一、SELinux基础概念：理解三大工作模式

在开始配置前，必须理解SELinux的三种基本模式：

• Enforcing模式：强制执行安全策略，阻止违反策略的操作
• Permissive模式：仅记录违规行为而不阻止，适合策略调试
• Disabled模式：完全禁用SELinux（不推荐）

通过sestatus命令可查看当前状态，而getenforce/setenforce命令用于查询和临时切换模式。

二、SELinux配置文件详解

主配置文件/etc/selinux/config控制SELinux的全局设置：

# 文件示例
SELINUX=enforcing      # 可选enforcing|permissive|disabled
SELINUXTYPE=targeted   # 策略类型：targeted|minimum|mls

SELINUXTYPE参数决定策略类型：
targeted：默认策略，仅保护关键服务
mls：多级安全保护，适用于军事级安全需求
minimum：最小化保护，适用于兼容性优先场景

三、实战配置：分步配置指南

步骤1：初始检查与模式设置

安装必要工具：yum install policycoreutils policycoreutils-python setools setools-console

设置永久模式（重启后生效）：

sed -i 's/SELINUX=.*/SELINUX=enforcing/' /etc/selinux/config

步骤2：策略管理核心命令

• semanage boolean -l：列出所有布尔值开关
• setsebool -P httpd_can_network_connect on：永久允许Apache网络连接
• semanage fcontext -l：查看文件上下文规则

步骤3：文件上下文管理

当服务无法访问文件时，常因安全上下文不匹配：

# 查看文件上下文
ls -Z /var/www/html

# 修改目录默认上下文
semanage fcontext -a -t httpd_sys_content_t "/webapp(/.*)?"
restorecon -Rv /webapp

# 手动修改上下文（临时）
chcon -t httpd_sys_content_t /path/to/file

步骤4：端口标签管理

SELinux为网络端口分配安全标签：

# 查看端口标签
semanage port -l | grep http

# 添加自定义端口
semanage port -a -t http_port_t -p tcp 8080

四、故障排除与日志分析

1. 常见问题快速诊断

当服务异常时，按以下顺序排查：

1. 检查SELinux模式：getenforce
2. 查看拒绝日志：grep "AVC" /var/log/audit/audit.log
3. 使用sealert -a /var/log/audit/audit.log生成详细分析报告

2. 实用调试技巧

临时允许问题操作：
切换到permissive模式调试：setenforce 0
测试服务功能，然后分析日志生成解决方案

使用audit2allow工具：
自动生成策略模块：

grep "AVC" /var/log/audit/audit.log | audit2allow -M mypolicy
semodule -i mypolicy.pp

五、高级配置：自定义策略模块

对于复杂应用，可能需要自定义策略：

# 生成策略模块模板
sepolicy generate --init /usr/local/bin/custom_app

# 编译安装模块
make -f /usr/share/selinux/devel/Makefile
semodule -i custom_app.pp

六、最佳实践与安全建议

1. 始终保持在enforcing模式，仅在调试时短暂切换
2. 定期审查SELinux日志，纳入日常监控
3. 优先使用布尔值开关而非完全禁用保护
4. 为自定义服务开发专用策略，而非使用宽泛规则
5. 备份策略配置：semodule -B创建备份

七、常见服务配置示例

Nginx配置：
允许网络连接：setsebool -P httpd_can_network_connect 1
设置缓存目录上下文：chcon -Rt httpd_cache_t /var/nginx/cache

MySQL配置：
允许访问数据目录：setsebool -P mysqld_anon_write 1
调整端口标签：semanage port -a -t mysqld_port_t -p tcp 3307