20、深入解析SELinux：网络包标签、应用控制与设备集成

深入解析SELinux：网络包标签、应用控制与设备集成

1. 网络包标签与SELinux策略

SELinux（Security-Enhanced Linux）通过自定义网络包标签，可使用SELinux策略管理特定应用程序的访问。即便多个应用程序都能接收DNS请求，也能确保只有特定应用程序处理通过特定过滤的请求。

当使用iptables启用SECMARK标签时，Linux内核会自动为所有数据包启用SECMARK标签。管理员未特别标记的数据包将被标记为unlabeled_t类型。部分域可通过corenet_sendrecv_unlabeled_packets接口或kernel_sendrecv_unlabeled_packets接口处理unlabeled_t数据包，否则将无法处理网络流量。

为识别需标记的传入流量，可借助netstat命令：

~# netstat -naptZ | awk '/LISTEN/ {print $4,$6,$7,$8}' 0.0.0.0:13500 LISTEN 6489/mysqld system_u:system_r:mysqld_t:s0 0.0.0.0:80 LISTEN 23303/httpd system_u:system_r:httpd_t:s0 10.11.12.122:53 LISTEN 4432/dnsmasq system_u:system_r:dnsmasq_t:s0 10.13.14.4