SElinux: Ermöglicht httpd, eine Verbindung zu einem bestimmten Port herzustellen

Auf meinem System läuft CentOS 6.4 mit Apache 2.2.15. SElinux erzwingt dies und ich versuche, über meine Python / wsgi-App eine Verbindung zu einer lokalen Instanz von Redis herzustellen. Ich erhalte den Fehler 13, Erlaubnis verweigert. Ich könnte dies über den Befehl beheben:

setsebool -P httpd_can_network_connect

Ich möchte jedoch nicht, dass httpd eine Verbindung zu allen TCP-Ports herstellen kann. Wie kann ich festlegen, zu welchen Ports / Netzwerken httpd eine Verbindung herstellen darf? Wenn ich ein Modul erstellen könnte, mit dem httpd eine Verbindung zu Port 6379 (redis) oder einem beliebigen TCP auf 127.0.0.1 herstellen kann, wäre dies vorzuziehen. Ich bin mir nicht sicher, warum meine Paranoia so groß ist, aber hey ...

Weiß jemand?

Standardmäßig erlaubt die SELinux-Richtlinie nur den Zugriff von Diensten auf erkannte Ports, die diesen Diensten zugeordnet sind:

# semanage port -l | egrep '(^http_port_t|6379)'
http_port_t                    tcp      80, 81, 443, 488, 8008, 8009, 8443, 9000
# curl http://localhost/redis.php
Cannot connect to redis server.

- Fügen Sie den Redis-Port (6379) zur SELinux-Richtlinie hinzu

# semanage port -a -t http_port_t -p tcp 6379
# semanage port -l | egrep '(^http_port_t|6379)'
http_port_t                    tcp      6379, 80, 81, 443, 488, 8008, 8009, 8443, 9000
# curl http://localhost/redis.php
Connected successfully.

Sie können setroubleshoot-serverRPM auch installieren und ausführen: sealert -a /var/log/audit/audit.log- Sie erhalten einen schönen Bericht mit nützlichen Vorschlägen (einschließlich des obigen Befehls).

PHP-Skript zum Testen der Verbindung:

# cat redis.php 
<?php

$redis=new Redis();
$connected= $redis->connect('127.0.0.1', 6379);

if(!$connected) {
        die( "Cannot connect to redis server.\n" );
}

echo "Connected successfully.\n";

?>

Möglicherweise müssen Sie verwenden

semanage port -m -t http_port_t -p tcp 6379

Wenn Semanage fehlt, fügen Sie das Paket policycoreutils-python hinzu

yum install policycoreutils-python

Sie könnten selinux vorübergehend in den zulässigen Modus versetzen und httpd eine Verbindung zu redis herstellen lassen und dann mit audit2allow ein benutzerdefiniertes Richtlinienmodul generieren und erstellen