టెర్మినల్లో root, SELinux కింద తిరస్కరించబడింది: hook ఎందుకు విఫలమవుతుంది

మీరు up స్క్రిప్ట్ను root గా నడుపుతారు, అది పూర్తవుతుంది, సేవ దానిని పిలిచినప్పుడు అదే స్క్రిప్ట్ విఫలమవుతుంది. ఫైల్ అనుమతుల్లో ఏదీ మారలేదు, కాబట్టి తదుపరి సహజ అడుగు వాటిని మళ్లీ సడలించడం, అది ఏదీ సరిచేయదు. SELinux హోస్ట్లో నిర్ణాయక అంశం తరచుగా ప్రక్రియ ఎవరు అనేది కాదు, అది ఏ డొమైన్లో నడుస్తుంది అనేది, మరియు పరిమిత డొమైన్ లోపల root కూడా పరిమితంగానే ఉంటుంది.

అదే ఆదేశం, రెండు వేర్వేరు భద్రతా డొమైన్లు

రకం అమలు మూల డొమైన్, లక్ష్య లేబుల్ మరియు అభ్యర్థించిన ఆపరేషన్ను కలిసి అంచనా వేస్తుంది. మీ టెర్మినల్ సెషన్ అపరిమిత లేదా పరిపాలనా డొమైన్లో నడుస్తుంది, డీమన్ దాని యూనిట్కు కేటాయించిన డొమైన్లో నడుస్తుంది. కాబట్టి ఒకేలాంటి ఆదేశాలు వేర్వేరు నిర్ణయాలు ఇస్తాయి, ఈ భేదం విధానంలోని బగ్ కాదు, ఉద్దేశపూర్వకం.

అందుకే రెండు రన్లను పోల్చడం వాటి సందర్భాలను పోల్చినప్పుడే ఉపయోగకరం. అదే ఆదేశాన్ని షెల్ నుండి మరియు hook నుండి నడపండి; షెల్ వెర్షన్ బైనరీ ఉందని మరియు వాదనలు సరైనవని నిరూపిస్తుంది, కానీ సేవకు దానిని నడపడానికి అనుమతి ఉందా అనే దానిపై ఏమీ నిరూపించదు. రెండు మార్గాల్లో నడపి, నిష్క్రమణ కోడ్లు మాత్రమే కాదు, డొమైన్లను పోల్చండి. ఆ పోలికే అస్పష్టమైన అనుమతి ఫిర్యాదును ఒక డొమైన్ మరియు ఒక లేబుల్ గురించిన నిర్దిష్ట ప్రశ్నగా మారుస్తుంది.

ఈ లోపం సాంప్రదాయ రూపం బాహ్య సాధనాన్ని పిలిచే సహాయకుడు. hook స్వయంగా అనుమతించబడవచ్చు, కానీ అది పిలిచే సాధనం సేవా డొమైన్ నడపలేని లేబుల్ను కలిగి ఉంటుంది, లేదా దాని లేబుల్ నిషేధించే డైరెక్టరీలో రాస్తుంది.

hook లోపం పక్కన AVC రికార్డును చదవండి

AVC తిరస్కరణ కేసును నిర్ణయించే ఫీల్డ్లను పేర్కొంటుంది: ప్రక్రియ మూల సందర్భం, వస్తువు లక్ష్య సందర్భం, వస్తువు తరగతి మరియు తిరస్కరించిన నిర్దిష్ట అనుమతి. సిద్ధాంతాన్ని రూపొందించే ముందు నాలుగింటినీ చదవండి, ఎందుకంటే ఎగ్జిక్యూట్పై తిరస్కరణ మరియు రైట్పై తిరస్కరణ పూర్తిగా వేర్వేరు మరమ్మతులను కలిగి ఉంటాయి.

ausearch -m AVC,USER_AVC -ts recent
ls -Z /usr/local/sbin/vpn-up.sh
ps -eZ | grep openvpn

మూల సందర్భం సేవ నిజంగా నడిచే డొమైన్కు సరిపోలాలి, లక్ష్య సందర్భం ఆపరేషన్ తాకిన ఫైల్ లేదా డైరెక్టరీ లేబుల్కు సరిపోలాలి. వాటిలో ఏదైనా మీరు వెంబడిస్తున్న లోపంతో సరిపోలకపోతే, మీరు మరో సంఘటనను చదువుతున్నారు.

రికార్డు పక్కన విధానం వెర్షన్ మరియు ఎగ్జిక్యూటబుల్ ఖచ్చితమైన మార్గాన్ని గుర్తించండి. ఒక పంపిణీ విధానంలో కనిపించే డొమైన్ పేరు ఆ ఇన్స్టాలేషన్ గురించిన సాక్ష్యం, మరో బిల్డ్ అదే నియమాలను అందిస్తుందని హామీ కాదు. ఆ సందర్భమే మరొకరు తమ సొంత హోస్ట్లో మీ ముగింపును పునఃసృష్టించడానికి అనుమతిస్తుంది. అది లేకుండా రికార్డు సాక్ష్యంగా కాకుండా కథగా చదవబడుతుంది.

లేబుల్, కాన్ఫిగరేషన్ లేదా విధానం: మూడు మరమ్మతులు

మొదటి మరమ్మతు ఫైల్ ఇన్స్టాల్ చేసిన స్థానంతో సరిపోలని లేబుల్. cp తో స్థానంలోకి కాపీ చేసిన లేదా ఎడిటర్తో రాసిన స్క్రిప్ట్ సేవా డొమైన్ ఉపయోగించలేని డిఫాల్ట్ లేబుల్ను కలిగి ఉండవచ్చు, ఆశించిన సందర్భాన్ని పునరుద్ధరించడం విధానాన్ని తాకకుండానే దానిని సరిచేస్తుంది.

రెండవది కాన్ఫిగరేషన్. పంపిణీ ఆపరేషన్ను నడపడానికి మద్దతు ఉన్న మార్గాన్ని, సహాయకుడి కోసం డాక్యుమెంట్ చేసిన డైరెక్టరీని, లేదా ఇప్పటికే దానిని అనుమతించే నవీకరించిన విధాన ప్యాకేజీని అందించవచ్చు. మీ లేఅవుట్ను మద్దతు ఉన్న దానికి మార్చడం విధానం రాయడం కంటే చవకైనది మరియు నవీకరణలను తట్టుకుంటుంది.

మూడవది నిజంగా లేని నియమం, అది చివరి మార్గం కావాలి. ఆడిట్ సాధనాలతో అభ్యర్థిని సృష్టించండి, అది నిజంగా ఏమి అనుమతిస్తుందో చదవండి, మీరు గమనించిన ఆపరేషన్ మరియు డొమైన్కు దానిని పరిమితం చేయండి, మరియు ఉత్పత్తికి దగ్గరయ్యే ముందు మరొకరిని దానిని సమీక్షించమనండి.

పాత allow మాడ్యూల్ సమాధానం ఎందుకు కాదు

ఈ లోపం కోసం శోధన ఫలితాలు సిద్ధమైన మాడ్యూళ్లతో నిండి ఉన్నాయి, తరచుగా hook ఇకపై పిలవని సాధనం కోసం. ఒకటి ఇన్స్టాల్ చేయడం మీ తిరస్కరణకు ఎలాంటి సంబంధం లేని అనుమతులను ఇస్తుంది, మరియు శాశ్వత రంధ్రాన్ని జోడిస్తూ నిజమైన అసమతుల్యతను దాని స్థానంలోనే వదిలివేస్తుంది.

అది తదుపరి వైఫల్యాన్ని కూడా దాచుతుంది. విస్తృత ఆపరేషన్ తరగతిని అనుమతించే మాడ్యూల్ ఈ లోపాన్ని అదృశ్యం చేసి తదుపరి దానిని ఆపాదించడం చాలా కష్టమైనదిగా మారుస్తుంది. తర్వాత మాడ్యూల్ను తొలగించడం కూడా ఎవరూ షెడ్యూల్ చేయాలనుకోని మార్పు, కాబట్టి షార్ట్కట్ శాశ్వతంగా మారే ధోరణి ఉంది.

క్రమశిక్షణాయుత పోలిక మీరు చదవగలిగే తిరస్కరణ మరియు మీరు ప్రతిపాదించే మార్పు మధ్య ఉంది. SELinux సమస్యల పరిష్కార మార్గదర్శిని లేబులింగ్ మరియు కాన్ఫిగరేషన్ తనిఖీలను ఉత్పత్తి చేసిన విధానానికి ముందు ఉంచుతుంది, సరిగ్గా ఈ కారణం వల్లనే. రికార్డులో సరిపోలే తిరస్కరణ లేకపోతే, SELinux బహుశా మీ సమస్య కాదు, మరియు మార్గం, శాండ్బాక్స్ లేదా అనుమతి సమస్యలు ఇంకా తెరిచే ఉన్నాయి.