Chẩn đoán các lần từ chối của Squid dưới SELinux
Phân biệt quy tắc truy cập của Squid, quyền hệ thống tệp, nhãn cổng và các lần từ chối của chính sách bảo mật máy chủ trước khi thay đổi việc thực thi.
Một lần từ chối truy cập HTTP do Squid tạo ra và thông báo “Permission denied” của hệ điều hành xảy ra ở các ranh giới khác nhau. Xác định xem Squid đang mở tệp, liên kết socket, kết nối ra ngoài hay từ chối yêu cầu của máy khách.
Tương quan sự kiện kiểm toán
Trên hệ thống SELinux, hãy khớp lỗi dịch vụ với bản ghi kiểm toán của nó. Miền nguồn, loại đích, lớp đối tượng và quyền bị từ chối cho biết chính sách đã chặn thao tác nào. Quyền sở hữu Unix đúng không chứng minh rằng nhãn bảo mật là phù hợp.
Cổng lắng nghe tùy chỉnh có thể yêu cầu nhãn cổng tương ứng. Thư mục nhật ký hoặc bộ đệm đã di chuyển có thể yêu cầu dán nhãn tệp. Đối với lỗi đường dẫn nhật ký của Squid, hãy kiểm tra cả việc duyệt thư mục và quyền của người ghi trước khi quy cho một nhãn. Quyền cho một dịch vụ đi ra bất thường lại là một thao tác khác; các ví dụ Squid SELinux của Red Hat phân biệt những trường hợp này.
Dùng chính sách của bản phân phối đã cài và hướng dẫn quản trị. Đường dẫn gói, nhãn và việc cách ly có thể khác nhau giữa các ảnh. Trên hệ thống dùng AppArmor, hãy kiểm tra hồ sơ của nó thay vì áp dụng lệnh SELinux.
Sửa chính sách hoặc vị trí mà bằng chứng chỉ ra trong khi vẫn giữ việc thực thi trên máy chủ. Xác thực máy khách và quy tắc truy cập của chính Squid vẫn áp dụng sau khi khắc phục sự cố chính sách máy chủ.