Como permitir que o Apache se conecte a portas não padrão no SELinux?

Usando semanage para Modificar as Regras de Porta do SELinux

Para resolver o problema de vinculação de porta do Apache com SELinux, use a ferramenta semanage. Essa ferramenta permite modificar as regras de porta do SELinux e adicionar novas portas à configuração do SELinux.

Instale as ferramentas necessárias:

sudo yum -y install policycoreutils-python

Este comando instala o pacote policycoreutils-python, que inclui a ferramenta semanage.

Para adicionar uma nova porta à configuração do SELinux, use este comando:

sudo semanage port -a -t http_port_t -p tcp [NÚMERO_DA_PORTA]

Substitua [NÚMERO_DA_PORTA] pela porta que você deseja permitir para o Apache.

sudo semanage port -l | grep http_port_t

Solução Passo a Passo

1. Verifique as configurações atuais de porta do SELinux: Para ver as configurações atuais de porta do SELinux para o Apache, execute:

   sudo semanage port -l | grep http_port_t

   Este comando lista todas as portas permitidas para o Apache.

2. Adicione a nova porta às regras do SELinux: Use o comando semanage para adicionar a nova porta. Por exemplo, para adicionar a porta 88:

   sudo semanage port -a -t http_port_t -p tcp 88

3. Reinicie o serviço Apache: Após adicionar a nova porta, reinicie o Apache para aplicar as mudanças:

   sudo systemctl restart httpd

Mudanças Temporárias vs Permanentes nas Regras do SELinux

Usando semanage para mudanças permanentes: O comando semanage faz mudanças permanentes nas regras do SELinux. Essas mudanças permanecem ativas após reinicializações do sistema. Este método funciona bem para configurações de longo prazo onde o Apache precisa se vincular a portas não-padrão específicas.

Opções para mudanças temporárias: Para mudanças temporárias, você pode usar o comando 'setenforce' para mudar o SELinux para o modo permissivo:

sudo setenforce 0

Este comando desativa a aplicação do SELinux temporariamente, permitindo que o Apache se vincule a qualquer porta. Esta configuração volta ao modo de aplicação padrão após uma reinicialização do sistema.

Implicações de Segurança

Equilibrando facilidade e segurança: Adicionar portas não-padrão às regras do SELinux para o Apache oferece mais opções, mas pode reduzir a segurança. Cada porta adicionada aumenta o risco de ameaças. Sempre compare os benefícios de usar portas não-padrão com o maior risco de segurança.

Melhores práticas para uso de portas não-padrão:

1. Adicione apenas as portas que suas aplicações necessitam.
2. Verifique suas configurações de porta do SELinux frequentemente para remover portas não utilizadas.
3. Use regras de firewall fortes para limitar o acesso a portas não-padrão.
4. Verifique os logs em busca de atividades incomuns nessas portas.
5. Mantenha seu servidor Apache e softwares relacionados atualizados para reduzir riscos potenciais.

Usando Apache com Contextos SELinux Diferentes

Mudando o contexto SELinux para o Apache: Você pode mudar o contexto SELinux para o Apache em vez de modificar as regras de porta do SELinux. Este método envolve dar um contexto SELinux diferente ao processo do Apache, permitindo que ele se vincule a diferentes portas.

Para mudar o contexto SELinux para o Apache:

1. Crie um módulo de política SELinux personalizado:

   ausearch -c 'httpd' --raw | audit2allow -M my-httpd

2. Carregue o novo módulo de política:

   semodule -i my-httpd.pp

Prós deste método:

• O Apache pode se vincular a qualquer porta sem mudar regras de porta individuais.
• Oferece uma solução flexível para configurações complexas.

Contras deste método:

• Pode dar mais permissões do que o necessário, o que pode reduzir a segurança.
• Requer conhecimento avançado de políticas SELinux.
• Corrigir problemas pode ser mais difícil se ocorrerem.

ps auxZ | grep httpd

Desativando o SELinux (Não Recomendado)

Por que desativar o SELinux é arriscado: Desativar o SELinux remove uma camada de segurança chave do seu sistema. Isso torna seu servidor mais vulnerável a ataques e exploits. Alguns riscos incluem:

• Maior risco de ataques de escalada de privilégios
• Menos proteção contra malware e acesso não autorizado
• Perda de logs de auditoria que ajudam a detectar e investigar problemas de segurança
• Possíveis violações de conformidade para sistemas que exigem SELinux

Situações onde pode ser considerado: Embora não seja recomendado, há casos raros onde você pode considerar desativar o SELinux temporariamente:

• Durante a solução inicial de problemas para identificar questões relacionadas ao SELinux
• Em ambientes de teste controlados para testes específicos de aplicações
• Ao executar aplicações antigas que não funcionam com SELinux e não podem ser modificadas

Se você precisar desativar o SELinux, faça isso apenas por um curto período e reative-o assim que possível. Para desativar o SELinux, edite o arquivo /etc/selinux/config e defina SELINUX=disabled, depois reinicie o sistema.