SELinux覚書き(httpd_can_network_connect)

SELinuxのこまごまとした点についての覚書き

• httpd_can_network_connect
  WEBサーバからDBサーバへアクセスするプログラムをPHPで作成したが、アクセスできない現象が発生
  • 原因
    WEBサーバのSELinuxのhttpd_can_network_connectが無効となっていた
  • 対処
    # setsebool -P httpd_can_network_connect 1
  • 確認
    # getsebool httpd_can_network_connect
    httpd_can_network_connect --> on

SELinux ラベルの変更

httpd で公開フォルダを追加した時についつい忘れて手間取ってしまうのが、SELinuxのラベルの貼り替えです。

SELinuxで運用しているとフォルダや作成した時には、作成先に見合うラベルを設定する必要があります。
通常は、restorecon -R コマンドで親フォルダの情報が引き継がれると思っていたのですが、単純に引き継がれる訳でないようです。（詳細は未確認（未調査）です。）
よって、作成したフォルダに正しいラベルを設定するという事が必要になります。

# chcon system_u:object_r:httpd_sys_content_t /home/www -R
# chcon system_u:object_r:httpd_sys_script_exec_t /home/www/cgi-bin -R

SELinux でつまずく

ファイルおよびフォルダに設定されいるタイプの詳細を確認しようと考え、seedit-gui をインストールして seed-init を実行する。しかし、これがいけなかったようだ。seed-init 実行後に再起動をしたら起動できなかった。

とりあえず、boot時にselinuxを無効にして起動をさせた。

boot時に selinuxを無効にする。

起動時に F2 を押し boot オプションを選択する。

title Turbolinux
kernel (hd0,0)/boot/vmlinuz root=0802 selinux=0
initrd (hd0,0)/boot/initrd

Samba－フォルダ名の変更ができない

メインで使用したＰＣの様子が変なので、重要データの持ち方をサーバーと２台のクライアント間の更新しあう環境に変更を行っていたところ、クライアントからSambaの共有フォルダ直下に作成されているフォルダ名を変更できない事が判明。

Sambaは今までも使用していたが、以前からこの現象に気づいていたがそれまでは特に困らなかったので放置していた。しかし、PCの故障等からデータを紛失しないためにもメインで使用するPCを切り替え使用可能にするためにも、この現象というかSambaの設定を正しく行うようにする必要がある。

Sambaの設定に問題があるのかと思っていろいろと試行してみたが、なんと問題はSELinuxにあった。 SELinuxを無効にすると問題なく共有フォルダ直下のフォルダ名を変更することができた。

ということでSELinuxの変更に着手を開始しようとしたが、現在のマシンのSELinuxの設定を自分で独自設定したためにSambaで使用するタイプやコンテキスト変数が定義されていない。
手動で作成していくのは大変かと考えてとりあえず、SELinuxのポリシータイプを現在のseeditからtargetに変更して対応することにした。

　　　↓（ここでまたやらかしてしまった。）

ポリシータイプを変更したのに、SELinuxのモードをEnforcingのまま再起動をしてしまい起動できなくなってしまった。

お決まりのブートオプションを指定して起動させて難なく対応する。
ブート時に A を押してブートオプションを指定する。（enforcing=0を追記する）

kernel /vmlinuz-2.6.18-194.32.1.el5.centos.plus ro root=/dev/VolGroup00/LogVol00 rhgb quiet  enforcing=0

起動できたら、次回起動時にラベルの振り直し（SELinux AdministratorでRelabel on next rebootをチェックする）設定をして再起動を行う。

あとは、地道に環境を整えて早くSELinuxのモードをEnforcingに戻すことにします。