总体影响评估
在绝大多数工作负载下，SELinux 对网络性能的影响很小。早年 Phoronix 在 Fedora 11 上的基准测试显示，开启 SELinux 仅导致系统性能在少数场景下降约 5%；在当代 CentOS 7/8/9 的通用网络服务中，这一开销通常可以忽略。需要注意的是，SELinux 是强制访问控制（MAC）机制，主要限制“谁能访问什么”，并非传统意义上的网络防火墙，因此不会像 iptables/firewalld 那样通过规则匹配对吞吐产生显著负载。
可能感知到的网络影响
- 策略/端口不匹配导致服务异常：例如 Nginx/Apache 默认只允许绑定到被标记为 http_port_t 的端口（如 80/443）。若应用改用 8080/8443，访问可能被拒绝；将端口加入策略即可：semanage port -a -t http_port_t -p tcp 8080。
- 出站连接被限制：默认策略常禁止 Web 服务主动外连。若后端需要访问 API，启用布尔值：setsebool -P httpd_can_network_connect 1。
- 协议族限制：可按需仅开启 IPv4 或 IPv6，如：setsebool -P httpd_can_network_connect_ipv4 1；setsebool -P httpd_can_network_connect_ipv6 0。
- 权限不足触发拒绝：当进程域无权执行某网络操作时，会在 /var/log/audit/audit.log 产生 AVC 拒绝日志，需要按日志修正策略或布尔值。
以上现象属于“功能被策略限制”而非“性能变慢”，修正后即可恢复正常网络行为。
如何快速判断是否是 SELinux 引起的网络问题
- 查看状态与模式：sestatus；临时切换为宽容模式验证：setenforce 0（仅用于排查，排查完请恢复 enforcing）。
- 检查端口与类型：semanage port -l | grep http_port_t，确认应用端口已被策略允许。
- 查看拒绝日志：ausearch -m avc -ts recent | audit2why，定位被拒的具体原因与修复建议。
- 必要时再验证防火墙/路由/云平台策略：firewall-cmd --state、ip route、以及云安全组/ACL 规则等，避免把其他网络控制面问题误判为 SELinux。
生产环境的实践建议
- 保持 SELinux 为 Enforcing，优先通过策略与布尔值微调，而不是整体关闭。
- 对常见网络需求使用标准端口与类型（如 http_port_t），减少策略偏差。
- 需要外连时启用最小必要布尔值（如 httpd_can_network_connect），并尽量限定到目标地址/端口。
- 建立变更与审计流程：变更前后留存 AVC 日志与策略模块，便于回溯与合规。
- 性能敏感场景以数据说话：在同等负载下对比 SELinux enforcing/permissive 的吞吐、延迟与连接成功率，必要时再考虑策略优化或例外处理。