如何使用SELinux保護CentOS FTP Server

使用SELinux（Security-Enhanced Linux）可以增強CentOS FTP服務器的安全性。以下是一些步驟和配置，幫助你使用SELinux保護CentOS FTP服務器：

1. 安裝和配置FTP服務器

首先，確保你已經安裝了FTP服務器軟件，如vsftpd。

sudo yum install vsftpd

然后，編輯vsftpd的配置文件 /etc/vsftpd/vsftpd.conf：

sudo vi /etc/vsftpd/vsftpd.conf

確保以下配置項被正確設置：

listen=YES
anonymous_enable=NO
local_enable=YES
write_enable=YES
chroot_local_user=YES
allow_writeable_chroot=YES

2. 啟動和啟用vsftpd服務

sudo systemctl start vsftpd
sudo systemctl enable vsftpd

3. 安裝SELinux管理工具

確保你已經安裝了SELinux管理工具 policycoreutils-python 和 libsemanage-python。

sudo yum install policycoreutils-python libsemanage-python

4. 配置SELinux策略

SELinux有多種模式，包括 enforcing 和 permissive。為了保護FTP服務器，建議使用 enforcing 模式。

sudo setenforce 1

你可以永久設置SELinux模式：

sudo vi /etc/selinux/config

將 SELINUX=enforcing 添加到文件中。

5. 配置SELinux端口標簽

FTP服務器通常使用兩個端口：21（控制連接）和20（數據連接）。你需要為這些端口配置SELinux端口標簽。

sudo semanage port -a -t ftp_port_t -p tcp 21
sudo semanage port -a -t ftp_port_t -p tcp 20

6. 配置SELinux用戶上下文

確保FTP用戶的家目錄和文件具有正確的SELinux上下文。

sudo chcon -Rv --reference=/home/youruser /home/youruser
sudo restorecon -Rv /home/youruser

7. 配置SELinux布爾值

SELinux有一些布爾值可以調整以增強FTP服務器的安全性。

sudo setsebool -P ftp_home_dir 1
sudo setsebool -P allow_ftpd_full_access 0

8. 監控和調試SELinux日志

SELinux日志可以幫助你診斷和解決安全問題。

sudo tail -f /var/log/audit/audit.log

你可以使用 ausearch 和 aureport 工具來查詢和分析SELinux日志。

sudo ausearch -m avc -ts recent
sudo aureport -m avc

9. 測試FTP連接

最后，測試FTP連接以確保一切正常。

ftp localhost

輸入FTP用戶的憑據，檢查是否可以成功連接和傳輸文件。

通過以上步驟，你可以使用SELinux增強CentOS FTP服務器的安全性。定期檢查和更新SELinux策略和配置，以保持系統的安全性。