SELinux 阻止 nginx -t

Question 1

看起来您的设置工作正常，并且staff_u运行以为前缀的命令的用户确实正在以角色sudo运行。sysadm_r

这里，您的错误nginx: [emerg] bind() to 0.0.0.0:80 failed (13: Permission denied)和审计日志allow sysadm_t http_port_t:tcp_socket name_bind;确实显示您有一个拒绝，因为类型sysadm_t无法name_bind端口http_port_t:tcp_socket，这里是端口 tcp/80。

为了允许这种行为，您可以创建一个策略：

cat > sysadm_bind_http.te << EOF
module sysadm_bind_http 1.0;

require {
type sysadm_t;
type http_port_t;
class tcp_socket { name_bind };
}

#============= sysadm_t ==============
allow sysadm_t http_port_t:tcp_socket name_bind;
EOF
checkmodule -M -m -o sysadm_bind_http.mod sysadm_bind_http.te
semodule_package -o sysadm_bind_http.pp -m sysadm_bind_http.mod
semodule -i sysadm_bind_http.pp

Answer

看起来您的设置工作正常，并且staff_u运行以为前缀的命令的用户确实正在以角色sudo运行。sysadm_r

这里，您的错误nginx: [emerg] bind() to 0.0.0.0:80 failed (13: Permission denied)和审计日志allow sysadm_t http_port_t:tcp_socket name_bind;确实显示您有一个拒绝，因为类型sysadm_t无法name_bind端口http_port_t:tcp_socket，这里是端口 tcp/80。

为了允许这种行为，您可以创建一个策略：

cat > sysadm_bind_http.te << EOF
module sysadm_bind_http 1.0;

require {
type sysadm_t;
type http_port_t;
class tcp_socket { name_bind };
}

#============= sysadm_t ==============
allow sysadm_t http_port_t:tcp_socket name_bind;
EOF
checkmodule -M -m -o sysadm_bind_http.mod sysadm_bind_http.te
semodule_package -o sysadm_bind_http.pp -m sysadm_bind_http.mod
semodule -i sysadm_bind_http.pp

Question 2

在基于 Red Hat 的系统（例如 Red Hat Enterprise Linux (RHEL) 或 CentOS）上，SELinux（安全增强型 Linux）有时也会nginx -t因违反策略或安全标签不正确而阻塞。要在 Red Hat 系统上排除故障并解决此问题。

nginx -t以下是在基于 Red Hat 的系统上排除故障并解决 SELinux 问题的步骤：

检查 SELinux 审计日志：

查看 SELinux 审计日志，深入了解nginx -t被阻止的原因。您可以使用以下ausearch命令：
```
sudo ausearch -c 'nginx' --raw | audit2allow -M my-nginx-policy
sudo semodule -i my-nginx-policy.pp
```
这会根据审计日志生成自定义 SELinux 策略模块并安装它。
检查Nginx配置文件：

使用以下命令确保 Nginx 配置文件具有正确的 SELinux 安全上下文标签ls -Z。如果标签不正确，请使用chcon设置正确的标签：
```
sudo chcon -t httpd_config_t /etc/nginx/nginx.conf
```
替换/etc/nginx/nginx.conf为您的 Nginx 配置文件的实际路径。
测试Nginx配置：

解决任何 SELinux 策略问题并验证安全标签后，尝试运行nginx -t以检查配置语法：
```
sudo nginx -t
```
如果问题已解决，SELinux 应该不再阻止此操作。
重新标记整个 Nginx 配置目录（如有必要）：

如果您有多个具有不正确的安全标签的 Nginx 配置文件，则可以递归地重新标记整个目录：
```
sudo restorecon -Rv /etc/nginx/
```
此命令将重置下的所有文件和目录的 SELinux 安全上下文标签/etc/nginx/。
SELinux 政策修改（如有必要）：

如果尽管采取了上述步骤，SELinux 仍继续阻止该操作，则可能需要专门为您的 Nginx 配置创建自定义 SELinux 策略模块。修改 SELinux 策略时要小心，因为它会影响系统安全。

请记住遵循 SELinux 最佳实践，并且仅在您完全了解后果时才修改政策。此外，定期更新系统并保持 SELinux 政策最新有助于避免将来出现此类问题。

Answer

在基于 Red Hat 的系统（例如 Red Hat Enterprise Linux (RHEL) 或 CentOS）上，SELinux（安全增强型 Linux）有时也会nginx -t因违反策略或安全标签不正确而阻塞。要在 Red Hat 系统上排除故障并解决此问题。

nginx -t以下是在基于 Red Hat 的系统上排除故障并解决 SELinux 问题的步骤：

检查 SELinux 审计日志：

查看 SELinux 审计日志，深入了解nginx -t被阻止的原因。您可以使用以下ausearch命令：
```
sudo ausearch -c 'nginx' --raw | audit2allow -M my-nginx-policy
sudo semodule -i my-nginx-policy.pp
```
这会根据审计日志生成自定义 SELinux 策略模块并安装它。
检查Nginx配置文件：

使用以下命令确保 Nginx 配置文件具有正确的 SELinux 安全上下文标签ls -Z。如果标签不正确，请使用chcon设置正确的标签：
```
sudo chcon -t httpd_config_t /etc/nginx/nginx.conf
```
替换/etc/nginx/nginx.conf为您的 Nginx 配置文件的实际路径。
测试Nginx配置：

解决任何 SELinux 策略问题并验证安全标签后，尝试运行nginx -t以检查配置语法：
```
sudo nginx -t
```
如果问题已解决，SELinux 应该不再阻止此操作。
重新标记整个 Nginx 配置目录（如有必要）：

如果您有多个具有不正确的安全标签的 Nginx 配置文件，则可以递归地重新标记整个目录：
```
sudo restorecon -Rv /etc/nginx/
```
此命令将重置下的所有文件和目录的 SELinux 安全上下文标签/etc/nginx/。
SELinux 政策修改（如有必要）：

如果尽管采取了上述步骤，SELinux 仍继续阻止该操作，则可能需要专门为您的 Nginx 配置创建自定义 SELinux 策略模块。修改 SELinux 策略时要小心，因为它会影响系统安全。

请记住遵循 SELinux 最佳实践，并且仅在您完全了解后果时才修改政策。此外，定期更新系统并保持 SELinux 政策最新有助于避免将来出现此类问题。

SELinux 阻止 nginx -t

答案1

答案2

相关内容