Linux下SELinux配置完全指南：从入门到精通

一、SELinux基础概念

SELinux(Security-Enhanced Linux)是由美国国家安全局(NSA)开发的一种强制访问控制(MAC)安全机制。与传统Linux的自主访问控制(DAC)不同，SELinux通过定义严格的安全策略，为系统提供了更细粒度的访问控制。

• 主体(Subject)：通常是进程或用户
• 对象(Object)：文件、目录、端口等系统资源
• 策略(Policy)：定义主体如何访问对象的规则集合

二、检查SELinux状态

在开始配置前，首先需要确认系统当前的SELinux状态：

# 查看SELinux状态
sestatus

# 或者使用更简单的命令
getenforce

输出结果可能是以下三种之一：

1. Enforcing：强制模式，完全启用SELinux
2. Permissive：宽容模式，仅记录违规行为但不阻止
3. Disabled：完全禁用

三、配置SELinux工作模式

1. 临时修改SELinux模式

# 设置为强制模式
setenforce 1

# 设置为宽容模式
setenforce 0

2. 永久修改SELinux模式

编辑/etc/selinux/config文件：

SELINUX=enforcing  # 可选值：enforcing, permissive, disabled
SELINUXTYPE=targeted

四、SELinux策略管理

1. 查看文件或进程的安全上下文

# 查看文件上下文
ls -Z /path/to/file

# 查看进程上下文
ps -Z

2. 修改安全上下文

# 修改文件上下文
chcon -t httpd_sys_content_t /var/www/html/index.html

# 恢复默认上下文
restorecon -v /var/www/html/index.html

五、常见问题解决

1. 查看SELinux日志

# 使用ausearch工具
ausearch -m avc -ts today

# 或使用sealert
sealert -a /var/log/audit/audit.log

2. 允许特定操作

# 生成策略模块
audit2allow -a -M mypolicy

# 安装策略模块
semodule -i mypolicy.pp

六、SELinux布尔值管理

SELinux提供了许多布尔值开关来简化策略配置：

# 查看所有布尔值
getsebool -a

# 设置布尔值
setsebool -P httpd_can_network_connect on

七、最佳实践

• 生产环境建议保持Enforcing模式
• 遇到问题时，先切换到Permissive模式排查
• 避免直接禁用SELinux，这会导致安全风险
• 定期检查SELinux日志，及时发现潜在问题