¿Cómo permitir que Apache se vincule a puertos no estándar en SELinux?

Uso de semanage para modificar las reglas de puertos de SELinux

Para resolver el problema de vinculación de puertos de Apache con SELinux, utilice la herramienta semanage. Esta herramienta le permite modificar las reglas de puertos de SELinux y agregar nuevos puertos a la configuración de SELinux.

Instale las herramientas necesarias:

sudo yum -y install policycoreutils-python

Este comando instala el paquete policycoreutils-python, que incluye la herramienta semanage.

Para agregar un nuevo puerto a la configuración de SELinux, use este comando:

sudo semanage port -a -t http_port_t -p tcp [NÚMERO_DE_PUERTO]

Reemplace [NÚMERO_DE_PUERTO] con el puerto que desea permitir para Apache.

sudo semanage port -l | grep http_port_t

Solución paso a paso

1. Verifique la configuración actual de puertos de SELinux: Para ver la configuración actual de puertos de SELinux para Apache, ejecute:

   sudo semanage port -l | grep http_port_t

   Este comando lista todos los puertos permitidos para Apache.

2. Agregue el nuevo puerto a las reglas de SELinux: Use el comando semanage para agregar el nuevo puerto. Por ejemplo, para agregar el puerto 88:

   sudo semanage port -a -t http_port_t -p tcp 88

3. Reinicie el servicio Apache: Después de agregar el nuevo puerto, reinicie Apache para aplicar los cambios:

   sudo systemctl restart httpd

Cambios temporales vs permanentes en las reglas de SELinux

Uso de semanage para cambios permanentes: El comando semanage realiza cambios permanentes en las reglas de SELinux. Estos cambios permanecen activos después de reiniciar el sistema. Este método funciona bien para configuraciones a largo plazo donde Apache necesita vincularse a puertos no estándar específicos.

Opciones para cambios temporales: Para cambios temporales, puede usar el comando 'setenforce' para cambiar SELinux al modo permisivo:

sudo setenforce 0

Este comando desactiva temporalmente la aplicación de SELinux, permitiendo que Apache se vincule a cualquier puerto. Esta configuración vuelve al modo de aplicación predeterminado después de reiniciar el sistema.

Implicaciones de seguridad

Equilibrio entre facilidad y seguridad: Agregar puertos no estándar a las reglas de SELinux para Apache ofrece más opciones, pero puede reducir la seguridad. Cada puerto agregado aumenta el riesgo de amenazas. Siempre compare los beneficios de usar puertos no estándar con el mayor riesgo de seguridad.

Mejores prácticas para el uso de puertos no estándar:

1. Agregue solo los puertos que sus aplicaciones necesiten.
2. Revise con frecuencia la configuración de puertos de SELinux para eliminar puertos no utilizados.
3. Use reglas de firewall estrictas para limitar el acceso a puertos no estándar.
4. Revise los registros en busca de actividad inusual en estos puertos.
5. Mantenga actualizados su servidor Apache y el software relacionado para reducir riesgos potenciales.

Uso de Apache con diferentes contextos de SELinux

Cambiar el contexto de SELinux para Apache: Puede cambiar el contexto de SELinux para Apache en lugar de modificar las reglas de puertos de SELinux. Este método implica asignar un contexto de SELinux diferente al proceso de Apache, permitiéndole vincularse a diferentes puertos.

Para cambiar el contexto de SELinux para Apache:

1. Cree un módulo de política SELinux personalizado:

   ausearch -c 'httpd' --raw | audit2allow -M my-httpd

2. Cargue el nuevo módulo de política:

   semodule -i my-httpd.pp

Ventajas de este método:

• Apache puede vincularse a cualquier puerto sin cambiar las reglas de puertos individuales.
• Ofrece una solución flexible para configuraciones complejas.

Desventajas de este método:

• Puede otorgar más permisos de los necesarios, lo que podría reducir la seguridad.
• Requiere conocimientos avanzados de políticas de SELinux.
• La resolución de problemas puede ser más difícil si surgen inconvenientes.

ps auxZ | grep httpd

Desactivación de SELinux (No recomendado)

Por qué desactivar SELinux es arriesgado: Desactivar SELinux elimina una capa de seguridad clave de su sistema. Hace que su servidor sea más vulnerable a ataques y exploits. Algunos riesgos incluyen:

• Mayor riesgo de ataques de escalada de privilegios
• Menos protección contra malware y acceso no autorizado
• Pérdida de registros de auditoría que ayudan a detectar e investigar problemas de seguridad
• Posibles violaciones de cumplimiento para sistemas que requieren SELinux

Situaciones en las que podría considerarse: Aunque no se recomienda, hay casos raros en los que podría considerar desactivar SELinux temporalmente:

• Durante la resolución inicial de problemas para identificar problemas relacionados con SELinux
• En entornos de prueba controlados para pruebas de aplicaciones específicas
• Al ejecutar aplicaciones antiguas que no funcionan con SELinux y no pueden ser modificadas

Si debe desactivar SELinux, hágalo solo por un breve período y vuelva a activarlo lo antes posible. Para desactivar SELinux, edite el archivo /etc/selinux/config y establezca SELINUX=disabled, luego reinicie el sistema.