SELinux是Linux內核中的一種安全模塊，由美國國家安全局（NSA）為了提供額外的安全防護而開發(fā)的。它通過強制應用程式安全策略，限制系統(tǒng)中進程的訪問，從而提高了系統(tǒng)的安全性。盡管它是一個有益的安全特性，但在某些情況下，需要禁用SELinux保護。怎么辦呢？

網(wǎng)站建設哪家好，找成都創(chuàng)新互聯(lián)！專注于網(wǎng)頁設計、網(wǎng)站建設、微信開發(fā)、成都小程序開發(fā)、集團企業(yè)網(wǎng)站建設等服務項目。為回饋新老客戶創(chuàng)新互聯(lián)還提供了衢州免費建站歡迎大家使用！

本文將討論如何禁用SELinux內核保護。我們將了解SELinux是什么，為什么要禁用它，以及如何禁用它。

SELinux是什么？

SELinux是Linux內核中的一種安全模塊。它為Linux提供了一個額外的安全層，以限制應用程式和系統(tǒng)中進程的訪問權限。SELinux強制實施安全策略，要求每個進程都使用最小的權限來運行。這個安全框架基于強制訪問控制（MAC）技術，使得系統(tǒng)管理員可以根據(jù)用戶、文件、目錄和網(wǎng)絡端口等要素來管理安全策略。

為什么要禁用SELinux？

雖然SELinux對于許多用例非常有用，但在一些情況下，它可能會對服務器上的操作造成一些限制。有時，由于安全策略的限制，某些應用程式可能無法運行。期望的訪問權限可能被錯誤地阻止或者限制。雖然這種情況并不常見，但在某些情況下禁用SELinux是必要的。

另一個可能需要禁用SELinux的原因是，有些軟件不支持SELinux。這是因為某些軟件（例如Docker），會使用自己的安全機制并不需要SELinux來保護容器。

如何禁用SELinux？

在禁用SELinux之前，首先需要知道，SELinux是為了系統(tǒng)安全而存在的。禁用它將增加一些安全風險，因此建議只有在非常必要的情況下才禁用SELinux。此外，應該對服務器上的其他安全機制（例如防火墻）進行升級，以加強安全性保護。

在Linux中，禁用SELinux最常用的方法是通過修改配置文件。以下是具體步驟：

步驟1：打開SELinux配置文件。

要打開SELinux配置文件，請運行以下命令：

sudo vim /etc/selinux/config

步驟2：禁用SELinux。

在SELINUX=后面輸入disabled，以禁用SELinux。請注意大寫字母。

SELINUX=disabled

步驟3：保存更改。

按“ESC”退出編輯模式，輸入“:wq”并按Enter鍵以保存更改。

步驟4：重新啟動服務器。

禁用SELinux之后，應該重新啟動服務器以應用更改。請注意，在某些情況下可能需要使用特定命令啟動服務器。

結論

SELinux是Linux內核中的一個安全模塊，為系統(tǒng)管理員提供了更多的安全保護。雖然它非常有用，但在某些情況下，需要禁用SELinux。禁用時應該提高其他安全措施來彌補禁用SELinux的風險。禁用SELinux的最常用方法是通過修改配置文件。通過了解SELinux的基本知識以及應該在何時禁用它，您可以更好地保護您的服務器。

相關問題拓展閱讀：

• linux 為什么要關閉selinux
• 運維的小伙伴應該知道的安全模塊SELinux
• 如何解決SELinux問題

linux 為什么要關閉selinux

多數(shù)情況下是因為沒有專業(yè)運維，或者運維懶氏茄攔。。。

除了我這么無聊的人，應該不會有多少非專職運維去讀那個麻煩死殲胡的SELinux文檔->_->

其納弊實多數(shù)情況下你們的東西運行不了只要一個restorecon就可以搞定->_->

一般安裝linux課程時都把SELinux與iptables安排在后面，使初學者配置linux服務器時不成功，卻沒有頭緒，那是因為在RedHat linux操作系統(tǒng)中默認開啟了防火墻，SELinux也處于啟動狀態(tài)，一般狀桐逗悄態(tài)為enforing。致使很多服務端口默認是關閉的。

所以好多服務初學者明明

配置文件

正確，等驗證時有時連ping也ping不通。建議初學者在未學到SELlinux與iptables之前，配置服務器把這兩項都關掉。

擴展資局渣料

SELinux 的作用及權限管理機制：

SELinux 主要作用就是更大限度地減小系統(tǒng)中服務進程可訪問的資源（最小權限原則）。

SELinux 有三種工作模式，分別是：

1、enforcing：強制模式。違反 SELinux 規(guī)則的行為將被阻止并記錄到日志中。

2、permissive：寬容模式。違反 SELinux 規(guī)則的行為只會記錄到日志中。一般為調試用。

3、disabled：關閉 SELinux。

SELinux 工作模式可以在 /etc/selinux/config 中設定。

如果想從 disabled 切換到 enforcing 或者 permissive 的話，需要重啟系統(tǒng)。反過來也一樣。

enforcing 和 permissive 模式可以通過 setenforce 1|0 命令快速切換。

需要注意的是，如果系統(tǒng)已經(jīng)在關閉 SELinux 的狀態(tài)下運行了一段時間，在打開 SELinux 之后的之一次重啟速度可能會比較慢。因為系統(tǒng)必須為磁盤中的文件指運創(chuàng)建安全上下文。

SELinux 日志的記錄需要借助 auditd.service 這個服務，請不要禁用它。

一般安裝linux課程時都畝兄把SELinux與iptables安排在后面，使初學者配置linux服務器時不成功，卻沒有頭緒，那是因為在RedHat linux操作系統(tǒng)中默認開啟了防火墻，SELinux也處于啟動狀態(tài)，一般狀態(tài)為enforing。致使很多服務端口默認是關閉的。所以好多服務初學者明明配置文件正確，等驗證時有時迅舉襲連ping也ping不通。建議初學者在未學到SELlinux與iptables之前，配置服務器把這兩項都關掉。那么怎么關呢？

1、關閉iptables

#service iptables stop

2、關閉SELinux

#vi /etc/selinux/config

將文件中的SELINUX=”” 為 disabled ，然后重啟。

如果不想重啟系統(tǒng)，使用命令setenforce 0注：setenforce 1 設置SELinux 成為enforcing模式

setenforce 0 設置SELinux 成為permissive模式

在lilo或者grub的啟動參數(shù)中增加：selinux=0,也可以答緩關閉selinux

#

查看selinux狀態(tài)：

/usr/bin/setstatus -v如下：SELinux status: enabled

SELinuxfs mount: /selinux

Current mode: permissive

Mode from config file: enforcing

Policy version: 21

getenforce/setenforce查看和設置SELinux的當前工作模式

原因有幾個：

1. 麻鬧祥煩確實是一個因素，SELinux策略是白名單原則，所以你需要非常清楚你的各項操作都需要哪些訪問權限，這個好像數(shù)量有叢塵點多了。

2. 使用SELinux的真的非常少。因為關掉它造成的損失可以有解釋說別人也是這么做的。

3. 不確定性，因為一直沒有搞過，然滲彎禪后所有的軟件的文檔里也沒有寫SELinux相關的配置，遇到相關問題時不好解決。

因為有些規(guī)則會阻止某些訪問。

你要是高手也可鋒攜以不關，

如果是想學習Linux，那就關了吧

開了以后由于新手不懂設置，

很悄或可能造成各種外部的連接不成功，比如ftp啊telnet啊，ssh啥的

深入啟基伍學習Linux可查看Linux書籍《Linux就該這么學》。

運維的小伙伴應該知道的安全模塊SELinux

Security-Enhanced Linux ，是美國國家安全局(NSA=The National Security Agency)和SCC(Secure Computing Corporation)開發(fā)的 Linux的一個強制訪問控制的安全模塊。2023年以GNU GPL發(fā)布，Linux內核 2.6版本后集成在內核中

DAC：Discretionary Access Control自由訪問控拿橋制

MAC：Mandatory Access Control 強制訪問控制

對象(object)：所有可以讀取的對象，包括文件、目錄和進程，端口等

主體：進程稱為主體(subject)

SELinux中對所有的文件都賦予一個type的文件類型標簽，對于所有的進程也賦 予各自的一個domain的標簽。domain標簽能夠執(zhí)行的操作由安全策略里定義

當一個subject試圖訪問一個object，Kernel中的策略執(zhí)行服務器將檢查AVC (訪 問矢量緩存Access Vector Cache), 在AVC中，subject和object的權限被緩存 (cached)，查找“應用+文件”的安全環(huán)境。然后根據(jù)查詢結果允許或拒絕訪問

安全策略：定義主體讀取對象的規(guī)則數(shù)消裂猛據(jù)庫，規(guī)則中記錄了哪個類型的主體使用 哪個方法讀取哪一個對象是允許還是拒絕的，并且定義了哪種行為是充許或拒絕

SELinux有四種工作類型：

targeted為默認類型，minimum和mls穩(wěn)定性不足，未加以應用，strict已不再 使用

傳統(tǒng)Linux，一切皆文件，由用戶，組，權限控制訪問

在SELinux中，一切皆對象（object），由存放在inode的擴展屬性域的安全元 素所控制其訪問

所有文件和端口資源和進程都具備安全標簽：安全上下文源鎮(zhèn)（security context） ?安全上下文有五個元素組成：

user:role:type:sensitivity:category

user_u:object_r:tmp_t:s0:c0

實際上下文：存放在文件系統(tǒng)中，ls –Z;ps –Z

期望(默認)上下文：存放在二進制的SELinux策略庫（映射目錄和期望安全上下 文）中

semanage fcontext –l

配置SELinux:

SELinux的狀態(tài)：

相關命令：

getenforce: 獲取selinux當前狀態(tài)

sestatus :查看selinux狀態(tài)

setenforce 0|1

配置文件:

/boot/grub/grub.conf 在kernel行使用selinux=0禁用SELinux

/boot/grub2/grub.cfg 在linux16行使用selinux=0禁用SELinux

/etc/selinux/config

/etc/sysconfig/selinux

給文件重新打安全標簽：

chcon … FILE…

chcon … –reference=RFILE FILE…

恢復目錄或文件默認的安全上下文：

restorecon /path/to/somewhere

semanage：來自policycoreutils-python包

查看默認的安全上下文

semanage fcontext –l

添加安全上下文

semanage fcontext -a –t httpd_sys_content_t ‘/testdir(/.*)?’ restorecon –Rv /testdir

刪除安全上下文

semanage fcontext -d –t httpd_sys_content_t ‘/testdir(/.*)?’

查看端口標簽

semanage port –l

添加端口

semanage port -a -t port_label -p tcp|udp

PORT

semanage port -a -t http_port_t -p tcp 9527

刪除端口

semanage port -d -t port_label -p tcp|udp

PORT

semanage port -d -t http_port_t -p tcp 9527

修改現(xiàn)有端口為新標簽

semanage port -m -t port_label -p tcp|udp

PORT

semanage port -m -t http_port_t -p tcp 9527

布爾型規(guī)則：

getsebool

setsebool

查看bool命令：

getsebool

semanage boolean –l

semanage boolean -l –C 查看修改過的布爾值

設置bool值命令：

setsebool boolean value（on,off）

setsebool Boolean=value（1，0）

yum install setroubleshoot（重啟生效）

將錯誤的信息寫入/var/log/message

grep setroubleshoot /var/log/messages

查看安全事件日志說明

sealert -l UUID

掃描并分析日志

如何解決SELinux問題

有碰到即使是permissive也不行的，最后是改成disabled后重啟機器才可以。

首先需要確認SELinux處于激活狀態(tài)，可以使用getenforce命令：

兄凳　shell> getenforce

Enforcing

或者使用sestatus命令：

shell> sestatus

SELinux status: enabled

SELinuxfs mount: /selinux

Current mode: enforcing

Mode from config file:enforcing

Policy version: 24

Policy from config file:targeted

注：關于SELinux的基礎知識介紹請參考鳥哥的Linux私房菜中相關的介紹。

我們還需要確認系統(tǒng)已經(jīng)安裝并啟動了Apache，沒有的話就YUM裝一個，這很簡單，就不多說了，接著在root目錄創(chuàng)建一個測試文件test.html，如下：

shell> cat /root/test.html

hello, world.

然后把這個測試文件拷貝到Apache的DocumentRoot目錄，我的Apache是通過YUM安裝的話，缺省是/var/www/html目錄，如下：

shell> cp /root/test.html /var/www/html

接著瀏覽一下，如果沒出什么幺蛾子，應該一切都在意料之中，如下：

shell> curl

hello, world.

看到這，你可能覺得我廢話連篇，別著急，下面就是見證奇跡的時候了：

同樣還是那個測試文件test.html，不過這次不再是拷貝，而是移動，如下：

shell> mv /root/test.html /var/www/html

接著瀏覽一下，怎么樣，結果很出人意料吧，竟然提示權限錯誤，如下：

shell> curl

403 Forbidden

Forbidden

You don’t have permission to access /test.html

on this server.

當然，我們現(xiàn)在知道這個問題是由于SELinux引起的，但還不知其所以然，實際上問題的原因此時已經(jīng)被螞鄭audit進程記錄到了相應的日志里，可以這羨物旅樣查看：

shell> audit2why yum install setroubleshoot

它本身是一個GUI套件，不過其中包含的一個sealert命令對我們命令行用戶很有用：

shell> sealert -a /var/log/audit/audit.log

Summary:

SELinux is preventing /usr/in/httpd “getattr” access to

/var/www/html/test.html.

Detailed Description:

SELinux denied access requested by httpd. /var/www/html/test.html may be a

mislabeled. /var/www/html/test.html default SELinux type is httpd_sys_content_t,

but its current type is admin_home_t. Changing this file back to the default

type, may fix your problem.

File contexts can be assigned to a file in the following ways.

* Files created in a directory receive the file context of the parent

directory by default.

* The SELinux policy might override the default label inherited from the

parent directory by specifying a process running in context A which creates

a file in a directory labeled B will instead create the file with label C.

An example of this would be the dhcp client running with the dhclient_t type

and creating a file in the directory /etc. This file would normally receive

the etc_t type due to parental inheritance but instead the file is labeled

with the net_conf_t type because the SELinux policy specifies this.

* Users can change the file context on a file using tools such as chcon, or

restorecon.

This file could have been mislabeled either by user error, or if an normally

confined application was run under the wrong domain.

However, this might also indicate a bug in SELinux because the file should not

have been labeled with this type.

If you believe this is a bug, please file a bug report against this package.

Allowing Access:

You can restore the default system context to this file by executing the

restorecon command. restorecon ‘/var/www/html/test.html’, if this file is a

directory, you can recursively restore using restorecon -R

‘/var/www/html/test.html’.

Fix Command:

/in/restorecon ‘/var/www/html/test.html’

這次應該看懂了吧！原因是說Apache下文件上下文類型應該是httpd_sys_content_t，但是現(xiàn)在是admin_home_t，所以權限錯誤，并且在結尾處給出了修復命令。

可httpd_sys_content_t，admin_home_t都怎么看??？很簡單，借助ls命令的-Z參數(shù)即可：

shell> ls -Z /path

回到問題的開始，拷貝之所以沒出現(xiàn)問題，是因為cp自動修改上下文屬性，而移動之所以出現(xiàn)問題是因為mv保留原文件的上下文屬性。

注：關于SELinux和Apache的詳細介紹，可以參考『man httpd_selinux』。

知道了如何解決SELinux問題，以后如果遇到類似的情況不要急著武斷的關閉SELinux。

上面有個小錯，應該是echo “0” > /selinux/enforce (少了>)selinux如果有開很容易雀塵造成ifind問題，參看下面系統(tǒng)日志Aug 2 20:52:06 cc-lnx-imglib setroubleshoot: SELinux is preventing /opt/simpana/iDataAgent/ifind “execstack”梁歲枯 access to . For complete SELinux messages. run sealert -l 4a0b3993-b18f-4c72-9e1d-4f5d8175ad41Jul 31 00:30:09 cc-lnx-imglib setroubleshoot: SELinux is preventing /橡洞bin/hostname access to a leaked /tmp/.gxsetup/cvpkglo g.pipe.26262 file descriptor. For complete SELinux messages. run sealert -l e675a6a6-efc9-461f-bc0fd2d308

別一種查看SElinux方法：# sestatusSELinux status: disabled

selinux 內核禁用的介紹就聊到這里吧，感謝你花時間閱讀本站內容，更多關于selinux 內核禁用,如何禁用SELinux內核保護？,linux 為什么要關閉selinux,運維的小伙伴應該知道的安全模塊SELinux,如何解決SELinux問題的信息別忘了在本站進行查找喔。

成都服務器租用選創(chuàng)新互聯(lián)，先試用再開通。
創(chuàng)新互聯(lián)（www.cdcxhl.com）提供簡單好用，價格厚道的香港/美國云服務器和獨立服務器。物理服務器托管租用：四川成都、綿陽、重慶、貴陽機房服務器托管租用。

當前題目：如何禁用SELinux內核保護？ (selinux 內核禁用)
分享URL：http://www.fisionsoft.com.cn/article/dhjppjd.html