Selinux Blokuje Mi Serwer Www

[Asmox]

Witam, instalacja phpfusiona na świeżo postawionym serwerze okazała się masakrą... Nieustannie wyświetlają się jakieś błędy selinuksa, nie mogę tego ani wyłączyć, ani nadać jakiś specjalnych uprawnień czy coś. Nawet nie mogę przestawić kontroli dostępu do folderów. Jest to bardzo uciążliwe, czy dałoby się jakoś zmodyfikować ustawienia tego selinuksa, żeby w ogóle nie kontrolował httpd?

[Gość]

Gdybyś podał jakieś logi (/var/log/audit/audit.log), mógłbym pomóc.

[Asmox]

Strasznie duży ten log, w dodatku nie wiem, które kawałki potrzeba, więc wkleiłem wszystko na zewnętrznym serwerze.

http://wklej.org/hash/0b1a9e92bdb/

[@WalDo]

@Asmox - na pewno nie masz zadnych polecen naprawczych w komunikatach SElinux? Tam zazwyczaj jest wyjasnione jakiego polecenia trzeba uzyc.

Uruchom jako root polecenie

sealert -b

i nacisnij przycisk "Troubleshoot" - na pewno znajdziesz wyjasnienie co zrobic. Zazwyczaj jest to cos w rodzaju

grep http /var/log/audit/audit.log | audit2allow -M mojapolityka
semodule -i mojapolityka.pp

W oryginalnych komunikatach jest znak podkreslenia w nazwie pliku do którego zrzucamy wyjscie (moja_polityka), ale w nazwie polityki moga byc tylko litery i cyfry, wiec od razu usun podkreslenie.

Oczywiscie zamiast "http" moze byc cos innego, np. jakies phpfusion, httpd albo cos w tym rodzaju. Niestety logi sa dlugie i nalezy sie z tym pogodzic

[Gość]

Przeglądając pobieżnie logi, widać powtarzający się problem:

avc:  denied  { TUTAJ_OPERACJA } for  pid=1611 comm="httpd" name="TUTAJ_OBIEKT" dev=sda4 ino=TUTAJ_INODE_OBIEKTU scontext=system_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:user_home_t:s0 tclass=dir

TUTAJ_* (wyciąłem to co tam było dla uogólnienia).

 

Z powyższego logu widać, że apache (httpd), z typem (albo pracującym w domenie) httpd_t, próbuje wykonać operację (TUTAJ_OPERACJA), na pliku/katalogu (TUTAJ_OBIEKT), którego typ to: user_home_t

Tak więc pierwszym rozwiązaniem będzie jako root, wykonać:

restorecon -R /var/www/html

 

Następnie spróbuj czy działa.

 

W razie czego pisz, (tym razem wrzuć efekt polecenia:

grep AVC /var/log/audit/audit.log | grep -v wine

 

Pozdrawiam

[@WalDo]

Wg mnie standardowa porada SElinux powinna pomóc. Czyli to co napisałem z grep, audit2allow i semodule - tylko zamiast "http" po grep trzeba wpisać "httpd".

Chociaż przywrócenie kontekstów też może być pomocne.

W sumie można "z grubej rury":

touch /.autorelabel
reboot

[Gość]

Zapewne, ale istnieja uzytkownicy, którzy wola zapytac, zeby wrazie czego bylo na kogo wine zrzucic