selinux - 从 selinux 策略限制对 localhost 的网络访问

Question

我有 2 个应用程序通过 TCP 套接字相互通信并充当客户端服务器。我想将它们放在 2 个不同的 SELinux 沙箱中，并只允许对 localhost 进行网络访问。我使用 semanage 将 localhost 节点标记为自定义类型。

我有两个问题：

1) 服务器监听 0.0.0.0。目标对象的上下文类型是node_t。有没有办法让服务器绑定到 0.0.0.0 但只接收来自 localhost 的连接？

2) 客户端可以连接到任何节点，即使没有允许通用 node_t 访问的规则。

谢谢。

Answer 1

从 SELinux ( http://lists.openwall.net/netdev/2009/03/27/144 ) 中删除了网络过滤支持，您需要使用 iptables 和 secmark 来正确标记流量。