De huidige status van SELinux tonen

# sestatus
SELinux status: enabled
SELinuxfs mount: /sys/fs/selinux
SELinux root directory: /etc/selinux
Loaded policy name: targeted
Current mode: enforcing
…

SELinux tijdelijk uit- of inschakelen

Om SELinux tijdelijk uit te schakelen (zonder het Linux-systeem te herstarten) voer je als root het volgende commando uit:

# setenforce 0

Hiermee staat SELinux uit totdat je het systeem herstart.

Weer inschakelen doe je zo

# setenforce 1

SELinux permanent uit- of inschakelen

Om SELinux permanent uit te schakelen pas je het bestand /etc/selinux/config aan en verander je “SELinux=enforcing” in “SELinux=disable”, zoals hieronder te zien is.

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
# enforcing – SELinux security policy is enforced.
# permissive – SELinux prints warnings instead of enforcing.
# disabled – SELinux is fully disabled.
SELINUX=disabled
# SELINUXTYPE= type of policy in use. Possible values are:
# targeted – Only targeted network daemons are protected.
# strict – Full SELinux protection.
SELINUXTYPE=targeted

Booleans instellen in plaats van SELinux helemaal uitschakelen

Met booleans pas je delen van het SELinux-beleid tijdens het draaien aan, zonder dat je weet hoe je SELinux-beleid schrijft.

Booleans tonen

Voer als root het volgende uit voor een lijst met booleans en of ze aan of uit staan.

#getsebool -a

In het onderstaande voorbeeld staat httpd_can_sendmail uit:

# getsebool -a | grep sendmail
httpd_can_sendmail –> off

Daardoor kan Apache geen e-mail versturen.

Booleans instellen

Gebruik het hulpprogramma setsebool in de vorm setsebool boolean_name on/off om booleans in of uit te schakelen.

Het volgende voorbeeld laat zien hoe je de boolean httpd_can_network_connect_db instelt:
Standaard staat httpd_can_network_connect_db uit, waardoor scripts en modules van de Apache HTTP Server geen verbinding met databaseservers kunnen maken:

Controleer dat de boolean uitstaat:

#getsebool httpd_can_network_connect_db
httpd_can_network_connect_db –> off

Voer als root het volgende uit om scripts en modules van de Apache HTTP Server tijdelijk verbinding met databaseservers te laten maken:

#setsebool httpd_can_network_connect_db

Controleer dat de boolean aanstaat:

#getsebool httpd_can_network_connect_db
httpd_can_network_connect_db –> on

Deze wijziging blijft niet behouden na een herstart. Voer als root het commando setsebool -P boolean-name on uit om de wijziging permanent te maken:

#setsebool -P httpd_can_network_connect_db on