SELinux 详解与关闭方法

1. SELinux 概述

SELinux（Security-Enhanced Linux）是Linux内核的强制访问控制（MAC）安全模块，由美国国家安全局（NSA）开发，用于限制进程和用户的权限，即使它们拥有root权限。

1.1 SELinux 工作原理

1.2 SELinux 的三种模式

2. 检查 SELinux 状态

sestatus

输出示例：

SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux root directory:         /etc/selinux
Current mode:                   enforcing
Mode from config file:          enforcing

2.1 快速查看模式

getenforce
# 可能返回：Enforcing, Permissive, 或 Disabled

3. 关闭 SELinux 的方法

3.1 临时切换模式（重启后失效）

sudo setenforce 0    # 切换到Permissive模式
sudo setenforce 1    # 切换回Enforcing模式

3.2 永久关闭 SELinux

方法1：修改配置文件

sudo vi /etc/selinux/config

将以下行改为：

SELINUX=disabled

重启生效：

sudo reboot

方法2：通过GRUB引导参数关闭

sudo vi /etc/default/grub

在GRUB_CMDLINE_LINUX中添加：

selinux=0

更新GRUB并重启：

sudo update-grub && sudo reboot

4. 关闭 SELinux 的影响

5. 替代方案（推荐）

如果不确定是否需要关闭，可以：

1. 临时设为Permissive模式：

   sudo setenforce 0

2. 修改SELinux策略（而非完全关闭）：

   sudo audit2allow -a -M mypolicy  # 根据日志生成新策略
   sudo semodule -i mypolicy.pp     # 加载策略

6. 验证 SELinux 状态

sestatus | grep "Current mode"
# 或
ls -Z /etc/passwd  # 查看文件的安全上下文

附：SELinux 管理命令速查表

注意：生产环境中建议保持Enforcing模式，仅在确认安全影响后关闭！