אבחון דחיות של Squid תחת SELinux
הבחינו בין כללי הגישה של Squid, הרשאות מערכת הקבצים, תוויות פורט ודחיות של מדיניות האבטחה של המארח לפני שינוי האכיפה.
דחיית גישת HTTP שנוצרת על ידי Squid והודעת “Permission denied” של מערכת ההפעלה מתרחשות בגבולות שונים. קבעו אם Squid פתח קובץ, קשר socket, התחבר החוצה או דחה בקשת לקוח.
תאמו את אירוע הביקורת
במערכות SELinux, התאימו את שגיאת השירות לרשומת הביקורת שלה. דומיין המקור, סוג היעד, מחלקת האובייקט וההרשאה שנדחתה מראים איזו פעולה המדיניות חסמה. בעלות Unix נכונה אינה מוכיחה שתווית האבטחה מתאימה.
פורט האזנה מותאם עשוי לדרוש את תווית הפורט המתאימה. תיקיית יומן או מטמון שהועברה עשויה לדרוש תיוג קבצים. בכשל בנתיב היומן של Squid, בדקו גם מעבר בתיקיות והרשאות כתיבה לפני שתייחסו אותו לתווית. הרשאה לשירות יוצא לא שגרתי היא פעולה נוספת; הדוגמאות של Red Hat ל-Squid SELinux מבדילות בין המקרים האלה.
השתמשו במדיניות של ההפצה המותקנת ובהנחיות הניהול. נתיבי חבילות, תוויות והכלה עשויים להשתנות בין תמונות. במערכות המשתמשות ב-AppArmor, בדקו את הפרופיל שלו במקום להחיל פקודות SELinux.
תקנו את המדיניות או המיקום שהראיות מצביעות עליהם תוך שמירה על האכיפה במארח. אימות הלקוחות וכללי הגישה של Squid עצמו עדיין חלים לאחר תיקון בעיית מדיניות המארח.