SELinux配置与强制访问控制详解

本文深入浅出地讲解了Linux系统中SELinux的实用配置与强制访问控制核心技巧，涵盖如何快速诊断当前状态（getenforce/sestatus）、安全切换运行模式（临时setenforce与永久配置修改）、精准修复文件上下文错配（ls -Z/chcon/semanage fcontext/restorecon）、动态开放非标准服务端口（semanage port），并直击SELinux“静默拒绝”这一典型痛点，提供audit日志高效分析方法（ausearch），帮助运维人员告别“权限已设却访问失败”的困惑，在保障系统安全的前提下实现精准、可控、可追溯的访问控制。

SELinux当前状态怎么看？别猜，用命令直接查

刚接手一台RHEL/CentOS或Fedora机器，第一件事不是改配置，而是确认SELinux到底在不在干活。很多人卡在“为什么权限明明给了却拒绝访问”，结果发现getenforce返回Disabled——根本没开。

• getenforce：只看当前运行模式（Enforcing/Permissive/Disabled）
• sestatus：更全，能看到策略类型（如targeted）、启用状态、加载的策略包版本
• 如果sestatus报错或提示SELinux status: disabled，说明内核没加载模块，setenforce会直接失败，必须改配置+重启

临时切换模式救急，但别当长期方案

服务起不来、日志里一堆avc: denied？先切到Permissive验证是不是SELinux拦的——这是最快速的归因手段。

• 临时设为宽容模式：setenforce 0（立刻生效，无需重启）
• 临时切回强制模式：setenforce 1
• ⚠️注意：setenforce不持久，重启就还原。想永久生效，必须编辑/etc/selinux/config，把SELINUX=改成enforcing或permissive，然后重启
• 别在生产环境长期跑Permissive——它只记日志不拦截，等于裸奔还假装有监控

文件访问被拒？八成是上下文（context）不对

你chown、chmod全对了，ls -Z一看，文件上下文却是unconfined_u:object_r:user_home_t:s0，而Web服务要的是system_u:object_r:httpd_sys_content_t:s0——这就必然被拒。

• 查当前上下文：ls -Z /path/to/file
• 临时修正（重启后失效）：chcon -t httpd_sys_content_t /var/www/html/index.html
• 永久修正（推荐）：semanage fcontext -a -t httpd_sys_content_t "/var/www/html(/.*)?"，再执行restorecon -Rv /var/www/html
• ⚠️坑点：cp复制文件会继承源文件上下文，mv则保留原上下文；新建文件默认按父目录策略派生，不是“自动正确”

端口绑定失败？SELinux默认不认你换的端口

把Nginx从80改成8080，启动报bind: Permission denied，netstat -tuln确认端口空闲——十有八九是SELinux端口策略锁死了非标准端口。

• 查当前允许的HTTP端口：semanage port -l | grep http_port_t（通常只列80,443,488,8008,8009,8443）
• 给8080加白：semanage port -a -t http_port_t -p tcp 8080
• 删错可回退：semanage port -d -t http_port_t -p tcp 8080
• ⚠️注意：semanage操作需root；若提示command not found，先装policycoreutils-python-utils（RHEL 8+/CentOS 8+）或policycoreutils-python（旧版）

SELinux的麻烦不在难，而在“静默拒绝”——它不报错，只记日志，且日志分散在/var/log/audit/audit.log或/var/log/messages里。真要深挖，ausearch -m avc -ts recent比翻日志快得多。

好了，本文到此结束，带大家了解了《SELinux配置与强制访问控制详解》，希望本文对你有所帮助！关注golang学习网公众号，给大家分享更多文章知识！