По причине вредности мне не хотелось выключать SELinux, если он уже стоит в системе. Пропуская детали почему я скачал selinux-policy-targeted-sources-1.27.2-18 с последующей компиляцией ядра 2.6.14, перейду сразу к сути.
начиная с v1.17 политик сквид вроде как работает корректно с редиректорами при правильной настройке всего остального.
Если вручную не править политику сквида, то это самое остальное надо подстроить под уже существующую политику.
Что входит в остальное? (см. для подробностей selinux/targeted/src/policy/domains/program/squid.te)
1. исполняемый файл должен иметь контекст bin_t или sbin_t. В директориях с этих контекстами приложение из домена squid_t может производить поиск файла и запуск его на выполнение. Для нас это означает что редиректор по хорошему надо положить в /bin, /sbin, /usr/bin, /usr/sbin и т.п.
2. файлы конфигов желательно положить к сквидовским конфигам с контекстом squid_conf_t. (/etc/squid по умолчанию)
3. файлы логов тоже к сквиду, (/var/log/squid, squid_log_t контекст)
4. файлы кэша ну вы поняли уже куда
контекст им нужен squid_cache_t (/var/spool/squid/).5. файл блокировки надо вынести за пределы файлов конфигов и туда где сквид может писать (/var/run/ например, с контекстом var_run_t).
выполнив эти пять слагаемых успеха мы получим всё для нашего личного счастья.
как это сделать?
1-3 выполняется легко. Копируем файлы в нужное место, правим файлы конфига режика и сквида соотвествующим образом. Где контекст сам собой не захотел стать таким как окружающие его контексты (ls -lZ) мы хамелеоним его чтобы был такой же как и все
chcon сущность:роль:домен4-5 пункт можно выполнить поправив исходные коды режика.
А именно: добавить, где ему хранить файлы блокировки и кэш.
вот тут, я положил модифицированные исходники. Места, где внесены изменения обозначены "th modification" комментарием. Это не касается только случаев, в которых все unsigned char были поменяны на char, чтобы компилятор не ругался при компиляции. Также выделяется память для переменных db_dir и lock_dir и потом не высвобождается... ну это уже мелочи.
Введение в SELinux можно глянуть здесь.
При конфигурировании рекомендую глядеть в /var/log/audit/audit.log если конечно аудит не отключен