SELinux คืออะไร? ใช้งานอย่างไรไม่ให้ปวดหัว – ทำความเข้าใจ Security ระดับ OS

┌─────────────────────────────────────────────┐
│              Application Request             │
└──────────────────┬──────────────────────────┘
                   │
          ┌────────▼────────┐
          │   DAC Check     │  ← chmod/chown แบบเดิม
          │  (rwxrwxrwx)    │
          └────────┬────────┘
                   │ ผ่าน
          ┌────────▼────────┐
          │  SELinux Check  │  ← MAC ชั้นที่สอง (ใหม่)
          │  (Policy-based) │
          └────────┬────────┘
                   │ ผ่าน
          ┌────────▼────────┐
          │   Kernel / FS   │
          └─────────────────┘

# ดู mode ปัจจุบัน
sestatus
```
```
SELinux status: enabled
SELinuxfs mount:/sys/fs/selinux
SELinux mount point: /sys/fs/selinux
Loaded policy name:targeted
Current mode: enforcing    ← โหมดปัจจุบัน
Mode from config file: enforcing
Policy MLS status: enabled
Policy deny_unknown status: allowed
Memory protection checking: actual (secure)
Max kernel policy version: 33

# เปลี่ยนเป็น permissive ชั่วคราว (สำหรับ debug)
sudo setenforce 0
# เปลี่ยนกลับเป็น enforcing
sudo setenforce 1
# ดู mode ปัจจุบันแบบสั้น
getenforce

# แก้ไขไฟล์ config
sudo nano /etc/selinux/config

# /etc/selinux/config
# ค่าที่แนะนำสำหรับ production server
SELINUX=enforcing
# Policy ที่ใช้ (targeted = ส่วนใหญ่เพียงพอ)
SELINUXTYPE=targeted
```

> 💡 **Tip:** อย่าเปลี่ยนจาก `enforcing` เป็น `disabled` โดยตรง ให้ผ่าน `permissive` ก่อนแล้ว reboot — มิฉะนั้นอาจมีปัญหา filesystem label ที่ต้อง relabel ทั้งระบบ

---

## ส่วนที่ 2 — SELinux Context คืออะไร?

นี่คือหัวใจของ SELinux ที่หลายคนข้ามไป

ทุก file, process, port, และ network socket บน SELinux จะมี **Security Context** หรือ **label** กำกับไว้ รูปแบบคือ:
```
user:role:type:level

# ดู context ของไฟล์
ls -Z /var/www/html/index.html
```
```
unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/index.html

# ดู context ของ process ที่กำลังรัน
ps auxZ | grep httpd
```
```
system_u:system_r:httpd_t:s0      root  1234 ... /usr/sbin/httpd

# สร้างโฟลเดอร์และไฟล์ทดสอบ
sudo mkdir -p /web/mysite
echo "<h1>Hello SELinux</h1>" | sudo tee /web/mysite/index.html

# ตั้งค่า Apache ให้ชี้ไปที่โฟลเดอร์ใหม่
sudo nano /etc/httpd/conf/httpd.conf

# /etc/httpd/conf/httpd.conf
DocumentRoot "/web/mysite"
<Directory "/web/mysite">
    AllowOverride None
    Require all granted
</Directory>

# Restart Apache
sudo systemctl restart httpd

# ทดสอบ — จะได้ 403 Forbidden
curl -I localhost

# ดู audit log เพื่อหา SELinux denial
sudo ausearch -m avc -ts recent
```
```
type=AVC msg=audit(...): avc:  denied  { getattr } for
  pid=1234 comm="httpd" path="/web/mysite/index.html"
  scontext=system_u:system_r:httpd_t:s0
  tcontext=unconfined_u:object_r:default_t:s0
  tclass=file permissive=0

# ดู context ปัจจุบัน
ls -dZ /web/mysite

# เปลี่ยน type ให้ถูกต้อง
sudo semanage fcontext -a -t httpd_sys_content_t "/web/mysite(/.*)?"
# Apply context ที่ตั้งไว้
sudo restorecon -Rv /web/mysite

# ตรวจสอบว่า context เปลี่ยนแล้ว
ls -Z /web/mysite/index.html
# unconfined_u:object_r:httpd_sys_content_t:s0  /web/mysite/index.html
# ทดสอบใหม่ — ควรได้ 200 OK
curl -I localhost

# เพิ่ม port ใน Apache config
sudo nano /etc/httpd/conf/httpd.conf
# เพิ่มบรรทัด: Listen 8888
sudo systemctl restart httpd
# อาจ fail เพราะ SELinux ไม่อนุญาต port 8888

# ดู port ทั้งหมดที่ httpd_t อนุญาต
sudo semanage port -l | grep http
```
```
http_port_t    tcp    80, 81, 443, 488, 8008, 8009, 8443, 9000

# เพิ่ม port 8888 เข้า policy
sudo semanage port -a -t http_port_t -p tcp 8888
# ยืนยัน
sudo semanage port -l | grep http_port_t

# Restart Apache
sudo systemctl restart httpd

# ดู boolean ทั้งหมดของ httpd
sudo getsebool -a | grep httpd
```
```
httpd_can_connect_ftp --> off
httpd_can_network_connect --> off      ← สำคัญมาก!
httpd_can_network_connect_db --> off
httpd_can_sendmail --> off
httpd_enable_cgi --> on
httpd_use_nfs --> off
...

# อนุญาตให้ Apache เชื่อมต่อ database (เช่น PHP → MySQL)
sudo setsebool -P httpd_can_network_connect_db on

# อนุญาตให้ Apache เชื่อมต่อ network ทั่วไป (reverse proxy, API call)
sudo setsebool -P httpd_can_network_connect on

# อนุญาตให้ Apache ส่งอีเมล
sudo setsebool -P httpd_can_sendmail on

# ติดตั้ง (ถ้ายังไม่มี)
sudo dnf install -y policycoreutils-python-utils

# วิเคราะห์ denial ล่าสุด และแนะนำ policy
sudo ausearch -m avc -ts recent | audit2allow -a

# ดูเฉพาะ denial ของ httpd
sudo ausearch -m avc -ts recent -c httpd | audit2allow
```
```
#============= httpd_t ==============
allow httpd_t user_home_dir_t:file { read getattr open };
```
⚠️ **ข้อควรระวัง:** `audit2allow` แนะนำ policy ที่อนุญาตพอดีกับที่ถูก deny แต่ไม่ได้แปลว่าถูกต้องเสมอ ควรทำความเข้าใจก่อน apply จริง อย่า copy-paste โดยไม่คิด

---

## ส่วนที่ 6 — เวิร์กโฟลว์แก้ปัญหา SELinux แบบมืออาชีพ

เมื่อเจอปัญหา ให้ทำตามขั้นตอนนี้เป็นลำดับ:
```
1. ตรวจสอบว่า SELinux เป็นต้นเหตุจริงหรือเปล่า
   → setenforce 0  แล้วทดสอบซ้ำ
   → ถ้าหายปัญหา = SELinux เป็นต้นเหตุ

2. อ่าน audit log เพื่อเข้าใจปัญหา
   → sudo ausearch -m avc -ts recent
   → sudo journalctl -t setroubleshoot (ถ้า setroubleshoot ติดตั้งไว้)
3. เลือกวิธีแก้ที่เหมาะสม:
   ├── ปัญหา file context → semanage fcontext + restorecon
   ├── ปัญหา port → semanage port -a
   ├── ปัญหา feature → setsebool -P
   └── ปัญหาซับซ้อน → audit2allow (ระวัง!)
4. setenforce 1 กลับ แล้วทดสอบซ้ำ

# 1. ดูสถานะรวม
sestatus

# 2. ดู context ของ file สำคัญ
ls -Z /var/www/html/
ls -Z /etc/httpd/conf/

# 3. ดู boolean ที่เปิดไว้
sudo getsebool -a | grep -i "on$" | grep httpd

# 4. ดู port ที่ผูกไว้กับ http
sudo semanage port -l | grep http

# 5. ดูว่ามี denial ค้างอยู่ไหม
sudo ausearch -m avc -ts today | wc -l
# ถ้าได้ 0 = สะอาดดี

# ─── ดูสถานะ ───
sestatus                          # สถานะรวม
getenforce                        # mode ปัจจุบัน
# ─── เปลี่ยน Mode ───
sudo setenforce 0                 # permissive (ชั่วคราว)
sudo setenforce 1                 # enforcing (ชั่วคราว)
# ─── จัดการ Context ───
ls -Z <path>                      # ดู context ของไฟล์/โฟลเดอร์
ps auxZ | grep <process>          # ดู context ของ process
sudo semanage fcontext -a -t <type> "<path>(/.*)?"  # ตั้ง context
sudo restorecon -Rv <path>        # Apply context
# ─── จัดการ Port ───
sudo semanage port -l | grep <keyword>   # ดู port
sudo semanage port -a -t <type> -p tcp <port>  # เพิ่ม port
# ─── จัดการ Boolean ───
sudo getsebool -a | grep <keyword>       # ดู boolean
sudo setsebool -P <boolean> on|off       # ตั้งค่า boolean
# ─── Debug ───
sudo ausearch -m avc -ts recent          # audit log ล่าสุด
sudo ausearch -m avc -ts recent | audit2allow  # วิเคราะห์ + แนะนำ