Доброго времени суток.
Свежеустановленныей Debian 7.2 ( wheezy ).
Недефолт отмечен рамкой. Да, это selinux в enforcing mode. Из коробки он будет работать только на сервере, но если глаза ещё горят красным, можно чуть допилить политику selinux, чтобы можно было её использовать на ноуте.
После сборки и включения в политику собственного модуля, работают gdm3, pulseaudio, fglrx. На скриншоте minicom подключен к management module p5 520; spice консоль virt-manager'а к одной из ВМ на домашнем сервере; java консоль к kvm домашнего сервера; подмонтировал диск по sshfs и смотрю с него фильм.
Тонкий момент, который редко упоминается в руководствах по selinux: в targeted политике есть такое понятие, как unconfined, «не ограниченный». Жёстко ограничены только демоны, работающие с сетью. А большая часть ПО относятся к домену unconfined_t и в пределах unconfined доменов может делать почти всё. Ближайшая аналогия - сеть крупной организации. Отдельные домены для демонов можно сравнить с DMZ, который ограничен по самое небалуйся, а unconfined_t домен - с обычной офисной сетью в пределах одного vlan'а
Не так страшен MAC и RBAC, как те кто действительно умеют этот треш настраивать :)
>>> Просмотр (1920x1200, 701 Kb)
