Діагностика відмов Squid у SELinux
Розрізняйте правила доступу Squid, права файлової системи, мітки портів і відмови політики безпеки хоста, перш ніж змінювати примусове застосування.
Відмова в доступі HTTP, яку створює Squid, і повідомлення “Permission denied” операційної системи виникають на різних межах. Визначте, чи Squid відкривав файл, прив'язував сокет, підключався назовні або відхиляв запит клієнта.
Зіставте подію аудиту
У системах SELinux зіставте помилку служби з її записом аудиту. Домен джерела, тип цілі, клас об'єкта й заборонений дозвіл показують, яку операцію заблокувала політика. Правильне володіння в Unix не доводить, що мітка безпеки відповідна.
Користувацький порт прослуховування може вимагати відповідної мітки порту. Переміщений каталог журналів або кешу може вимагати маркування файлів. У разі збою шляху журналу Squid також перевірте обхід каталогів і права запису, перш ніж відносити його до мітки. Дозвіл для незвичайної вихідної служби — знову інша операція; приклади Squid SELinux від Red Hat розрізняють ці випадки.
Використовуйте політику встановленого дистрибутива й настанови з адміністрування. Шляхи пакетів, мітки та обмеження можуть відрізнятися між образами. У системах з AppArmor огляньте його профіль замість застосування команд SELinux.
Виправте політику або розташування, на які вказують докази, зберігаючи примусове застосування на хості. Власна автентифікація клієнтів і правила доступу Squid продовжують діяти після усунення проблеми з політикою хоста.