SELinux Einfach erklärt

Die 3 Elemente von SELinux (einfach erklärt)

1. Wer darf worauf zugreifen?

Jeder Prozess bekommt ein Namensschild (z. B. "Webserver"), jede Datei auch (z. B. "Webserver-Inhalte"). Nur wer das passende Schild hat, darf ran. Der Webserver darf also nur an Dateien mit "Webserver"-Schild, nicht an beliebige andere Dateien auf dem System – selbst wenn er root wäre.

2. Wer darf welche Tür (Port) öffnen?

Der Webserver darf nur seine eigene Tür aufmachen (Port 80/443), nicht z. B. die SSH-Tür. Wenn er auf einem ungewöhnlichen Port lauschen soll, muss man das explizit erlauben.

3. Wer darf nach draußen telefonieren?

Darf der Prozess selbst Verbindungen nach außen aufbauen (statt nur Anfragen zu beantworten)? Das ist standardmäßig meist verboten und muss extra freigeschaltet werden.

Kurz: SELinux fragt bei jeder Aktion „steht das auf deinem Schild drauf?" – und wenn nicht, wird's blockiert, ganz egal welche normalen Unix-Rechte (root, chmod) sonst gelten würden.