Squid elutasításainak diagnosztizálása SELinux alatt
Különböztesse meg a Squid hozzáférési szabályait, a fájlrendszer-engedélyeket, a portcímkéket és a gazdagép biztonsági szabályzatának elutasításait, mielőtt módosítja a kényszerítést.
A Squid által előállított HTTP-hozzáférés-elutasítás és az operációs rendszer “Permission denied” üzenete különböző határokon jelenik meg. Állapítsa meg, hogy a Squid fájlt nyitott, socketet kötött, kifelé kapcsolódott vagy ügyfélkérést utasított el.
Korrelálja az audit eseményt
SELinux rendszereken párosítsa a szolgáltatáshiba az auditrekordjával. A forrásdomain, a céltípus, az objektumosztály és a megtagadott engedély megmutatja, melyik műveletet blokkolta a szabályzat. A helyes Unix-tulajdonjog nem bizonyítja, hogy a biztonsági címke megfelelő.
Az egyéni figyelőport igényelheti a megfelelő portcímkét. Az áthelyezett napló- vagy gyorsítótármappa fájlcímkézést igényelhet. Squid naplóútvonal-hibája esetén ellenőrizze a könyvtárbejárást és az írási engedélyeket is, mielőtt címkének tulajdonítaná. A szokatlan kimenő szolgáltatás engedélye ismét más művelet; a Red Hat Squid SELinux példái megkülönböztetik ezeket az eseteket.
Használja a telepített disztribúció szabályzatát és adminisztrációs útmutatását. A csomagútvonalak, címkék és az elkülönítés képenként eltérhet. Az AppArmort használó rendszereken vizsgálja meg annak profilját ahelyett, hogy SELinux-parancsokat alkalmazna.
Javítsa a bizonyítékok által jelzett szabályzatot vagy helyet, miközben megtartja a gazdagép kényszerítését. A Squid saját ügyfél-hitelesítése és hozzáférési szabályai a gazdagép szabályzatproblémájának javítása után is érvényesek.