vzctl

title: vzctl(8)

summary: менеджер виртуальных сред

text:
# vzctl(8)

## ИМЯ
vzctl - менеджер виртуальных сред

## ОБЗОР
vzctl [flags] create идентификатор-среды --ostemplate имя] [--config имя] [--private путь] [--root путь] [--ipadd адрес] [--hostname имя]

vzctl [flags] set идентификатор-среды [параметры] [--save]

vzctl [flags] destroy | mount | umount | start | stop | restart | status | enter идентификатор-среды

vzctl [flags] exec | exec2 идентификатор-среды команда [аргумент ...]

vzctl runscript идентификатор-среды сценарий

vzctl --help | --version

## ОПИСАНИЕ
Утилита vzctl запускается на физическом компьютере (Hardware Node - HN) и позволяет управлять виртуальными средами (Virtual Environment - VE).

Виртуальная среда идентифицируется либо по числовому идентификатору-среды, либо по имени (см. ключ --name). Идентификаторы <= 100 зарезервированы для внутреннего использования OpenVZ.

## ОПЦИИ

### Флаги
Следующие флаги можно использовать практически с любыми другими ключами.

--quiet

Не выводить сообщения на экран и в протокол.

--verbose

Выводить максимально подробные сообщения.

### Настройка параметров виртуальных сред
set идентификатор-среды [параметры] [--save]

Эта команда позволяет изменять различные параметры виртуальной среды с указанным идентификатором. Флаг --save включает сохранение параметров в файле конфигурации виртуальной среды vps.conf(5). Если виртуальная среда запущена, изменения вступают в силу незамедлительно. С командой set можно указывать следующие опции:

Общие параметры

--onboot yes|no

Запускать ли виртуальную среду при загрузке системы. По умолчанию это не происходит и для изменения этого поведения укажите значение yes.

--root путь

Корневой каталог для данной виртуальной среды. По сути это точка монтирования корневого каталога виртуальной среды. В значении должна содержаться последовательность $VEID, которая будет заменена на идентификатор среды. Изменять этот параметр не рекомендуется, вместо этого лучше внести изменения в глобальный файл конфигурации vz(5).

--userpasswd пользователь:пароль

Задать пароль для данного пользователя в виртуальной среде. Если пользователь не существует, он будет создан. Этот параметр не влияет на файл конфигурации. (следовательно указание --save не имеет смысла). Вместо этого изменяются файлы /etc/passwd и /etc/shadow в виртуальной среде. Если корневой каталог виртуальной среды не смонтирован, то он предварительно монтируется. После внесения изменений в файлы выполняется размонтирование.

Данная опция требует, чтобы область виртуальной среды существовала заранее.

--disabled yes|no

Запретить запуск виртуальной среды. Для принудительного её запуска выполните vzctl start с опцией --force.

--name имя

Присвоить имя виртуальной среде. Его затем можно будет использовать вместо идентификатора. Среде можно присвоить несколько имён.

--setmode restart|ignore

Перезапускать ли виртуальную среду после изменения параметров требующих этого.

Параметры работы с сетью

--ipadd адрес

Назначить IP-адрес виртуальной среде. Среде можно назначить несколько адресов.

--ipdel адрес | all

Отменить назначение IP-адреса виртуальной среде. Для отмены всех назначений адресов данной среде укажите --ipdel all.

--hostname имя

Задать имя хоста виртуальной среды. Оно записывается в соответствующий файл в самой среде, имя которого зависит от дистрибутива.

--nameserver адрес

IP-адрес сервера DNS, который должен использоваться виртуальной средой. Несколько серверов DNS необходимо задавать одной командой, используя данную опцию несколько раз Все IP-адреса серверов DNS, которые имелись в конфигурации до вызова команды, удаляются.

--searchdomain имя

Домены для поиска DNS. Несколько доменов необходимо задавать одной командой, используя данную опцию несколько раз Все домены, которые имелись в конфигурации до вызова команды, удаляются.

--netif_add интерфейс[,mac,интерфейс-хоста,mac-хоста]

Добавить виртуальное устройство ethernet (veth) в виртуальную среду. интерфейс - будущее имя устройства ethernet в среде, mac - MAC-адрес, интерфейс-хоста - имя устройства ethernet на хосте, mac-хоста - MAC-адрес там же. Формат MAC-адресов: XX:XX:XX:XX:XX:XX. Все параметры кроме интерфейс необязательны и генерируются автоматически если не указаны.

Настройка интерфейса

Следующие опции позволяют изменять параметры уже существующих интерфейсов ethernet. Настраиваемый интерфейс указывается через --ifname имя.

--mac XX:XX:XX:XX:XX:XX - MAC-адрес интерфейса в виртуальной среде.

--host_ifname имя - интерфейс в VE0.

--host_mac XX:XX:XX:XX:XX:XX - MAC-адрес интерфейса в VE0.

--netif_del устройство|all

Удалить виртуальное устройство ethernet из среды. Для удаления всех устройств укажите all.

Ограничение использования ресурсов

Следующие опции позволяют наложить ограничения на использование тех или иных ресурсов. Каждая из них требует один или два аргумента. Если указывается один аргумент, vzctl устанавливает строгое ограничение. Если указываются два значения (через двоеточие), первый считается нестрогим ограничением (барьером), а второй - строгим (лимитом).

Единицы - элементы, страницы и байты. Размер страницы зависит от архитектуры, например на IA32 это 4096 байт.

Для всех параметров set, не начинающихся на num, можно указывать приставки единиц. Например, vzctl set идентификатор-среды --privvmpages 5M:6M задаст нестрогое ограничение на максимальный общий размер частных виртуальных страниц памяти (privvmpages) в 5 Мб и строгое - в 6 Мб.

Допустимые приставки:

g, G -- гигабайты.

m, M -- мегабайты.

k, K -- килобайты.

p, P -- страницы (4096 байт на x86).

--numproc число[:число]

Ограничение на число процессов и потоков на уровне ядра. Указание нестрогого ограничения не имеет смысла.

--numtcpsock число[:число]

Ограничение на число сокетов TCP, а, следовательно, и на число клиентов, которых может обслуживать сервер одновременно. Указание нестрогого ограничения не имеет смысла.

--numothersock число[:число]

Ограничение на число сокетов, отличных от сокетов TCP (т.е. локальных, UDP и прочих). Указание нестрогого ограничения не имеет смысла.

--vmguarpages число-страниц[:число-страниц]

Объём памяти, гарантированно доступный виртуальной среде. Нестрогое ограничение - это объём памяти который может быть выделен приложению. Смысл строгого ограничения на данный момент не определён. Он должен быть установлен в 2147483647.

--kmemsize число-байт[:число-байт]

Объём памяти доступной ядру. Этот параметр имеет отношение также к --numproc. Каждый процесс потребляет некоторую часть блока памяти ядра

- как минимум 16 кб и обычно на уровне 30-50 кб. Некоторым процессам требуется больше. Между строгим и нестрогим ограничениями должен быть достаточный зазор, иначе в некоторый момент времени ядру придётся удалять уже существующие процессы для выполнения строгого ограничения kmemsize.

--tcpsndbuf число-байт[:число-байт]

Ограничение на объём памяти, занимаемой буферами отправки TCP. Не должно быть меньше 64 кб, и разница между строгим и нестрогим ограничениями должна быть не меньше значения numtcpsock умноженного на 2,5 кб.

--tcprcvbuf число-байт[:число-байт]

Ограничение на объём памяти, занимаемой буферами приёма TCP. Не должно быть меньше 64 кб, и разница между строгим и нестрогим ограничениями должна быть не меньше значения numtcpsock умноженного на 2,5 кб.

--othersockbuf число-байт[:число-байт]

Ограничение на объём памяти, занимаемой буферами отправки других сокетов. Если процессам виртуальной среды требуется посылать большие датаграммы, установите соответствующее нестрогое ограничение. Увеличение строгого ограничения необходимо для повышение производительности при работе через локальные (UNIX) сокеты.

--dgramrcvbuf число-байт[:число-байт]

Ограничение на объём памяти занимаемой буферами приёма других сокетов. Если процессам виртуальной среды требуется посылать большие датаграммы, установите соответствующее нестрогое ограничение. Указание нестрогого лимита не требуется.

--oomguarpages число-страниц[:число-страниц]

Гарантированный предел для OOM kill (удаление одного процесса для освобождения памяти). Под этим значением понимается общий объём оперативной памяти и раздела подкачки используемой процессами среды. Значение нестрогого ограничения является пределом "out-of-memory" (ситуация нехватки памяти). Если текущее значение oomguarpages ниже указанного, процессы определённо не будут удаляться по условию "out-of-memory". Смысл строгого ограничения не определён и должен быть равен 2147483647.

--lockedpages число-страниц[:число-страниц]

Ограничение на число страниц, получаемых функцией mlock(2).

--privvmpages число-страниц[:число-страниц]

Позволяет контролировать объём памяти, выделяемой приложениям. Виртуальная среда действительно использующая общую страницу (отмеченную как MAP_SHARED) "платит" за неё только частично (в зависимости от общего количества сред, использующих данную страницу). За теоретически частную страницу (отмеченную как MAP_PRIVATE) виртуальная среда платит либо часть, либо полностью, если физические страницы, связанные с выделенным адресным пространством, могут быть в оперативной памяти, разделе подкачки или вообще не существовать на данном этапе. Ограничение, определяемое данным параметром, относится к общему объёму выделенной памяти. Обратите внимание, что виртуальная среда необязательно сможет запросить указанный объём памяти. Основной механизм контроля выделения памяти - --vmguarpages.

--shmpages число-страниц[:число-страниц]

Ограничение на размер сегмента совместно используемой памяти IPC. Указание нестрогого ограничения не имеет смысла.

--numfile число[:число]

Ограничение на количество открываемых файлов. Указание нестрогого ограничения не имеет смысла.

--numflock число[:число]

Ограничение на число блокировок для файлов. Необходимо наличие промежутка между нестрогим и строгим значениями.

--numpty число[:число]

Число псевдо-терминалов. В OpenVZ каждая виртуальная среда может иметь не больше 255 терминалов. (PTY). Указание нестрогого ограничения не имеет смысла.

--numsiginfo число[:число]

Количество структур siginfo. Указание нестрогого ограничения не имеет смысла.

--dcachesize число-байт[:число-байт]

Ограничение на размер кэша файловой системы, в т.ч. структур dentry (для каталогов) и inode (для файлов). Позволяет отказывать приложениям заранее, а не во время критических операций с файлами. Необходимо наличие промежутка между нестрогим и строгим значениями.

--numiptent число[:число]

Число записей iptables (netfilter). Указание нестрогого ограничения не имеет смысла.

--physpages число-страниц[:число-страниц]

Используется только для статистики. Показывает использование оперативной памяти данной средой. Нестрогое ограничение должно быть равно 0, а строгое - в 2147483647.

Параметры распределения процессорного времени

Следующие параметры позволяют контролировать использование процессора виртуальными средами.

--cpuunits число

Вес виртуальной среды. Положительное целое число, передаваемое планировщику центрального ядра. Чем больше число, тем больше процессорного времени будет выделяться данной виртуальной среде. Максимальное значение - 500000, минимальное - 8. Значение по умолчанию - 1000. Вес VE0 (физической среды) также можно задавать (vzctl set 0 --cpuunits число). Обычно он задаётся сценарием initscript (/etc/init.d/vz).

--cpulimit число[%]

Ограничение на загрузку процессора виртуальной средой в процентах. Если в компьютере имеется два процессора, то максимальное значение - 200%. Значение по умолчанию - 0 (без ограничений). --cpus число устанавливает число процессов, доступных в виртуальной среде.

Информирование о доступной памяти

Этот параметр определяет содержание /proc/meminfo в виртуальной среде.

--meminfo none

Выводить /proc/meminfo физической системы.

--meminfo режим:значение

Задать выводимый общий объём памяти. Свободная память вычисляется в зависимости от выбранного режима.

Доступны следующие режимы:

pages:значение - задать общий объём памяти в страницах

privvmpages:значение - задать общий объём памяти как privvmpages * значение Значение по умолчанию - privvmpages:1.

Параметры касающиеся iptables

--iptables имя

Запретить доступ к модулям iptables из виртуальной среды (по умолчанию доступны все модули iptables загруженные в физической системе). Список модулей: iptable_filter, iptable_mangle, ipt_limit, ipt_multiport, ipt_tos, ipt_TOS, ipt_REJECT, ipt_TCPMSS, ipt_tcpmss, ipt_ttl, ipt_LOG, ipt_length, ip_conntrack, ip_conntrack_ftp, ip_conntrack_irc, ipt_conntrack, ipt_state, ipt_helper, iptable_nat, ip_nat_ftp, ip_nat_irc, ipt_REDIRECT xt_mac.

Сетевые устройства

--netdev_add имя

Переместить сетевое устройство из VE0 в указанную среду.

--netdev_del имя

Удалить сетевое устройство из указанной среды.

Параметры квотирования дискового пространства

--diskspace число[:число]

Строгая и нестрогая квоты в блоках. Один блок на данный момент равен 1 кб. Допустимы также приставки G, M и K (см. Ограничение использования ресурсов).

--diskinodes число[:число]

Строгая и нестрогая квоты в inode.

--quotatime число-секунд

Допустимый период злоупотребления дисковым пространством (т.е. время когда превышена нестрогая квота - "период отсрочки").

--quotaugidlimit число

Максимальное число идентификаторов пользователей и групп в виртуальной среде для которых будет применяться квотирование в среде. При значении 0 такое квотирование не будет выполняться вообще. Если ранее данный параметр был установлен в 0, повторное его изменение во время работы среды не будет вступать в силу немедленно.

Параметры монтирования

--noatime yes|no

Отключить запись данных в времени доступа к inode (фактически - к файлам) на файловой системе.

Системные возможности

--capability имя:on|off

Включить/выключить системную возможность в виртуальной среде. Для вступления изменений в силу необходим перезапуск среды. Для виртуальных сред предусмотрена стандартная конфигурация системных возможностей, и данный ключ позволяет изменять эту конфигурацию по принципу "логического И". Имеются следующие системные возможности: chown, dac_override, dac_read_search, fowner, fsetid, kill, setgid, setuid, setpcap, linux_immutable, net_bind_service, net_broadcast, net_admin, net_raw, ipc_lock, ipc_owner, sys_module, sys_rawio, sys_chroot, sys_ptrace, sys_pacct, sys_admin, sys_boot, sys_nice, sys_resource, sys_time, sys_tty_config, mknod, lease, setveid, ve_admin.

ВНИМАНИЕ: включение некоторых системных возможностей может отрицательно повлиять на защиту, поэтому не изменяйте конфигурацию, если вы не знаете точно что делаете. Установка setpcap:on скорее всего приведёт к невозможности запуска среды.

Доступ к устройствам

--devnodes устройство:r|w|rw|none

Дать виртуальной среде доступ (r - чтение, w - запись, rw - чтение и запись, none - запретить доступ) к устройству с адресом /dev/устройство. Файл устройства в виртуальной среде создаётся автоматически.

--devices b|c:главный-номер:дополнительный-номер|all:[r|w|rw|none]

Дать виртуальной среде доступ к блочному (block) или символьному (character) устройству с главным номером главный-номер вторым номером дополнительный-номер. Файлы устройств необходимо создавать вручную.

Компоненты

--features имя:on|off

Включить или выключить функцию виртуальной среды. Имеющиеся функции: sysfs, nfs.

Применение параметров из файла конфигурации

--applyconfig имя

Считать параметры виртуальной среды из образцового файла конфигурации /etc/vz/conf/ve-имя.conf-sample, и применить их. Если также указана опция --save, сохранить в файле конфигурации среды. Изменения не затрагивают следующие параметры: HOSTNAME, IP_ADDRESS, OSTEMPLATE, VE_ROOT и VE_PRIVATE.

--applyconfig_map имя

Применить параметры из группы имя. Восстановить имя среды по переменной NAME в файле её конфигурации.

Приоритет операций ввода-вывода

--ioprio приоритет

Определить для среды приоритет ввода-вывода. Допустимый диапазон - 0-7. Чем больше приоритет, тем больше времени для операций ввода-вывода выделяется среде. Приоритет по умолчанию - 4.

### Создание точек восстановления
OpenVZ позволяет полностью сохранять состояние работающей виртуальной среды с возможностью последующего возврата к нему.

chkpnt идентификатор-среды [--dumpfile имя]

Сохранить полное состояние работающей среды в файл-дамп, и остановить её. Если опция --dumpfile не указана, для файла дампа используется имя /vz/dump/Dump.идентификатор-среды.

restore идентификатор-среды [--dumpfile имя]

Восстановить виртуальную среду из дампа, созданного командой chkpnt.

### Управление виртуальными средами
create идентификатор-среды [--ostemplate имя] [--config имя] [--private путь] [--root путь] [--ipadd адрес] [--hostname имя]

Создать область для новой виртуальной среды. Эту команду необходимо выполнить один раз до первого запуска среды. Если опция --config указана, в файл конфигурации среды будут перенесены значения из файла образца /etc/vz/conf/ve-имя.conf-sample. Если файл конфигурации уже существует, он предварительно удаляется (автоматически).

Опция --root путь определяет каталог, который будет использоваться как корневой каталог в виртуальной среде (по умолчанию значение переменной VE_ROOT в файле vz(5)). $VEID в аргументе заменяется на числовой идентификатор среды.

Опция --private путь задаёт каталог, в котором должны храниться файлы и каталоги, относящиеся к данной среде (по умолчанию - значение переменной VE_PRIVATE в файле vz(5)). $VEID в аргументе заменяется на числовой идентификатор среды.

Опция --ipadd адрес позволяет назначить среде IP-адрес. Возможно назначение нескольких адресов указанием данной опции несколько раз.

Для задания имени хоста для среды воспользуйтесь --hostname имя.

destroy

Удалить область среды - удалить все файлы каталоги и файлы конфигурации указанной среды.

start [--wait] [--force]

Монтировать (если это необходимо) и запустить виртуальную среду. Если опция --wait не указана, vzctl передаст управление оболочке немедленно, иначе будет ожидать перехода среды в основной режим выполнения (runlevel). Для запуска отключенной среды укажите --force (см. --disabled).

stop

Остановить и отмонтировать виртуальную среду.

restart

Перезапустить среду: остановить, если она работает, и запустить (снова).

status

Вывести информацию о состоянии среды. Сведения выводятся в виде строки из нескольких значений через пробел. Первое - слово VEID. Второе - числовой идентификатор среды. Третье сообщает о существовании среды (exist или deleted). Четвёртое - состояние файловой системы среды (mounted или unmounted). Пятое - работает ли среда в данный момент (running или down). Эта команда может быть полезна при написании сценариев.

mount

Монтировать частную область среды.

umount

Отмонтировать частную область среды. Заметьте, что при выполнении команды stop размонтирование происходит автоматически.

exec идентификатор-среды команда

Запустить команду в среде. Переменные оболочки не задаются в виртуальной среде. Обработка сигналов может быть отличной от стандартной. Если команда указана как -, то собственно команды считываются со стандартного ввода.

exec2 идентификатор-среды команда

Аналогично exec, но код возврата совпадает с кодом возврата команды.

runscript

Выполнить указанный сценарий в среде. Если она не выполняется, то будет запущена автоматически.

enter

Войти в виртуальную среду. Это своеобразный чёрный вход для администратора физического компьютера.

### Другие опции
--help

Вывести краткое описание допустимый опций.

--version

Вывести версию vzctl.

## ДИАГНОСТИКА
Если при выполнении команды ошибок не возникло, программа возвращает 0.

## ПРИМЕРЫ
Создать и запустить виртуальную среду "basic", с идентификатором 1000, используя шаблон altlinux и IP-адрес 192.168.10.200:

vzctl create 1000 --ostemplate altlinux --config vps.basic

vzctl set 1000 --ipadd 192.168.10.200 --save

vzctl start 1000

Задать ограничения на число работающих процессов (80/100) и открытых терминалов PTY (16/20):

vzctl set 1000 --numproc 80:100 -t 16:20 --save

Выполнить команду ls -la в этой же среде:

vzctl exec 1000 /bin/ls -la

Выполнить команду оболочки, задействующую конвейеры, ls -l / | sort:

vzctl exec 1000 'ls -l / | sort'

Остановить среду:

vzctl stop 1000

Удалить среду:

vzctl destroy 1000

## ФАЙЛЫ
/etc/vz/vz.conf

/etc/vz/conf/veid.conf

/proc/vz/veinfo

/proc/vz/vzquota

/proc/user_beancounters

/proc/fairsched

## СМ. ТАКЖЕ
vz.conf(5), vps.conf(5), vzquota(8),

## АВТОРСКИЕ ПРАВА
Copyright (C) 2000-2007 SWsoft. Распространяется на условиях лицензии GNU GPL v2.

## ПЕРЕВОД
Николай Шафоростов <shafff@ukr.net> 2007


vzlist

package: man-pages-ru-extra

title: vzlist(8)

summary: вывод списка виртуальных сред.

text:
# vzlist(8)

## ИМЯ
vzlist - вывод списка виртуальных сред.

## ОБЗОР
vzlist [-a] [-o имя[,имя...]]

[-s [-]имя] [-h шаблон]

[-H] [-S] [-n] [-N <-шаблон>]

[идентификатор [идентификатор ..] | -1]

vzlist -L

## ОПИСАНИЕ
Эта программа используется для получения списка виртуальных сред. По умолчанию выводятся только работающие в данный момент виртуальные среды. Для того, чтобы получить только идентификаторы VE (один на строку), используйте -1 в качестве значения идентификатора VE.

## ФЛАГИ
--all, -a

показать все VE.

--sort, -s

указывает порядок сортировки. '-' перед значением параметра обозначает сортировку в обратном направлении.

--hostname, -h <шаблон>

показать только те VE, для которых имя хоста соответствует указанному шаблону. Следующие символы подстановки могут быть использованы в шаблоне: *, ?, []. Обратите внимание, что символы шаблона должны быть правильно экранированы, чтобы предотвратить их интерпретацию командной оболочкой.

--name, -n

показывать имена VE.

--name_filter, -N <шаблон>

выводить только те VE, имена которых соответствуют шаблону.

--no-header, -H

не выводить заголовок

--stopped -S

показать только остановленные VE.

--list -L

показать все спецификаторы формата.

### СТАНДАРТНЫЕ СПЕЦИФИКАТОРЫ ФОРМАТА
Следующие спецификаторы могут быть использованы для контролирования как формата вывода, так сортировки.

Суффикс

Описание

.m

наибольшее достигнутое значение (maxheld)

.b

барьер (barrier)

.l

квота (limit)

.f

число ошибок (failcnt)

.s

нестрогая квота (softlimit)

.h

строгая квота (hardlimit)

Пример:

vzlist -o veid,kmemsize,kmemsize.l -s kmemsize

Полно

Кратко

veid

VEID

hostname

HOSTNAME

name

NAME

ip

IP_ADDR

status

STATUS

kmemsize

KMEMSIZE

kmemsize.m

KMEMSIZE.M

kmemsize.b

KMEMSIZE.B

kmemsize.l

KMEMSIZE.L

kmemsize.f

KMEMSIZE.F

lockedpages

LOCKEDP

lockedpages.m

LOCKEDP.M

lockedpages.b

LOCKEDP.B

lockedpages.l

LOCKEDP.L

lockedpages.f

LOCKEDP.F

privvmpages

PRIVVMP

privvmpages.m

PRIVVMP.M

privvmpages.b

PRIVVMP.B

privvmpages.l

PRIVVMP.L

privvmpages.f

PRIVVMP.F

shmpages

SHMP

shmpages.m

SHMP.M

shmpages.b

SHMP.B

shmpages.l

SHMP.L

shmpages.f

SHMP.F

numproc

NPROC

numproc.m

NPROC.M

numproc.b

NPROC.B

numproc.l

NPROC.L

numproc.f

NPROC.F

physpages

PHYSP

physpages.m

PHYSP.M

physpages.b

PHYSP.B

physpages.l

PHYSP.L

physpages.f

PHYSP.F

vmguarpages

VMGUARP

vmguarpages.m

VMGUARP.M

vmguarpages.b

VMGUARP.B

vmguarpages.l

VMGUARP.L

vmguarpages.f

VMGUARP.F

oomguarpages

OOMGUARP

oomguarpages.m

OOMGUARP.M

oomguarpages.b

OOMGUARP.B

oomguarpages.l

OOMGUARP.L

oomguarpages.f

OOMGUARP.F

numtcpsock

NTCPSOCK

numtcpsock.m

NTCPSOCK.M

numtcpsock.b

NTCPSOCK.B

numtcpsock.l

NTCPSOCK.L

numtcpsock.f

NTCPSOCK.F

numflock

NFLOCK

numflock.m

NFLOCK.M

numflock.b

NFLOCK.B

numflock.l

NFLOCK.L

numflock.f

NFLOCK.F

numpty

NPTY

numpty.m

NPTY.M

numpty.b

NPTY.B

numpty.l

NPTY.L

numpty.f

NPTY.F

numsiginfo

NSIGINFO

numsiginfo.m

NSIGINFO.M

numsiginfo.b

NSIGINFO.B

numsiginfo.l

NSIGINFO.L

numsiginfo.f

NSIGINFO.F

tcpsndbuf

TCPSNDB

tcpsndbuf.m

TCPSNDB.M

tcpsndbuf.b

TCPSNDB.B

tcpsndbuf.l

TCPSNDB.L

tcpsndbuf.f

TCPSNDB.F

tcprcvbuf

TCPRCVB

tcprcvbuf.m

TCPRCVB.M

tcprcvbuf.b

TCPRCVB.B

tcprcvbuf.l

TCPRCVB.L

tcprcvbuf.f

TCPRCVB.F

othersockbuf

OTHSOCKB

othersockbuf.m

OTHSOCKB.M

othersockbuf.b

OTHSOCKB.B

othersockbuf.l

OTHSOCKB.L

othersockbuf.f

OTHSOCKB.F

dgramrcvbuf

DGRAMRRB

dgramrcvbuf.m

DGRAMRRB.M

dgramrcvbuf.b

DGRAMRRB.B

dgramrcvbuf.l

DGRAMRRB.L

dgramrcvbuf.f

DGRAMRRB.F

numothersock

NOTHSOCK

numothersock.m

NOTHSOCK.M

numothersock.b

NOTHSOCK.B

numothersock.l

NOTHSOCK.L

numothersock.f

NOTHSOCK.F

dcachesize

DCACHESZ

dcachesize.m

DCACHESZ.M

dcachesize.b

DCACHESZ.B

dcachesize.l

DCACHESZ.L

dcachesize.f

DCACHESZ.F

numfile

NFILE

numfile.m

NFILE.M

numfile.b

NFILE.B

numfile.l

NFILE.L

numfile.f

NFILE.F

numiptent

NIPTENT

numiptent.m

NIPTENT.M

numiptent.b

NIPTENT.B

numiptent.l

NIPTENT.L

numiptent.f

NIPTENT.F

diskspace

DQBLOCKS

diskspace.s

DQBLOCKS.S

diskspace.h

DQBLOCKS.H

diskinodes

DQINODES

diskinodes.s

DQINODES.S

diskinodes.h

DQINODES.H

laverage

LAVERAGE

cpulimit

CPULIM

cpuunits

CPUUNI

## ВОЗВРАЩАЕМОЕ ЗНАЧЕНИЕ
Возвращает 0 при успешном завершении.

## АВТОРСКИЕ ПРАВА
Copyright (C) 2000-2007, SWsoft. Распространяется на условиях GNU GPL.

## ПЕРЕВОД
Перевод с английского Виктор Ерёмин <ErV2005@rambler.ru> 2007


vzmemcheck

title: vzmemcheck(8)

text:
# vzmemcheck(8)

## ИМЯ
vzmemcheck - показывает информацию о памяти физической среды.

## ОБЗОР
vzmemcheck [-v] [-A]

## ОПЦИИ
-v

Выводить информацию по каждой виртуальной среде.

-A

Показать абсолютные значения (в мегабайтах).

## ОПИСАНИЕ
Эта программа показывает использование памяти физической среды: low memory utilization, low memory commitment, RAM utilization ,mem+swap utilization, mem+swap commitment, allocmem utilization, allocmem commitment, allocmem limit.

С флагом -A будут показаны абсолютные значения (в мегабайтах).Без флага -v, будут показана дополнительные строки: линия(линии) заголовка, числитель и знаменатель соответствующей дроби.

## ДИАГНОСТИКА
В случае успешного завершения возвращается 0. В случае ошибки возвращается значение 1.

## АВТОРСКИЕ ПРАВА
Copyright (C) 2000-2007, SWsoft. Распространяется на условиях лицензии GNU GPL.

## ПЕРЕВОД
Перевод с английского Виктор Ерёмин <ErV2005@rambler.ru> 2007


vzmigrate

title: vzmigrate(8)

text:
# vzmigrate(8)

## ИМЯ
vzmigrate - программа для переноса (миграции) виртуальных сред между аппаратными узлами.

## ОБЗОР
vzmigrate [-r|--remove-areayes|no] [--ssh=настройки_ssh] [--keep-dst] [--online] [-v] адрес_цели veid

## ОПИСАНИЕ
Эта программа используется для переноса виртуальных сред с одного аппаратного узла (источника) на другой аппаратный узел (назначение). Программа может переносить как остановленные, так и работающие виртуальные среды. Для остановленных виртуальных сред происходит простая передача закрытых данных VE (для передачи файлов используется rsync(1)). Для работающих VE, перенос может проходить в режиме оффлайн (используется по умолчанию) или онлайн.

Программа использует ssh как транспорт. Требуется скопировать публичный ключ ssh на узел точки назначения, также должна быть возможность подключиться к узлу без ввода пароля.

## ОПЦИИ
-r, --remove-area yes|no

Указывает, удалять или нет области VE с узла источника после успешной миграции.

--ssh=параметры

Дополнительные параметры, которые будут переданы ssh во время установления соединения с аппаратным узлом цели. Разрешается добавлять флаги вроде -c blowfish или аналогичные им.

--keep-dst

Не очищать закрытые данные VE-приемника в случае ошибок. Имеет смысл использовать эту опцию при переносе больших VE, чтобы предотвратить повторную синхронизацию закрытой области VE в случае, если какие-либо ошибки (остановка VE, например) произошли при первой попытке переноса.

--online

Использовать перенос онлайн (с нулевым временем остановки): перед переносом VE останавливается на некоторое время и после окончания переноса продолжает работать, как если бы ничего не случилось.

-v

Вывод дополнительной информации. Заставляет vzmigrate выводить отладочные сообщения о ходе процесса.

## ПРИМЕРЫ
Перенос VE #101 на 192.168.1.130 с остановкой:

vzmigrate 192.168.1.130 101

Онлайн миграция VE#102 на 192.168.1.130:

vzmigrate --online 192.168.1.130 102

## ВОЗВРАЩАЕМОЕ ЗНАЧЕНИЕ
0 EXIT_OK

Команда завершена успешно.

1 EXIT_USAGE

Неверные параметры в командной строке.

2 EXIT_VE_STOPPED

VE остановлена.

4 EXIT_CONNECT

Невозможно соединиться с аппаратным узлом назначения (или источника).

6 EXIT_COPY

Не удалось перенести закрытую область VE.

7 EXIT_VE_START

Не удалось запустить или восстановить VE назначения.

8 EXIT_VE_STOP

Невозможно остановить или создать контрольную точку для VE источника.

9 EXIT_EXISTS

VE уже существует на аппаратном узле назначения.

10 EXIT_NOTEXIST

VE не существует на аппаратном узле источника.

12 EXIT_IP_INUSE

Произошла попытка переноса VE, IP-адрес которой уже используется на узле назначения

13 EXIT_QUOTA

Операция с квотой VE не удалась.

## СМ. ТАКЖЕ
rsync(1)

## АВТОРСКИЕ ПРАВА
Copyright (C) 2001-2007, SWsoft. Распространяется на условиях GNU GPL.

## ПЕРЕВОД
Перевод с английского Виктор Ерёмин <ErV2005@rambler.ru> 2007.


vzpid

title: vzpid(8)

text:
# vzpid(8)

## ИМЯ
vzpid - выводит ID виртуальной среды по ID процесса (PID).

## ОБЗОР
vzpid [-h] [pid [...]]

## ОПИСАНИЕ
Этот скрипт выводит ID виртуального окружения, в котором запущен процесс с указанным pid.

## ОПЦИИ
pid

pid процесса, для которого следует вывести ID виртуального окружения.

## ВОЗВРАЩАЕМОЕ ЗНАЧЕНИЕ
При успешном выполнении возвращает 0.

## СМ. ТАКЖЕ
vzctl(8).

## АВТОРСКИЕ ПРАВА
Copyright (C) 2000-2007, SWsoft. Распространяется на условиях GNU GPL.

## ПЕРЕВОД
Перевод с английского Виктор Ерёмин <ErV2005@rambler.ru> 2007


vzsplit

title: vzsplit(8)

text:
# vzsplit(8)

## ИМЯ
vzsplit - генерирует простую конфигурацию VE с определенным набором параметров контролирования системных ресурсов.

## ОБЗОР
vzsplit [-n число_ve] [-f имя_конфигурации] [-s размер_подкачки]

## ОПИСАНИЕ
Программа vzsplit используется для разделения физической среды на равные части. Она генерирует полный набор параметров контроля системных ресурсов для указанного количества виртуальных сред. Значения вычисляются исходя из общего количества физической памяти физической среды и количества виртуальных сред, даже если указанное число виртуальных сред поглотит все доступные ресурсы. Если никаких опций не указано, vzsplit запрашивает желаемое число виртуальных сред и выводит полученные параметры контроля ресурсов на стандартный вывод. Если для запуска указанного числа VE недостаточно системных ресурсов, показывается предупреждающее сообщение и файл с образцом конфигурации не генерируется.

## ОПЦИИ
-n число_ve

Число виртуальных сред (VE).

-f имя_конфигурации

Имя файла конфигурации. Вывод программы будет сохранен в файле /etc/vz/conf/ve-имя_конфигурации.conf-sample.

-s размер_подкачки

Размер подкачки в килобайтах. Если опция не указана, размер подкачки будет считан из /proc/meminfo.

## ДИАГНОСТИКА
vzsplit возвращает 0 при успешном выполнении. Если что-то идет не так программа возвращает 1.

## СМ. ТАКЖЕ
vps.conf(5).

## АВТОРСКИЕ ПРАВА
Copyright (C) 2000-2007, SWsoft. Распространяется на условиях GNU GPL.

## ПЕРЕВОД
Перевод с английского Виктор Ерёмин <ErV2005@rambler.ru> 2007


xinetd

title: xinetd(8)

summary: продвинутый демон служб Интернет

text:
# xinetd(8)

## ИМЯ
xinetd - продвинутый демон служб Интернет

## ОБЗОР
xinetd [опции]

## ОПИСАНИЕ
xinetd выполняет такие же функции как и inetd: запускает программы, которые предоставляют службы Интенрет. Вместо того, чтобы запускать серверы этих служб при начальной загрузке системы, ожидается поступление запроса на соединение, xinetd слушает порты всех служб, которые перечислены в его файле настройки и просто производит запуск соответствующего сервера при поступлении запроса. Поскольку xinetd предоставляет способ управления серверами, его (как и inetd) также называют суперсервером.

Службы, перечисленные в файле с настройками xinetd могут быть разделены на две группы. Службы в первой группе называются multi-threaded (многопоточными) и они требуют разветвления (forking) нового серверного процесса для каждого нового запроса на соединение. Далее соединением управляет новый сервер. Для таких служб, xinetd продолжает слушать порты для приема новых запросов, чтобы вызвать новые серверы. В противолоположность первой, вторая группа включает службы, у которых демон службы отвечает за управление всеми запросами на соединение. Такие службы называются single-threaded (однопоточными) и для них xinetd не будет управлять новыми запросами пока сервер не завершит свою работу. Службы в этой группе обычно основаны на передаче данных через датаграммы (UDP).

Таким образом, единственная причина, по которой был создан расширенный суперсервер состоит в том, чтобы сохранить системные ресурсы через недопущение разветвления огромного числа процессов, которые могут бездействовать в течении большей части времени своей работы. В то же время выполненяя эту функцию, xinetd работает согласно идее суперсервера, предоставляя такие особенности, как управление доступом и протоколирование. Кроме того, xinetd не ограничивается обслуживанием служб, перечисленных в /etc/services. Поэтому, любой может использовать xinetd для запуска серверов специального назначения.

## ОПЦИИ
-d

Разрешает режим отладки. Указание этой опции приводит к большому количеству отладочных сообщений, которые делают возможным использование отладчика на

xinetd.

-syslog syslog_facility

Данная опция разрешает протоколирование создаваемых xinetd сообщений через syslog с заданным syslog facility. Поддерживаются следующие имена facility: daemon, auth, user, local[0-7] (посмотрите syslog.conf(5) для того, чтобы понять их назначение). Данная опция неэффективна в режиме отладки, так как все необходимые сообщения отправляются на терминал.

-filelog файл_журнала

Сообщения создаваемые xinetd будут помещаться в указанный файл. Сообщения вседя добавляются к уже существующему файлу. Если файл не существует, то он будет создан. Данная опция неэффективна в режиме отладки, так как все необходимые сообщения отправляются на терминал.

-f файл_настроек

Задает файл, который xinetd использует для настройки. По умолчанию это /etc/xinetd.conf.

-pidfile pid_файл

В этот файл записывается идентификатор процесса. Данная опция неэффективна в режиме отладки.

-stayalive

Говорит xinetd оставаться запущенным, даже если не задано никаких служб.

-loop rate

Данная опция устанавливает верхнюю величну цикла, по которой определяется, что служба работает с ошибками и по которой она отключается. Величина цикла задается в терминах количества серверов в секунду, которое может быть запущено в обработку (fork). Для этой опции, корректное значние определяется скоростью вашей машины. По умолчанию оно равно 10.

-reuse

Если используется эта опция, xinetd будет устанавливать опцию сокета SO_REUSEADDR перед привязкой сокета службы к какому-либо Интернет адресу. Это позволяет привязать адрес, даже если есть программа, которая уже использует его, например в том случае, если некоторые серверы были запущены во время предыдущего запуска xinetd и еще не завершили свою работу. Данная опция не оказывает влияния на службы RPC.

-limit proc_limit

Данная опция устанавливает ограничение на количество одновременно запущенных процессов, которые может запустить xinetd. Ее назначение предотвращать переполнение таблицы процессов.

-logprocs limit

Данная опция устанавливает ограничение на количество одновременно запущенных серверов на один идентификатор удаленного пользователя.

-shutdownprocs limit

Данная опция устанавливает ограничение на количество одновременно запущенных серверов для завершения работы службы (разветвление, когда используется опция RECORD ).

-cc interval

Данная опция говорит xinetd выполнять периодеческие проверки своего внутреннего состояния каждые interval секунд.

Опции syslog и filelog являются взаимно исключающими. Если ни одна из них не задана, то по умолчанию используется syslog с daemon facility. Вы не должны путать сообщения xinetd с сообщениями, которые создаются службами. Последние протоколируются только если это задано в файле с настройками.

## УПРАВЛЕНИЕ XINETD
Когда xinetd получает определенные сигналы, он выполняет определенные действия. Эти действия зависят от заданных сигналов и могут быть переопределены путем правки файла config.h и перекомпиляции.

SIGUSR2

Заставляет выполнить жесткую перенастройку, которая означает, что xinetd перечитает файл с настройками и завершит работу серверов для тех служб, которые больше не доступны. Управление доступом выыполняется снова на уже запущенные сервера через проверку удаленных подключений, времени доступа и копий сереров. Если количество копий серверов уменьшается, то некоторые произвольно выбранные сервера будут убиты, чтобы соблюсти ограничение; это случится после завершения работы тех серверов, которые попадают под ограничение доступа с удаленных адресов или ограничение времни доступа. Также, если флаг INTERCEPT был сброшен и происходит его установка, то будет завершена работа любых запущенных серверов для служб с этим флагом. цель такого поведения - убедиться, что после жесткой перенастройки не будет запущено северов, которые могут принимать пакеты с тех адресов, которые не соответвуют криетриями управления доступом.

SIGQUIT

Приводит к завершению работы.

SIGTERM

Завершает работу всех запущенных серверов перед завершением работы xinetd.

SIGHUP

Приводит к снятию дампа внутреннего состояния (по умолчанию файл дампа это /var/run/xinetd.dump; чтобы изменить данное имя файла нужна правка config.h и перекопиляция).

SIGIOT

Производит внутреннюю проверку того, что структуры данных, используемые программой не повреждены. Когда проверка завершится xinetd сгенерирует сообщение, которое скажет успешно прошла проверка или нет.

При перенастройке файлы журналов закрываются и переоткрываются. Это позволяет удалить старые файлы журналов.

## ФАЙЛЫ
/etc/xinetd.conf

файл с настройками

/var/run/xinetd.dump

файл дампа

## СМОТРИТЕ ТАКЖЕ
inetd(8), xinetd.conf(5), xinetd.log(5)

## АВТОР
Panos Tsirigotis, CS Dept, University of Colorado, Boulder Rob Braun

## ПРОИЗНОШЕНИЕ
zy-net-d

## ПЕРЕВОД
Перевел с английского Виктор Вислобоков <victor_v@permonline.ru>


xinetd.log

title: xinetd.log(8)

text:
# xinetd.log(8)

## НАЗВАНИЕ
xinetd.log - формат регистрационного журнала сервиса xinetd

## ОПИСАНИЕ
Конфигурация сервиса может определять различные уровни регистрации при попытке доступа к сервису. Если журналирование для сервиса разрешено, xinetd будет генерировать однострочные журнальные записи в следующем формате (все записи имеют в качестве префикса временную метку):

entry: service-id data

data зависит от entry. Возможные типы entry включают:

START

генерируется при запуске сервера

EXIT

генерируется при выходе сервера

FAIL

генерируется когда невозможно запустить сервер

DATA

генерируется при провале попытке запуска сервера и сервис поддерживает опцию журналирования RECORD.

USERID

генерируется при использовании параметра журналирования USERID.

NOID

генерируется при использовании параметра журналирования USERID и сервисного флага IDONLY , а на удаленной стороне нельзя определить кто пытается получить доступ к сервису.

Далее информация, заключенная в квадратные скобки, появляется, если используется соответствующая опция журналирования.

Запись START имеет формат:

START: service-id [pid=%d] [from=%d.%d.%d.%d]

Запись EXIT имеет формат:

EXIT: service-id [type=%d] [pid=%d] [duration=%d(sec)]

type может быть либо статус, либо сигнал. Число - это либо статус выхода, либо сигнал, вызвавший прерывание процесса.

Запись FAIL имеет следующий формат:

FAIL: service-id reason [from=%d.%d.%d.%d]

Возможны следующие причины:

fork

заданное количество последовательных попыток ветвления процесса не удались (это количество является конфигурационным параметром)

time

не прошла проверка времени

address

не прошла проверка адреса

service_limit

было достигнуто разрешенное количество серверных процессов для этой службы

process_limit

было указано и достигнуто ограничение на количество порожденных процессов

Запись DATA имеет формат:

DATA: service-id data

Регистрируемые data (данные) зависят от сервиса.

login

remote_user=%s local_user=%s tty=%s

exec

remote_user=%s verify=status command=%s

Возможные значения status :

ok

пароль правильный

failed

пароль неверный

baduser

пользователь отсутствует

shell

remote_user=%s local_user=%s command=%s

finger

received string или EMPTY-LINE

Запись USERID имеет формат:

USERID: service-id text

text отвечает за демон идентификации на удаленной стороне, исключая номера портов (которые включаются в ответ).

Запись NOID имеет формат:

NOID: service-id IP-address reason

## СМОТРИ ТАКЖЕ
xinetd(1L),

xinetd.conf(5)

## ОБ АВТОРАХ
Перевод: Alex Savvin <savvin@mail.ru> Февраль, 2002


netlabel-config

title: netlabel-config(8)

summary: утилита настройки NetLabel

text:
# netlabel-config(8)

## ИМЯ
netlabel-config - утилита настройки NetLabel

## ОБЗОР
netlabelctl reset| load

## ОПИСАНИЕ
Утилита настройки NetLabel, netlabel-config, это сценарий, который облегчает системным администраторам работу по созданию, управлению и использованию сложных конфигураций NetLabel. Сценарий netlabel-config использует утилиту netlabelctl(8) и файл конфигурации /etc/netlabel.rules для загрузки сохранённой конфигурации NetLabel в ядро, а также (при необходимости) для возврата конфигурации NetLabel ядра в состояние по умолчанию.

reset

Удалить загруженную в ядро конфигурацию NetLabel и вернуть состояние NetLabel ядра к значениям по умолчанию.

load

Загрузить конфигурацию NetLabel, указанную в /etc/netlabel.rules, в ядро.

## СООБЩЕНИЕ ПРИ ВЫХОДЕ
Возвращает ноль при успешном завершении или значения errno при ошибках.

## ПРИМЕЧАНИЯ
Подсистема NetLabel поддерживается в ядре Linux версии 2.6.19 и выше. Статические (резервные) метки поддерживаются только в ядре Linux версии 2.6.25 и выше. Селекторы адресов для сопоставления доменов поддерживаются только в ядре Linux версии 2.6.28 и выше, а CALIPSO/RFC5570 поддерживается только в ядре Linux версии 4.8.0 и выше.

Веб-сайт проекта NetLabel, на котором доступны дополнительные сведения, включая репозиторий исходного кода, находится по адресу https://github.com/netlabel. Пожалуйста, отправляйте сообщения об ошибках через сайт проекта или напрямую автору.

## СМОТРИТЕ ТАКЖЕ
netlabelctl(8)

## АВТОРЫ
Paul Moore <paul@paul-moore.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


netlabelctl

title: netlabelctl(8)

summary: утилита управления NetLabel

text:
# netlabelctl(8)

## ИМЯ
netlabelctl - утилита управления NetLabel

## ОБЗОР
netlabelctl [<global_flags>] <module> [<module_commands>]

## ОПИСАНИЕ
Утилита управления NetLabel, netlabelctl, это программа командной строки, которая позволяет системным администраторам настраивать систему NetLabel в ядре. Утилита основана на различных "модулях", которые соответствуют различным типам поддерживаемых ядром команд NetLabel.

## ПАРАМЕТРЫ

### Глобальные флаги
-h

Показать справку

-p

Попытаться сделать вывод понятным для пользователя или "форматированным"

-t <seconds>

Задать период ожидания ответа от подсистемы NetLabel (в секундах)

-v

Включить подробный вывод

-V

Показать сведения о версии

### Модули и команды
mgmt

Модуль управления используется для выполнения общих запросов о подсистеме NetLabel внутри ядра. Различные команды и их синтаксис перечислены ниже.

version

Показать версию протокола управления NetLabel ядра.

protocols

Показать список поддерживаемых ядром протоколов проставления меток.

map

Модуль сопоставления доменов используется для сопоставления различных протоколов проставления меток NetLabel либо с конкретными доменами LSM, либо с сопоставлением доменов по умолчанию. Каждый модуль LSM отвечает за определение того, что представляет собой домен. При использовании SELinux следует использовать обычный домен SELinux, то есть "ping_t". Выбор протокола возможен не только исключительно на основе домена LSM; при выборе протокола проставления меток можно одновременно учитывать как домен LSM, так и адрес назначения. Селекторы сетевых адресов могут определять либо отдельные узлы, либо целые сети. Они работают как для IPv4, так и для IPv6 (но выбранный протокол проставления меток должен поддерживать выбранную версию IP). При указании протокола проставления меток, который следует использовать для каждого сопоставления, доступно необязательное поле "extra"; оно используется для дальнейшего определения конфигурации конкретного протокола проставления меток. Если указывается протокол без меток, "unlbl", можно использовать дополнительное значение: "4" или "6". В этом случае сопоставляться будут только адреса IPv4 или IPv6. Если дополнительное значение не указано, сопоставление будет выполняться для всех семейств адресов. При указании протокола CIPSO/IPv4 или CALIPSO/IPv6, "cipso" или "calipso", необходимо указать значение DOI (domain of interpretation, область интерпретации); подробные сведения доступны в разделе ПРИМЕРЫ. Ниже перечислены различные команды и их синтаксис.

add default|domain:<domain> [address:<ADDR>[/<MASK>]] protocol:<protocol>[,<extra>]

Добавить новый домен LSM / сетевой адрес к сопоставлению протоколов NetLabel.

del default|domain:<domain>

Удалить существующий домен LSM из сопоставления протоколов NetLabel.

list

Показать все настроенные сопоставления доменов LSM с протоколами NetLabel.

unlbl

Модуль без меток (unlbl) управляет протоколом без меток, который используется, когда не требуется проставлять метки для исходящего трафика, а также когда система получает трафик без меток. Этот модуль позволяет администраторам блокировать все исходящие пакеты без меток с помощью флага "accept" и назначать трафику без меток статические (резервные) метки безопасности на основе входящего сетевого интерфейса и адреса источника.

accept on|off

Переключить флаг принятия трафика без меток.

add default|interface:<dev> address:<addr>[/<mask>] label:<label>

Добавить новую статическую/резервную запись.

del default|interface:<dev> address:<addr>[/<mask>]

Удалить существующую статическую/резервную запись.

list

Показать состояние флага принятия трафика без меток.

cipso

Модуль CIPSO/IPv4 (cipso) управляет подсистемой проставления меток CIPSO/IPv4 в ядре. Подсистема CIPSO/IPv4, которую предоставляет NetLabel, поддерживает несколько областей интерпретации (DOI), а модуль CIPSO/IPv4 позволяет использовать различные конфигурации для каждой DOI. В настоящее время имеется три типа конфигураций: "trans" (позволяет преобразовывать метки конфиденциальности MLS в режиме реального времени), "pass" (не выполняет преобразование меток конфиденциальности MLS) и "local" (передаёт полную метку безопасности LSM по соединениям localhost/loopback). Независимо от того, какой тип конфигурации выбран, необходимо указать значение DOI, а также (если выбрана конфигурация "trans" или "pass") список типов тегов CIPSO/IPv4 для использования при создании меток пакетов CIPSO/IPv4. Список тегов CIPSO/IPv4 выстроен в определённом порядке: если возможно, при создании метки CIPSO/IPv4 используется первый тип тегов в списке. Если первый тип тегов невозможно использовать, по порядку будут проверены все остальные типы тегов, пока не будет найден подходящий. Если корректный тип тегов не удастся найти, операция создания метки CIPSO/IPv4 завершится неудачно; обычно это происходит при создании нового сокета. Ниже перечислены различные команды и их синтаксис.

add trans doi:<DOI> tags:<T1>,<Tn> levels:<LL1>=<RL1>,<LLn>=<RLn> categories:<LC1>=<RC1>,<LCn>=<RCn>

Добавить новую конфигурацию CIPSO/IPv4, в которой используется стандартное/преобразованное сопоставление с указанными преобразованиями уровня и категории. Преобразование уровней выполняется таким образом, что локальный уровень "LLn" преобразовывается в удалённый уровень "RLn"; для входящих пакетов выполняется обратное преобразование. Такое же преобразование выполняется для категорий с помощью "LCn" и "RCn". Чтобы пакет был принят или чтобы приложением был создан сокет, в метке конфиденциальности MLS должно присутствовать преобразование уровня конфиденциальности и всех категорий; если не удастся преобразовать запрошенную метку конфиденциальности целиком, произойдёт сбой приложения.

add pass doi:<DOI> tags:<T1>,<Tn>

Добавить новую конфигурацию CIPSO/IPv4 без преобразований уровня или категорий.

add local doi:<DOI>

Добавить новую конфигурацию CIPSO/IPv4 для соединений localhost/loopback.

del doi:<DOI>

Удалить существующую конфигурацию CIPSO/IPv4 с указанным значением DOI. Если имеются какие-либо сопоставления доменов LSM, которые используют эту DOI, они также будут удалены.

list [doi:<DOI>]

Показать список всех конфигураций CIPSO/IPv4 или только конфигурацию, соответствующую указанной (необязательно) DOI.

calipso

Модуль CALIPSO/IPv6 (calipso) управляет подсистемой проставления меток CALIPSO/IPv6 в ядре. Работа этого модуля похожа на работу подсистемы CIPSO/IPv4, но протокол указывает только один тип тегов (эквивалентно типу тегов 1 CIPSO), поэтому тип тегов не нужно задавать. Кроме того, отсутствует поддержка конфигураций "local" и "trans". Ниже перечислены различные команды и их синтаксис.

add pass doi:<DOI>

Добавить новую конфигурацию CALIPSO/IPv6 без преобразований уровня или категорий.

del doi:<DOI>

Удалить существующую конфигурацию CALIPSO/IPv6 с указанным значением DOI. Если имеются какие-либо сопоставления доменов LSM, которые используют эту DOI, они также будут удалены.

list [doi:<DOI>]

Показать список всех конфигураций CALIPSO/IPv6 или только конфигурацию, соответствующую указанной (необязательно) DOI.

## СООБЩЕНИЕ ПРИ ВЫХОДЕ
Возвращает ноль при успешном завершении или значения errno при ошибках.

## ПРИМЕРЫ
netlabelctl cipso add pass doi:16 tags:1

Добавить конфигурацию CIPSO/IPv4 со значением DOI "16", используя тег CIPSO "1" (разрешительный битовый тег). Уровни/категории CIPSO и LSM передаются через подсистему NetLabel без преобразования.

netlabelctl cipso add trans doi:8 tags:1 levels:0=0,1=1 categories:0=1,1=0

Добавить конфигурацию CIPSO/IPv4 со значением DOI "8", используя тег CIPSO "1" (разрешительный битовый тег). Указанное сопоставление преобразует локальные уровни LSM "0" и "1", соответственно, в уровни CIPSO "0" и "1", в то время как локальные категории LSM "0" и "1", соответственно, сопоставляются с категориями CIPSO "1" и "0".

netlabelctl -p cipso list

Показать все конфигурации CIPSO/IPv4 в доступном для прочтения человеком формате.

netlabelctl -p cipso list doi:16

Показать конкретные сведения о конфигурации CIPSO/IPv4 DOI 16.

netlabelctl cipso del doi:8

Удалить конфигурацию CIPSO/IPv4, назначенную для DOI 8. Все сопоставления доменов, которые используют эту конфигурацию, также будут удалены.

netlabelctl map add domain:lsm_domain protocol:cipso,8

Добавить сопоставление доменов, чтобы для всех исходящих пакетов, которые отправляются из "lsm_domain", проставлялись метки в соответствии с протоколом CIPSO/IPv4 с DOI 8.

netlabelctl map add domain:lsm_domain address:192.168.1.0/24 protocol:cipso,8

Добавить сопоставление, чтобы для всех исходящих пакетов, которые отправляются из "lsm_domain" в сеть 192.168.1.0/24, проставлялись метки в соответствии с протоколом CIPSO/IPv4 с DOI 8.

netlabelctl -p map list

Показать все сопоставления доменов в доступном для прочтения человеком формате.

netlabelctl del domain:lsm_domain

Удалить сопоставление доменов для "lsm_domain". Пакеты, которые отправляются из "lsm_domain", будут направляться согласно сопоставлению NetLabel по умолчанию.

netlabelctl unlbl add interface:lo address:::1 label:foo

Добавить статическую/резервную метку, чтобы назначить метку безопасности "foo" пакетам без меток, которые поступают в систему через интерфейс "lo" (loopback) с IPv6-адресом источника "::1" (localhost).

netlabelctl unlbl add default address:192.168.0.0/16 label:bar

Добавить статическую/резевную метку, чтобы назначить метку безопасности "bar" пакетам без меток, которые поступают в систему через любой интерфейс с IPv4-адресом источника в сети 192.168.0.0/16.

## ПРИМЕЧАНИЯ
Подсистема NetLabel поддерживается в ядре Linux версии 2.6.19 и выше. Статические (резервные) метки поддерживаются только в ядре Linux версии 2.6.25 и выше. Селекторы адресов для сопоставления доменов поддерживаются только в ядре Linux версии 2.6.28 и выше, а CALIPSO/RFC5570 поддерживается только в ядре Linux версии 4.8.0 и выше.

Веб-сайт проекта NetLabel, на котором доступны дополнительные сведения, включая репозиторий исходного кода, находится по адресу https://github.com/netlabel. Пожалуйста, отправляйте сообщения об ошибках через сайт проекта или напрямую автору.

## СМОТРИТЕ ТАКЖЕ
netlabel-config(8)

## АВТОРЫ
Paul Moore <paul@paul-moore.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


chcat

package: policycoreutils

title: chcat(8)

text:
# chcat(8)

## ИМЯ
chcat - изменить SELinux-категорию безопасности файла

## ОБЗОР
chcat category file...

chcat -l category user...

chcat [[+|-]category...] file...

chcat -l [[+|-]category...] user...

chcat [-d] file...

chcat -l [-d] user...

chcat -L [ -l ] [ user ... ]

## ОПИСАНИЕ
Изменить/Удалить категорию безопасности category для каждого файла file или пользователя user.

Используйте +/- для добавления/удаления категорий из file или user.

Примечание: При удалении категории необходимо указать '--' в командной строке перед использованием синтаксиса -Category. Это сообщает команде, что вы закончили вводить параметры и теперь указываете имя категории.

-d

удалить категорию из каждого FILE/USER.

-L

вывести список доступных категорий.

-l

если используется, chcat будет работать с пользователями, а не с файлами.

## СМОТРИТЕ ТАКЖЕ
chcon(1), selinux(8), semanage(8)

При работе с файлами этот сценарий вызывает команду chcon.

## FILES
/etc/selinux/{SELINUXTYPE}/setrans.conf

/etc/selinux/{SELINUXTYPE}/seusers

## АВТОРЫ
Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>


fixfiles

title: fixfiles(8)

text:
# fixfiles(8)

## ИМЯ
fixfiles - исправить SELinux-контексты безопасности файлов.

## ОБЗОР
fixfiles [-v] [-F] [-f] relabel

fixfiles [-v] [-F] { check | restore | verify } dir/file ...

fixfiles [-v] [-F] [-B | -N time ] { check | restore | verify }

fixfiles [-v] [-F] -R rpmpackagename[,rpmpackagename...] { check | restore | verify }

fixfiles [-v] [-F] -C PREVIOUS_FILECONTEXT { check | restore | verify }

fixfiles [-F] [-B] onboot

## ОПИСАНИЕ
На этой странице руководства приводится описание сценария fixfiles.

Этот сценарий в основном используется для исправления базы данных контекстов безопасности (расширенных атрибутов) в файловых системах.

Его также можно запустить в любой момент, чтобы повторно проставить метки при добавлении поддержки новой политики или просто проверить, соответствуют ли контексты файлов ожиданиям пользователя. По умолчанию он повторно проставит метки во всех смонтированных файловых системах ext2, ext3, xfs и jfs, даже если у них нет параметра монтирования с контекстом безопасности. Флаг -R позволяет использовать rpm-пакеты в качестве альтернативы. Файл etc/selinux/fixfiles_exclude_dirs может содержать список каталогов, исключённых из повторного проставления меток.

fixfiles onboot При следующей перезагрузке компьютера метки будет проставлены повторно.

## ПАРАМЕТРЫ
-B

При использовании с onboot сценарий fixfiles запишет текущую дату в файл /.autorelabel, чтобы потом её можно было использовать для ускорения проставления меток. При использовании с restore будут затронуты только те файлы, которые были изменены сегодня.

-F

Принудительно сбросить контекст, чтобы он соответствовал file_context для настраиваемых файлов.

-f

Очистить каталог /tmp, не запрашивая подтверждение удаления у пользователя.

-R rpmpackagename[,rpmpackagename...]

Использовать базу данных rpm, чтобы найти все файлы в указанных пакетах и восстановить их контексты.

-C PREVIOUS_FILECONTEXT

Выполнить diff, чтобы сравнить файл PREVIOUS_FILECONTEXT с текущим установленным файлом, и восстановить контекст всех затронутых файлов.

-N time

Применять изменения только к файлам, созданным после указанной даты. Дата должна быть указана в формате "ГГГГ-ММ-ДД ЧЧ:ММ". Поле даты будет передано в команду find --newermt.

-v

Изменить уровень детализации с показа хода выполнения на показ подробных сведений. (Запуск restorecon с -v вместо -p.)

## АРГУМЕНТЫ
Одно из:

check

Вывести все некорректные метки контекста файлов, показывая старый и новый контекст, но не изменяя его.

restore

Изменить все некорректные метки контекста файлов.

relabel

Запросить у пользователя подтверждение удаления содержимого каталога /tmp и затем изменить все некорректные метки контекста файлов, чтобы привести их в соответствие с файлом file_contexts.

verify

Вывести список файлов с некорректными метками контекста, но не изменять их.

[[dir/file] ... ]

Список файлов или каталогов, для которых следует проверить контекст.

## СМОТРИТЕ ТАКЖЕ
setfiles(8), restorecon(8)

## АВТОРЫ
Эта man-страница была написана Richard Hally <rhally@mindspring.com>. Сценарий был написан Dan Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


genhomedircon

title: genhomedircon(8)

text:
# genhomedircon(8)

## ИМЯ
genhomedircon - создать записи конфигурации контекста файлов SELinux для домашних каталогов пользователей

## ОПИСАНИЕ
genhomedircon - сценарий, который исполняет semodule для пересборки текущей активной политики SELinux (без её перезагрузки) и создания меток для домашних каталогов пользователей на основе путей к каталогам, возвращённых вызовами функции getpwent().

Последняя возможность будет работать, если для параметра "usepasswd" установлено значение "true" (по умолчанию) в /etc/selinux/semanage.conf.

Этот сценарий обычно исполняется semanage, хотя это поведение по умолчанию можно изменить, установив для "disable-genhomedircon" значение "true" в /etc/selinux/semanage.conf.

## СМОТРИТЕ ТАКЖЕ
semanage.conf(5), semodule(8), semanage(8), getpwent(3), getpwent_r(3)

## АВТОРЫ
Эта страница руководства была написана Dan Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


title: load_policy(8)

summary: загрузить новую политику SELinux в ядро

text:
# load_policy(8)

## ИМЯ
load_policy - загрузить новую политику SELinux в ядро

## ОБЗОР
load_policy [-qi]

## ОПИСАНИЕ
load_policy загружает установленный файл политики в ядро. Существующие значения логических переключателей политики автоматически сохраняются при перезагрузках политики, а не сбрасываются на установленные в файле политики значения по умолчанию.

## ПАРАМЕТРЫ
-q

Отменить предупредительные сообщения.

-i

Начальная загрузка политики. Следует использовать, только если политика загружается впервые с момента запуска (обычно вызывается из initramfs).

## СОСТОЯНИЕ ВЫХОДА
0

Успешно

1

Недействительный параметр

2

Не удалось загрузить политику

3

Не удалось выполнить начальную загрузку политики, запрошен принудительный режим

## СМОТРИТЕ ТАКЖЕ
booleans(8)

## АВТОРЫ

```
Эта страница руководства была написана Dan Walsh <dwalsh@redhat.com>.
Программа была написана Stephen Smalley <sds@tycho.nsa.gov>.
Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.
```


title: open_init_pty(8)

text:
# open_init_pty(8)

## ИМЯ
open_init_pty - запустить программу под псевдотерминалом

## ОБЗОР
open_init_pty SCRIPT [[ARGS]...]

## ОПИСАНИЕ
Запуск программы под псевдотерминалом. Эта возможность используется run_init для фактического запуска программы после настройки подходящего контекста. Эта программа получает новый псевдотерминал, ответвляет дочерний процесс, который привязывается к псевдотерминалу, а затем соединяет физический терминал, на котором она была вызвана, с псевдотерминалом, передавая ввод клавиатуры в дочерний процесс и передавая вывод дочернего процесса физическому терминалу.

Она надлежащим образом настраивает псевдотерминал на основе атрибутов физического терминала, а затем устанавливает терминал пользователя в режим RAW (при выходе этот режим сбрасывается).

## АВТОРЫ
Эта страница руководства была написана Manoj Srivastava <srivasta@debian.org> для системы Debian GNU/Linux. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


restorecon

title: restorecon(8)

text:
# restorecon(8)

## ИМЯ
restorecon - восстановить SELinux-контексты безопасности файлов по умолчанию.

## ОБЗОР
restorecon [-r|-R] [-m] [-n] [-p] [-v] [-i] [-F] [-W] [-I|-D] [-e directory] pathname ...

restorecon [-f infilename] [-e directory] [-r|-R] [-m] [-n] [-p] [-v] [-i] [-F] [-W] [-I|-D]

## ОПИСАНИЕ
Эта страница руководства содержит описание программы restorecon.

Эта программа используется в основном для установки контекста безопасности (расширенных атрибутов) для одного или нескольких файлов.

Также можно запустить её в любой момент, чтобы исправить некорректные метки, добавить поддержку недавно установленной политики или, используя параметр -n , пассивно проверить, соответствуют ли установленные контексты файлов тем контекстам, которые указаны в активной политике (поведение по умолчанию).

Если объект файла не имеет контекста, restorecon запишет контекст по умолчанию в расширенные атрибуты объекта файла. Если объект файла имеет контекст, restorecon изменит только ту часть контекста безопасности, которая относится к типу. Параметр -F позволяет принудительно заменить контекст целиком.

Если у файла имеется метка настраиваемого типа SELinux customizable (список настраиваемых типов: /etc/selinux/{SELINUXTYPE}/contexts/customizable_types), restorecon выполнит сброс метки только при условии использования параметра -F.

Эта программа аналогична setfiles, но действует немного другим образом в зависимости от значения argv[0].

## ПАРАМЕТРЫ
-e directory

исключить каталог (чтобы исключить более одного каталога, этот параметр необходимо использовать соответствующее количество раз; необходимо указывать полный путь).

-f infilename

infilename содержит список файлов для обработки. Используйте “-” для stdin.

-F

принудительно сбросить контекст, чтобы обеспечить соответствие file_context для настраиваемых файлов и соответствие контексту файлов по умолчанию для остальных файлов (меняются части контекста, связанные с пользователем, ролью, диапазоном, а также тип).

-h, -?

показать сведения об использовании и выйти.

-i

игнорировать файлы, которые не существуют.

-I

игнорировать дайджест, чтобы принудительно проверить метки, даже если хранимый дайджест SHA1 соответствует дайджесту SHA1 файлов спецификации. Затем (при условии отсутствия ошибок) дайджест будет обновлён. Более подробные сведения доступны в разделе ПРИМЕЧАНИЯ.

-D

установить или обновить дайджесты SHA1 для любых каталогов. Используйте этот параметр, чтобы включить использование расширенного атрибута security.restorecon_last.

-m

не выполнять чтение /proc/mounts для получения списка монтирований без seclabel, которые следует исключить из проверок с повторным проставлением меток. Установка этого параметра полезна при наличии смонтированной файловой системы без seclabel, в которой в расположенном ниже каталоге смонтирована файловая система с seclabel.

-n

не изменять метки файлов (пассивная проверка). Чтобы просмотреть файлы, метки которых были бы изменены, добавьте -v.

-o outfilename

этот параметр устарел и больше не поддерживается.

-p

показывать ход выполнения, выводя количество обработанных файлов (единица измерения - блок размером 1 КБ (то есть 1000 файлов)). Если выполняется повторное проставление меток во всей ОС, будет показан примерный процент выполнения. Обратите внимание, что параметры -p и -v являются взаимоисключающими.

-R, -r

рекурсивно изменить метки файлов для файлов и каталогов (спускаться по каталогам).

-v

показать изменения в метках файлов. Использование нескольких параметров -v увеличивает уровень детализации. Обратите внимание, что параметры -v и -p являются взаимоисключающими.

-W

показать предупреждения о записях, для которых не обнаружены соответствующие файлы, с помощью вывода результатов selabel_stats(3).

-0

предполагается, что разделителем для элементов ввода является символ нуля (вместо пробела). Символы кавычек и обратной косой черты также считаются обычными символами, которые могут формировать допустимый ввод. Этот параметр также отключает строку конца файла (end-of-file string), она обрабатывается, как любой другой аргумент. Это полезно, если элементы ввода содержат пробелы, кавычки или обратные косые черты. Параметр -print0 GNU find производит ввод, подходящий для этого режима.

## АРГУМЕНТЫ
pathname ... Путь к файлу (файлам), для которых следует повторно проставить метки.

## ПРИМЕЧАНИЯ
1.

restorecon не переходит по символическим ссылкам и по умолчанию не работает с каталогами рекурсивно.

2.

Если в pathname указан корневой каталог, установлен параметр -vR или -vr, а также запущена система аудита, в журнал с меткой сообщения FS_RELABEL автоматически записывается событие аудита, которое содержит сообщение о том, что произошло "массовое повторное проставление меток".

3.

Для повышения производительности при рекурсивном повторном проставлении меток в файловых системах (то есть тогда, когда установлен параметр -R или -r ), параметр -D команды restorecon обеспечит сохранение дайджеста SHA1 файлов спецификации по умолчанию в расширенном атрибуте с именем security.restorecon_last для каталогов, указанных в соответствующих путях pathname ... , после успешного завершения повторного проставления меток. Этот дайджест будет проверен, если команда restorecon -D будет перезапущена с теми же параметрами pathname. Подробные сведения доступны в selinux_restorecon(3). Параметр -I позволяет игнорировать дайджест SHA1 из каждого каталога, указанного в pathname ... , и, при условии, что НЕ установлен параметр -n и установлен рекурсивный режим, для файлов будут необходимым образом повторно проставлены метки, а дайджест затем будет обновлён (если не будет ошибок).

## СМОТРИТЕ ТАКЖЕ
setfiles(8), fixfiles(8), load_policy(8), checkpolicy(8), customizable_types(5)

## АВТОРЫ
Эта man-страница была написана Dan Walsh <dwalsh@redhat.com>. Некоторая часть содержимого этой man-страницы была взята из man-страницы setfiles, написанной Russell Coker <russell@coker.com.au>. Программа была написана Dan Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


title: restorecon_xattr(8)

text:
# restorecon_xattr(8)

## ИМЯ
restorecon_xattr - управление записями расширенных атрибутов security.restorecon_last, добавленными с помощью setfiles(8) или restorecon(8).

## ОБЗОР
restorecon_xattr [-d] [-D] [-m] [-n] [-r] [-v] [-e directory] [-f specfile] pathname

## ОПИСАНИЕ
restorecon_xattr покажет дайджесты SHA1, добавленные в расширенные атрибуты security.restorecon_last, или полностью удалит эти атрибуты. Эти атрибуты устанавливаются командой restorecon(8) или setfiles(8) для указанных каталогов при рекурсивном повторном проставлении меток.

restorecon_xattr полезно использовать для управления записями расширенных атрибутов, в частности, когда пользователи забывают, из каких каталогов они запускали restorecon(8) или setfiles(8).

Файловые системы RAMFS и TMPFS не поддерживают расширенные атрибуты security.restorecon_last и автоматически исключаются из поиска.

По умолчанию restorecon_xattr показывает дайджесты SHA1, добавляя в конце "Match", если они соответствуют установленному по умолчанию файлу спецификации или файлу спецификации specfile, который установлен с помощью параметра -f. Несоответствующие дайджесты SHA1 будут показаны с добавлением "No Match" в конце. Эту возможность можно отключить с помощью параметра -n.

## ПАРАМЕТРЫ
-d

удалить все несоответствующие записи дайджеста каталога security.restorecon_last.

-D

удалить все записи дайджеста каталога security.restorecon_last.

-m

не выполнять чтение /proc/mounts для получения списка монтирований без seclabel, которые следует исключить из проверок с повторным проставлением меток.

установка параметра -m полезна при наличии смонтированной файловой системы без seclabel, в которой в расположенном ниже каталоге смонтирована файловая система с seclabel.

-n

не добавлять "Match" или "No Match" в конце отображаемых дайджестов.

-r

рекурсивно спускаться по каталогам.

-v

показать дайджест SHA1, созданный установленным файлом спецификации.

-e

directory

каталог, который следует исключить (чтобы исключить более одного каталога, этот параметр необходимо использовать соответствующее количество раз).

-f

specfile

необязательный файл спецификации specfile, который содержит записи контекстов файлов в соответствии с описанием в file_contexts(5). Он будет использоваться selabel_open(3) для получения набора записей меток; получение дайджеста SHA1 выполняется с помощью selabel_digest(3). Если этот параметр не указан, будет использоваться файл file_contexts по умолчанию.

## АРГУМЕНТЫ
pathname

путь к дереву каталогов, в котором следует выполнить поиск.

## СМОТРИТЕ ТАКЖЕ
restorecon(8), setfiles(8)

## АВТОРЫ
Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>


title: run_init(8)

text:
# run_init(8)

## ИМЯ
run_init - запустить сценарий init в правильном контексте SELinux

## ОБЗОР
run_init SCRIPT [[ARGS]...]

## ОПИСАНИЕ
Запуск сценария init в правильном контексте, который указан в /etc/selinux/POLICYTYPE/contexts/initrc_context. Обычно эта возможность используется интерактивно, так как она требует аутентификации shadow или пользователя PAM (в зависимости от параметров при компиляции). PAM можно настроить таким образом, что интерактивный ввод не потребуется. Обратитесь к документации по PAM.

## ФАЙЛЫ
/etc/passwd - информация об учётных записях пользователей

/etc/shadow - зашифрованные пароли и информация об устаревании паролей

/etc/selinux/POLICYTYPE/contexts/initrc_context - содержит контекст для запуска сценариев init

## СМОТРИТЕ ТАКЖЕ
newrole(1), runcon(1)

## АВТОРЫ

```
Wayne Salamon (wsalamon@tislabs.com)
Dan Walsh (dwalsh@redhat.com)
Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>
```


semanage

title: semanage(8)

summary: средство управления политикой SELinux

text:
# semanage(8)

## ИМЯ
semanage - средство управления политикой SELinux

## ОБЗОР
semanage {import,export,login,user,port,interface,module,node,fcontext,boolean,permissive,dontaudit,ibpkey,ibendport}

... позиционные аргументы:

import Импортировать локальные настройки

export Экспортировать локальные настройки

login Управлять сопоставлениями имён входа между пользователями Linux и ограниченными пользователями SELinux

user Управлять ограниченными пользователями SELinux (роли и уровни для пользователя SELinux)

port Управлять определениями типов сетевых портов

interface Управлять определениями типов сетевых интерфейсов

module Управлять модулями политики SELinux

node Управлять определениями типов сетевых узлов

fcontext Управлять определениями соответствий контекстов файлов

boolean Управлять логическими переключателями для избирательного включения функциональности

permissive Управлять режимом принудительного назначения типов процессов

dontaudit Отключить/Включить правила dontaudit в политике

ibpkey Управлять определениями типов ключей разделов infiniband

ibendport Управлять определениями типов конечных портов infiniband

## ОПИСАНИЕ
semanage используется для настройки определённых элементов политики SELinux без необходимости изменения или перекомпиляции исходного текста политики. Это включает сопоставление имён пользователей Linux с пользователями SELinux (что управляет исходным контекстом безопасности, который присваивается пользователям Linux при их входе в систему, и ограничивает доступный им набор ролей). Также это включает сопоставление контекстов безопасности для различных видов объектов, таких как сетевые порты, интерфейсы, ключи разделов (pkeys) и конечные порты (endports) infiniband, сетевые узлы (хосты), а также сопоставление контекстов файлов. Обратите внимание, что при вызове команды semanage login пользователи Linux (logins) сопоставляются с пользователями SELinux, а при вызове команды semanage user пользователи SELinux сопоставляются с доступными наборами ролей. В большинстве случаев администратору требуется настроить только первый тип сопоставлений; второй тип сопоставлений определяется базовой политикой и обычно не требует изменения.

## ПАРАМЕТРЫ
-h, --help

Вывести справочную информацию

## СМОТРИТЕ ТАКЖЕ
selinux(8), semanage-boolean(8), semanage-dontaudit(8), semanage-export(8), semanage-fcontext(8), semanage-import(8), semanage-interface(8), semanage-login(8), semanage-module(8), semanage-node(8), semanage-permissive(8), semanage-port(8), semanage-user(8) semanage-ibkey(8), semanage-ibendport(8),

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>

и Russell Coker <rcoker@redhat.com>.

Примеры подготовлены Thomas Bleher <ThomasBleher@gmx.de>. usage: semanage [-h] Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


semanage-boolean

title: semanage-boolean(8)

text:
# semanage-boolean(8)

## ИМЯ
semanage-boolean - утилита для управления политикой SELinux, основанная на использовании логических переключателей

## ОБЗОР
semanage boolean [-h] [-n] [-N] [-S STORE] [ --extract | --deleteall | --list [-C] | --modify ( --on | --off ) boolean ]

## ОПИСАНИЕ
Команда semanage используется для настройки определённых элементов политики SELinux без необходимости изменения или перекомпиляции исходного текста политики. Команда semanage boolean управляет настройками логических переключателей в политике SELinux. Логические переключатели - это правила if-then-else, записанные в политике SELinux. Их можно использовать для настройки того, как правила политики SELinux влияют на ограниченный домен.

## ПАРАМЕТРЫ
-h, --help

показать это справочное сообщение и выйти

-n, --noheading

не показывать заголовок при выводе указанного типа объекта

-N, --noreload

не перезагружать политику после фиксации

-S STORE, --store STORE

выбрать для управления альтернативное хранилище политики SELinux

-C, --locallist

вывести список локальных настроек

-m, --modify

изменить запись указанного типа объекта

-l, --list

вывести список записей указанного типа объекта

-E, --extract

извлечь настраиваемые команды для использования в транзакции

-D, --deleteall

удалить все локальные настройки

-1, --on

включить логический переключатель

-0, --off

отключить логический переключатель

## ПРИМЕР

```
Включить на apache логический переключатель can send mail
# semanage boolean -m --on httpd_can_sendmail
Вывести список настраиваемых логических переключателей
# semanage boolean -l -C
```

## СМОТРИТЕ ТАКЖЕ
selinux(8), semanage(8), setsebool(8), getsebool(8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


semanage-dontaudit

title: semanage-dontaudit(8)

text:
# semanage-dontaudit(8)

## ИМЯ
semanage-dontaudit - утилита dontaudit для управления политикой SELinux

## ОБЗОР
semanage dontaudit [-h] [-S STORE] [-N] {on,off}

## ОПИСАНИЕ
semanage используется для настройки определённых элементов политики SELinux без необходимости изменения или перекомпиляции исходного текста политики. Команда semanage dontaudit определяет, будут ли правила dontaudit присутствовать в политике. Авторы политик применяют правила dontaudit для того, чтобы ограниченные приложения использовали альтернативные пути. При использовании правил dontaudit отказы в доступе выполняются, но не журналируются. Иногда использование правил dontaudit вызывает ошибки в приложениях (но авторы политик не знают о них, так как аудит кэша вектора доступа не выполняется). Отключите правила dontaudit с помощью этой команды, чтобы проверить, блокирует ли ядро доступ.

## ПАРАМЕТРЫ
-h, --help

Показать это справочное сообщение и выйти

-S STORE, --store STORE

Выбрать для управления альтернативное хранилище политики SELinux

-N, --noreload

Не перезагружать политику после фиксации

## ПРИМЕР

```
Отключить правила dontaudit
# semanage dontaudit off
```

## СМОТРИТЕ ТАКЖЕ
selinux(8), semanage(8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


semanage-export

title: semanage-export(8)

text:
# semanage-export(8)

## ИМЯ
semanage-export - утилита импорта для управления политикой SELinux

## ОБЗОР
semanage export [-h] [-S STORE] [-f OUTPUT_FILE]

## ОПИСАНИЕ
semanage используется для настройки определённых элементов политики SELinux без необходимости изменения или перекомпиляции исходного текста политики. Команды semanage import и semanage export можно использовать, чтобы извлечь изменения SELinux на одном компьютере и применить их к другому. В файл можно поместить целую группу команд semanage и применить их к компьютеру в одной транзакции.

## ПАРАМЕТРЫ
-h, --help

показать это справочное сообщение и выйти

-S STORE, --store STORE

выбрать для управления альтернативное хранилище политики SELinux

-f OUTPUT_FILE, --output_file OUTPUT_FILE

выходной файл

## ПРИМЕР

```
Импортировать изменения semanage с другого компьютера
# semanage export -f semanage.mods
# scp semanage.mod remotemachine:
# ssh remotemachine
# semanage import -f semanage.mods
```

## СМОТРИТЕ ТАКЖЕ
selinux(8), semanage(8), semanage-import(8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


semanage-fcontext

title: semanage-fcontext(8)

text:
# semanage-fcontext(8)

## ИМЯ
semanage-fcontext - утилита для управления политикой SELinux, предназначенная для работы с контекстами файлов

## ОБЗОР
semanage fcontext [-h] [-n] [-N] [-S STORE] [ --add ( -t TYPE -f FTYPE -r RANGE -s SEUSER | -e EQUAL ) FILE_SPEC ) | --delete ( -t TYPE -f FTYPE | -e EQUAL ) FILE_SPEC ) | --deleteall | --extract | --list [-C] | --modify ( -t TYPE -f FTYPE -r RANGE -s SEUSER | -e EQUAL ) FILE_SPEC ) ]

## ОПИСАНИЕ
semanage используется для настройки определённых элементов политики SELinux без необходимости изменения или перекомпиляции исходного текста политики. Команда semanage fcontext используется для управления проставлением меток по умолчанию в файловой системе в системе SELinux. Эта команда с помощью регулярных выражений сопоставляет пути файлов с метками SELinux.

## ПАРАМЕТРЫ
-h, --help

показать это справочное сообщение и выйти

-n, --noheading

не показывать заголовок при выводе указанного типа объекта

-N, --noreload

не перезагружать политику после фиксации

-C, --locallist

вывести список локальных настроек

-S STORE, --store STORE

выбрать для управления альтернативное хранилище политики SELinux

-a, --add

добавить запись указанного типа объекта

-d, --delete

удалить запись указанного типа объекта

-m, --modify

изменить запись указанного типа объекта

-l, --list

вывести список записей указанного типа объекта

-E, --extract

извлечь настраиваемые команды для использования в транзакции

-D, --deleteall

удалить все локальные настройки

-e EQUAL, --equal EQUAL

Заменить путь к цели на путь к источнику при создании меток по умолчанию. Используется с fcontext. Необходимы аргументы путей к источнику и цели. Для целевого поддерева метки контекста будут проставляться тем же образом, который задан для источника.

-f [{a,f,d,c,b,s,l,p}], --ftype [{a,f,d,c,b,s,l,p}]

Тип файла. Используется с fcontext. Требуется тип файла (показывается в поле режима по команде ls); например, используйте 'd' для соответствия только каталогам или 'f' для соответствия только обычным файлам. Могут передаваться следующие параметры типа файла: f (обычный файл), d (каталог), c (устройство символьного ввода-вывода), b (устройство блочного ввода-вывода), s (сокет), l (символическая ссылка), p (именованный канал). Если вы не укажете тип файла, по умолчанию будет установлен тип "all files" (все файлы).

-s SEUSER, --seuser SEUSER

имя пользователя SELinux

-t TYPE, --type TYPE

SELinux-тип для объекта

-r RANGE, --range RANGE

диапазон безопасности MLS/MCS (только для систем с поддержкой MLS/MCS). По умолчанию SELinux-диапазон для сопоставления имени входа SELinux принимает значение диапазона записи пользователя SELinux. По умолчанию SELinux-диапазон для пользователя SELinux принимает значение s0.

## ПРИМЕР

```
выполните restorecon после установки контекста файлов
Добавьте контекст файлов для всего, что находится в /web
# semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?"
# restorecon -R -v /web
Замените /home1 на /home при установке контекста файлов
# semanage fcontext -a -e /home /home1
# restorecon -R -v /home1
Выполните следующие команды для домашних каталогов, находящихся ниже каталога верхнего уровня, например /disk6/home
# semanage fcontext -a -t home_root_t "/disk6"
# semanage fcontext -a -e /home /disk6/home
# restorecon -R -v /disk6
```

## СМОТРИТЕ ТАКЖЕ
selinux(8), semanage(8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


semanage-ibendport

title: semanage-ibendport(8)

text:
# semanage-ibendport(8)

## ИМЯ
semanage-ibendport - утилита для управления политикой SELinux, предназначенная для сопоставления конечных портов infiniband

## ОБЗОР
semanage ibendport [-h] [-n] [-N] [-S STORE] [ --add -t TYPE -z IBDEV_NAME -r RANGE port | --delete -z IBDEV_NAME port | --deleteall | --extract | --list [-C] | --modify -t TYPE -z IBDEV_NAME -r RANGE port ]

## ОПИСАНИЕ
semanage используется для настройки определённых элементов политики SELinux без необходимости изменения или перекомпиляции исходного текста политики. semanage ibendport управляет определениями типов ibendport для номеров ibendport.

## ПАРАМЕТРЫ
-h, --help

показать это справочное сообщение и выйти

-n, --noheading

не показывать заголовок при выводе указанного типа объекта

-N, --noreload

не перезагружать политику после фиксации

-S STORE, --store STORE

выбрать для управления альтернативное хранилище политики SELinux

-C, --locallist

вывести список локальных настроек

-a, --add

добавить запись указанного типа объекта

-d, --delete

удалить запись указанного типа объекта

-m, --modify

изменить запись указанного типа объекта

-l, --list

вывести список записей указанного типа объекта

-E, --extract

извлечь настраиваемые команды для использования в транзакции

-D, --deleteall

удалить все локальные настройки

-t TYPE, --type TYPE

SELinux-тип для объекта

-r RANGE, --range RANGE

диапазон безопасности MLS/MCS (только для систем с поддержкой MLS/MCS). По умолчанию SELinux-диапазон для сопоставления имени входа SELinux принимает значение диапазона записи пользователя SELinux. По умолчанию SELinux-диапазон для пользователя SELinux принимает значение s0.

-z IBDEV_NAME, --ibdev_name IBDEV_NAME

Имя устройства infiniband для порта, для которого следует проставить метку. (например, mlx5_0)

## ПРИМЕР

```
Вывести список всех определений ibendport
# semanage ibendport -l
Проставить метку 'устройство mlx4_0 порт 2'
# semanage ibendport -a -t allowed_ibendport_t -z mlx4_0 2
```

## СМОТРИТЕ ТАКЖЕ
selinux(8), semanage(8)

## АВТОРЫ
Эта man-страница была написана Daniel Jurgens <danielj@mellanox.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


semanage-ibpkey

title: semanage-ibpkey(8)

text:
# semanage-ibpkey(8)

## ИМЯ
semanage-ibpkey - утилита для управления политикой SELinux, предназначенная для сопоставления ключей разделов infiniband

## ОБЗОР
semanage ibpkey [-h] [-n] [-N] [-S STORE] [ --add -t TYPE -x SUBNET_PREFIX -r RANGE ibpkey_name | ibpkey_range | --delete -x SUBNET_PREFIX ibpkey_name | ibpkey_range | --deleteall | --extract | --list [-C] | --modify -t TYPE -x SUBNET_PREFIX -r RANGE ibpkey_name | ibpkey_range ]

## ОПИСАНИЕ
semanage используется для настройки определённых элементов политики SELinux без необходимости изменения или перекомпиляции исходного текста политики. Команда semanage ibpkey управляет определениями типов ibpkey для номеров ibpkey.

## ПАРАМЕТРЫ
-h, --help

показать это справочное сообщение и выйти

-n, --noheading

не показывать заголовок при выводе указанного типа объекта

-N, --noreload

не перезагружать политику после фиксации

-S STORE, --store STORE

выбрать для управления альтернативное хранилище политики SELinux

-C, --locallist

вывести список локальных настроек

-a, --add

добавить запись указанного типа объекта

-d, --delete

удалить запись указанного типа объекта

-m, --modify

изменить запись указанного типа объекта

-l, --list

вывести список записей указанного типа объекта

-E, --extract

извлечь настраиваемые команды для использования в транзакции

-D, --deleteall

удалить все локальные настройки

-t TYPE, --type TYPE

SELinux-тип для объекта

-r RANGE, --range RANGE

диапазон безопасности MLS/MCS (только для систем с поддержкой MLS/MCS). По умолчанию SELinux-диапазон для сопоставления имени входа SELinux принимает значение диапазона записи пользователя SELinux. По умолчанию SELinux-диапазон для пользователя SELinux принимает значение s0.

-x SUBNET_PREFIX, --subnet_prefix SUBNET_PREFIX

Префикс подсети для указанного ключа раздела (pkey) или диапазона ключей раздела.

## ПРИМЕР

```
Вывести список всех определений ibpkey
# semanage ibpkey -l
Отметить pkey 0x8FFF (pkey ограниченного участия по умолчанию) как тип pkey по умолчанию
# semanage ibpkey -a -t default_ibpkey_t -x fe80:: 0x8FFF
```

## СМОТРИТЕ ТАКЖЕ
selinux(8), semanage(8)

## АВТОРЫ
Эта man-страница была написана Daniel Jurgens <danielj@mellanox.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


semanage-import

title: semanage-import(8)

text:
# semanage-import(8)

## ИМЯ
semanage-import - утилита импорта для управления политикой SELinux

## ОБЗОР
semanage import [-h] [-N] [-S STORE] [-f INPUT_FILE]

## ОПИСАНИЕ
semanage используется для настройки определённых элементов политики SELinux без необходимости изменения или перекомпиляции исходного текста политики. Команды semanage import и semanage export можно использовать, чтобы извлечь изменения SELinux на одном компьютере и применить их к другому. В файл можно поместить целую группу команд semanage и применить их к компьютеру в одной транзакции.

## ПАРАМЕТРЫ
-h, --help

показать это справочное сообщение и выйти

-N, --noreload

не перезагружать политику после фиксации

-S STORE, --store STORE

выбрать для управления альтернативное хранилище политики SELinux

-f INPUT_FILE, --input_file INPUT_FILE

входной файл

## ПРИМЕР

```
Импортировать изменения semanage с другого компьютера
# semanage import -f semanage.mods
```

## СМОТРИТЕ ТАКЖЕ
selinux (8), semanage (8), semanage-export (8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


semanage-interface

title: semanage-interface(8)

text:
# semanage-interface(8)

## ИМЯ
semanage-interface - утилита для управления политикой SELinux, предназначенная для работы с сетевыми интерфейсами

## ОБЗОР
semanage interface [-h] [-n] [-N] [-S STORE] [ --add -t TYPE -r RANGE interface | --delete interface | --deleteall | --extract | --list [-C] | --modify -t TYPE -r RANGE interface ]

## ОПИСАНИЕ
semanage используется для настройки определённых элементов политики SELinux без необходимости изменения или перекомпиляции исходного текста политики. Команда semanage interface управляет метками, которые назначаются сетевым интерфейсам.

## ПАРАМЕТРЫ
-h, --help

показать это справочное сообщение и выйти

-n, --noheading

не показывать заголовок при выводе указанного типа объекта

-N, --noreload

не перезагружать политику после фиксации

-S STORE, --store STORE

выбрать для управления альтернативное хранилище политики SELinux

-C, --locallist

вывести список локальных настроек

-a, --add

добавить запись указанного типа объекта

-d, --delete

удалить запись указанного типа объекта

-m, --modify

изменить запись указанного типа объекта

-l, --list

вывести список записей указанного типа объекта

-E, --extract

извлечь настраиваемые команды для использования в транзакции

-D, --deleteall

удалить все локальные настройки

-t TYPE, --type TYPE

SELinux-тип для объекта

-r RANGE, --range RANGE

диапазон безопасности MLS/MCS (только для систем с поддержкой MLS/MCS). По умолчанию SELinux-диапазон для сопоставления имени входа SELinux принимает значение диапазона записи пользователя SELinux. По умолчанию SELinux-диапазон для пользователя SELinux принимает значение s0.

## ПРИМЕР

```
Вывести список всех определений интерфейсов
# semanage interface -l
```

## СМОТРИТЕ ТАКЖЕ
selinux(8), semanage(8)

## AUTHOR
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


semanage-login

title: semanage-login(8)

text:
# semanage-login(8)

## ИМЯ
semanage-login - утилита для управления политикой SELinux, предназначенная для сопоставления пользователей Linux с пользователями SELinux

## ОБЗОР
semanage login [-h] [-n] [-N] [-S STORE] [ --add -s SEUSER -r RANGE LOGIN | --delete LOGIN | --deleteall | --extract | --list [-C] | --modify -s SEUSER -r RANGE LOGIN ]

## ОПИСАНИЕ
semanage используется для настройки определённых элементов политики SELinux без необходимости изменения или перекомпиляции исходного текста политики. Команда semanage login управляет сопоставлением пользователей Linux с пользователями SELinux. Её можно использовать для включения ограниченных пользователей. Например, можно определить, что конкретный пользователь или группа пользователей будет входить в систему как пользователь user_u. Чтобы указать имя группы, поставьте перед ним знак '%'.

## ПАРАМЕТРЫ
-h, --help

показать это справочное сообщение и выйти

-n, --noheading

не показывать заголовок при выводе указанного типа объекта

-N, --noreload

не перезагружать политику после фиксации

-C, --locallist

вывести список локальных настроек

-S STORE, --store STORE

выбрать для управления альтернативное хранилище политики SELinux

-a, --add

добавить запись указанного типа объекта

-d, --delete

удалить запись указанного типа объекта

-m, --modify

изменить запись указанного типа объекта

-l, --list

вывести список записей указанного типа объекта

-E, --extract

извлечь настраиваемые команды для использования в транзакции

-D, --deleteall

удалить все локальные настройки

-s SEUSER, --seuser SEUSER

имя пользователя SELinux

-r RANGE, --range RANGE

диапазон безопасности MLS/MCS (только для систем с поддержкой MLS/MCS). По умолчанию SELinux-диапазон для сопоставления имени входа SELinux принимает значение диапазона записи пользователя SELinux. По умолчанию SELinux-диапазон для пользователя SELinux принимает значение s0.

## ПРИМЕР

```
Изменить пользователя по умолчанию в системе на пользователя guest_u
# semanage login -m -s guest_u __default__
Назначить пользователю gijoe на компьютере с поддержкой MLS диапазон и пользователя staff_u
# semanage login -a -s staff_u -rSystemLow-Secret gijoe
Назначить всем пользователям в группе engineering пользователя staff_u
# semanage login -a -s staff_u %engineering
```

## СМОТРИТЕ ТАКЖЕ
selinux(8), semanage(8), semanage-user(8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


semanage-module

title: semanage-module(8)

text:
# semanage-module(8)

## ИМЯ
semanage-module - утилита для управления политикой SELinux, предназначенная для сопоставления модулей

## ОБЗОР
semanage module [-h] [-n] [-N] [-S STORE] (-a | -r | -e | -d | --extract | --list [-C] | --deleteall) [module_name]

## ОПИСАНИЕ
semanage используется для настройки определённых элементов политики SELinux без необходимости изменения или перекомпиляции исходного текста политики. Команда semanage module позволяет устанавливать, удалять, отключать модули политики SELinux.

## ПАРАМЕТРЫ
-h, --help

показать это справочное сообщение и выйти

-n, --noheading

не показывать заголовок при выводе указанного типа объекта

-N, --noreload

не перезагружать политику после фиксации

-S STORE, --store STORE

выбрать для управления альтернативное хранилище политики SELinux

-a, --add

установить указанный модуль

-r, --remove

удалить указанный модуль

-d --disable

отключить указанный модуль

-e --enable

включить указанный модуль

-E, --extract

извлечь настраиваемые команды для использования в транзакции

-l, --list

вывести список записей указанного типа объекта

-C, --locallist

вывести список локальных настроек

## ПРИМЕР

```
Вывести список всех модулей
# semanage module -l
Отключить неограниченный модуль (unconfined)
# semanage module --disable unconfined
Установить пользовательский модуль политики apache
# semanage module -a myapache
```

## СМОТРИТЕ ТАКЖЕ
selinux(8), semanage(8), semodule(8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


semanage-node

title: semanage-node(8)

text:
# semanage-node(8)

## ИМЯ
semanage-node - утилита для управления политикой SELinux, предназначенная для сопоставления узлов

## ОБЗОР
semanage node [-h] [-n] [-N] [-S STORE] [ --add -M NETMASK -p PROTOCOL -t TYPE -r RANGE node | --delete -M NETMASK -p PROTOCOL node | --deleteall | --extract | --list [-C] | --modify -M NETMASK -p PROTOCOL -t TYPE -r RANGE node ]

## ОПИСАНИЕ
semanage используется для настройки определённых элементов политики SELinux без необходимости изменения или перекомпиляции исходного текста политики. Команда semanage node управляет определениями типов узлов для IP-адресов.

## ПАРАМЕТРЫ
-h, --help

показать это справочное сообщение и выйти

-n, --noheading

не показывать заголовок при выводе указанного типа объекта

-N, --noreload

не перезагружать политику после фиксации

-S STORE, --store STORE

выбрать для управления альтернативное хранилище политики SELinux

-C, --locallist

вывести список локальных настроек

-a, --add

добавить запись указанного типа объекта

-d, --delete

удалить запись указанного типа объекта

-m, --modify

изменить запись указанного типа объекта

-l, --list

вывести список записей указанного типа объекта

-E, --extract

извлечь настраиваемые команды для использования в транзакции

-D, --deleteall

удалить все локальные настройки

-M NETMASK, --netmask NETMASK

маска сети

-t TYPE, --type TYPE

SELinux-тип для объекта

-r RANGE, --range RANGE

диапазон безопасности MLS/MCS (только для систем с поддержкой MLS/MCS). По умолчанию SELinux-диапазон для сопоставления имени входа SELinux принимает значение диапазона записи пользователя SELinux. По умолчанию SELinux-диапазон для пользователя SELinux принимает значение s0.

-p PROTO, --proto PROTO

Протокол для указанного порта (tcp|udp) или версия протокола Интернета для указанного узла (ipv4|ipv6).

## АВТОРЫ
Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>


semanage-permissive

title: semanage-permissive(8)

text:
# semanage-permissive(8)

## ИМЯ
semanage-permissive - утилита разрешительного сопоставления для управления политикой SELinux

## ОБЗОР
semanage permissive [-h] (-a | -d | -l) [-n] [-N] [-S STORE] [type]

## ОПИСАНИЕ
semanage используется для настройки определённых элементов политики SELinux без необходимости изменения или перекомпиляции исходного текста политики. Утилита semanage permissive позволяет добавить или удалить разрешительный модуль политики SELinux.

## ПАРАМЕТРЫ
-h, --help

показать это справочное сообщение и выйти

-a, --add

добавить запись указанного типа объекта

-d, --delete

удалить запись указанного типа объекта

-l, --list

вывести список записей указанного типа объекта

-n, --noheading

не показывать заголовок при выводе указанного типа объекта

-N, --noreload

не перезагружать политику после фиксации

-S STORE, --store STORE

выбрать для управления альтернативное хранилище политики SELinux

## ПРИМЕР

```
Вывести список всех разрешительных модулей
# semanage permissive -l
Сделать httpd_t (веб-сервер) разрешительным доменом
# semanage permissive -a httpd_t
```

## СМОТРИТЕ ТАКЖЕ
selinux(8), semanage(8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


semanage-port

title: semanage-port(8)

text:
# semanage-port(8)

## ИМЯ
semanage-port - средство сопоставления портов для управления политикой SELinux

## ОБЗОР
semanage port [-h] [-n] [-N] [-S STORE] [ --add -t TYPE -p PROTOCOL -r RANGE port_name | port_range | --delete -p PROTOCOL port_name | port_range | --deleteall | --extract | --list [-C] | --modify -t TYPE -p PROTOCOL -r RANGE port_name | port_range ]

## ОПИСАНИЕ
semanage используется для настройки определённых элементов политики SELinux без необходимости изменения или перекомпиляции исходного текста политики. Команда semanage port управляет определениями типов портов для номеров портов.

## ПАРАМЕТРЫ
-h, --help

показать это справочное сообщение и выйти

-n, --noheading

не показывать заголовок при выводе указанного типа объекта

-N, --noreload

не перезагружать политику после фиксации

-S STORE, --store STORE

выбрать для управления альтернативное хранилище политики SELinux

-C, --locallist

вывести список локальных настроек

-a, --add

добавить запись указанного типа объекта

-d, --delete

удалить запись указанного типа объекта

-m, --modify

изменить запись указанного типа объекта

-l, --list

вывести список записей указанного типа объекта

-E, --extract

извлечь настраиваемые команды для использования в транзакции

-D, --deleteall

удалить все локальные настройки

-t TYPE, --type TYPE

SELinux-тип для объекта

-r RANGE, --range RANGE

диапазон безопасности MLS/MCS (только для систем с поддержкой MLS/MCS). По умолчанию SELinux-диапазон для сопоставления имени входа SELinux принимает значение диапазона записи пользователя SELinux. По умолчанию SELinux-диапазон для пользователя SELinux принимает значение s0.

-p PROTO, --proto PROTO

Протокол для указанного порта (tcp|udp) или версия протокола Интернета для указанного узла (ipv4|ipv6).

## ПРИМЕР

```
Вывести список всех определений портов
# semanage port -l
Разрешить Apache прослушивать tcp-порт 81
# semanage port -a -t http_port_t -p tcp 81
Разрешить sshd прослушивать tcp-порт 8991
# semanage port -a -t ssh_port_t -p tcp 8991
```

## СМОТРИТЕ ТАКЖЕ
selinux(8), semanage(8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.