限制從selinux策略到localhost的網絡訪問

Question

我有兩個應用程序通過TCP套接字相互通信，並充當客戶端服務器。我想把它們放在2個不同的SELinux沙箱中，並且只允許網絡訪問本地主機。我用自定義類型使用semanage來標記localhost節點。

我有2個問題：

1）在服務器上0.0.0.0監聽。目標對象的上下文類型是node_t。有沒有辦法讓服務器綁定到0.0.0.0，但只接收來自本地主機的連接？

2）即使沒有允許通用node_t訪問的規則，客戶端也可以連接到任何節點。

謝謝。

Answer 1

網絡過濾支持已從SELinux（http://lists.openwall.net/netdev/2009/03/27/144）中刪除，您需要使用iptables和secmark來正確標記流量。