SElinux：httpdが特定のポートに接続できるようにする

私のシステムは、Apache2.2.15でCentOS 6.4を実行しています。SElinuxは強制的であり、python / wsgiアプリを介してredisのローカルインスタンスに接続しようとしています。エラー13、許可が拒否されました。次のコマンドで修正できます。

setsebool -P httpd_can_network_connect

ただし、httpdがすべてのtcpポートに接続できるようにしたくはありません。httpdが接続できるポート/ネットワークを指定するにはどうすればよいですか？httpdがポート6379（redis）または127.0.0.1のtcpに接続できるようにするモジュールを作成できれば、それが望ましいでしょう。なぜ私の妄想がこれにとても強いのかは分かりませんが、ちょっと...

知ってる？

デフォルトでは、SELinuxポリシーは、これらのサービスに関連付けられた認識されたポートへのサービスアクセスのみを許可します。

# semanage port -l | egrep '(^http_port_t|6379)'
http_port_t                    tcp      80, 81, 443, 488, 8008, 8009, 8443, 9000
# curl http://localhost/redis.php
Cannot connect to redis server.

-Redisポート（6379）をSELinuxポリシーに追加

# semanage port -a -t http_port_t -p tcp 6379
# semanage port -l | egrep '(^http_port_t|6379)'
http_port_t                    tcp      6379, 80, 81, 443, 488, 8008, 8009, 8443, 9000
# curl http://localhost/redis.php
Connected successfully.

setroubleshoot-serverRPMをインストールして実行することもできsealert -a /var/log/audit/audit.logます。-有用な提案（上記のコマンドを含む）を含む素晴らしいレポートを提供します。

接続をテストするPHPスクリプト：

# cat redis.php 
<?php

$redis=new Redis();
$connected= $redis->connect('127.0.0.1', 6379);

if(!$connected) {
        die( "Cannot connect to redis server.\n" );
}

echo "Connected successfully.\n";

?>

使用する必要があるかもしれません

semanage port -m -t http_port_t -p tcp 6379

semanageが欠落している場合、パッケージpolicycoreutils-pythonを追加します

yum install policycoreutils-python

selinuxを一時的に許可モードにして、httpdをredisに接続してから、audit2allowを使用してカスタムポリシーモジュールを生成および構築できます。