CentOS 下 SELinux 性能测试实操指南
一、目标与总体思路
- 目标：量化在 SELinux enforcing 与 permissive/disabled 状态下的性能差异，覆盖 CPU 调度与上下文切换、内存带宽、本地/远程文件系统 I/O、TCP 网络吞吐与延迟 等关键维度，并验证策略正确性。
- 思路：A/B 对比法（同一套硬件、同一负载、仅切换 SELinux 状态），每轮测试至少 重复 3 次取平均，并在测试前后清理缓存、隔离无关负载，确保结果可复现与可比性。
二、环境与工具准备
- 状态切换与策略基线
- 查看与切换：使用 getenforce / setenforce 0|1；永久配置编辑 /etc/selinux/config（enforcing/permissive/disabled）。从 enforcing 切到 permissive 无需重启，从/到 disabled 需重启。
- 策略类型：默认 targeted，可在 /etc/selinux/config 的 SELINUXTYPE 调整。
- 审计与排错：开启并保持 auditd 运行，关键日志位于 /var/log/audit/audit.log；必要时使用 setroubleshoot 辅助分析。
- 压测与监控工具
- 微基准与系统：
- LMbench：评估上下文切换、本地通信、内存带宽、文件操作等，便于观察 SELinux 对系统调用与微操作路径的影响。
- IOzone：覆盖多种文件与块大小组合，评估文件系统性能（顺序/随机、读/写/混合）。
- netperf：面向 TCP/UDP 的吞吐、并发与延迟测试（C/S 模型）。
- 自动化与报告（可选）：
- OC Auto-POC：集成 FIO/IOzone/UnixBench 等基准测试与 SELinux 策略有效性专项检测，支持一键执行与 Word/JSON 报告导出，便于对比 enforcing/permissive/disabled 的差异。
三、测试步骤与命令示例
- 通用准备
- 隔离环境：停止无关服务，绑定测试网卡，避免后台任务干扰；每轮测试前执行 sync && echo 3 > /proc/sys/vm/drop_caches（仅非生产环境），减少页面缓存影响。
- 预热与稳定：先运行轻载预热 30–60 秒，再进入正式采样；每轮测试至少 3 次，结果取中位数/均值。
- CPU/内存微基准（LMbench）
- 安装与运行：
- 下载/解压 LMbench，执行 make results 按提示选择测试项；后续用 make return 复现相同配置，make see 汇总多次结果图表。
- 观察要点：对比 lat_ctx（上下文切换）、bw_mem（内存带宽）、lat_proc（进程创建） 等在 enforcing/permissive 的差异。
- 文件系统（IOzone）
- 示例（在目标挂载点执行，文件大小建议 ≥ 2×内存 以绕过页缓存）：
- 顺序写：./iozone -i 0 -i 1 -r 64k -s 10G -f /perf/iozone.file
- 随机读：./iozone -i 0 -i 2 -r 32k -s 10G -f /perf/iozone.file
- 观察要点：吞吐（MB/s）、IOPS、响应延迟在不同 SELinux 状态下的变化；若测试文件小于内存，结果主要反映 缓存性能 而非磁盘真实能力。
- 网络（netperf）
- 服务端：在目标机启动 netserver
- 客户端（示例）：
- 吞吐（TCP_STREAM）：netperf -H <server_ip> -t TCP_STREAM – -m 64k
- 请求/响应（TCP_RR）：netperf -H <server_ip> -t TCP_RR – -r 1,1
- 观察要点：对比 吞吐量（Mbps/Gbps）、事务速率（TPS） 与 延迟；必要时做多并发会话以贴近真实负载。
- 策略正确性验证（贯穿各轮）
- 在 enforcing 下确认业务功能与访问合规；异常时检查 /var/log/audit/audit.log 的 avc: denied 记录，必要时用 setroubleshoot 定位并修正策略，再复测。
四、结果记录与判定
- 记录模板（示例字段）
- 环境：内核版本、CPU/内存、磁盘/网卡型号、文件系统、SELinux 状态/策略类型
- 负载：工具与参数（如 IOzone -r/-s、netperf -t/-m/-r）
- 指标：吞吐、IOPS、延迟/RT、CPU 利用率、上下文切换/中断、错误/重试
- 稳定性：测试时长、波动范围、异常事件（如 AVC 拒绝）
- 判定建议
- 关注相对差异而非绝对值：计算 enforcing 相对 permissive/disabled 的 百分比变化（如吞吐下降 ≤5–10% 通常可接受，视业务而定）。
- 若 enforcing 下出现功能异常或 AVC denied 导致失败，应先修复策略再比较性能；性能回归超出阈值时，结合审计日志与策略模块定位热点规则与访问路径。
五、常见问题与优化建议
- 文件/目录上下文不当导致访问被拒
- 使用 ls -Z 检查上下文；临时修正用 chcon；永久修正用 semanage fcontext + restorecon；涉及服务端口时，用 semanage port 将端口加入相应类型（如 ssh_port_t）。
- 策略过严引发性能与功能问题
- 采用“临时策略更新—回归测试—固化策略”的迭代方式：依据 audit.log 的拒绝记录生成/调整策略，逐轮验证业务运行状态，选择使程序恢复正常的策略组合并固化，降低调试成本与风险。
- 缓存与预热影响
- 文件 I/O 基准务必使用 ≥2×内存 的测试文件并清理缓存；每轮测试 ≥3 次取平均，避免偶发因素干扰结论。