SELinux 端口“已在策略中定义，无法删除”

Question

我对以下问题的答案并不满意这个问题：

$> sudo semanage port -d -p tcp -t foo...
ValueError: Port foo is defined in policy, cannot be deleted

接受的答案是

SELinux 策略包括端口的定义...无需删除它们。

不需要删除它们。好的，但我还是想删除它们——我希望端口的 SELinux 可用性与实际的端口的可用性，只是为了保持一致性。

如何处理semanage port -d策略中定义的端口？（在我的情况下是 ssh。）

Answer 1

您的选择是构建自己的 SSH 策略模块，删除标记端口的部分。

由于您现在可以加载指定优先级的策略模块，因此您的自定义模块将具有更高的优先级。请查看手册页-X,--priority=PRIORITY中的标志semodule以了解详细信息。

顺便说一句，我同意 Michael Hampton 的观点，认为没有必要从策略中删除端口。这根本不会提高系统的安全性，因为有多种方法可以提高或放松 SSH 服务器的安全管理（如 SELinux 相关），即：首先删除 OpenSSH 服务器，标记流量或者，在另一个方向上，将 SSH 服务器置于宽容范围。