Diagnosio gwrthodiadau Squid o dan SELinux
Gwahaniaethwch reolau mynediad Squid, caniatadau system ffeiliau, labeli porth a gwrthodiadau polisi diogelwch y gwesteiwr cyn newid y gorfodi.
Mae gwrthodiad mynediad HTTP a gynhyrchir gan Squid a “Permission denied” y system weithredu yn digwydd ar ffiniau gwahanol. Nodwch a oedd Squid yn agor ffeil, yn rhwymo soced, yn cysylltu allan, neu'n gwrthod cais cleient.
Cydberthyn y digwyddiad archwilio
Ar systemau SELinux, parwch wall y gwasanaeth â'i gofnod archwilio. Mae'r parth ffynhonnell, y math targed, dosbarth y gwrthrych a'r caniatâd a wrthodwyd yn dangos pa weithred a rwystrwyd gan y polisi. Nid yw perchnogaeth Unix gywir yn profi bod y label diogelwch yn briodol.
Gall porth gwrando cyfaddas fod angen y label porth cyfatebol. Gall cyfeiriadur logiau neu storfa a symudwyd fod angen labelu ffeiliau. Ar gyfer methiant llwybr log Squid, gwiriwch hefyd drafnidiaeth cyfeiriaduron a chaniatadau ysgrifennu cyn ei briodoli i label. Mae caniatâd ar gyfer gwasanaeth allgymorth anarferol yn weithred arall eto; mae enghreifftiau Squid SELinux Red Hat yn gwahaniaethu'r achosion hyn.
Defnyddiwch bolisi'r dosbarthiad a osodwyd a chanllaw gweinyddu. Gall llwybrau pecynnau, labeli a chyfyngiad amrywio rhwng delweddau. Ar systemau sy'n defnyddio AppArmor, archwiliwch ei broffil yn lle cymhwyso gorchmynion SELinux.
Cywirwch y polisi neu'r lleoliad y mae'r dystiolaeth yn ei awgrymu gan gadw gorfodi'r gwesteiwr. Mae dilysu cleientiaid a rheolau mynediad Squid ei hun yn dal i fod yn berthnasol ar ôl trwsio problem polisi'r gwesteiwr.