SELinux permite solicitações http no Fedora 14

Question

Eu tenho uma instância do Fedora 14 no Amazon EC2 e quero fazer uma solicitação http dessa instância para outra no mesmo grupo de segurança amazon. Quando eu uso o wget para fazer o pedido ele funciona bem. No entanto, quando eu uso o cliente Apache HTTP em execução através do JBoss 6 eu recebo um

HttpClient ConnectException: Connection refused

O JBoss não roda como root, mas sim como usuário "jboss". Eu suspeito que isso seja um problema do SELinux. Eu loguei como root e liguei para

setsebool -P httpd_can_network_connect 1

e

setsebool -P httpd_can_network_relay 1

Mas ainda sem sorte. Qualquer conselho seria muito apreciado.

Atenciosamente

    

Answer 1

Primeiro, verifique que o SELinux é, de fato, o culpado, verificando seu log de auditoria em /var/log/audit/audit.log . Deve haver uma mensagem com type=AVC relacionada ao JBoss.

Em seguida, você pode usar essa mensagem em conjunto com a ferramenta audit2allow para autorizar o acesso bloqueado. Para autorizar tudo bloqueado para qualquer binário com o nome jboss até o momento, execute isso como root :

grep jboss /var/log/audit/audit.log | audit2allow -M jboss
semodule -i jboss.pp

No entanto, é melhor permitir apenas as permissões específicas necessárias. Para fazer isso, copie e cole as linhas relevantes do seu log de auditoria para um novo arquivo e cat para audit2allow .