SElinux: permet à httpd de se connecter à un port spécifique

Mon système exécute CentOS 6.4 avec apache2.2.15. SElinux est en vigueur et j'essaie de me connecter à une instance locale de redis via mon application python / wsgi. Je reçois l'erreur 13, permission refusée. Je pourrais résoudre ce problème via la commande:

setsebool -P httpd_can_network_connect

Cependant, je ne veux pas exactement que httpd puisse se connecter à tous les ports TCP. Comment puis-je spécifier les ports / réseaux auxquels httpd est autorisé à se connecter? Si je pouvais créer un module permettant à httpd de se connecter au port 6379 (Redis) ou à n’importe quel autre TCP sur 127.0.0.1, ce serait préférable. Je ne sais pas pourquoi ma paranoïa est si forte à ce sujet, mais bon…

Quelqu'un sait?

Par défaut, la stratégie SELinux n'autorisera l'accès aux services qu'aux ports reconnus associés à ces services:

# semanage port -l | egrep '(^http_port_t|6379)'
http_port_t                    tcp      80, 81, 443, 488, 8008, 8009, 8443, 9000
# curl http://localhost/redis.php
Cannot connect to redis server.

- ajout du port Redis (6379) à la politique SELinux

# semanage port -a -t http_port_t -p tcp 6379
# semanage port -l | egrep '(^http_port_t|6379)'
http_port_t                    tcp      6379, 80, 81, 443, 488, 8008, 8009, 8443, 9000
# curl http://localhost/redis.php
Connected successfully.

Vous pouvez également installer setroubleshoot-serverRPM et exécuter: sealert -a /var/log/audit/audit.log- il vous donnera un bon rapport avec des suggestions utiles (y compris la commande ci-dessus).

Script PHP pour tester la connexion:

# cat redis.php 
<?php

$redis=new Redis();
$connected= $redis->connect('127.0.0.1', 6379);

if(!$connected) {
        die( "Cannot connect to redis server.\n" );
}

echo "Connected successfully.\n";

?>

Vous devrez peut-être utiliser

semanage port -m -t http_port_t -p tcp 6379

Si semanage est manquant, ajoutez le paquet policycoreutils-python

yum install policycoreutils-python

Vous pouvez mettre temporairement selinux en mode permissif et laisser httpd se connecter à redis, puis générer et construire un module de stratégie personnalisé à l'aide de audit2allow.