Diagnostika zavrnitev Squida pod SELinuxom
Razlikujte pravila dostopa Squida, dovoljenja datotečnega sistema, oznake vrat in zavrnitve varnostne politike gostitelja, preden spremenite izvajanje.
Zavrnitev dostopa HTTP, ki jo ustvari Squid, in “Permission denied” operacijskega sistema se pojavita na različnih mejah. Ugotovite, ali je Squid odpiral datoteko, vezal vtičnico, se povezoval navzven ali zavračal zahtevo odjemalca.
Povežite revizijski dogodek
V sistemih SELinux uskladite napako storitve z njenim revizijskim zapisom. Izvorna domena, ciljni tip, razred predmeta in zavrnjeno dovoljenje kažejo, katero operacijo je politika blokirala. Pravilno lastništvo v Unixu ne dokazuje, da je varnostna oznaka ustrezna.
Vrata za poslušanje po meri lahko zahtevajo ustrezno oznako vrat. Premaknjena mapa dnevnikov ali predpomnilnika lahko zahteva označevanje datotek. Pri napaki poti dnevnika Squida preverite tudi prehod skozi mape in dovoljenja za pisanje, preden to pripišete oznaki. Dovoljenje za neobično odhodno storitev je spet druga operacija; primeri Squid SELinux podjetja Red Hat te primere razlikujejo.
Uporabite politiko nameščene distribucije in administrativne smernice. Poti paketov, oznake in omejevanje se lahko med slikami razlikujejo. V sistemih z AppArmorjem preglejte njegov profil, namesto da bi uporabljali ukaze SELinux.
Popravite politiko ali lokacijo, na katero kažejo dokazi, medtem ko izvajanje na gostitelju ohranite. Squidovo lastno preverjanje pristnosti odjemalcev in pravila dostopa še vedno veljajo po odpravi težave s politiko gostitelja.