初识SELinux

SELinux 在测试环境一般禁用了，但是在生产环境会影响安全等级保护测评结果。在AI的帮助下，认识一下SELinux。

SELinux的构成，及命令方式

SELinux 的构成

SELinux（Security-Enhanced Linux）由美国国家安全局（NSA）开发，是 Linux 内核中的强制访问控制（MAC）安全模块。其架构主要由以下核心组件构成：

安全上下文（Security Context）

SELinux 为系统中的每个对象（进程、文件、端口等）分配一个安全标签，格式为：

user:role:type:level

示例：system_u:object_r:httpd_sys_content_t:s0

策略（Policy）

策略是 SELinux 的规则集合，定义哪些主体（进程）可以访问哪些客体（文件、端口等）。主要策略类型：

策略的生成流程：多个策略源模块 → 聚合为policy.conf→ 经checkpolicy编译为二进制文件policy.xx→ 通过security_load_policy载入内核。

访问向量缓存（AVC）

内核中的 AVC 模块负责缓存策略决策结果，当进程发起访问请求时，AVC 根据主体和客体的安全上下文查询策略，判断允许或拒绝，并将拒绝事件记录到审计日志。

访问决策流程：

1. 主体（进程）发起访问请求
2. 内核获取主体和客体的安全上下文
3. AVC 查询策略，判断是否允许
4. 允许 → 正常访问；拒绝 → 阻止并记录日志

三种工作模式

配置文件/etc/selinux/config：

SELINUX=enforcing # enforcing / permissive / disabled SELINUXTYPE=targeted # targeted / mls / minimum

SELinux 常用命令

状态查看

# 查看 SELinux 整体状态（模式、策略类型、加载模块数等） sestatus # 查看当前模式（输出 Enforcing/Permissive/Disabled） getenforce # 判断 SELinux 是否启用（返回 0 表示启用） selinuxenabled && echo "enabled" || echo "disabled"

模式切换

# 临时切换（重启后失效） setenforce 1 # 切换到 Enforcing setenforce 0 # 切换到 Permissive # 永久修改（需重启生效） sudo sed -i 's/^SELINUX=.*/SELINUX=enforcing/' /etc/selinux/config

安全上下文查看

# 查看文件的安全上下文 ls -Z /etc/passwd # 查看进程的安全上下文 ps -eZ # 查看当前用户的安全上下文 id -Z

安全上下文修改

# 临时修改文件上下文（重启或 restorecon 后失效） chcon -t httpd_sys_content_t /var/www/html/index.html # 复制源文件的上下文到目标文件 chcon --reference /var/www/html /custom/web # 永久修改上下文规则（推荐） semanage fcontext -a -t httpd_sys_content_t "/custom/web(/.*)?" # 恢复文件默认上下文（配合 semanage 使用） restorecon -Rv /custom/web

布尔值管理

布尔值是策略规则的快捷开关，控制特定功能的启停：

# 查看所有布尔值 getsebool -a # 查看某个布尔值 getsebool httpd_can_network_connect # 临时设置布尔值 setsebool httpd_can_network_connect on # 永久设置布尔值（-P 写入策略） setsebool -P httpd_can_network_connect on

端口管理

# 查看端口标签 semanage port -l # 添加端口到策略 semanage port -a -t http_port_t -p tcp 8080 # 删除端口 semanage port -d -t http_port_t -p tcp 8080

策略模块管理

# 列出已加载的策略模块 semodule -l # 安装自定义策略模块 semodule -i mypolicy.pp # 移除策略模块 semodule -r mypolicy

日志与调试

# 查看 AVC 拒绝日志 ausearch -m avc -ts today # 解释拒绝原因 audit2why < /var/log/audit/audit.log # 生成允许规则 audit2allow -a -M mypolicy # 查看被拒绝的操作摘要 audit2allow -w -a

命令速查表

semanage fcontext 命令详解

semanage fcontext -a -t httpd_sys_content_t "/custom/web(/.*)?"

表格

正则表达式(/.*)?详解

这是整条命令中最关键也最容易混淆的部分：

/custom/web(/.*)?

拆解如下：

表格

所以这条规则的实际匹配范围是：

• /custom/web（目录本身）
• /custom/web/index.html
• /custom/web/css/style.css
• /custom/web/subdir/file.php
• ……递归匹配所有子路径

这条命令做了什么

它只是在 SELinux 策略数据库中写入了一条规则，声明："凡是路径匹配/custom/web(/.*)?的文件或目录，其默认安全上下文类型应为httpd_sys_content_t。"

⚠️关键点：这条命令不会立即改变任何现有文件的上下文。它只是定义了"默认规则"，相当于告诉系统："以后对这些路径执行restorecon时，应该用什么类型。"

完整操作流程

# 1. 写入默认上下文规则（永久生效，写入策略库） semanage fcontext -a -t httpd_sys_content_t "/custom/web(/.*)?" # 2. 将规则应用到现有文件（必须执行，否则现有文件上下文不变） restorecon -Rv /custom/web # 3. 验证 ls -Zd /custom/web ls -Z /custom/web/

执行后输出示例：

drwxr-xr-x. root root system_u:object_r:httpd_sys_content_t:s0 /custom/web -rw-r--r--. root root system_u:object_r:httpd_sys_content_t:s0 /custom/web/index.html

规则存储位置

semanage fcontext -a写入的规则保存在：

cat /etc/selinux/targeted/contexts/files/file_contexts.local

文件内容示例：

# This file is auto-generated by libsemanage # Please use the semanage command to make changes /custom/web(/.*)? system_u:object_r:httpd_sys_content_t:s0

重启系统后规则仍然有效。

其他常用操作

# 查看已添加的规则 semanage fcontext -l | grep "/custom/web" # 修改已有规则（如更换类型） semanage fcontext -m -t httpd_sys_rw_content_t "/custom/web(/.*)?" # 删除规则 semanage fcontext -d "/custom/web(/.*)?" # 仅匹配目录本身（不包含子内容） semanage fcontext -a -t httpd_sys_content_t "/custom/web" # 仅匹配普通文件（不包含目录） semanage fcontext -a -f f -t httpd_sys_content_t "/custom/web(/.*)?"

其中-f参数可指定文件类型：

表格

注意事项

• 规则冲突：如果存在多条规则匹配同一文件，SELinux 优先匹配**更具体（更长）**的规则。例如同时存在/etc(/.*)?和/etc/myconf(/.*)?，则/etc/myconf/test.conf会匹配后者。
• 同一file_spec只能有一条规则：重复执行-a会报错，需要修改用-m，需要先删除再用-d。
• chconvssemanage：chcon是临时修改，执行restorecon后会被覆盖；semanage fcontext是永久规则，restorecon会按此规则恢复。

semodule -i mypolicy.pp 这里的mypolicy.pp 是什么格式，如何生成的

.pp 文件是什么

.pp是SELinux Policy Package（策略包）的缩写，是经过编译后的二进制策略模块文件。它不能直接编辑，只能由源文件编译生成。

生成 .pp 文件的完整流程

第一步：编写策略源文件（.te 文件）

.te（Type Enforcement）文件是策略的核心源文件，用 SELinux 策略语言编写。

典型场景：你的 Web 服务需要连接数据库，SELinux 默认阻止了，通过ausearch发现拒绝日志后，生成自定义策略：

bash

编辑

# 先用 audit2allow 分析拒绝日志，自动生成 .te 文件 grep "denied" /var/log/audit/audit.log | audit2allow -M mypolicy

这条命令会自动生成两个文件：mypolicy.te和mypolicy.pp。

如果你想手动编写，mypolicy.te内容示例：

te

编辑

policy_module(mypolicy, 1.0) # 声明需要的类型 require { type httpd_t; type mysqld_port_t; class tcp_socket name_connect; } # 允许 httpd 进程连接 MySQL 端口 allow httpd_t mysqld_port_t:tcp_socket name_connect;

第二步：编译 .te 为 .conf 文件

使用checkpolicy将.te源文件编译为中间二进制文件：

bash

编辑

checkpolicy -M -c 10 -o mypolicy.mod mypolicy.te

表格

第三步：打包为 .pp 文件

使用semodule_package将.mod文件打包为.pp：

bash

编辑

semodule_package -o mypolicy.pp -m mypolicy.mod

表格

可选参数：

• -f file_contexts：附加文件上下文规则（对应.fc文件）
• -u mypolicy.if：附加接口定义（对应.if文件）

第四步：安装策略模块

bash

编辑

sudo semodule -i mypolicy.pp

一键生成（最常用）

实际工作中，通常不需要手动执行以上三步，用audit2allow一条命令搞定：

# 分析审计日志，自动生成 .te 和 .pp grep "denied" /var/log/audit/audit.log | audit2allow -M mypolicy # 安装 sudo semodule -i mypolicy.pp

-M参数会自动完成：分析日志 → 生成.te→ 编译为.mod→ 打包为.pp。

完整文件关系图

audit.log（拒绝日志） │ ▼ audit2allow mypolicy.te（策略源文件，人类可读） │ ▼ checkpolicy mypolicy.mod（编译后模块，二进制） │ ▼ semodule_package mypolicy.pp（策略包，二进制） │ ▼ semodule -i 内核加载策略（生效）

其他管理命令

# 查看已安装的模块 semodule -l # 查看某个模块的详细信息 semodule -l | grep mypolicy # 临时禁用模块（不删除） semodule -d mypolicy # 重新启用模块 semodule -e mypolicy # 卸载模块 semodule -r mypolicy

注意事项

• audit2allow生成的规则可能过于宽泛，建议生成后检查.te文件内容，确认allow规则是否精确，避免过度放权。
• .pp文件与策略版本绑定，不同内核策略版本编译的.pp可能不兼容，跨系统使用时需重新编译。
• 优先用布尔值解决：在安装自定义策略前，先检查是否已有现成的布尔值可以开启，例如setsebool -P httpd_can_network_connect on，这比自定义策略更安全、更易维护。

sudo semodule -i mypolicy.pp 之后是否要执行 restorecon?

已完成分析

不需要。两者作用于不同的层面，互不依赖。

原因

表格

semodule -i安装的是访问控制规则（allow/deny），不涉及文件标签，所以无需执行restorecon。

什么时候才需要 restorecon

只有当你修改了文件上下文规则时，才需要执行restorecon，具体场景：

bash

编辑

# 场景：你用 semanage 修改了文件的默认上下文规则 semanage fcontext -a -t httpd_sys_content_t "/custom/web(/.*)?" # 此时规则已写入策略库，但现有文件的上下文还没变 # 必须执行 restorecon 才能生效 restorecon -Rv /custom/web

总结

chcon和semanage修改文件上下文有何区别？

已完成分析

核心区别

表格

举例说明

假设你把/custom/web的类型从default_t改为httpd_sys_content_t：

用 chcon（临时）

bash

编辑

chcon -t httpd_sys_content_t /custom/web/index.html # 此时文件上下文已改变 ls -Z /custom/web/index.html # system_u:object_r:httpd_sys_content_t:s0 # 但执行 restorecon 后，会被打回原形 restorecon /custom/web/index.html ls -Z /custom/web/index.html # system_u:object_r:default_t:s0 ← 恢复为默认值

用 semanage（永久）

bash

编辑

# 写入默认规则 semanage fcontext -a -t httpd_sys_content_t "/custom/web(/.*)?" # 应用到文件 restorecon -Rv /custom/web # 此时文件上下文已改变 ls -Z /custom/web/index.html # system_u:object_r:httpd_sys_content_t:s0 # 即使再次执行 restorecon，也不会被覆盖 restorecon /custom/web/index.html ls -Z /custom/web/index.html # system_u:object_r:httpd_sys_content_t:s0 ← 保持不变

存储位置对比

表格

选择建议

表格

简单记忆：chcon是"改一次管一次"，semanage是"改规则，永久生效"。生产环境始终用semanage。