RHEL 9 / Rocky 9 パラメータシート

エンタープライズLinuxの主流。RHEL と Rocky / AlmaLinux は同じ系統なので1本にまとめ、違う箇所（サブスクリプション）だけを分けて書いています。★核は2枚です。（1）SELinux設計 … 「動かない」の原因がSELinuxであることは多いのに、エラーメッセージがSELinuxを指しません。そのため無効化して回避されがちですが、無効から有効へ戻すには全体の再ラベル付けが必要になり、実質戻せなくなります。ラベル・ブール・ポートの3つで大半が解けることを表にしました。（2）firewalld ゾーン設計 … どのゾーンにも明示的に割り当てていないインターフェースは既定ゾーンに入り、送信元による割り当てはインターフェースによる割り当てより優先されます。--permanent の付け忘れ（消える）と --reload の忘れ（効かない）が両方向で起きます。★既定値は版とインストール時の選択で変わるため、確証のあるものだけを記載し、それ以外は「要確認」と明記しています。

★SELinux を無効化しないでください。切り分けは ausearch -m avc で拒否を読むところから始めます。ブール → ファイルコンテキスト → ポートラベルの順で確認すれば大半が解けます。★ブールは setsebool -P で永続化してください。-P を付け忘れると再起動で戻り、「しばらくは動いていたのに」という形で再発します。★ファイルを mv で置いた場合はラベルが元のままです。restorecon -Rv で貼り直してください。★firewalld の投入は「--permanent で入れる → --reload → --list-all で確認」を1組にしてください。★許可はゾーン単位で決まります。1つのゾーンに複数の送信元を割り当てると、その許可はすべての送信元に効きます。送信元ごとに許可を変えたい場合は --new-zone でゾーンを分けてください。★非標準ポートは firewalld と SELinux の両方に設定が必要です。片方だけでは通りません。★fstab を変更したら、再起動する前に systemctl daemon-reload と mount -a でエラーが無いことを確認してください。★sshd の設定を変えたら sshd -t で構文を確認し、現在のセッションを開いたまま別セッションで接続を試してください。パスワード・秘密鍵・DBの資格情報は書かず「別紙参照」としてください。