一、SELinux简介

SELinux（Security-Enhanced Linux）是美国国家安全局（NSA）主导开发的一种强制访问控制（MAC）安全机制，已集成到Linux内核中。它为系统提供了更细粒度的权限控制，可以有效限制恶意程序或错误配置带来的安全风险。然而在实际运维过程中，SELinux有时会导致服务无法正常访问文件或端口，因此需要掌握查看其状态以及临时或永久关闭的方法。

二、查看SELinux状态

2.1 使用getenforce命令

getenforce 是最直接的查看命令，返回值有三种：

` # getenforce

Enforcing # 强制模式：SELinux策略生效，违规操作被拒绝
Permissive # 宽容模式：仅记录警告，不阻止操作
Disabled # 已关闭
`

2.2 使用sestatus命令

sestatus 会输出更完整的信息，包括策略版本、当前模式、配置文件中的模式等：

` # sestatus

SELinux status: enabled
SELinuxfs mount: /sys/fs/selinux
SELinux root directory: /etc/selinux
Loaded policy name: targeted
Current mode: enforcing
Mode from config file: enforcing
Policy MLS status: enabled
Policy deny_unknown status: allowed
Max kernel policy version: 31
`

2.3 查看配置文件

SELinux的持久化配置保存在 /etc/selinux/config 文件中（部分发行版为 /etc/sysconfig/selinux）：

` # cat /etc/selinux/config

SELINUX=enforcing
SELINUXTYPE=targeted
`

也可以通过 /sys/fs/selinux/enforce 文件查看当前强制状态（1表示Enforcing，0表示Permissive）。

三、切换SELinux模式

关闭SELinux分临时关闭与永久关闭两种方式，操作前请根据实际安全需求评估风险。

3.1 临时切换为Permissive模式

无需重启，立即生效：

` # setenforce 0

getenforce

Permissive
`

如需重新开启强制模式：

` # setenforce 1 `

注意：临时方式在系统重启后会恢复为配置文件中的模式。

3.2 永久关闭SELinux（需要重启）

第一步，编辑配置文件：

` # vi /etc/selinux/config `

将 SELINUX=enforcing 修改为：

SELINUX=disabled

保存退出后重启系统：

` # reboot `

重启后执行 getenforce 或 sestatus 确认状态为 Disabled。

3.3 仅在单次启动时关闭

如果不想修改配置文件，可以在内核启动参数中添加 selinux=0，该参数仅对本次启动生效。

四、常见注意事项

1. 从Enforcing直接切到Disabled：需要重启且会触发文件系统重新打标签（relabel），首次重启可能耗时较长，可在配置文件中增加 autorelabel=0 控制是否强制重标，但一般建议保留自动重标以保证安全上下文正确。
2. 生产环境建议：安全合规要求较高的环境不建议完全关闭SELinux，推荐使用 Permissive 模式收集警告并配合 audit2allow 工具生成放行策略，既保证安全又解决兼容性问题。
3. 相关命令：sealert -a /var/log/audit/audit.log 可用于分析SELinux拒绝日志；ls -Z、ps -eZ 可查看文件与进程的安全上下文。
4. 容器环境下：Docker等容器守护进程若启用SELinux，关闭后需注意 docker run --security-opt label=disable 等参数的使用差异。

五、

掌握SELinux的查看与关闭方法是Linux系统管理者的基础技能：使用 getenforce、sestatus 快速查询状态；使用 setenforce 0/1 临时切换模式；修改 /etc/selinux/config 中 SELINUX=disabled 实现永久关闭并重启生效。在实际操作中应优先考虑通过策略调优解决问题，而非一味关闭安全机制，以保障系统稳定与安全性的平衡。