Запустить selinux на AltLinux SP Server

Это после?
touch /.autorelabel
reboot
Сотри файл, загрузись без релейбла и запусти руками
restorecon -Rv /
Заодно увидишь где именно затык.

Это после?
touch /.autorelabel
reboot

Да

restorecon -Rv /

Пустой вывод.

Покажи выхлоп команды sestatus.
Возможно ты что-то на предыдущих шагах неверно сделал.

Он же не запустился. Что ты ожидаешь?

# sestatus                                                                                                                                                                  
SELinux status:                 disabled

Тогда включи его сначала, а потом уже метки расставляй.
Что вписано в /etc/selinux/config ?

Всё сделал по инструкции: https://www.altlinux.org/Sl

Посмотрел инструкцию. Так себе инструкция. Что именно ты по ней сделал? У тебя ядро грузится с selinux=1?

Что именно ты по ней сделал?

Собственно, всё по пунктам. Плюс установил пакеты по другим инструкциям.

У тебя ядро грузится с selinux=1?

Нет, в том-то и проблема. Зависает всё при этом.

Попробуй сначала загрузиться не в Enforcing, а в Permissive.

Пробую. Но система просто не загружается с хоть как-то включённым selinux.

Собственно, всё по пунктам.

Там первый пункт сделать загрузку с selinux=1, а второй пункт сделать файл авторелейбла и ребутнуться.

Нет, в том-то и проблема. Зависает всё при этом.

Вообще всё, или только авторелейбл?
Что вписано в /etc/selinux/config ?
Посмотри например инструкцию для дженты https://wiki.gentoo.org/wiki/SELinux/Installation

Вообще всё, или только авторелейбл?

Стоит выставить selinux=1 в загрузчике и система перестаёт грузиться.

Что вписано в /etc/selinux/config ?

SELINUX=permissive
SELINUXTYPE=alt

Посмотри например инструкцию для дженты https://wiki.gentoo.org/wiki/SELinux/Installation

Пошёл смотреть.

У меня возникло стойкое ощущение, что что-то не так с опциями монтирования дисков.
После добавления в fstab

# For a "targeted" or "strict" policy type:
tmpfs  /run   tmpfs  mode=0755,nosuid,nodev,rootcontext=system_u:object_r:var_run_t  0 0

SELINUXTYPE=alt

Очень интересно. Почему alt? Это какая-то альтовская отсебятина?
# SELINUXTYPE can take one of these four values:
# targeted - Only targeted network daemons are protected.
# strict - Full SELinux protection.
# mls - Full SELinux protection with Multi-Level Security
# mcs - Full SELinux protection with Multi-Category Security
# (mls, but only one sensitivity level)

PS: похоже на какой-то перепиленный вариант mls.

как в гентушной инструкции, и перезагрузке с selinux=1, система не грузится с ошибкой, что невозможно подключить корневой раздел на запись.

Ну не факт что гентушная инструкция подошла бы один в один. Просто для ознакомления, что процесс обычно чуть сложнее.

Очень интересно. Почему alt? Это какая-то альтовская отсебятина?

Да. Без понятия почему так, просто решил не трогать. В системе также есть пакет selinux-policy-alt. Полагаю, они связаны.

Просто для ознакомления, что процесс обычно чуть сложнее.

О, я этих инструкций уже начитался! Но закономерность пока ускользает от меня.

Бинго!
Изменение
SELINUXTYPE=alt
на
SELINUXTYPE=targeted
Помогло. Система загрузилась sestatus показывает enabled,permissive. Кто бы мог подумать, что дефолтное значение так мешает.

Огромное спасибо!!!

Должно быть alt это аналог mls, судя по уровням в инструкции. Там чуть сложнее должно быть.

Наверное, я всё же сначала спрошу здесь, чтобы не плодить мелкие темы. Буквально на следующем шаге инструкции снова затык:

# semanage login -a -s generic_u -r s0-s3:c2.c14 stanv
ValueError: SELinux policy is not managed or store cannot be accessed.
# sestatus
SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux root directory:         /etc/selinux
Loaded policy name:             targeted
Current mode:                   permissive
Mode from config file:          permissive
Policy MLS status:              enabled
Policy deny_unknown status:     denied
Max kernel policy version:      30

Практически везде в гугле эта проблема возникает, потому что команда запущена не от root. Но у меня root...

root который получен через sudo может быть не совсем root.
По крайней мере selinux знает, что root «ненастоящий».
Ты логинился сразу root?
Потом у тебя
Policy MLS status: enabled
у меня с этим опыта нет, а смотреть документация сейчас некогда. Так что скорее всего дальше буду бесполезен.

Всё сделал по инструкции: https://www.altlinux.org/Sl

wiki, всё же, скорее журнал тех, кто что-то сделал и решил зафиксировать. При этом там основные правки от 2013 года, как я смотрю.

AltLinux 8 SP Server

А официальная техподдержка не помогает с вопросом? Дистрибутивы на бранчах c* обладают некоторыми отличиями от тех, что на бранчах p*, как минимум там ПО постарее. Те, кто пишут на http://www.altlinux.org, в большинстве используют p*, t* или, вовсе, Sisyphus, это надо учитывать.

С официальной техподдержкой пока не контактировал. Мне ещё предстоит понять, что у них с поддержкой.
На форуме, а я так понимаю, это те же люди, ответили, что проще переустановить систему и включить selinux на этапе установки, чем вот так париться. А мне очень не хочется это делать...

На форуме, а я так понимаю, это те же люди, ответили

Форум и wiki (вообще всё *.altlinux.org), в первую очередь, ресурсы team. Сотрудники Базальта вообще и техподдержки в частности там тоже встречаются, но это далеко не все.

что проще переустановить систему

Не знаю, какая там тема, что-то свежего не увидел, но решать проблему переустановкой - это как-то не по юниксовому, действительно. На крайняк я бы поставил отдельно, тем более раз виртуалка, а потом список пакетов сравнил и конфиги.

С официальной техподдержкой пока не контактировал. Мне ещё предстоит понять, что у них с поддержкой.

Вообще-то, с выяснения этого надо было начать, раз уж приспичило использовать ALT Linux.

Подозреваю, что там вся политика настроена так, что шаг влево, шаг вправо - работать не будет.

Сложно сказать «с ходу», возможно проблема с корректностью загрузки/отработки модуля selinux, либо связанных с ним модулей ядра. Ну или каких-то иных сопутствующих зависимостей.

Подозреваю, что там вся политика настроена так, что шаг влево, шаг вправо - работать не будет.

Всё оказалось даже хуже. АльтЛинукс официально не поддерживает работу с selinux. Так что гиблое это дело.

А есть ссылка на пруф, что AltLinux не поддерживает selinux официально?