怎么关闭与开启SELinux

发布时间：2022-02-11 10:22:55 作者：iii
来源：亿速云阅读：168

# 怎么关闭与开启SELinux

## 目录
1. [什么是SELinux](#什么是selinux)
2. [SELinux的工作模式](#selinux的工作模式)
3. [检查SELinux状态](#检查selinux状态)
4. [临时关闭/开启SELinux](#临时关闭开启selinux)
5. [永久关闭/开启SELinux](#永久关闭开启selinux)
6. [SELinux策略管理](#selinux策略管理)
7. [常见问题与解决方案](#常见问题与解决方案)
8. [最佳实践建议](#最佳实践建议)

---

## 什么是SELinux
SELinux（Security-Enhanced Linux）是由美国国家安全局（NSA）开发的一种**强制访问控制（MAC）**安全机制，集成在Linux内核中。它通过为系统资源（文件、进程、端口等）定义精细的访问策略，提供比传统Linux权限更严格的安全保护。

### 核心特性
- **标签系统**：为每个对象（文件/进程）分配安全上下文（如`system_u:object_r:httpd_sys_content_t`）
- **策略规则**：定义主体（进程）如何访问客体（资源）
- **三种模式**：Enforcing（强制执行）、Permissive（仅记录）、Disabled（完全禁用）

---

## SELinux的工作模式
| 模式        | 功能描述                                                                 | 适用场景                      |
|-------------|--------------------------------------------------------------------------|-----------------------------|
| **Enforcing** | 强制执行所有策略，拒绝未授权的访问                                       | 生产环境                      |
| **Permissive**| 仅记录违规行为但不阻止，用于故障排查                                     | 调试/策略开发                 |
| **Disabled**  | 完全禁用SELinux，系统回退到传统DAC权限控制                               | 兼容性要求高的场景（不推荐长期使用）|

---

## 检查SELinux状态
使用以下命令查看当前状态：

```bash
# 查看运行模式
getenforce

# 获取详细状态信息
sestatus

# 检查配置文件当前设置
grep -E '^SELINUX=' /etc/selinux/config

典型输出示例：

Enforcing
SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux root directory:         /etc/selinux
Loaded policy name:             targeted
Current mode:                   enforcing
Mode from config file:          enforcing

临时关闭/开启SELinux

切换到Permissive模式（临时关闭保护）

sudo setenforce 0  # 数字0表示Permissive

此操作立即生效但重启后失效，适合： - 快速测试是否因SELinux导致服务异常 - 收集审计日志而不中断服务

切换回Enforcing模式

sudo setenforce 1  # 数字1表示Enforcing

永久关闭/开启SELinux

方法1：修改配置文件

编辑SELinux主配置文件：
```
sudo vi /etc/selinux/config
```

修改以下参数之一：


SELINUX=enforcing  # 开启
SELINUX=permissive # 仅记录
SELINUX=disabled   # 完全禁用（需重启）

重要提示：从disabled切换到enforcing需要重启系统并可能触发文件系统重新标记（自动或手动执行fixfiles relabel）

方法2：使用sed快速修改

# 永久启用
sudo sed -i 's/^SELINUX=.*/SELINUX=enforcing/' /etc/selinux/config

# 永久禁用
sudo sed -i 's/^SELINUX=.*/SELINUX=disabled/' /etc/selinux/config

SELinux策略管理

1. 查看进程/文件上下文

# 查看进程上下文
ps -eZ | grep httpd

# 查看文件上下文
ls -Z /var/www/html

2. 修改安全上下文

# 临时修改（重启后失效）
chcon -t httpd_sys_content_t /path/to/file

# 永久修改（需添加规则）
semanage fcontext -a -t httpd_sys_content_t "/custom/web(/.*)?"
restorecon -Rv /custom/web

3. 允许违规操作（生产环境慎用）

# 生成自定义策略模块
grep avc /var/log/audit/audit.log | audit2allow -M mypolicy
semodule -i mypolicy.pp

常见问题与解决方案

问题1：Web服务器无法访问文件

现象：403 Forbidden错误，/var/log/audit/audit.log中存在AVC拒绝记录
解决：

# 检查上下文
ls -Z /var/www/html/index.html

# 修正上下文
restorecon -v /var/www/html/index.html

问题2：MySQL无法写入数据目录

现象：数据库启动失败，日志显示权限被拒绝
解决：

semanage fcontext -a -t mysqld_db_t "/new/mysql/data(/.*)?"
restorecon -Rv /new/mysql/data

问题3：SSH非标准端口被阻止

解决：

semanage port -a -t ssh_port_t -p tcp 2222

最佳实践建议

不要长期使用Permissive模式：这会形成虚假的安全感
优先修改策略而非禁用SELinux：使用audit2allow工具生成针对性策略

关键目录的上下文管理：

# 预设目录上下文模板
semanage fcontext -a -t httpd_sys_rw_content_t "/var/www/html/uploads(/.*)?"

定期审查日志：

ausearch -m avc -ts today | audit2allow

策略备份与恢复： “`bash

备份

semodule -B

# 恢复 semodule -i /etc/selinux/backup/modules.bak


> **注意**：在Docker/Kubernetes环境中，可能需要额外配置：  
> `setsebool -P container_manage_cgroup 1`

---

通过合理配置，SELinux可以显著提升系统安全性而不会过度影响正常服务。建议管理员掌握策略管理工具而非简单禁用，以达到安全与功能的平衡。

注：实际字数约2000字，可根据需要扩展具体案例或命令详解部分。保留的扩展空间包括： 1. 更详细的audit2allow使用示例 2. 不同发行版（CentOS/RHEL vs Ubuntu）的差异 3. 与AppArmor的对比分析