SELinux全称为Security-Enhanced Linux，是美国国家安全局开发并贡献给Linux社区的安全增强模块，它的核心作用是为Linux系统提供更细粒度的访问控制能力，弥补传统Linux自主访问控制（DAC）的不足。
SELinux和传统权限控制的区别
传统的Linux权限控制基于用户、用户组和其他用户的rwx权限位，只要进程所属用户有对应资源的访问权限，就可以进行操作，这种机制无法限制被入侵进程的越权行为。而SELinux基于强制访问控制（MAC）机制，会给每个进程和资源打上安全标签，只有当安全策略明确允许时，进程才能访问对应资源。
传统权限的局限性示例
假设Web服务进程被攻击者入侵，传统权限下如果该进程以root用户运行，攻击者就可以利用该进程修改系统任意文件。而开启SELinux后，即使进程是root权限，只要安全策略没有允许它修改系统核心配置文件，相关操作就会被拦截。
SELinux的核心作用
- 限制进程权限范围：每个进程只能访问安全策略中定义的相关资源，即使进程被入侵，攻击者的操作范围也会被严格限制，无法随意读取或修改无关文件。
- 防止权限滥用：避免高权限进程（如root运行的进程）执行超出业务需求的操作，减少内部误操作或恶意操作带来的安全风险。
- 降低漏洞利用影响：当系统存在服务漏洞时，SELinux可以阻止攻击者利用漏洞进行横向移动、提权或破坏系统核心组件，将漏洞危害降到最低。
- 细粒度资源管控：可以对文件、端口、进程间通信等各类系统资源设置独立的访问规则，满足不同场景下的安全需求。
SELinux的工作模式
SELinux有三种常见的工作模式，用户可以根据实际需求切换：
| 模式名称 | 作用说明 |
|---|---|
| Enforcing | 强制模式，SELinux会严格执行安全策略，拦截不符合规则的操作，同时记录相关日志 |
| Permissive | 宽容模式，SELinux不会拦截操作，只会记录不符合规则的行为到日志中，常用于调试策略问题 |
| Disabled | 关闭模式，SELinux完全不生效，系统仅使用传统权限控制机制 |
基础配置与状态查看
查看SELinux运行状态
可以使用sestatus命令查看当前SELinux的状态，执行结果如下：
# 查看SELinux运行状态 sestatus # 输出示例 SELinux status: enabled SELinuxfs mount: /sys/fs/selinux SELinux root directory: /etc/selinux Loaded policy name: targeted Current mode: enforcing Mode from config file: enforcing Policy MLS status: enabled Policy deny_unknown status: allowed Memory protection checking: actual (secure) Max kernel policy version: 33
临时切换工作模式
如果需要临时调整SELinux模式，可以使用setenforce命令，该调整重启后会失效：
# 临时切换到宽容模式，0代表Permissive setenforce 0 # 临时切换到强制模式，1代表Enforcing setenforce 1
永久修改工作模式
如果需要永久调整SELinux模式，需要修改配置文件/etc/selinux/config，修改后重启系统生效：
# 编辑SELinux配置文件 vi /etc/selinux/config # 配置文件中修改以下内容，可选值为enforcing、permissive、disabled SELINUX=enforcing # 指定安全策略类型，targeted是常用的针对性策略，仅限制特定服务 SELINUXTYPE=targeted
常见问题处理
很多用户在开启SELinux后会出现服务无法正常访问资源的问题，这时候可以先切换到Permissive模式，查看/var/log/audit/audit.log日志中的拒绝记录，根据日志调整对应的安全策略，或者给相关资源添加正确的安全标签。可以使用ls -Z命令查看文件的安全标签，使用chcon命令临时修改安全标签：
# 查看文件的安全标签 ls -Z /var/www/html/index.html # 临时修改文件安全标签，让Web服务可以访问 chcon -t httpd_sys_content_t /var/www/html/index.html
需要注意的是，chcon的修改是临时的，系统重启或执行restorecon命令后会恢复默认标签，如果需要永久修改，需要使用semanage命令配置策略。