Sommario

Introduzione

Premesse

Applicabilità

Sistemi operativi

Versioni connettore

Risoluzione

Reinstallare o aggiornare il connettore

Modificare manualmente il criterio SELinux

Verificare la modifica del criterio SELinux

Introduzione

Questo documento descrive il guasto generato quando il criterio SELinux sul sistema impedisce al connettore di monitorare l'attività del sistema.

Premesse

Il connettore richiede questa regola nel criterio Secure Enterprise Linux (SELinux) se SELinux è abilitato e in modalità di applicazione:

allow unconfined_service_t self:bpf { map_create map_read map_write prog_load prog_run };

Questa regola non è presente nel criterio SELinux predefinito sui sistemi basati su Red Hat. Il connettore tenta di aggiungere questa regola tramite l'installazione di un SELinux policy Module denominato cisco-secure-bpf durante un'installazione o un aggiornamento. L'errore viene generato se cisco-secure-bpf non viene installato e caricato oppure è disattivato. L'utente viene informato di un errore 19 come descritto nell'elenco di errori del connettore Linux dell'endpoint sicuro Cisco se l'errore viene sollevato dal connettore.

Applicabilità

Questo errore può essere generato dopo una nuova installazione o aggiornamento del connettore o dopo la modifica della regola SELinux del sistema.

Sistemi operativi

- Red Hat Enterprise Linux 7

- CentOS 7

- Oracle Linux (RHCK/UEK) 7

Versioni connettore

- Linux 1.2.0 e versioni successive

Risoluzione

Per risolvere questo errore, è possibile procedere in due modi:

1. Reinstallare o aggiornare il connettore.

2. Modificare manualmente il criterio SELinux.

Reinstallare o aggiornare il connettore

Un modulo criteri SELinux chiamato cisco-secure-bpf viene installato per fornire la modifica richiesta ai criteri SELinux durante l'installazione o l'aggiornamento del connettore. Eseguire una reinstallazione o un aggiornamento standard del connettore per questo metodo di risoluzione.

Modificare manualmente il criterio SELinux

Un amministratore di sistema deve creare e caricare manualmente un modulo di criteri SELinux per modificare il criterio SELinux. Per caricare la regola dei criteri SELinux richiesta, attenersi alla procedura descritta di seguito.

1. Salvarlo in un file denominato cisco-secure-bpf.te

module cisco-secure-bpf 1.0;

require {

type unconfined_service_t;

class bpf { map_create map_read map_write prog_load prog_run };

}

#============= unconfined_service_t ==============

allow unconfined_service_t self:bpf { map_create map_read map_write prog_load prog_run };

2. Compilare e caricare il modulo utilizzando questi comandi.
checkmodule -M -m -o "cisco-secure-bpf.mod" "cisco-secure-bpf.te"

semodule_package -o "cisco-secure-bpf.pp" -m "cisco-secure-bpf.mod"

semodule -i "cisco-secure-bpf.pp"

3. Riavviare il connettore per eliminare l'errore.

I comandi utilizzati per compilare e caricare il modulo criteri SELinux richiedono l'uso del pacchetto policycoreutils-python e delle relative dipendenze. Eseguire questo comando per installare il pacchetto.

yum install policycoreutils-python

Verificare la modifica del criterio SELinux

Eseguire questo comando per verificare se il modulo criteri cisco-secure-bpf SELinux è installato.

semodule -l | grep cisco-secure-bpf

La modifica del criterio SELinux è stata apportata se l'output riporta "cisco-secure-bpf 1.0".

Eseguire questo comando per verificare se la regola dei criteri SELinux richiesta è presente.

sesearch -A | grep "unconfined_t unconfined_t : bpf"

L'errore si risolve dopo il riavvio del connettore se nell'output viene visualizzato il messaggio "allow unconfined_service_t self:bpf { map_create_read map_write prog_load prog_run };".