Selinux가 내 Apache/Nginx 서비스를 차단하는 이유는 무엇입니까?

Selinux는 일반적으로 권한 문제로 인해 Apache 또는 Nginx 서비스를 차단합니다. 솔루션에는 파일 컨텍스트 설정, 비표준 포트 허용 및 정책 조정이 포함됩니다. 1. 기본 문서 루트 디렉토리가 변경되면 액세스가 거부되면 CHCON과 SEMANAGE를 사용하여 올바른 SELINUX 컨텍스트를 설정해야합니다. 2. 비표준 포트 (예 : 8080)를 사용하는 경우 Semanage를 통해 허용 목록에 포트를 추가해야합니다. 3. 파일 컨텍스트 오류 인 경우 retorecon을 통해 기본 컨텍스트를 복원 할 수 있습니다. 4. Selinux가 강제 모드에 있고 정책이 조정되지 않으면 Audit2allow를 통해 문제를 확인하고 정책 모듈 최적화 규칙을 사용자 정의하는 것이 일시적으로 비활성화 될 수 있습니다.

Selinux는 일반적으로 권한 문제로 인해 Apache 또는 Nginx 서비스를 차단합니다. 웹 서버가 허용되지 않은 파일에 액세스하려고하거나 기본적으로 허용되지 않는 포트에 바인딩하려고합니다. 필요한 구성의 버그에 관한 것이 아닙니다. Selinux가 정책을 시행하는 것과 같은 것입니다.

다음은 가장 일반적인 이유와 그들을 다루는 방법입니다.

1. 웹 서버는 사용자 정의 문서 루트에 액세스 할 수 없습니다

Nginx의 Apache 또는 root Directory의 기본 DocumentRoot /var/www/html 이외의 것으로 변경하면 Selinux가 액세스를 차단할 수 있습니다.

• 이것이 문제인지 확인하십시오 .
  grep httpd /var/log/audit/audit.log | audit2why 실행하십시오 grep httpd /var/log/audit/audit.log | audit2why (Apache의 경우) 또는 httpd nginx 로 NGINX로 교체하십시오. "denied {read}"와 같은 메시지가 표시되면 파일 컨텍스트 문제를 의미 할 수 있습니다.

• 수정 :
  새 디렉토리에서 올바른 Selinux 컨텍스트를 설정해야합니다. 예를 들어:

   chcon -t httpd_sys_content_t/path/to/your/webroot

  또는 쓰기 가능한 컨텐츠 (업로드 예 : 업로드) :

   chcon -t httpd_sys_rw_content_t/path/to/upload/dir

  재부팅 후 이것을 지속적으로 만들기 위해 :

   semanage fcontext -a -t httpd_sys_content_t "/path/to/your/webroot(/.*)?"
  Restorecon -rv/path/to/your/webroot

2. 비표준 포트를 사용하려고합니다

기본적으로 Selinux를 사용하면 Apache/Nginx가 포트 80 및 443에서만 청취 할 수 있습니다. 다른 포트 (8080 또는 8000)에서 서버를 실행하도록 서버를 구성하면 Selinux가 차단됩니다.

• 확인 방법 :
  다시 감사 로그를 확인하십시오.

   grep nginx /var/log/audit/audit.log | AUDIT2WHY

  거부되는 포트에 바인딩에 대한 메시지를 찾으십시오.

• 수정 방법 :

  서비스에 허용 된 목록에 포트를 추가하십시오.

   semanage port -a -t http_port_t -p tcp 8080

  이제 서비스를 다시 시작하면 Selinux가 더 이상 불만을 제기하지 않습니다.

3. 파일 권한 및 컨텍스트가 꺼져 있습니다

문서 루트를 변경하지 않더라도 파일 자체가 잘못된 SELINUX 컨텍스트 (특히 다른 곳에서 복사하거나 FTP/SFTP를 통해 업로드 한 경우에 잘못된 컨텍스트가 잘못되었습니다.

• 빠른 점검 :

  달리다:

   ls -z/var/www/html

  컨텍스트가 system_u:object_r:httpd_sys_content_t:s0 과 같은지 확인하십시오.

• 수정하려면 :

  기본 컨텍스트 복원 :

   Restorecon -v /var/www/html/index.html

  물건을 복사 한 경우 재귀 적으로 다시 적용하는 것이 좋습니다.

   Restorecon -rv/var/www/html/

4. Selinux는 시행 모드에 있지만 정책을 조정하지 않았습니다.

때때로 문제는 하나의 구체적인 일이 아닙니다. Selinux가 활성화되고 시행되며 귀하의 서비스가 규칙에 따라 실행되도록 완전히 조정되지 않았습니다.

• 일시적으로 테스트 할 시행을 비활성화합니다 .

   setenforce 0

  그런 다음 Apache 또는 Nginx를 다시 시작하십시오. 지금 작동하면 Selinux가 관련되어 있음을 알고 있습니다.

⚠️ 비활성화를 남기지 마십시오.이를 사용하여 확인하십시오.

• 더 나은 접근 방식 : 대상 정책 모듈을 사용하거나 반복 거부가있는 경우 audit2allow 사용하여 기존 모듈을 조정하십시오.

웹 서버를 차단하는 Selinux는 일반적으로 파일 컨텍스트 또는 포트 제한으로 줄어 듭니다. 어디에서보아야하는지 알면 고정하는 데 시간이 오래 걸리지 않습니다. 기본적으로 올바른 레이블을 설정하거나 추가 포트를 허용합니다. 일단 당신이 그것을 매달린 후에는 나쁘지 않습니다.

위 내용은 Selinux가 내 Apache/Nginx 서비스를 차단하는 이유는 무엇입니까?의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!