Διάγνωση απορρίψεων του Squid υπό SELinux
Διακρίνετε τους κανόνες πρόσβασης του Squid, τα δικαιώματα του συστήματος αρχείων, τις ετικέτες θυρών και τις απορρίψεις της πολιτικής ασφαλείας του κεντρικού υπολογιστή πριν αλλάξετε την επιβολή.
Μια απόρριψη πρόσβασης HTTP που δημιουργεί το Squid και ένα “Permission denied” του λειτουργικού συστήματος συμβαίνουν σε διαφορετικά όρια. Προσδιορίστε αν το Squid άνοιγε αρχείο, έδενε υποδοχή, συνδεόταν προς τα έξω ή απέρριπτε αίτημα πελάτη.
Συσχετίστε το συμβάν ελέγχου
Σε συστήματα SELinux, αντιστοιχίστε το σφάλμα της υπηρεσίας με την εγγραφή ελέγχου του. Ο τομέας προέλευσης, ο τύπος προορισμού, η κλάση αντικειμένου και η απορριφθείσα άδεια δείχνουν ποια λειτουργία μπλόκαρε η πολιτική. Η σωστή κυριότητα στο Unix δεν αποδεικνύει ότι η ετικέτα ασφαλείας είναι κατάλληλη.
Μια προσαρμοσμένη θύρα ακρόασης μπορεί να απαιτεί την αντίστοιχη ετικέτα θύρας. Ένας μετατοπισμένος κατάλογος καταγραφών ή προσωρινής μνήμης μπορεί να απαιτεί επισήμανση αρχείων. Για αποτυχία διαδρομής καταγραφής του Squid, ελέγξτε επίσης τη διάσχιση καταλόγων και τα δικαιώματα εγγραφής πριν την αποδώσετε σε ετικέτα. Η άδεια για μια ασυνήθιστη εξερχόμενη υπηρεσία είναι ξανά άλλη λειτουργία· τα παραδείγματα Squid SELinux της Red Hat διακρίνουν αυτές τις περιπτώσεις.
Χρησιμοποιήστε την πολιτική της εγκατεστημένης διανομής και την καθοδήγηση διαχείρισης. Οι διαδρομές πακέτων, οι ετικέτες και ο περιορισμός μπορεί να διαφέρουν μεταξύ εικόνων. Σε συστήματα με AppArmor, εξετάστε το προφίλ του αντί να εφαρμόζετε εντολές SELinux.
Διορθώστε την πολιτική ή τη θέση που υποδεικνύουν τα στοιχεία, διατηρώντας την επιβολή στον κεντρικό υπολογιστή. Οι δικοί του κανόνες ελέγχου ταυτότητας πελατών και πρόσβασης του Squid εξακολουθούν να ισχύουν αφού διορθωθεί το πρόβλημα πολιτικής του κεντρικού υπολογιστή.