一、SELinux核心概念解析

SELinux采用强制访问控制(MAC)机制，与传统Linux的自主访问控制(DAC)有本质区别。它通过三种主要模式运作：

• Enforcing模式：强制执行所有安全策略
• Permissive模式：仅记录违规不阻止操作
• Disabled模式：完全禁用SELinux

理解这些模式是正确配置的基础，错误的状态设置可能导致服务异常或安全漏洞。

二、SELinux配置7步实战

步骤1：检查当前状态

# 查看SELinux状态
sestatus
# 或使用简短命令
getenforce

步骤2：临时切换模式

# 设置为Permissive模式
setenforce 0
# 恢复为Enforcing模式
setenforce 1

注意：这种设置重启后会失效，适合临时故障排查。

步骤3：永久修改模式

# 编辑配置文件
vi /etc/selinux/config
# 修改SELINUX参数
SELINUX=enforcing|permissive|disabled

步骤4：管理布尔值开关

# 列出所有布尔值
getsebool -a
# 修改特定布尔值
setsebool -P httpd_can_network_connect on

步骤5：文件标签管理

# 查看文件标签
ls -Z /var/www/html
# 修改文件标签
chcon -t httpd_sys_content_t /path/to/file
# 恢复默认标签
restorecon -Rv /path

步骤6：策略模块管理

# 查看已加载模块
semodule -l
# 安装新模块
semodule -i module.pp

步骤7：日志分析与排错

# 查看SELinux拒绝日志
ausearch -m avc -ts recent
# 使用审计日志分析工具
sealert -a /var/log/audit/audit.log

三、常见服务配置示例

1. Apache/Nginx Web服务

确保网站目录具有正确的上下文标签：

chcon -R -t httpd_sys_content_t /var/www/html
setsebool -P httpd_can_network_connect_db 1

2. MySQL数据库服务

semanage port -a -t mysqld_port_t -p tcp 3306
setsebool -P mysql_connect_any 1

3. Samba文件共享

setsebool -P samba_export_all_rw 1
chcon -t samba_share_t /shared_folder

四、高级技巧与最佳实践

• 使用audit2allow工具生成自定义策略
• 定期检查并更新SELinux策略模块
• 在开发环境使用Permissive模式，生产环境必须Enforcing
• 建立SELinux异常事件的监控机制

通过本文的详细指导，您应该已经掌握了SELinux配置的核心方法。记住，SELinux的学习曲线虽然陡峭，但带来的安全收益绝对值得投入。