवश्यक नहीं है, तो उन्हें बस एक्सेस से वंचित किया जाएगा, और इस तरह के प्रयास को लॉग किया जाएगा।

SELinux को कर्नेल स्तर पर कार्यान्वित किया जाता है, इसलिए अनुप्रयोग अनुप्रयोगों को इस मजबूर अभिगम नियंत्रण प्रणाली के संस्करण, इसके संचालन की विशेषताओं आदि के बारे में कुछ भी पता नहीं हो सकता है। उचित कॉन्फ़िगरेशन के मामले में, SELinux तीसरे पक्ष के कार्यक्रमों और सेवाओं के कामकाज को प्रभावित नहीं करेगा। यद्यपि, यदि एप्लिकेशन इस एक्सेस कंट्रोल सिस्टम के एरर मैसेज को इंटरसेप्ट करने में सक्षम है, तो उसी एप्लिकेशन का उपयोग करने की सुविधा काफी बढ़ जाती है। वास्तव में, एक संरक्षित संसाधन या फ़ाइल तक पहुंचने के प्रयास की स्थिति में, SELinux मुख्य एप्लिकेशन के लिए "एक्सेस अस्वीकृत" परिवार से एक त्रुटि भेजता है। लेकिन केवल कुछ ही एप्लिकेशन SELinux से प्राप्त सिस्टम कॉल रिटर्न कोड का उपयोग करते हैं।

यहां SELinux का उपयोग करने के कुछ उदाहरण हैं, यह देखने के लिए कि आप अपने पूरे सिस्टम की सुरक्षा कैसे बढ़ा सकते हैं।

- उन प्रोग्रामों की एक सूची बनाएं और कॉन्फ़िगर करें जो ssh कुंजी पढ़ सकते हैं।

- मेल क्लाइंट के माध्यम से डेटा तक अनधिकृत पहुंच की रोकथाम।

- ब्राउज़र को कॉन्फ़िगर करना ताकि यह उपयोगकर्ता के होम फ़ोल्डर में कार्य करने के लिए आवश्यक फ़ाइलों और फ़ोल्डरों को केवल पढ़ सके।

2. SELinux ऑपरेटिंग मोड

SELinux में ऑपरेशन के तीन मुख्य मोड हैं, डिफ़ॉल्ट रूप से Enforcing मोड सेट करने के साथ। यह एक काफी कठिन मोड है, और यदि आवश्यक हो, तो इसे अंतिम उपयोगकर्ता के लिए और अधिक सुविधाजनक में बदला जा सकता है।

लागू करना : डिफ़ॉल्ट मोड। यदि आप इस मोड का चयन करते हैं, तो वर्तमान सुरक्षा नीति का उल्लंघन करने वाले सभी कार्यों को अवरुद्ध कर दिया जाएगा, और उल्लंघन का प्रयास लॉग में दर्ज किया जाएगा।

अनुमेय : यदि इस मोड का उपयोग किया जाता है, तो वर्तमान सुरक्षा नीति का उल्लंघन करने वाले सभी कार्यों के बारे में जानकारी लॉग में दर्ज की जाएगी, लेकिन स्वयं कार्रवाई अवरुद्ध नहीं होगी।

अक्षम : पूरी तरह से अभिगम नियंत्रण को अक्षम करें।

आप वर्तमान मेनू और अन्य SELinux सेटिंग्स देख सकते हैं (और, यदि आवश्यक हो, तो इसे बदल दें) प्रशासन मेनू (सिस्टम-कॉन्फ़िगरेशन-सेलाइन) में उपलब्ध एक विशेष GUI उपकरण का उपयोग कर। यदि आप कंसोल में काम करने के अभ्यस्त हैं, तो आप वर्तमान स्थिति को सेसटस कमांड के साथ देख सकते हैं।

# sestatus SELinux status: enabled SELinuxfs mount: /selinux Current mode: enforcing Mode from config file: enforcing Policy version: 21 Policy from config file: targeted

आप Getenforce कमांड के साथ SELinux स्टेटस का भी पता लगा सकते हैं।
सेटेनफोर्स कमांड आपको एनफोर्सिंग और परमिशन मोड के बीच जल्दी से स्विच करने की अनुमति देता है, बदलाव रिबूट किए बिना प्रभावी होते हैं। लेकिन अगर आप SELinux को सक्षम या अक्षम करते हैं, तो एक रिबूट की आवश्यकता होती है, क्योंकि आपको फ़ाइल सिस्टम पर सुरक्षा लेबल को पुनर्स्थापित करने की आवश्यकता होती है।
सिस्टम के प्रत्येक बूट पर उपयोग किए जाने वाले डिफ़ॉल्ट मोड का चयन करने के लिए, फ़ाइल / etc / selinux / config में लाइन 'SELINUX =' का मान सेट करें, किसी एक मोड को सेट करते हुए - 'लागू करना', 'अनुमत' या 'अक्षम' करना । उदाहरण के लिए: 'SELINUX = अनुमेय'।

3. SELinux नीतियां

जैसा कि पहले उल्लेख किया गया है, डिफ़ॉल्ट रूप से SELinux एन्फोर्सिंग मोड में काम करता है, जब किसी भी कार्रवाई को अनुमति दी जाती है, तो स्वचालित रूप से अवरुद्ध हो जाते हैं, प्रत्येक प्रोग्राम, उपयोगकर्ता या सेवा में केवल वे विशेषाधिकार होते हैं जिनकी उन्हें कार्य करने की आवश्यकता होती है, लेकिन इससे अधिक कुछ नहीं। यह एक बल्कि सख्त नीति है, जिसमें दोनों प्लस हैं - सूचना सुरक्षा का उच्चतम स्तर, और minuses - इस मोड में सिस्टम को कॉन्फ़िगर करना सिस्टम प्रशासकों के लिए महान श्रम लागतों से भरा हुआ है, और एक बड़ा जोखिम है कि उपयोगकर्ता एक्सेस का सामना करेंगे यदि वे सिस्टम का उपयोग करना चाहते हैं। कम से कम गैर-तुच्छ तरीके से। यह दृष्टिकोण एंटरप्राइज़ सेक्टर में स्वीकार्य है, लेकिन एंड-यूज़र कंप्यूटरों पर अस्वीकार्य है। कई प्रशासक केवल वर्कस्टेशन पर SELinux को बंद कर देते हैं ताकि ऐसी समस्याओं का सामना न किया जा सके।

इससे बचने के लिए, महत्वपूर्ण अनुप्रयोगों और सेवाओं के लिए, जैसे, उदाहरण के लिए, httpd, नामित, dhcpd, mysqld, पूर्व-कॉन्फ़िगर लक्ष्य नीतियां परिभाषित की जाती हैं जो एक हमलावर को महत्वपूर्ण डेटा तक पहुंच प्राप्त करने की अनुमति नहीं देगा। उन्हीं अनुप्रयोगों के लिए, जिन्हें नीति परिभाषित नहीं किया गया है, उन्हें अपरिभाषित डोमेन में निष्पादित नहीं किया जाता है और SELinux द्वारा संरक्षित नहीं किया जाता है। इस प्रकार, सही ढंग से चयनित लक्ष्य नीतियां उपयोगकर्ता के लिए अनावश्यक समस्याएं पैदा किए बिना सुरक्षा के स्वीकार्य स्तर को प्राप्त कर सकती हैं।

4. SELinux में एक्सेस कंट्रोल

SELinux निम्नलिखित अभिगम नियंत्रण मॉडल प्रदान करता है:

टाइप एनफोर्समेंट (TE): लक्षित नीतियों में प्रयुक्त प्राथमिक अभिगम नियंत्रण तंत्र। आपको निम्नतम स्तर पर विस्तार से अनुमतियाँ प्रबंधित करने की अनुमति देता है। सबसे लचीला, लेकिन सिस्टम प्रशासक के लिए सबसे अधिक समय लेने वाला तंत्र भी।

रोल-बेस्ड एक्सेस कंट्रोल (RBAC): इस मॉडल में, एक्सेस राइट्स को भूमिकाओं के रूप में लागू किया जाता है। एक भूमिका को सिस्टम के एक या अधिक तत्वों द्वारा सिस्टम के अन्य हिस्सों पर कुछ कार्यों को करने की अनुमति कहा जाता है। संक्षेप में, आरबीएसी टीई का एक और विकास है।

मल्टी-लेवल सिक्योरिटी (MLS): एक मल्टी-लेवल सिक्योरिटी मॉडल जिसमें सभी सिस्टम ऑब्जेक्ट्स को एक निश्चित एक्सेस लेवल सौंपा जाता है। उपयोग या अनुमति से इनकार केवल इन स्तरों के अनुपात से निर्धारित होता है।

SELinux के भीतर सभी प्रक्रियाओं और फ़ाइलों का एक सुरक्षा संदर्भ होता है।
आइए अपाचे वेब सर्वर प्रारंभ पृष्ठ पर /var/www/html/india.html पर विस्तार से देखने के संदर्भ में संदर्भ देखें

 $ ls -Z /var/www/html/index.html -rw-r--r-- username username system_u:object_r:httpd_sys_content_t /var/www/html/index.html

मानक फ़ाइल अनुमतियों के अलावा, हम SELinux सुरक्षा संदर्भ: system_u: object_r: httpd_sys_content_t देख सकते हैं।

संदर्भ उपयोगकर्ता पर आधारित है: भूमिका: प्रकार: mls, लेकिन उपयोगकर्ता: भूमिका: प्रकार फ़ील्ड प्रदर्शित किए जाते हैं, जबकि mls फ़ील्ड छिपा हुआ है। हम लक्ष्य नीति भी देख सकते हैं, इस मामले में httpd_sys_content_t।

अब 'httpd' प्रक्रिया (Apache वेब सर्वर) के लिए SELinux सुरक्षा संदर्भ पर विचार करें:

 $ ps axZ | grep httpd system_u:system_r:httpd_t 3234 ? Ss 0:00 /usr/sbin/httpd

जैसा कि हम देख सकते हैं, यह प्रक्रिया httpd_t डोमेन पर चल रही है।

खैर, अब हमारे गृह निर्देशिका में फ़ाइल सुरक्षा संदर्भ देखें:

 $ ls -Z /home/username/myfile.txt -rw-r--r-- username username user_u:object_r:user_home_t /home/username/myfile.txt

हम देखते हैं कि फ़ाइल टाइप user_home_t की है, यह प्रकार होम डायरेक्टरी की सभी फाइलों के लिए डिफ़ॉल्ट रूप से असाइन किया गया है।
केवल उसी प्रकार के तत्वों के बीच पहुंच की अनुमति है, जिसके कारण अपाचे वेब सर्वर /var/www/html/index.html, जो httpd_sys_content_t प्रकार का है, बिना किसी समस्या के पढ़ सकता है। उसी समय, चूंकि Apache httpd_t डोमेन पर चल रही है और इसमें उपयोगकर्ता का नाम नहीं है: उपयोगकर्ता नाम फ़ील्ड में भरे हुए हैं, यह घर / उपयोगकर्ता नाम / myfile.txt फ़ाइल तक नहीं पहुंच सकता है, हालांकि यह फ़ाइल उन प्रक्रियाओं द्वारा पढ़ी जा सकती है जिनके लिए लक्ष्य परिभाषित नहीं है। नीति। इस प्रकार, यदि अपाचे वेब सर्वर हैक हो जाता है, तो हमलावर उन फ़ाइलों तक पहुंचने या प्रक्रियाओं को शुरू करने में सक्षम नहीं होगा जो httpd_t डोमेन में नहीं हैं।

5. समस्या निवारण SELinux

जितनी जल्दी या बाद में, एक स्थिति तब होती है जब आप एक ऐसी स्थिति से सामना करते हैं जहां SELinux आपको किसी चीज तक पहुंचने से इनकार करता है। उपयोग से इनकार करने के कई मुख्य कारण हैं:

- गलत तरीके से चिह्नित फ़ाइल।
- प्रक्रिया गलत संदर्भ में चल रही है
- राजनीति में गलती। इस प्रक्रिया के लिए ऐसी फ़ाइल तक पहुँच की आवश्यकता होती है जिसे पॉलिसी बनाते समय ध्यान में नहीं रखा गया था।
- घुसपैठ की कोशिश।

एक्सेस इनकार के पहले तीन कारणों को काफी आसानी से हल किया जाता है, जबकि एक घुसपैठ प्रयास के दौरान एक अलार्म लगता है और उपयोगकर्ता को एक अधिसूचना भेजी जाती है।
किसी भी समस्या से निपटने के लिए, बस SELinux लॉग देखें। डिफ़ॉल्ट रूप से, यह /var/log/audit/audit.log फ़ाइल के लिए ऑडिट प्रक्रिया द्वारा लिखा जाता है। यदि यह प्रक्रिया शुरू नहीं हुई है, तो SELinux / var / log / संदेश फ़ाइल में लॉग होता है, इस स्थिति में सभी एक्सेस कंट्रोल सिस्टम संदेशों को AVC कुंजी के साथ चिह्नित किया जाता है, जो आपको आवश्यक लाइनों को जल्दी से फ़िल्टर करने की अनुमति देता है, उदाहरण के लिए। grep कमांड का उपयोग करना।
नवीनतम वितरण (CentOS 5 से शुरू) में एक ग्राफिकल यूजर इंटरफेस के साथ एक उपयोगिता शामिल है जो आपको SELinux लॉग को सुविधाजनक और उपयोगकर्ता के अनुकूल तरीके से प्रदर्शित करने की अनुमति देता है। आप इसे सीलेंट -b लिखकर कंसोल से कॉल कर सकते हैं। उपयोगिता सेटाउबल्सशूट पैकेज का हिस्सा है। इस घटना में कि एक्स सर्वर नहीं चल रहा है, आप निम्नलिखित कमांड के साथ स्पष्ट और मानव-अनुकूल रिपोर्ट बना सकते हैं:

 sealert -a /var/log/audit/audit.log > /path/to/mylogfile.txt

5.1 फ़ाइल सुरक्षा संदर्भ लेबल बदलना।

Chcon कमांड आपको फ़ाइलों या निर्देशिकाओं के लिए SELinux संदर्भ को उसी तरह से बदलने की अनुमति देता है, जैसे chown और chmod कमांड आपको किसी फ़ाइल के मालिक को बदलने या एक मानक एक्सेस कंट्रोल सिस्टम के हिस्से के रूप में उसके अधिकारों तक पहुंचने की अनुमति देते हैं।

आइए कुछ उदाहरण देखें।
मान लीजिए कि अपाचे वेब सर्वर सिस्टम पर स्थापित है और हमें उस फ़ोल्डर को बदलने की आवश्यकता है जिसमें साइटें संग्रहीत हैं (डिफ़ॉल्ट रूप से / var / www / html /), इस निर्देशिका में / html / कहते हैं और एक index.html फ़ाइल बनाते हैं।

 # mkdir /html # touch /html/index.html # ls -Z /html/index.html -rw-r--r-- root root user_u:object_r:default_t /html/index.html # ls -Z | grep html drwxr-xr-x root root user_u:object_r:default_t html

ऊपर, हम देखते हैं कि दोनों / html निर्देशिका और / html/index.html फ़ाइल, सुरक्षा संदर्भ के भाग के रूप में, डिफ़ॉल्ट डिफ़ॉल्ट .t के हैं। इसका मतलब है कि यदि हम Apache शुरू करते हैं और इस निर्देशिका या फ़ाइल के साथ काम करना शुरू करने की कोशिश करते हैं, तो SELinux हमें एक्सेस से मना कर देगा। और यह बिल्कुल सही होगा, क्योंकि Apache के साथ इंटरैक्ट करने वाली फाइलों के लिए सही सुरक्षा संदर्भ httpd_sys_content_t है।
संदर्भ बदलें और जांचें कि क्या सब कुछ सही तरीके से किया गया है:

 # chcon -v --type=httpd_sys_content_t /html context of /html changed to user_u:object_r:httpd_sys_content_t # chcon -v --type=httpd_sys_content_t /html/index.html context of /html/index.html changed to user_u:object_r:httpd_sys_content_t # ls -Z /html/index.html -rw-r--r-- root root user_u:object_r:httpd_sys_content_t /html/index.html # ls -Z | grep html drwxr-xr-x root root user_u:object_r:httpd_sys_content_t html

प्रत्येक फ़ाइल और प्रत्येक निर्देशिका को मैन्युअल रूप से संसाधित करना आवश्यक नहीं है, आप केवल -R निर्देशिका को पुनरावृत्ति करने के लिए विकल्प का उपयोग कर सकते हैं:

 # chcon -Rv --type=httpd_sys_content_t /html

सुरक्षा संदर्भ में इस तरह के बदलाव रिबूट के बीच बने रहेंगे, हालांकि, यदि आप फ़ाइल सिस्टम लेबल बदलते हैं, तो परिवर्तन गायब हो जाएंगे। रखरखाव और संचालन की प्रक्रिया में, यह असामान्य नहीं है। इस स्थिति में सही समाधान एक अतिरिक्त नियम बनाने के लिए (निश्चित रूप से परीक्षण के बाद) होगा, और फिर इसे स्थानीय स्थानीय नियमों के साथ जोड़ देगा। इस प्रकार, बुनियादी नियमों की तुलना में इसकी उच्च प्राथमिकता होगी।

SELinux को फ़ाइल सिस्टम के लेबलों को बदलने के बाद भी सही ढंग से काम करने के लिए, हम GUIN इंटरफ़ेस और कंसोल यूटिलिटी सीमेन के साथ SELinux के प्रबंधन के लिए दोनों उपकरणों का उपयोग कर सकते हैं:

 semanage fcontext -a -t httpd_sys_content_t "/html(/.*)?"

ऊपर के उदाहरण में, हमने http /_sys_content_t संदर्भ को / html निर्देशिका में सभी फ़ाइलों को सौंपा।

5.2 SELinux सुरक्षा संदर्भ को पुनर्स्थापित करना।

रिस्टोरॉन कमांड आपको सुरक्षा संदर्भ को डिफ़ॉल्ट रूप से असाइन किए गए को बदलने की अनुमति देता है।
फिर से, अपाचे वेब सर्वर का एक उदाहरण के रूप में उपयोग करें। मान लीजिए कि उपयोगकर्ता ने अपने होम डायरेक्टरी में index.html फ़ाइल की एक कॉपी को एडिट किया और इसे (mv कमांड का उपयोग करके) उस डाइरेक्टरी में ले जाया गया जिसमें साइट्स संग्रहीत हैं (/ var / www / html)।

यह ध्यान दिया जाना चाहिए कि कॉपी करते समय (cp कमांड), फ़ाइल सुरक्षा संदर्भ गंतव्य निर्देशिका संदर्भ से मेल खाएगा, जबकि चलते समय सुरक्षा संदर्भ स्रोत संदर्भ से मेल खाएगा। बेशक, हम सुरक्षा संदर्भ को बदलने के लिए chcon कमांड का उपयोग कर सकते हैं, लेकिन चूंकि स्थानांतरित फ़ाइलें अब / var / www / html निर्देशिका में हैं, इसलिए हम इस निर्देशिका में सभी फ़ाइलों के लिए संदर्भ सेटिंग्स को पुनर्स्थापित कर सकते हैं।

केवल index.html फ़ाइल के लिए संदर्भ को पुनर्स्थापित करने के लिए, हम कमांड का उपयोग कर सकते हैं:

 # restorecon -v /var/www/html/index.html

यदि हम पूरी निर्देशिका को पुन: प्राप्त करना चाहते हैं और इसमें निहित सभी फाइलों के लिए संदर्भ बदलना चाहते हैं, तो निम्नलिखित कमांड का उपयोग करें:

 # restorecon -Rv /var/www/html

5.3 संपूर्ण फ़ाइल सिस्टम के लिए लेबल बदलना।

कभी-कभी फ़ाइल सिस्टम में सुरक्षा लेबल को पुनर्स्थापित करना आवश्यक हो सकता है। अधिकतर, यह ऑपरेशन तब किया जाता है जब SELinux को फिर से चालू किया जाता है, सिस्टम को कुछ समय के लिए बंद करने के बाद। यह भी आवश्यक है अगर हम नीति प्रबंधन के प्रकार को सख्त में बदलते हैं (इस मामले में, सभी प्रक्रियाएं अपने स्वयं के विशेष डोमेन में काम करती हैं, कोई भी अपुष्ट डोमेन में काम नहीं कर सकता है)।

अगले रिबूट पर फ़ाइल सिस्टम को स्वचालित रूप से पुनर्वितरित करने के लिए, निम्न कमांड दर्ज करें:

 # touch /.autorelabel # reboot

कभी-कभी स्वचालित पुन: विभाजन काम नहीं करता है (अधिकतर उन मामलों में जहां SELinux सिस्टम के साथ वितरण बंद कर दिया गया है)। इस स्थिति में, निम्न कमांड का उपयोग करें:

 # genhomedircon # touch /.autorelabel # reboot

5.4 बंदरगाहों तक पहुंच प्रदान करना।

अक्सर हम चाहते हैं कि अपाचे जैसी सेवाएं गैर-मानक बंदरगाहों पर सुन सकें और उन पर आने वाले कनेक्शनों को स्वीकार कर सकें। मूल SELinux नीतियाँ आपको केवल पूर्वनिर्धारित बंदरगाहों तक पहुँचने की अनुमति देती हैं जो किसी सेवा से कसकर जुड़े होते हैं। मान लीजिए कि हम चाहते हैं कि अपाचे पोर्ट 81 पर सुने। इस मामले में, हमें सिमेंटेज कमांड का उपयोग करके नियम जोड़ना होगा:

 # semanage port -a -t http_port_t -p tcp 81

पोर्ट की पूरी सूची जो SELinux प्रदान करती है उसे निम्नानुसार देखा जा सकता है:

 # semanage port -l

मैनुअल के अगले, दूसरे भाग में, हम लचीले ढंग से सिस्टम नीतियों को कॉन्फ़िगर करने की क्षमता दिखाएंगे।

SELinux - प्रणाली के साथ काम करने का विवरण और विशेषताएं। भाग 1