Linux云服务器SELinux配置完全指南：安全加固必备技能

一、SELinux基础概念解析

SELinux(Security-Enhanced Linux)是美国国家安全局(NSA)开发的安全模块，通过为系统对象(文件、进程等)添加安全标签，实现精细的访问控制策略。云服务器启用SELinux后，即使root账户也无法绕过安全策略，极大增强了系统安全性。

二、检查SELinux状态

在开始配置前，首先需要确认当前系统的SELinux状态：

# 查看SELinux运行状态
sestatus

# 或使用更简洁的命令
getenforce

可能返回三种状态：Enforcing(强制模式)、Permissive(宽容模式)或Disabled(禁用)。建议云服务器至少保持Permissive模式以便收集审计日志。

三、SELinux工作模式切换

临时修改模式(重启后失效)：

# 设置为强制模式
setenforce 1

# 设置为宽容模式
setenforce 0

永久修改模式(需修改配置文件)：

vim /etc/selinux/config
# 修改SELINUX=参数为enforcing/permissive/disabled

四、云服务器常见配置场景

1. Web服务配置

Apache/Nginx服务常需要调整文件上下文：

# 修改网站目录默认标签
semanage fcontext -a -t httpd_sys_content_t "/var/www/html(/.*)?"

# 使变更立即生效
restorecon -Rv /var/www/html

2. 数据库服务

MySQL/MariaDB数据目录权限设置：

# 允许服务访问数据目录
setsebool -P mysql_connect_any on
chcon -R -t mysqld_db_t /var/lib/mysql

3. 自定义端口配置

当服务需要使用非标准端口时：

# 允许HTTP使用8080端口
semanage port -a -t http_port_t -p tcp 8080

五、故障排查技巧

当服务因SELinux限制无法正常运行时：

1. 检查/var/log/audit/audit.log获取详细拒绝信息
2. 使用ausearch工具分析安全事件：
   ausearch -m avc -ts recent
3. 生成自定义策略模块：
   audit2allow -a -M mypolicy

六、最佳实践建议

• 生产环境建议保持Enforcing模式
• 新部署服务时先在Permissive模式下测试
• 定期检查SELinux日志发现潜在威胁
• 使用semanage管理策略而非直接修改文件上下文
• 云服务器镜像制作时应预先配置好SELinux策略