在Linux系统管理中，有时会遇到需要关闭SELinux（Security-Enhanced Linux）的情况。尽管SELinux是提升系统安全性的重要机制，但在某些特定的故障排除、应用兼容性或测试场景下，管理员可能会选择暂时或永久禁用它。本文将围绕“SELinux关闭”这一行为，详细解答相关的常见疑问。
是什么（What is disabling SELinux?）
关闭SELinux，并不是字面意义上的移除SELinux组件，而是指改变SELinux的运行状态，使其不再强制执行安全策略或完全停止其功能。
SELinux有三种主要的工作模式：
- Enforcing (强制模式)：这是SELinux的默认和推荐模式。在此模式下，SELinux会根据既定的安全策略来允许或拒绝系统上的操作。任何违反策略的行为都会被阻止并记录在审计日志中。
- Permissive (许可模式)：在此模式下，SELinux不会阻止任何操作，即使它们违反了安全策略。但它会将所有违反策略的行为记录在审计日志中。这个模式常用于故障排除，可以观察哪些操作会被Enforcing模式阻止，而不影响正常服务运行。它是一种软关闭或部分关闭。
- Disabled (禁用模式)：在此模式下，SELinux完全停止运行，不执行任何策略，也不记录任何违反行为。这是最彻底的关闭方式。
因此，“关闭SELinux”通常是指将其设置为Permissive模式（临时调试）或Disabled模式（彻底禁用）。
为什么（Why disable SELinux?）
选择关闭SELinux通常是出于以下原因：
- 故障排除：当应用程序或服务出现“权限拒绝”错误且难以确定原因时，关闭SELinux（特别是切换到Permissive模式）是一种常见的故障排除步骤。如果关闭SELinux后问题解决，那么基本可以确定是SELinux策略阻止了相关操作。
- 应用兼容性：某些较旧的、非标准的应用，或者没有针对SELinux编写策略的应用，可能在Enforcing模式下无法正常运行。
- 简化环境：在开发、测试或特定的非生产环境中，为了快速部署和避免与SELinux策略相关的复杂性，有时会选择禁用SELinux。
- 缺乏SELinux知识：部分系统管理员可能不熟悉SELinux的工作原理和策略管理，为了让服务尽快上线而选择禁用。但这是不推荐的，因为会带来严重的安全风险。
重要警告： 关闭SELinux会显著降低系统的安全防护能力。SELinux的一个主要作用是限制进程的权限，即使某个服务被攻破，SELinux也能在一定程度上阻止攻击者进一步在系统中横向移动或提升权限。禁用SELinux等于移除了这层重要的防线。
哪里（Where to disable SELinux?）
SELinux主要在支持它的Linux发行版上运行，最常见的是基于Red Hat系列的发行版，如：
- Red Hat Enterprise Linux (RHEL)
- CentOS
- Fedora
- Rocky Linux
- AlmaLinux
- Oracle Linux
- 等等。
在这些系统中，SELinux的主要配置文件位于：
/etc/selinux/config
通过命令行也可以临时改变SELinux的状态，但这种改变通常不持久，系统重启后会恢复到配置文件中指定的状态。
多少（How much can you disable SELinux?）
如前所述，SELinux的关闭程度取决于你选择的模式：
- Permissive模式：这是一种部分关闭。SELinux内核模块仍在运行，策略也在加载，但所有违反策略的行为都只会被记录，而不会被阻止。这提供了一定的可见性（通过日志）但牺牲了强制性。
- Disabled模式：这是完全关闭。SELinux相关的内核模块和策略都不会加载或执行。系统将完全依赖传统的自主访问控制（DAC，如文件权限）和其他安全机制。这是风险最高的模式。
一般来说，如果只是为了调试或临时测试，建议使用Permissive模式而不是Disabled模式。
如何 / 怎么（How to disable SELinux?）
关闭SELinux可以通过命令行或修改配置文件来实现。
查看当前SELinux状态
在进行任何修改之前，最好先确认当前的SELinux状态。
使用 sestatus 命令：
$ sestatus
输出会显示SELinux的状态（enabled/disabled）、当前模式（enforcing/permissive）、配置文件等信息。
或者使用 getenforce 命令（更简洁）：
$ getenforce
输出会是 Enforcing, Permissive, 或 Disabled。
临时关闭SELinux (Permissive模式)
这种方法无需重启，立即生效，但系统重启后会恢复到 /etc/selinux/config 文件中指定的状态。
切换到Permissive模式：
$ sudo setenforce 0
或
$ sudo setenforce Permissive
切换回Enforcing模式：
$ sudo setenforce 1
或
$ sudo setenforce Enforcing
修改后立即使用 getenforce 确认状态是否改变。
永久关闭SELinux (Disabled模式)
这种方法需要修改配置文件，并在大多数情况下需要重启系统才能完全生效。
-
使用文本编辑器打开SELinux配置文件
/etc/selinux/config。通常需要root权限。$ sudo vi /etc/selinux/config或者使用nano等其他编辑器。
-
找到包含
SELINUX=的行。默认情况下可能是：
SELINUX=enforcing -
将其修改为：
SELINUX=disabled如果你想永久设置为Permissive模式（不推荐作为最终状态，但比Disabled安全），则修改为：
SELINUX=permissive -
保存并关闭文件。
-
重启系统使更改生效。
$ sudo reboot
系统重启后，再次使用 sestatus 或 getenforce 命令确认SELinux状态已变为 Disabled 或 Permissive。
重启后确认SELinux状态
重启系统后，务必再次执行以下命令确认SELinux是否已按照配置文件设置成功关闭或进入Permissive模式：
$ sestatus
或
$ getenforce
其他相关问题
SELinux关闭后有什么影响？
如前面“为什么”部分所述，最主要的影响是系统安全性大幅降低。SELinux提供的强制访问控制层消失，恶意软件或被攻陷的服务更容易在系统中进行未授权的操作。此外，一些依赖SELinux的应用或服务可能会出现异常（尽管这不常见，通常是依赖它来限制自己的权限）。
如何重新启用SELinux？
要重新启用SELinux（回到Enforcing模式），需要执行与关闭相反的操作：
-
编辑
/etc/selinux/config文件。$ sudo vi /etc/selinux/config -
将
SELINUX=disabled或SELINUX=permissive改回SELINUX=enforcing。 -
保存并关闭文件。
-
重启系统。
$ sudo reboot
注意： 从Disabled模式切换回Enforcing模式通常需要进行文件系统重新标记 (relabeling)。系统会在重启时自动进行这个过程，这可能需要一些时间，具体取决于文件系统的规模。在此期间，系统启动会比较慢，屏幕上可能会显示重新标记的进度信息。不要中断这个过程。
有没有不关闭SELinux又能解决问题的方法？
当然有，而且这是更推荐的方法。大多数SELinux引起的问题是由于策略不完整或文件上下文不正确。解决这些问题的常用方法包括：
- 使用
audit2allow工具分析审计日志（位于/var/log/audit/audit.log），生成自定义的SELinux策略模块来允许被阻止的操作。 - 使用
restorecon命令恢复文件的正确SELinux安全上下文。例如，将自定义网站目录的上下文设置为httpd_sys_content_t。 - 安装或更新SELinux策略包，以支持新的应用程序或服务。
- 查找应用程序官方文档，看是否有关于SELinux配置的说明。
- 在Permissive模式下运行服务，观察审计日志，找出具体是哪些操作被SELinux阻止，然后针对性地调整策略或文件上下文。
总结
关闭SELinux（无论是Permissive还是Disabled模式）是一个相对简单的操作，可以通过修改 /etc/selinux/config 文件并重启，或使用 setenforce 命令临时实现。然而，禁用SELinux会带来显著的安全风险，应谨慎对待。在多数情况下，通过学习SELinux的基本原理、分析审计日志并调整策略或文件上下文，可以在不牺牲安全性的前提下解决应用程序兼容性问题。将SELinux设置为Disabled模式是最后、最不推荐的选项，除非你完全了解并接受由此带来的安全后果。