redhat 開啟selinux之后，messages無消息

beryung

操作系統(tǒng)版本：redhat 6.4 /6.3/ 6.0/ 5.4/ 5.5
iptables 關(guān)閉
vsftpd安裝并開啟
selinux開啟：enforcing
auditd服務(wù)  ：關(guān)閉
auditctl -e 1的狀態(tài)下，在messages中能夠看到有審計(jì)日志，帶有audit標(biāo)識(shí)
auditctl -e 0的狀態(tài)下，messages與audit.log中無任何輸出

曾經(jīng)推理：正常情況下，如果開啟了selinux與審計(jì)audit，然后使用ftp進(jìn)行登錄，輸入錯(cuò)誤用戶名與密碼，那么在出現(xiàn)錯(cuò)誤過程中，audit會(huì)將日志寫入audit.log，如果關(guān)閉了audit 服務(wù)，那么應(yīng)該由selinux接管，然后寫入messages，如果由selinux接管的，那么在寫入messages中，標(biāo)識(shí)應(yīng)該有avc，可是現(xiàn)在沒有，求解答，謝謝！

milujite

setroubleshoot貌似是叫這個(gè)服務(wù)，啟動(dòng)了么。啟動(dòng)順序應(yīng)該是messagebus->audit->setroubleshoot。

beryung

已經(jīng)啟動(dòng)了。今天又測(cè)試了一次，在啟動(dòng)auditd之后啟動(dòng)setroubleshootd進(jìn)程，發(fā)現(xiàn)現(xiàn)在正常出現(xiàn)結(jié)果，帶有setrouleshoot標(biāo)志�？墒乾F(xiàn)在當(dāng)停止auditd之后，在messages中的錯(cuò)誤信息卻帶有auditd標(biāo)志。不知道是不是redhat 6改版之后這樣回復(fù) 2# milujite


   

milujite

RHEL5里。message記錄的應(yīng)該是錯(cuò)誤信息，如selinux的失敗消息。audit的日志記錄的是selinux過程中的比較詳細(xì)的信息。不知道RHEL6是否有變動(dòng)。

zongg

我記得selinux 在message 里有信息。

beryung

messages中有消息，但是卻并不是由selinux捕獲�，F(xiàn)在不理解的是因?yàn)樵?版本之后selinux捕獲是靠audit進(jìn)程來捕獲還是說setroubleshoot根本沒有啟用回復(fù) 5# zongg


   

zongg

回復(fù) 6# beryung


    也有可能說6以后有變化，只能說看誰知道說一下。