16.10 MAC portacl 模块

　　模块名： mac_portacl.ko

　　对应的内核配置： MAC_PORTACL

　　引导选项： mac_portacl_load="YES"

　　mac_portacl(4) 模块可以用来通过一系列 sysctl 变量来限制绑定本地的 TCP 和 UDP 端口。 本质上 mac_portacl(4) 使得 非-root 用户能够绑定到它所指定的特权端口， 也就是那些编号小于 1024 的端口。

　　在加载之后， 这个模块将在所有的 socket 上启用 MAC 策略。 可以调整下列一些配置：

• security.mac.portacl.enabled 将完全 启用/禁用 策略。

• security.mac.portacl.port_high 将设置为 mac_portacl(4) 所保护的最高端口号。

• security.mac.portacl.suser_exempt 如果设置为非零值， 表示将 root 用户排除在策略之外。

• security.mac.portacl.rules 将指定实际的 mac_portacl 策略； 请参见下文。

　　实际的 mac_portacl 策略， 是在 security.mac.portacl.rules sysctl 所指定的一个下列形式的字符串： rule[,rule,...] 其中可以给出任意多个规则。 每一个规则的形式都是： idtype:id:protocol:port。 这里的 idtype 参数可以是 uid 或 gid， 分别表示将 id 参数解释为用户 id 或组 id。 protocol 参数可以用来确定希望应用到 TCP 或 UDP 协议上， 方法是把这一参数设置为 tcp 或 udp。 最后的 port 参数则给出了所指定的用户或组能够绑定的端口号。

　　默认情况下， 在 类-UNIX® 系统中， 编号小于 1024 的端口只能为特权进程使用或绑定， 也就是那些以 root 身份运行的进程。 为了让 mac_portacl(4) 能够允许非特权进程绑定低于 1024 的端口， 就必须首先禁用标准的 UNIX 限制。 这可以通过把 sysctl(8) 变量 net.inet.ip.portrange.reservedlow 和 net.inet.ip.portrange.reservedhigh 设置为 0 来实现。

　　请参见下面的例子， 或 mac_portacl(4) 联机手册中的说明， 以了解进一步的信息。

# sysctl security.mac.portacl.port_high=1023
# sysctl net.inet.ip.portrange.reservedlow=0 net.inet.ip.portrange.reservedhigh=0

# sysctl security.mac.portacl.suser_exempt=1

# sysctl security.mac.portacl.rules=uid:80:tcp:80

# sysctl security.mac.portacl.rules=uid:1001:tcp:110,uid:1001:tcp:995