Porta SELinux “definida na política, não pode ser excluída”

Question

Não estou satisfeito com a resposta a esta pergunta :

$> sudo semanage port -d -p tcp -t foo...
ValueError: Port foo is defined in policy, cannot be deleted

A resposta aceita é

The SELinux policy includes definitions for ports ... There is no need to remove them.

Não precisa para removê-los. Ok, mas eu quero removê-los de qualquer maneira - eu quero que a disponibilidade do SELinux da porta corresponda à disponibilidade real da porta, apenas por causa da consistência.

Como eu semanage port -d para portas definidas na política? (No meu caso, ssh.)

    

Answer 1

Sua opção seria criar seu próprio módulo de política para SSH, removendo a parte em que a porta está rotulada.

Como agora você pode carregar os módulos de política especificando uma prioridade, seu módulo personalizado terá uma precedência maior. Verifique o sinal -X,--priority=PRIORITY na página de manual semodule para os detalhes.

Para o registro, eu concordo com Michael Hampton em que não há necessidade de remover a porta da política. Ele não aumenta a segurança do sistema, pois há várias maneiras de aumentar ou diminuir o gerenciamento de segurança (como no caso do SELinux) do servidor SSH, a saber: excluir o servidor OpenSSH para começar, labelifique o tráfego ou, na outra direção, coloque o servidor SSH em um Domínio permissivo .