ubuntu selinux如何管理端口

Ubuntu 上 SELinux 端口管理

前置说明与准备

• Ubuntu 默认使用 AppArmor，并非 SELinux。如需使用 SELinux，应先安装并启用相关组件，再按 SELinux 的方式管理端口。
• 安装与启用步骤（示例）：
  • 安装工具与策略包：sudo apt update && sudo apt install selinux-basics selinux-policy-default auditd audispd-plugins
  • 启用 SELinux：sudo selinux-activate
  • 编辑配置文件 /etc/selinux/config，将 SELINUX=disabled 改为 SELINUX=enforcing
  • 重启系统：sudo reboot
• 安装端口管理工具（semanage）：sudo apt install policycoreutils（提供 semanage 命令）
• 常用状态与模式检查：getenforce（返回 Enforcing/Permissive/Disabled）、sestatus 查看详细状态。

常用端口管理命令

• 列出端口与类型映射：sudo semanage port -l（可配合 grep 过滤，如：semanage port -l | grep http）
• 添加端口到某类型（持久化）：sudo semanage port -a -t 类型 -p 协议 端口（例：sudo semanage port -a -t http_port_t -p tcp 8080）
• 修改已存在端口的类型：sudo semanage port -m -t 新类型 -p 协议 端口
• 删除端口映射：sudo semanage port -d -t 类型 -p 协议 端口
• 仅查看本机“本地自定义”的端口映射：sudo semanage port -l -C
• 说明：协议取值为 tcp/udp；类型需为系统已定义的端口类型（如 http_port_t、ssh_port_t 等）。

典型场景示例

• 让 Web 服务监听 8080/TCP：将端口加入 http_port_t，使 httpd/nginx 等可绑定该端口
  • 命令：sudo semanage port -a -t http_port_t -p tcp 8080
  • 验证：semanage port -l | grep http_port_t（应能看到 8080）
• 变更 SSH 端口后（如改为 1024/TCP），让 sshd 可绑定新端口
  • 命令：sudo semanage port -a -t ssh_port_t -p tcp 1024
  • 验证自定义项：semanage port -l -C（应能看到 ssh_port_t tcp 1024）
• 注意：修改端口类型仅解决“端口标签”问题；仍需确保服务配置、防火墙等同步更新。

排错与验证

• 查看 SELinux 是否拦截：getenforce（应为 Enforcing 才真正生效）
• 分析 AVC 拒绝日志：sudo ausearch -m avc -ts recent；如需解释可用 audit2why
• 若服务仍无法绑定端口，优先核对：服务是否配置了正确的端口、策略是否加载、以及端口类型是否匹配服务域的要求。