Linux云服务器SELinux配置完全指南

一、SELinux基础概念

SELinux是由美国国家安全局（NSA）开发的一种强制访问控制（MAC）安全机制，它通过为系统资源添加安全标签来实现细粒度的访问控制。

• 三种工作模式：
  • Enforcing：强制模式，完全启用安全策略
  • Permissive：宽容模式，仅记录违规行为
  • Disabled：完全禁用
• 主要组件：策略、安全上下文、访问向量缓存

二、准备工作

在配置前请确保：

1. 使用root或sudo权限账户
2. 已安装SELinux管理工具包：

   # CentOS/RHEL
   yum install policycoreutils policycoreutils-python selinux-policy selinux-policy-targeted libselinux-utils setools setools-console
   
   # Ubuntu/Debian
   apt install policycoreutils selinux-utils selinux-basics

3. 备份重要数据

三、详细配置步骤

1. 检查当前状态

sestatus
getenforce

2. 修改工作模式

临时修改（重启后失效）：

setenforce 0  # Permissive
setenforce 1  # Enforcing

永久修改（需编辑配置文件）：

vi /etc/selinux/config
# 修改SELINUX=参数

3. 管理安全上下文

查看文件/目录上下文：

ls -Z /path/to/file

修改上下文：

chcon -t httpd_sys_content_t /var/www/html

4. 策略管理

查看当前加载的模块：

semodule -l

添加新策略：

semodule -i mypolicy.pp

四、常见问题解决

1. 服务无法启动

检查/var/log/audit/audit.log，使用audit2allow生成新策略：

grep denied /var/log/audit/audit.log | audit2allow -M mypol
semodule -i mypol.pp

2. 文件访问被拒绝

使用restorecon恢复默认上下文：

restorecon -Rv /path/to/directory

3. 端口绑定失败

添加端口标签：

semanage port -a -t http_port_t -p tcp 8080

五、最佳实践建议

• 生产环境始终使用Enforcing模式
• 定期检查audit日志
• 为自定义服务创建专用策略
• 使用布尔值简化复杂配置：

  getsebool -a
  setsebool -P httpd_can_network_connect on