redhat 开启selinux之后，messages无消息

beryung

操作系统版本：redhat 6.4 /6.3/ 6.0/ 5.4/ 5.5
iptables 关闭
vsftpd安装并开启
selinux开启：enforcing
auditd服务  ：关闭
auditctl -e 1的状态下，在messages中能够看到有审计日志，带有audit标识
auditctl -e 0的状态下，messages与audit.log中无任何输出

曾经推理：正常情况下，如果开启了selinux与审计audit，然后使用ftp进行登录，输入错误用户名与密码，那么在出现错误过程中，audit会将日志写入audit.log，如果关闭了audit 服务，那么应该由selinux接管，然后写入messages，如果由selinux接管的，那么在写入messages中，标识应该有avc，可是现在没有，求解答，谢谢！

milujite

setroubleshoot貌似是叫这个服务，启动了么。启动顺序应该是messagebus->audit->setroubleshoot。

beryung

已经启动了。今天又测试了一次，在启动auditd之后启动setroubleshootd进程，发现现在正常出现结果，带有setrouleshoot标志。可是现在当停止auditd之后，在messages中的错误信息却带有auditd标志。不知道是不是redhat 6改版之后这样回复 2# milujite


   

milujite

RHEL5里。message记录的应该是错误信息，如selinux的失败消息。audit的日志记录的是selinux过程中的比较详细的信息。不知道RHEL6是否有变动。

zongg

我记得selinux 在message 里有信息。

beryung

messages中有消息，但是却并不是由selinux捕获。现在不理解的是因为在6版本之后selinux捕获是靠audit进程来捕获还是说setroubleshoot根本没有启用回复 5# zongg


   

zongg

回复 6# beryung


    也有可能说6以后有变化，只能说看谁知道说一下。