如何在SELinux中允许用户执行ping命令？（RedHat 8.5环境）

问题原因 #

postgres用户对应的SELinux域（默认是postgresql_t），默认没有权限创建ping所需的原始套接字（raw socket），导致执行ping操作被SELinux拦截。

解决步骤 #

1. 触发并捕获SELinux审计日志
   先执行报错命令触发拦截动作：

   sudo su postgres ping 8.8.8.8
   

   然后查看最新的SELinux拒绝记录：

   ausearch -m avc -ts recent
   

   你会看到类似如下的AVC拒绝条目，确认是postgresql_t域缺少rawip_socket权限：

   type=AVC msg=audit(xxxxxxxxx.xxx:xxx): avc: denied { rawip_socket } for pid=xxxx comm="ping" scontext=system_u:system_r:postgresql_t:s0 tcontext=system_u:system_r:postgresql_t:s0 tclass=socket permissive=0

2. 生成并加载自定义SELinux模块
   使用audit2allow工具根据审计日志生成权限规则：

   ausearch -m avc -ts recent | audit2allow -M postgres-ping
   

   执行后会生成两个文件：postgres-ping.te（规则源码）和postgres-ping.pp（可加载模块）。

   加载这个自定义模块：

   semodule -i postgres-ping.pp
   

3. 验证生效
   再次切换到postgres用户执行ping，确认功能正常：

   sudo su postgres ping 8.8.8.8
   

注意事项 #

• 不要直接将postgres用户的SELinux域设置为unconfined_t，这会破坏SELinux的隔离机制，带来不必要的安全风险。
• 自定义模块会永久生效，若需移除可执行命令：semodule -r postgres-ping。

内容的提问来源于stack exchange，提问作者Bkmz Cfyrjd