RHEL 5圖形介面配置SELinux與Web服務器指南

SELinux：從「關閉」到「善用」的GUI啟程之路

RHEL 5提供GUI與命令列雙模式配置SELinux。本文採用圖形介面演示，降低學習門檻，展示SELinux並非洪水猛獸，而是可視、可控的強制存取控制（MAC）利器。

階段一：啟用許可模式——安全試水

1. 選單：系統 → 管理 → 安全等級與防火牆 → SELinux標籤。
2. 設定為 「許可模式」，重啟伺服器。
3. 驗證：sestatus 顯示 Current mode: permissive。

許可模式意義：記錄所有違規（AVC拒絕）但不阻擋操作，讓管理員在不影響業務前提下，收集完整策略缺口清單，為後續強制模式做準備。

階段二：SELinux策略管理GUI（system-config-selinux）

1. 終端機執行 system-config-selinux（需root），啟動主介面。
2. 左側核心選項：布爾值、檔案標籤、網路埠、用戶映射 等。

實戰案例：啟用FTPD使用CIFS協議

1. GUI左側選 Boolean，搜尋 allow_ftpd_use_cifs（預設 Off）。
2. 勾選啟用 → 套用。
3. 命令列驗證：getsebool -a | grep ftpd 確認 allow_ftpd_use_cifs --> on。

效果：FTP服務可透過CIFS掛載共享資料夾進行檔案傳輸，原本被SELinux阻擋的跨協議存取即時生效。

進階操作提示

• 檔案標籤修正：GUI「檔案標籤」標籤可視化修復 restorecon 難以處理的非標準路徑標籤錯誤。
• 網路埠標籤：非標準埠（如TCP 8080跑HTTP）需在「網路埠」添加 http_port_t 標籤，否則SELinux阻擋綁定。
• 審計日誌分析：/var/log/audit/audit.log 配合 audit2why、audit2allow 生成自定義策略模組，GUI可匯入編譯後的 .pp 模組。

從許可到強制：上線前核對清單

1. 業務全流程在許可模式下運行 ≥ 1週，收集零誤報。
2. 所有AVC拒絕經分析確認為「合理阻擋」（非業務誤傷）。
3. GUI/命令列補齊所有必要布爾值、標籤、埠號策略。
4. 切換 Enforcing模式（GUI或 setenforce 1），持續監控 48小時無業務異常始視為穩定。

專家心法

SELinux非障礙，而是強制最小權限的守門人。GUI讓策略可視化、操作邏輯化，配合許可模式「試錯免罰」，任何管理員都能駕馭。關鍵在於：日誌先行、策略跟進、強制上線、持續調優。