RHEL5.3出现大量audit失败，正常不？

不进一环

这样的屏幕输出反复出现，好像都是ethtool的问题，这样正常么

怎么关闭audit？



Apr 29 20:36:39 vmme01 kernel: printk: 192 messages suppressed.
Apr 29 20:36:39 vmme01 kernel: type=1400 audit(1241008599.260:39: avc:  denied  { read write } for  pid=2823 comm="ethtool" path="socket:[7373]" dev=sockfs ino=7373 scontext=system_u:system_r:ifconfig_t:s0 tcontext=system_u:system_r:initrc_t:s0 tclass=tcp_socket
Apr 29 20:36:39 vmme01 kernel: type=1400 audit(1241008599.260:399): avc:  denied  { write } for  pid=2823 comm="ethtool" path="/etc/hd.cfg" dev=sda1 ino=261384 scontext=system_u:system_r:ifconfig_t:s0 tcontext=rootbject_r:etc_t:s0 tclass=file
Apr 29 20:36:39 vmme01 kernel: type=1400 audit(1241008599.260:400): avc:  denied  { read write } for  pid=2823 comm="ethtool" path="socket:[7385]" dev=sockfs ino=7385 scontext=system_u:system_r:ifconfig_t:s0 tcontext=system_u:system_r:initrc_t:s0 tclass=udp_socket
Apr 29 20:36:39 vmme01 kernel: type=1400 audit(1241008599.260:401): avc:  denied  { search } for  pid=2823 comm="ethtool" name="bin" dev=sda1 ino=2581089 scontext=system_u:system_r:ifconfig_t:s0 tcontext=system_ubject_r:bin_t:s0 tclass=dir
Apr 29 20:36:39 vmme01 kernel: type=1400 audit(1241008599.260:402): avc:  denied  { search } for  pid=2823 comm="ethtool" name="bin" dev=sda1 ino=2581089 scontext=system_u:system_r:ifconfig_t:s0 tcontext=system_ubject_r:bin_t:s0 tclass=dir
Apr 29 20:36:39 vmme01 kernel: type=1400 audit(1241008599.260:403): avc:  denied  { search } for  pid=2823 comm="ethtool" name="bin" dev=sda1 ino=2581089 scontext=system_u:system_r:ifconfig_t:s0 tcontext=system_ubject_r:bin_t:s0 tclass=dir
Apr 29 20:37:10 vmme01 kernel: printk: 192 messages suppressed.
Apr 29 20:37:10 vmme01 kernel: type=1400 audit(1241008630.310:46: avc:  denied  { read write } for  pid=2886 comm="ethtool" path="socket:[7373]" dev=sockfs ino=7373 scontext=system_u:system_r:ifconfig_t:s0 tcontext=system_u:system_r:initrc_t:s0 tclass=tcp_socket
Apr 29 20:37:10 vmme01 kernel: type=1400 audit(1241008630.310:469): avc:  denied  { write } for  pid=2886 comm="ethtool" path="/etc/hd.cfg" dev=sda1 ino=261384 scontext=system_u:system_r:ifconfig_t:s0 tcontext=rootbject_r:etc_t:s0 tclass=file
Apr 29 20:37:10 vmme01 kernel: type=1400 audit(1241008630.311:470): avc:  denied  { read write } for  pid=2886 comm="ethtool" path="socket:[7385]" dev=sockfs ino=7385 scontext=system_u:system_r:ifconfig_t:s0 tcontext=system_u:system_r:initrc_t:s0 tclass=udp_socket
Apr 29 20:37:10 vmme01 kernel: type=1400 audit(1241008630.311:471): avc:  denied  { search } for  pid=2886 comm="ethtool" name="bin" dev=sda1 ino=2581089 scontext=system_u:system_r:ifconfig_t:s0 tcontext=system_ubject_r:bin_t:s0 tclass=dir
Apr 29 20:37:10 vmme01 kernel: type=1400 audit(1241008630.311:472): avc:  denied  { search } for  pid=2886 comm="ethtool" name="bin" dev=sda1 ino=2581089 scontext=system_u:system_r:ifconfig_t:s0 tcontext=system_ubject_r:bin_t:s0 tclass=dir
Apr 29 20:37:10 vmme01 kernel: type=1400 audit(1241008630.311:473): avc:  denied  { search } for  pid=2886 comm="ethtool" name="bin" dev=sda1 ino=2581089 scontext=system_u:system_r:ifconfig_t:s0 tcontext=system_ubject_r:bin_t:s0 tclass=dir

jerrywjl

是因为你的selinux开着呢。将/etc/sysconfig/selinux中按照提示将其改为disable.

不进一环

原帖由 jerrywjl 于 2009-4-29 12:45 发表
是因为你的selinux开着呢。将/etc/sysconfig/selinux中按照提示将其改为disable.

果然这个原因，以前text安装 RHEL4.7时候可以选择关闭SELinux，RHEL5.3不行，必须安装以后修改

非常感谢！

zmcjs

好帖子啊，顶一下！

nagaregawa

关掉selinux试试看

yumanifold

/etc/init.d/auditd stop（不建议这样做，有些内核事件的审核也靠他）

关闭selinux也不是办法，关键是学会用selinux。。。

要关闭的话

[root@mytest ~]# vi /etc/sysconfig/selinux
SELINUX=disabled

在不重启的情况下可以设置为permissive模式，即只警告，不拦截操作

[root@mytest ~]# setenforce 0