Introduzione
Questo documento descrive il guasto generato quando il criterio SELinux sul sistema impedisce al connettore di monitorare l'attività del sistema.
Premesse
Il connettore richiede che questa regola sia presente nel criterio Secure Enterprise Linux (SELinux) se SELinux è abilitato e in modalità di applicazione:
allow unconfined_service_t self:bpf { map_create map_read map_write prog_load prog_run };
Questa regola non è presente nel criterio SELinux predefinito sui sistemi basati su Red Hat. Il connettore tenta di aggiungere questa regola tramite l'installazione di un modulo criteri SELinux denominato cisco-secure-bpf durante un'installazione o un aggiornamento. L'errore viene generato se cisco-secure-bpf non viene installato e caricato oppure è disattivato. L'utente viene informato di un errore 19 come descritto nell'elenco di errori del connettore Linux dell'endpoint sicuro Cisco se l'errore viene sollevato dal connettore.
Applicabilità
Questo errore può essere generato dopo una nuova installazione o aggiornamento del connettore o dopo la modifica della regola SELinux del sistema.
Sistemi operativi
- Red Hat Enterprise Linux 7
- CentOS 7
- Oracle Linux (RHCK/UEK) 7
Versioni connettore
- Linux 1.2.0 e versioni successive
Risoluzione
Per risolvere questo errore, è possibile procedere in due modi:
- Reinstallare o aggiornare il connettore.
- Modificare manualmente il criterio SELinux.
Installa dipendenza
Entrambi i metodi richiedono il pacchetto "policycoreutils-python" installato sul sistema per compilare e caricare il modulo di policy SELinux. Eseguire questo comando per installare il pacchetto.
yum install policycoreutils-python
Reinstallare o aggiornare il connettore
Un modulo criteri SELinux chiamato cisco-secure-bpf verrà installato per fornire la modifica richiesta ai criteri SELinux durante l'installazione o l'aggiornamento del connettore. Eseguire una reinstallazione o un aggiornamento standard del connettore per questo metodo di risoluzione.
Modificare manualmente il criterio SELinux
Un amministratore di sistema deve creare e caricare manualmente un modulo di criteri SELinux per modificare il criterio SELinux. Per caricare la regola dei criteri SELinux richiesta, attenersi alla procedura descritta di seguito.
- Salvarlo in un file denominato cisco-secure-bpf.te
module cisco-secure-bpf 1.0;
require {
type unconfined_service_t;
class bpf { map_create map_read map_write prog_load prog_run };
}
#============= unconfined_service_t ==============
allow unconfined_service_t self:bpf { map_create map_read map_write prog_load prog_run };
- Compilare e caricare il modulo utilizzando questi comandi.
checkmodule -M -m -o "cisco-secure-bpf.mod" "cisco-secure-bpf.te"
semodule_package -o "cisco-secure-bpf.pp" -m "cisco-secure-bpf.mod"
semodule -i "cisco-secure-bpf.pp"
- Riavviare il connettore per eliminare l'errore.
Verificare la modifica del criterio SELinux
Eseguire questo comando per verificare se il modulo criteri cisco-secure-bpf SELinux è installato.
semodule -l | grep cisco-secure-bpf
La modifica del criterio SELinux è stata apportata se l'output riporta "cisco-secure-bpf 1.0".
Eseguire questo comando per verificare se la regola dei criteri SELinux richiesta è presente.
sesearch -A | grep "unconfined_t unconfined_t : bpf"
L'errore si risolve dopo il riavvio del connettore se nell'output viene visualizzato il messaggio "allow unconfined_service_t self:bpf { map_create_read map_write prog_load prog_run };".
Feedback