Diagnostisere Squid-avvisingar under SELinux
Skil mellom Squid sine tilgangsreglar, filsystemløyve, portmerke og avvisingar frå tryggingspolitikken til verten før du endrar handhevinga.
Ei HTTP-tilgangsavvising generert av Squid og “Permission denied” frå operativsystemet oppstår ved ulike grenser. Avgjer om Squid opna ei fil, batt ein socket, kopla utover eller avviste ein klientførespurnad.
Korreler revisjonshendinga
På SELinux-system må du matche tenestefeilen med revisjonsoppføringa. Kjeldedomenet, måltypen, objektklassen og den avviste løyva viser kva operasjon politikken blokkerte. Korrekt Unix-eigarskap beviser ikkje at tryggingsmerket er høveleg.
Ein tilpassa lyttport kan krevje det tilsvarande portmerket. Ein flytta logg- eller hurtigbufferkatalog kan krevje filmerking. Ved ein Squid-loggbanefeil, sjekk òg kataloggang og skrivetilgang før du legg skulda på eit merke. Løyve for ein uvanleg utgåande teneste er igjen ein annan operasjon; Squid SELinux-døma frå Red Hat skil desse tilfella.
Bruk politikken til den installerte distribusjonen og administrasjonsrettleiinga. Pakkebanar, merke og innestenging kan variere mellom bilete. På system med AppArmor, gransk profilen i staden for å bruke SELinux-kommandoar.
Rett politikken eller plasseringa som prova peikar på, medan handhevinga på verten blir halden. Squid sin eigen klientautentisering og tilgangsreglar gjeld framleis etter at vertspolitikkproblemet er retta.