Tôi muốn một lần rời khỏi SELinux chạy trên một máy chủ để tăng cường bảo mật.
Tôi thường vô hiệu hóa SELinux để mọi thứ hoạt động.
Làm cách nào để tôi nói với SELinux cho phép kết nối MySQL?
Phần lớn tôi tìm thấy trong tài liệu là dòng này từ mysql.com:
Nếu bạn đang chạy trong Linux và Linux được tăng cường bảo mật (SELinux) được bật, hãy đảm bảo bạn đã tắt bảo vệ SELinux cho quy trình mysqld.
wow ... điều đó thực sự hữu ích.
Câu trả lời:
Để kiểm tra SELinux
sestatus
Để xem những cờ nào được đặt trên các quy trình httpd
getsebool -a | grep httpd
Để cho phép Apache kết nối với cơ sở dữ liệu từ xa thông qua SELinux
setsebool httpd_can_network_connect_db 1
Sử dụng tùy chọn -P làm cho thay đổi vĩnh viễn. Nếu không có tùy chọn này, boolean sẽ được đặt lại về 0 khi khởi động lại.
setsebool -P httpd_can_network_connect_db 1
setsebool -P httpd_can_network_connect 1cũng có thể cần thiết Điều này đã được đề xuất trong nhật ký của tôi bằng cách chạy ausearch -m avc -ts today | audit2whynhư được đề xuất trong một nhận xét của vnix27.
Bạn có mắc lỗi gì không? Bạn đang sử dụng hương vị nào của linux? Bối cảnh bảo mật là một nơi tốt để bắt đầu nếu bạn gặp lỗi. ls -Z sẽ đưa ra bối cảnh ... Nhưng câu hỏi của bạn rất mơ hồ.
Rõ ràng cấu hình selinux không tầm thường. Bạn có thể muốn bắt đầu ở đây .
setenforce 0
đặt selinux vào chế độ cho phép, trong đó nó cho phép mọi thứ trừ bản ghi những gì nó cho phép. Khởi động lại hoặc
setenforce 1
trở lại để chặn bất cứ điều gì chính sách không cho phép.
Kiểm tra các tài liệu chính sách selinux này cho myQuery trong Fedora .
Bạn có chắc chắn đó là selinux? Kết nối bình thường từ bên ngoài nên được cho phép bởi selinux. Vì vậy, nó cũng có thể là tường lửa. Nếu bạn có các dịch vụ địa phương đang cố gắng kết nối với mysqld, thì đó là một điều khác biệt: http://docs.fedoraproject.org/en-US/Fedora/13/html/Managing_Confined_Service/sect-Managing_Confined_Service-MyQuery-Booleans.html
bạn cũng có thể xây dựng chính sách địa phương:
"Bạn có thể tạo mô-đun chính sách cục bộ để cho phép truy cập này. Hiện tại cho phép truy cập này bằng cách thực thi:"
grep httpd /var/log/audit/audit.log | audit2allow -M mypol
semodule -i mypol.pp
hoặc kích hoạt trên toàn cầu cho phiên thực tế:
setsebool httpd_can_network_connect_db 1
hoặc vĩnh viễn:
setsebool -P httpd_can_network_connect_db 1
getsebool -a | grep mysql6. Các bước chính xác bạn đã thực hiện để tái tạo điều này