Linux服务器安全配置终极指南：SELinux与AppArmor详解

一、SELinux：强制访问控制的强大工具

1. SELinux简介

SELinux（Security-Enhanced Linux）是由美国国家安全局（NSA）开发的一种强制访问控制（MAC）安全机制。它通过为系统资源（文件、进程、端口等）定义安全策略，提供了比传统Linux权限系统更细粒度的访问控制。

2. SELinux安装与基本配置

大多数主流Linux发行版（如RHEL、CentOS、Fedora）默认已安装SELinux。您可以通过以下命令检查SELinux状态：

sestatus

要临时更改SELinux模式（无需重启）：

setenforce 0 # 设置为宽松模式
setenforce 1 # 设置为强制模式

3. SELinux策略管理

SELinux提供了丰富的工具集来管理安全策略：

• semanage：管理SELinux策略元素
• restorecon：恢复文件的安全上下文
• chcon：更改文件安全上下文
• audit2allow：从审计日志生成策略规则

二、AppArmor：基于路径的简单安全方案

1. AppArmor简介

AppArmor是一种基于路径的访问控制系统，相比SELinux更简单易用。它在Ubuntu、Debian和SUSE等发行版中默认安装。

2. AppArmor安装与基本配置

检查AppArmor状态：

apparmor_status

常用命令：

aa-complain # 将配置文件设置为投诉模式
aa-enforce # 将配置文件设置为强制模式

3. AppArmor策略管理

AppArmor策略存储在/etc/apparmor.d/目录中。您可以使用以下工具管理策略：

• aa-genprof：生成新的配置文件
• aa-logprof：根据日志更新配置文件
• aa-disable：禁用配置文件

三、SELinux与AppArmor对比

四、选择建议

对于需要极高安全性的企业环境，特别是政府、金融机构等，建议使用SELinux。而对于普通Web服务器或个人使用，AppArmor可能是更好的选择，因为它更容易配置和管理。

五、常见问题解决

1. SELinux导致服务无法启动

查看审计日志：

ausearch -m AVC -ts recent

然后使用audit2allow生成新规则。

2. AppArmor配置文件冲突

使用aa-complain将配置切换到投诉模式，然后使用aa-logprof更新配置文件。