Make sure SELinux is disabled...

В чём гениальный смысл фичи, которую никто не хочет настраивать.

Она мешает следить стороннему ПО за пользователем, поэтому разрабы этого самого стороннего ПО советуют его отключать.

Смысл есть, но конкретно эта реализация - адово сложная в понимании.

Как результат - спецов по ней - как и спецов по коболу - исчезающе мало -> поддержка в дистрах хреновая -> «нафиг нам это монструозное г., пусть сами с ним сношаются»

http://stopdisablingselinux.com/

Ага, а ещё правила фаерволла в ту же касту запиши.

SELinux не нужен!

Youtube: 2012 Red Hat Summit: SELinux For Mere Mortals

как раз таки правила iptables очень понятны.

Кому?

как раз таки правила iptables очень понятны.

Кому?

Инопланетянам.

Живу с SeLinux'ом (CentOS), ничего, пока терпимо. Смыл фичи в обеспечении безопасности — разграничении возможностей процессов, фактически процесс, не переводя в chroot, можно задавить сильнее, чем в chroot'е.

Основная проблема, с моей ТЗ, в том, что политики постоянно изменяются, их активно пилят и в результате нет подробной развёрнутой документации какой контекст на что влияет, в HOWTO нет инструкций, как надо дописывать в политики, если хочется повесить демона на нестандартный порт и т.д.

А отключать все всё любят, не знаю как сейчас, но раньше народ под офтопиком постоянно отключал антивирус (тормозит машину) и файерволл (вдруг мешает какой программе).

Но ни разу не видел в сети

У редхатов есть документ по имени «selinux for mere mortals (don't turn it off!)».

Кому?

Тому, кто минимально понимает TCP/IP, вероятно. Относительно pf и тем более ipfw у иптаблесов очень читабельные правила. pf разве что сильно упрощает шейпинг, но остальном довольно запутанный.

отключал антивирус

гы, если бы ты видел как касперски удаляет апачи по дефолту, ты бы не удивился.

а так при перегонке видео, антивирус действительно лучше отключить, быстрее будет.

Red Hat @ документация

Беда SELinux - в отсутствии политики с нормальной грануляцией. Refpolicy пилят какие-то мутанты. В общем, был бы я свободнее..

Это что-то вроде «Stop reopening»?

Совет тупой, как рекомендации выставлять права 777 на cms. Но сейчас не все умеют настраивать selinux. Я вот пока не умею :\

Так нафига же нужен этот SELinux, если большинство(все) его рекомендует отключать.

Говоря «большинство», ты имел ввиду пресловутые 95%? Кто слушает такое большинство - ССЗБ.

Каждый раз, когда ты отключаешь SELinux, умирает один маленький няшный котик.

Вот, кстати, небольшой ликбез.

как большинство я имел ввиду оф документацию какого-нибудь проекта, возьми к примеру owncloud

В чём гениальный смысл фичи, которую никто не хочет настраивать.

На десктопе она вряд ли тебе пригодится

Ты сейчас серьезно сравниваешь _логичные_ правила iptables с наркоманским httpd_can_network_connect ?

_логичные_ правила iptables

Pf логичные. А от iptables раком волосы на голове вставали в далекие и давно забытые времена.

И речь шла немного о другом, кстати. О том, что фаерволл на серверах тоже надо настраивать.

Вот сколько видел советов про sentenforce 0 - никогда они не сопровождались советом iptables -F.

А от селинукса у меня до сих пор встают, хотя я с ним уже лет 5-6 знаком.