É possível persistir as declarações de porta do selinux nas reinicializações?

Question

Atualmente, precisamos executar algo assim toda vez que iniciarmos:

/usr/sbin/semanage port -a -t memcache_port_t -p tcp ${special-snowflake-port}

Seria ótimo se pudéssemos persistir nas reinicializações. A resposta é compilar a dieta, mas a grande questão é como isso é feito? Nada do que eu vi na documentação do arquivo .fc sugere que isso poderia estar codificado lá e a sintaxe do arquivo .te é meio difícil de ler. No entanto, claramente as políticas por compilação definem as coisas, não consigo encontrar como.

O que estou perdendo?

    

Answer 1

Acontece que eles realmente são persistentes e eu nunca percebi. semanage armazena representações de arquivo de políticas em /etc/selinux/${config-file}/modules/active . No meu caso, a lista de portas está em:

/etc/selinux/targeted/modules/active/ports.local

Isso é preenchido com entradas semelhantes a esta:

portcon tcp 11222 system_u:object_r:memcache_port_t:s0

Este diretório é regenerado sempre que uma regra é adicionada (-a) ou excluída (-d) por semanage.

file_contexts é o contexto de arquivo persistente do arquivo.

Isso é útil, já que esses arquivos são mais rápidos que a saída-semanage -l pode ser gerada.

    

Answer 2

Acabei de testar o comando que você fornece em um sistema CentOS 6.5, ele funciona como esperado e adiciona ${special-snowflake-port} à lista tcp memcache_port_t . A reinicialização da VM de teste não alterou isso conforme visto por

semanage port -l | grep memcache_port_t
memcache_port_t                tcp      11311, 11211
memcache_port_t                udp      11211

Isso persiste até que você o exclua

semanage port -d -t memcache_port_t -p tcp 11311
semanage port -l | grep memcache_port_t
memcache_port_t                tcp      11211
memcache_port_t                udp      11211

O que você está entendendo mal? O que faz com que você pense que isso não é persistente?