限制从selinux策略到localhost的网络访问

Question

我有两个应用程序通过TCP套接字相互通信，并充当客户端服务器。我想把它们放在2个不同的SELinux沙箱中，并且只允许网络访问本地主机。我用自定义类型使用semanage来标记localhost节点。

我有2个问题：

1）在服务器上0.0.0.0监听。目标对象的上下文类型是node_t。有没有办法让服务器绑定到0.0.0.0，但只接收来自本地主机的连接？

2）即使没有允许通用node_t访问的规则，客户端也可以连接到任何节点。

谢谢。

Answer 1

网络过滤支持已从SELinux（http://lists.openwall.net/netdev/2009/03/27/144）中删除，您需要使用iptables和secmark来正确标记流量。