SELinux: context, port và boolean

Vì sao cần học

Khi gặp lỗi do SELinux, nhiều người chọn cách tắt nó, và bỏ đi một lớp bảo vệ quan trọng: dù kẻ tấn công chiếm được tiến trình web, SELinux vẫn chặn nó đọc file của dịch vụ khác. Cách làm đúng là đọc audit log, hiểu policy muốn gì và cấp đúng nhãn. RHCSA chấm bài trên máy SELinux enforcing.

Mục tiêu

• Giải thích SELinux type enforcement: tiến trình có domain, file và port có type.
• Đọc context bằng ls -Z, ps -Z, và tìm lỗi bằng ausearch.
• Gán port bằng semanage port, gán file context bền vững bằng semanage fcontext + restorecon.
• Tra và bật boolean bằng getsebool/setsebool -P.

Điều kiện tiên quyết

• Bài Firewall với firewalld.
• getenforce trả Enforcing.

Mental model

Quyền Unix (owner, group, mode) được kiểm tra trước. Sau đó SELinux kiểm tra thêm: domain của tiến trình có được làm việc này với type của đối tượng không?

httpd (domain httpd_t) ──đọc──▶ /srv/kdc-www/index.html (type ?)
httpd (domain httpd_t) ──bind──▶ tcp/8088 (type ?)

• File trong /var/www/html có type httpd_sys_content_t: httpd đọc được.
• File mới trong /srv nhận type var_t: httpd không đọc được, dù quyền Unix cho phép.
• Port 8088 chưa có type web: httpd không bind được. Port 80, 443, 8443 thuộc http_port_t.

chcon đổi nhãn ngay nhưng mất khi relabel toàn hệ thống. semanage fcontext ghi quy tắc vào policy; restorecon áp quy tắc đó. Luôn dùng cách thứ hai.

Thực hành (Guided Lab)

1. Kiểm tra trạng thái

getenforce
sestatus
grep ^SELINUX= /etc/selinux/config
ps -eZ | grep -E 'sshd|systemd' | head -3
ls -Zd /var/www /srv

Nếu getenforce trả Permissive, chạy sudo setenforce 1 và sửa /etc/selinux/config thành SELINUX=enforcing.

2. Dựng site trên port và thư mục không mặc định

sudo dnf install -y httpd policycoreutils-python-utils
sudo install -d /srv/kdc-www
echo '<h1>KDC-SELINUX</h1>' | sudo tee /srv/kdc-www/index.html
sudo tee /etc/httpd/conf.d/kdc-www.conf <<'EOF'
Listen 8088
<VirtualHost *:8088>
    DocumentRoot /srv/kdc-www
    <Directory /srv/kdc-www>
        Require all granted
    </Directory>
</VirtualHost>
EOF
sudo apachectl configtest
sudo systemctl enable --now httpd

Lệnh cuối thất bại. Thu thập evidence:

systemctl status httpd --no-pager | tail -5
sudo ausearch -m AVC -ts recent | tail -5

Audit log ghi denied { name_bind } cho httpd_t trên port 8088: SELinux chặn, không phải lỗi cấu hình Apache.

3. Gán type cho port

sudo semanage port -a -t http_port_t -p tcp 8088
sudo semanage port -l | grep ^http_port_t
sudo systemctl restart httpd
curl -s http://127.0.0.1:8088/ | head -3

httpd đã chạy, nhưng trả trang lỗi 403 Forbidden. Đọc evidence lần nữa:

ls -Z /srv/kdc-www/index.html
sudo ausearch -m AVC -ts recent | tail -3

4. Gán file context bền vững

sudo semanage fcontext -a -t httpd_sys_content_t '/srv/kdc-www(/.*)?'
sudo restorecon -Rv /srv/kdc-www
ls -Z /srv/kdc-www/index.html
curl -s http://127.0.0.1:8088/

5. Boolean (tham khảo, không chấm)

Boolean bật/tắt các nhóm quyền có sẵn trong policy:

getsebool -a | grep httpd_can_network_connect
sudo setsebool -P httpd_can_network_connect on
sudo setsebool -P httpd_can_network_connect off

-P lưu bền vững. Boolean này cần khi Apache làm reverse proxy tới một backend (Module 04).

Tự kiểm tra (Verification)

getenforce
sudo semanage port -l | grep 8088
sudo semanage fcontext -l -C
ls -Z /srv/kdc-www/index.html
curl -s http://127.0.0.1:8088/

semanage fcontext -l -C chỉ liệt kê các quy tắc bạn thêm. Chọn server và bấm Kiểm tra kết quả.

Lỗi thường gặp

• setenforce 0 "để thử": lỗi biến mất nên bạn không học được gì, và máy mất lớp bảo vệ. Nếu cần chẩn đoán, đặt riêng một domain sang permissive (semanage permissive -a httpd_t) rồi bỏ đi ngay.
• mv file từ thư mục home vào /srv/kdc-www: file giữ nhãn cũ. cp thì nhận nhãn của thư mục đích. Sau mv, chạy restorecon.
• Dùng chcon: đúng tới lần relabel tiếp theo.
• semanage port -a báo đã tồn tại: port thuộc type khác, dùng -m để sửa.

Ghi chú production

• Nhiều sự cố "permission denied" trên RHEL là SELinux. Hãy kiểm tra audit log trước khi đổi quyền file.
• setroubleshoot-server cài thêm lệnh sealert, giải thích AVC bằng ngôn ngữ dễ đọc và gợi ý lệnh sửa. Đọc kỹ trước khi làm theo.
• Container trên RHEL cũng được SELinux bảo vệ; Module 05 sẽ gặp tùy chọn :Z khi mount volume.

Ghi chú Ubuntu

Ubuntu dùng AppArmor, không có SELinux; bài này chỉ làm được trên RHEL-family.

Dọn dẹp

sudo systemctl disable --now httpd
sudo rm -f /etc/httpd/conf.d/kdc-www.conf
sudo semanage port -d -t http_port_t -p tcp 8088
sudo semanage fcontext -d '/srv/kdc-www(/.*)?'
sudo rm -rf /srv/kdc-www

Tài liệu chính thức

• RHEL 10 — Using SELinux
• semanage-fcontext(8) · semanage-port(8) · restorecon(8)
• RHCSA EX200 exam objectives