SElinux: permite que httpd se conecte a un puerto específico

Mi sistema ejecuta CentOS 6.4 con apache2.2.15. SElinux está aplicando y estoy tratando de conectarme a una instancia local de redis a través de mi aplicación python / wsgi. Me sale el error 13, permiso denegado. Podría solucionar esto a través del comando:

setsebool -P httpd_can_network_connect

Sin embargo, no quiero exactamente que httpd pueda conectarse a todos los puertos tcp. ¿Cómo puedo especificar a qué puertos / redes se permite conectar httpd? Si pudiera hacer un módulo para permitir que httpd se conecte al puerto 6379 (redis) o cualquier tcp en 127.0.0.1, eso sería preferible. No estoy seguro de por qué mi paranoia es tan fuerte en esto, pero bueno ...

¿Nadie sabe?

Por defecto, la política de SELinux solo permitirá el acceso a los servicios a puertos reconocidos asociados con esos servicios:

# semanage port -l | egrep '(^http_port_t|6379)'
http_port_t                    tcp      80, 81, 443, 488, 8008, 8009, 8443, 9000
# curl http://localhost/redis.php
Cannot connect to redis server.

- agregue el puerto Redis (6379) a la política de SELinux

# semanage port -a -t http_port_t -p tcp 6379
# semanage port -l | egrep '(^http_port_t|6379)'
http_port_t                    tcp      6379, 80, 81, 443, 488, 8008, 8009, 8443, 9000
# curl http://localhost/redis.php
Connected successfully.

También puede instalar setroubleshoot-serverRPM y ejecutar: sealert -a /var/log/audit/audit.log- le dará un buen informe con sugerencias útiles (incluido el comando anterior).

Script PHP para probar la conexión:

# cat redis.php 
<?php

$redis=new Redis();
$connected= $redis->connect('127.0.0.1', 6379);

if(!$connected) {
        die( "Cannot connect to redis server.\n" );
}

echo "Connected successfully.\n";

?>

Es posible que necesite usar

semanage port -m -t http_port_t -p tcp 6379

Si falta semanage, agregue el paquete policycoreutils-python

yum install policycoreutils-python

Puede poner temporalmente a selinux en modo permisivo y dejar que httpd se conecte a redis, luego generar y construir un módulo de política personalizado usando audit2allow