Comment permettre à Apache de se lier à des ports non standard dans SELinux ?

Utilisation de semanage pour modifier les règles de port SELinux

Pour résoudre le problème de liaison de port Apache avec SELinux, utilisez l'outil semanage. Cet outil vous permet de modifier les règles de port SELinux et d'ajouter de nouveaux ports à la configuration SELinux.

Installez les outils nécessaires :

sudo yum -y install policycoreutils-python

Cette commande installe le paquet policycoreutils-python, qui inclut l'outil semanage.

Pour ajouter un nouveau port à la configuration SELinux, utilisez cette commande :

sudo semanage port -a -t http_port_t -p tcp [NUMÉRO_DE_PORT]

Remplacez [NUMÉRO_DE_PORT] par le port que vous souhaitez autoriser pour Apache.

sudo semanage port -l | grep http_port_t

Solution étape par étape

1. Vérifiez les paramètres de port SELinux actuels : Pour voir les paramètres de port SELinux actuels pour Apache, exécutez :

   sudo semanage port -l | grep http_port_t

   Cette commande liste tous les ports autorisés pour Apache.

2. Ajoutez le nouveau port aux règles SELinux : Utilisez la commande semanage pour ajouter le nouveau port. Par exemple, pour ajouter le port 88 :

   sudo semanage port -a -t http_port_t -p tcp 88

3. Redémarrez le service Apache : Après avoir ajouté le nouveau port, redémarrez Apache pour appliquer les changements :

   sudo systemctl restart httpd

Modifications temporaires vs permanentes des règles SELinux

Utilisation de semanage pour des changements permanents : La commande semanage effectue des modifications permanentes aux règles SELinux. Ces changements restent actifs après les redémarrages du système. Cette méthode convient bien aux configurations à long terme où Apache doit se lier à des ports non standard spécifiques.

Options pour des changements temporaires : Pour des changements temporaires, vous pouvez utiliser la commande 'setenforce' pour mettre SELinux en mode permissif :

sudo setenforce 0

Cette commande désactive temporairement l'application de SELinux, permettant à Apache de se lier à n'importe quel port. Ce paramètre revient au mode d'application par défaut après un redémarrage du système.

Implications en matière de sécurité

Équilibrer facilité et sécurité : L'ajout de ports non standard aux règles SELinux pour Apache offre plus d'options mais peut réduire la sécurité. Chaque port ajouté augmente le risque de menaces. Comparez toujours les avantages de l'utilisation de ports non standard avec le risque de sécurité accru.

Bonnes pratiques pour l'utilisation de ports non standard :

1. N'ajoutez que les ports dont vos applications ont besoin.
2. Vérifiez régulièrement vos paramètres de port SELinux pour supprimer les ports inutilisés.
3. Utilisez des règles de pare-feu strictes pour limiter l'accès aux ports non standard.
4. Surveillez les journaux pour détecter toute activité inhabituelle sur ces ports.
5. Maintenez à jour votre serveur Apache et les logiciels associés pour réduire les risques potentiels.

Utilisation d'Apache avec différents contextes SELinux

Modification du contexte SELinux pour Apache : Vous pouvez modifier le contexte SELinux pour Apache au lieu de modifier les règles de port SELinux. Cette méthode implique de donner un contexte SELinux différent au processus Apache, lui permettant de se lier à différents ports.

Pour modifier le contexte SELinux pour Apache :

1. Créez un module de politique SELinux personnalisé :

   ausearch -c 'httpd' --raw | audit2allow -M my-httpd

2. Chargez le nouveau module de politique :

   semodule -i my-httpd.pp

Avantages de cette méthode :

• Apache peut se lier à n'importe quel port sans modifier les règles de port individuelles.
• Elle offre une solution flexible pour des configurations complexes.

Inconvénients de cette méthode :

• Elle peut accorder plus de permissions que nécessaire, ce qui pourrait réduire la sécurité.
• Elle nécessite une connaissance avancée des politiques SELinux.
• La résolution des problèmes peut être plus difficile si des problèmes surviennent.

ps auxZ | grep httpd

Désactivation de SELinux (Non recommandé)

Pourquoi désactiver SELinux est risqué : Désactiver SELinux supprime une couche de sécurité clé de votre système. Cela rend votre serveur plus vulnérable aux attaques et aux exploits. Certains risques incluent :

• Risque accru d'attaques par élévation de privilèges
• Moins de protection contre les malwares et les accès non autorisés
• Perte des journaux d'audit qui aident à détecter et à enquêter sur les problèmes de sécurité
• Violations potentielles de conformité pour les systèmes nécessitant SELinux

Situations où cela pourrait être envisagé : Bien que ce ne soit pas recommandé, il existe de rares cas où vous pourriez envisager de désactiver SELinux temporairement :

• Lors du dépannage initial pour identifier les problèmes liés à SELinux
• Dans des environnements de test contrôlés pour des tests d'applications spécifiques
• Lors de l'exécution d'anciennes applications incompatibles avec SELinux et ne pouvant pas être modifiées

Si vous devez désactiver SELinux, faites-le uniquement pour une courte durée et réactivez-le dès que possible. Pour désactiver SELinux, modifiez le fichier /etc/selinux/config et définissez SELINUX=disabled, puis redémarrez le système.