Root i dteirminéal, diúltaithe faoi SELinux: cén fáth a dteipeann ar an hook

Ritheann tú an script up mar root, críochnaíonn sé, agus teipeann ar an script céanna nuair a ghlaonn an tseirbhís air. Níor athraigh aon rud sna ceadanna comhaid, mar sin is é an chéad chéim nádúrtha eile iad a ligean níos scaoilte arís, rud nach gceartaíonn faic. Ar óstach SELinux is minic nach é cé atá sa phróiseas an fachtóir cinntitheach, ach cén fearann ina ritheann sé, agus fanann root taobh istigh d’fhearann srianta srianta.

An t-ordú céanna, dhá fhearann slándála dhifriúla

Measann forfheidhmiú cineáil fearann an fhoinse, lipéad na sprice agus an oibríocht a iarradh le chéile. Ritheann do sheisiún teirminéil i bhfearann neamhshrianta nó riaracháin, agus ritheann an daemon sa fhearann a shanntar dá aonad. Mar sin táirgeann orduithe comhionanna cinntí difriúla, agus tá an difríocht d’aon ghnó seachas ina fabht sa pholasaí.

Sin é an fáth nach bhfuil comparáid idir an dá rith úsáideach ach amháin má dhéanann tú comparáid idir a gcomhthéacsanna. Rith an t-ordú céanna ón bhlaosc agus ón hook, agus cruthaíonn leagan na blaoisce go bhfuil an dénár ann agus go bhfuil na hargóintí ceart; ní chruthaíonn sé aon rud faoi cé acu an bhfuil cead ag an tseirbhís é a fhorghníomhú. Rith ar an dá bhealach é agus déan comparáid idir na fearainn, ní hamháin na cóid scoir. Is í an chomparáid sin a iompaíonn gearán doiléir faoi chead isteach ina cheist shonrach faoi fhearann amháin agus lipéad amháin.

Is é an gnáthchruth atá ar an locht seo ná cúntóir a ghlaonn ar uirlis sheachtrach. Féadfar an hook féin a cheadú, agus an uirlis a ghlaonn sé air ag iompar lipéid nach bhfuil cead ag fearann na seirbhíse a fhorghníomhú, nó ag scríobh isteach in eolaire a gcuireann a lipéad cosc air.

Léigh an taifead AVC in aice le hearráid an hook

Ainmníonn diúltú AVC na réimsí a shocraíonn an cás: comhthéacs foinse an phróisis, comhthéacs sprice an ruda, aicme an ruda agus an cead sonrach a diúltaíodh. Léigh iad uile ceathair sula gcruthaíonn tú teoiric, mar tá deisiúcháin iomlán difriúla ag diúltú ar fhorghníomhú agus ag diúltú ar scríobh.

ausearch -m AVC,USER_AVC -ts recent
ls -Z /usr/local/sbin/vpn-up.sh
ps -eZ | grep openvpn

Ba cheart comhthéacs na foinse a bheith ag teacht leis an bhfearann ina ritheann an tseirbhís i ndáiríre, agus ba cheart comhthéacs na sprice a bheith ag teacht le lipéad an chomhaid nó an eolaire ar theagmhaigh an oibríocht leis. Mura bhfuil ceachtar acu ag teacht leis an earráid atá á leanúint agat, tá tú ag léamh eachtra eile.

Tabhair faoi deara leagan an pholasaí agus an cosán cruinn chuig an bhfeidhmchlár in aice leis an taifead. Is fianaise faoin suiteáil sin é ainm fearainn a thagann chun solais i bpolasaí aon dáileadh amháin, ní ráthaíocht é go seachadfaidh tógáil eile na rialacha céanna. Is é an comhthéacs sin a ligeann do dhuine éigin eile do chonclúid a atáirgeadh ar a óstach féin. Gan é, léitear an taifead mar scéal seachas mar fhianaise.

Lipéad, cumraíocht nó polasaí: trí dheisiúchán

Is é an chéad deisiúchán lipéad nach dtagann le suíomh suiteáilte an chomhaid. Féadfaidh script a cóipeáladh isteach ina áit le cp nó a scríobhadh ag eagarthóir lipéad réamhshocraithe a iompar nach féidir le fearann na seirbhíse a úsáid, agus réitíonn athchóiriú an chomhthéacs a bhfuiltear ag súil leis é gan an polasaí a bhaint ar chor ar bith.

Is é an dara ceann cumraíocht. Féadfaidh an dáileadh bealach tacaíochta chun an oibríocht a rith, eolaire doiciméadaithe don chúntóir, nó pacáiste polasaí nuashonraithe a cheadaíonn cheana féin é a sholáthar. Tá sé níos saoire do leagan amach a athrú go dtí an ceann tacaíochta ná polasaí a scríobh agus maireann sé trí nuashonruithe.

Is é an tríú ceann riail atá ar iarraidh go fírinneach, agus ba cheart gurb é an t-áit dheireanach é. Gin iarrthóir leis na huirlisí iniúchóireachta, léigh a bhfuil ceadaithe aige i ndáiríre, cúngaigh é don oibríocht agus don fhearann a bhreathnaigh tú, agus iarr ar dhuine éigin eile é a athbhreithniú sula dtéann sé in aice le táirgeadh.

Cén fáth nach é seam-mhodúl allow an freagra

Tá torthaí cuardaigh don locht seo lán de mhodúil réamhdhéanta, go minic d’uirlis nach nglaonn an hook uirthi a thuilleadh. Tugann ceann a shuiteáil ceadanna nach mbaineann aon rud le do dhiúltú, agus fágtar an fíormheaitseáil ina háit agus cuirtear poll buan leis.

Cealaíonn sé an chéad chliseadh eile freisin. Déanfaidh modúl a cheadaíonn aicme leathan oibríochtaí an earráid seo a dhéanamh imithe agus iompóidh sé an chéad cheann eile ina rud i bhfad níos deacra a chur i leith. Is athrú é modúl a bhaint níos déanaí freisin nach bhfuil aon duine ag iarraidh a sceidealú, mar sin bíonn an aicearra seo de ghnáth ina rud buan.

Is é an chomparáid dhisciplíneach idir an diúltú is féidir leat a léamh agus an t-athrú a mholann tú. Cuireann treoir fabhtcheartaithe SELinux de chuid Red Hat seiceálacha lipéadaithe agus cumraíochta chun tosaigh ar pholasaí ginte go díreach ar an gcúis sin. Mura bhfuil diúltú comhfhreagrach sa taifead, is dócha nach é SELinux do fhadhb, agus tá saincheisteanna cosáin, sandbox nó cead fós oscailte.