Cron, Setroubleshoot.

[farbaa]

Cześć, mam pytanie dotyczące usługi crond oraz wpisu w pliku /var/log/messages. Więc: czy jeżeli nie mam żadnych zadań zarówno dla użytkownika ale również dla roota...

 

# crontab -l
no crontab for root

...usługa crond jest mi potrzebna? Zadałem to pytanie ze względu na to co znajduje się w katalogu /etc/cron.daily/. Są tam programy, które są wykonywane - tmpwatch, logrotate itd. Dlatego zastanawiam się nad potrzebą posiadania tej usługi skoro nie mam żadnych "zadań" dla użytkownika i roota.

Druga sprawa to wpis w pliku /var/log/messages

 

setroubleshoot: Setroubleshoot can not analyze AVCs while dontaudit rules are disabled, 'semodule -B' will turn on dontaudit rules.

O tyle o ile ten komunikat jest dla mnie zrozumiały, o tyle nie wiem co z nim zrobić. Proszę powiedzcie mi czy mam wykonać to polecenie? Od bardzo długiego czasu nie mam żadnych alertów od SELinuxa - o ile dobrze pamiętam w Fedorze 13 pojawiały się one, może nieregularnie, ale jednak. Niestety nie pamiętam już czego dotyczyły.

[borzole]

cron pobiera konfigurację z trzech miejsc:

* pliki dla userów z /var/spool/cron/ (czyli to co wywołuje crontab -e )

* plik /etc/crontab

* folder /etc/cron.d (jeden skrypt wywołuje pozostałe foldery /etc/cron.* )

 

Ja bym nie wyłączał crona. Nie zyskasz nic na wydajności systemu, a możesz w przyszłości zetknąć się z niezrozumiałym problemem, bo jakaś aplikacja dorzuciła swój job dla cron, a on się nie wykonał. Poza tym cron czyści Ci /tmp okresowo i zapewnia cykliczne usuwania starych logów, o istnieniu których możesz nie mieć pojęcia.

[farbaa]

Dziękuję borzole. Chyba masz rację pisząc o pozostawieniu tej usługi. Faktycznie, wydajność się nie poprawi a mogę napotkać na problemy z aplikacjami itd. Więc zostanie.

A co z drugim pytaniem i komunikatem?

[@WalDo]

A co z drugim pytaniem i komunikatem?

Mądrzy ludzie mówią, że nie powinno być, ale może się zdarzyć Jest w tym wątku → http://lists.fedoraproject.org/pipermail/users/2011-January/391168.html (+dalsze odpowiedzi w tym temacie).

Z tego co piszą wynika, że to chyba rzadki przypadek (albo nikt się tym nie przejmuje), bo wszystko co można wyszukać jest kopią podanego przeze mnie wątku.

 

Sprawdź czy nie ma jakichś komunikatów SElinuksa z poleceniami naprawy

sealert -b

 

Możesz jeszcze przebudować wszystkie polityki, chociaż nie wiem czy to coś da w tym przypadku.

[farbaa]

WalDo wygląda na to, że nie ma żadnych alertów, ponieważ sealert na nic nie wskazuje.

 

# sealert -b
#

Natomiast w podanym przez Ciebie linku (serdeczne dzięki, wiele wyjaśnił), jeden z użytkowników napisał ciekawą rzecz;

 

It means you have turned off dontaudit rules and setroubleshoot will not run until you turn them back on. Execute

semodule -B

To turn them on. When you turn off dontaudit rules setroubleshoot gets inundated with AVC

Wygląda na to, że wszystko jasne chociaż zaciekwiłeś mnie pisząc (-:

 

Mądrzy ludzie mówią' date=' że nie powinno być, ale może się zdarzyć...[/quote']

Co miałeś na myśli?

[@WalDo]

Co miałeś na myśli?

Z tego co przeczytałem w poście, do którego link podałem wyszło mi, że na ogół taki komunikat nie powinien się pojawiać. Żeby się pokazał, należy wyłączyć "dontaudit-rules". Czyli nie powinno być takich komunikatów o ile świadomie nie wyłączyłeś odpowiednich reguł, ale jednak życie pokazało, że czasem reguły mogą nie być wyłączone a komunikat się pokazuje.

Oczywiście mogłem też nie zrozumieć poprawnie treści ww. posta