SElinux: дозволити httpd підключитися до певного порту

У моїй системі працює CentOS 6.4 з apache2.2.15. SElinux примушує і я намагаюся підключитися до локального екземпляра redis через додаток python / wsgi. Я отримую помилку 13, у дозволі відмовлено. Я можу це виправити за допомогою команди:

setsebool -P httpd_can_network_connect

Однак я не дуже хочу, щоб httpd мав змогу підключатися до всіх портів tcp. Як я можу вказати, до яких портів / мереж httpd дозволено підключатися? Якби я міг зробити модуль, щоб дозволити httpd підключитися до порту 6379 (redis) або будь-якого tcp на 127.0.0.1, це було б краще. Не впевнений, чому моя параноїя настільки сильна на це, але ей ...

Хтось знає?

За замовчуванням політика SELinux дозволить службам отримувати доступ лише до розпізнаних портів, пов'язаних з цими службами:

# semanage port -l | egrep '(^http_port_t|6379)'
http_port_t                    tcp      80, 81, 443, 488, 8008, 8009, 8443, 9000
# curl http://localhost/redis.php
Cannot connect to redis server.

- додати порт Redis (6379) до політики SELinux

# semanage port -a -t http_port_t -p tcp 6379
# semanage port -l | egrep '(^http_port_t|6379)'
http_port_t                    tcp      6379, 80, 81, 443, 488, 8008, 8009, 8443, 9000
# curl http://localhost/redis.php
Connected successfully.

Ви також можете встановити setroubleshoot-serverRPM і запустити: sealert -a /var/log/audit/audit.log- він дасть вам приємний звіт з корисними пропозиціями (включаючи команду вище).

PHP-скрипт для перевірки з'єднання:

# cat redis.php 
<?php

$redis=new Redis();
$connected= $redis->connect('127.0.0.1', 6379);

if(!$connected) {
        die( "Cannot connect to redis server.\n" );
}

echo "Connected successfully.\n";

?>

Можливо, вам доведеться використовувати

semanage port -m -t http_port_t -p tcp 6379

Якщо семанювання відсутнє, додайте пакунок policycoreutils-python

yum install policycoreutils-python

Ви можете тимчасово перевести selinux у дозвільний режим і дозволити httpd підключатися до redis, а потім генерувати та створювати спеціальний модуль політики за допомогою audit2allow