linux下selinux介绍及相关命令操作

ゝ一纸荒年。 2023-10-09 11:15 0阅读 0赞

原文链接： [https://blog.csdn.net/wz947324/article/details/80278929][https_blog.csdn.net_wz947324_article_details_80278929]

**selinux是什么？**

SELinux(Security-Enhanced Linux) 是美国国家安全局（NSA）对于**强制访问控制**的实现，是一种基于**域-类型**模型（domain-type）的强制访问控制（MAC）安全系统，它由NSA编写并**设计成内核模块包含到内核中。**

传统的Linux权限控制采用**自主式权限控制(Discretionary Access Control, DAC)**,依据程序拥有者和资源的rwx权限决定有无存取能力。这样存在root账户盗用可以使用任何资源和目录如果被设为777权限而导致任意存取和操作的问题。**SELinux采用MAC(Mandatory Access Control, MAC)**.**在访问资源时，判断程序是否有权限，而不是判断用户。**所以，即使不小心httpd被 取得了控制权，他也无权浏览/etc/shadow 等重要的文档。开启SELinux后，访问文件会经过SELinux权限控制和普通的用户资源rwx权限控制。

SELinux 是**整合到核心的一个核心功能，不需要启动**什么额外的服务来开启SELinux.开机完成后，SELinux也就启动了。

![70][]

**selinux策略模式**

targeted：针对网路服务限制较多，针对本机限制较少，默认为这个策略。

strict：完整的SELinux 限制，限制方面较为严格。

**selinux三种模式**

enforcing：强制模式，代表SELinux运作中，且已经正确的开始限制domain/type了。

permissive：宽容模式，代表SELinux运作中，不过仅会有警告讯息并不会实际限制domain/type的存取.这种模式可以运来作为SELinux的debug之用(看下什么原因导致无法访问)。

disabled：关闭模式

**查询当前selinux模式**

getenforce

![70 1][]

**查询SELinux当前policy详细信息**

sestatus

![70 2][]

SELinux status: enabled <==是否启动 SELinux 
         SELinuxfs mount: / sys/ fs/ selinux <== SELinux 的相关文件资料挂载点 
         SELinux root directory: / etc/ selinux <== SELinux所在目录 
         Current mode: permissive<== 目前的模式 
         Mode from config file: enforcing <== 设定档指定的模式 
         Loaded policy name: targeted <== 目前的政策为何

**打开关闭**

临时关闭 SELinux: setenforce 0 (设置SELinux 成为permissive模式) 
         临时打开 SELinux: setenforce 1 (设置SELinux 成为enforcing模式) 
         彻底关闭 SElinux: vi /etc/selinux/config 设置SELINUX=disabled ,重启生效

**/etc/selinux/config 文件**

**![70 3][]**

这是selinux的配置文件，包含两个参数，selinux的模式和策略设置。

注意的是，如果改变了模式，则需要重新开机；如果由 enforcing 或 permissive 改成 disabled ，或由 disabled 改成其他两个，那也必须要重新开机。这是因为 SELinux 是整合到核心里面去的， 你只可以在 SELinux 运作下切换成为强制 (enforcing) 或宽容 (permissive) 模式，不能够直接关闭 SELinux 的！

同时，由 SELinux 关闭 (disable) 的状态到开启的状态也需要重新开机啦！所以，如果刚刚你发现 getenforce 出现 disabled 时， 请到上述文件修改成为 enforcing 吧！

**开启或关闭selinux该如何选择？**

说了这么多，那么我们平时在linux维护工作中该如何选择，到底选择那种模式，是要开启还是关闭好呢？

在人们长期实践中，大家一般都是关闭的，原因有以下几个：

1.  麻烦  
    
2.  我们看到的文章，书里，使用SELinux的真的非常少，没有详细资料  
    
3.  不确定性，因为一直没有搞过，然后所有的软件的文档里也没有写SELinux相关的配置，遇到相关问题时不好解决。

开启总会导致许多莫名其妙的问题，限制很多，所以如果你有一台服务器的话，**建议刚开始就关闭吧**，目前的话，阿里云服务器已经默认是关闭的了。

快速关闭：setenforce 0  （临时的，重启后失效）

永久关闭：vi /etc/selinux/config  设置SELINUX=disabled  (重启才能生效)

[Link 1]: http://creativecommons.org/licenses/by-sa/4.0/
[https_blog.csdn.net_wz947324_article_details_80278929]: https://blog.csdn.net/wz947324/article/details/80278929
[70]: https://img-blog.csdn.net/20180511113319699?watermark/2/text/aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d6OTQ3MzI0/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70
[70 1]: https://img-blog.csdn.net/20180511140245889?watermark/2/text/aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d6OTQ3MzI0/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70
[70 2]: https://img-blog.csdn.net/20180511140406599?watermark/2/text/aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d6OTQ3MzI0/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70
[70 3]: https://img-blog.csdn.net/20180511140858749?watermark/2/text/aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d6OTQ3MzI0/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70