CentOS中SELinux功能及常用服务配置

什么是SELinux

SELinux（Security-Enhanced Linux）是一个Linux内核模块，提供了强大的、基于策略的访问控制机制。它可以防止恶意进程的攻击，保护系统安全。SELinux在CentOS系统中默认启用，但会受到一些（如Web服务器）服务或程序的限制。

如何查看SELinux状态

在CentOS中，可以使用以下命令查看当前SELinux的状态：

sestatus

如果输出结果中的SELinux status为enabled，则表示SELinux已启用。

如何禁用或启用SELinux

如果需要禁用SELinux，可以使用以下命令：

setenforce 0

这个命令会立即将SELinux切换到permissive模式，意味着会记录违规行为，但不会阻止它们。

如果需要彻底关闭SELinux，需要修改配置文件/etc/selinux/config，将SELINUX的值改为disabled，保存退出，并重启服务器才能生效。

启用SELinux也很简单，只需将/etc/selinux/config中的SELINUX值改为enforcing即可。

如何配置SELinux

SELinux提供了三种策略：targeted，minimum和mcs。在CentOS中，默认使用的是targeted策略。这个策略会保护目标程序，但不会限制它们。

如果需要修改某个进程的SELinux上下文，可以使用chcon命令。例如：

chcon -R -t httpd_sys_content_t /var/www/html

此命令将/var/www/html目录（包括其中的所有文件和子目录）的上下文设置为httpd_sys_content_t，表示这是一个Web服务器上的内容。

更多关于SELinux的配置，可以参考官方文档。

SELinux和常用服务配置

在启用SELinux的情况下，可能会出现一些服务或程序无法正常运行的问题。例如，Web服务器Apache默认在SELinux下无法访问主目录。在这里我们介绍一下一些常见服务在SELinux中的配置方法：

Apache httpd

如果需要让Apache httpd服务器能够访问主目录，请使用以下命令：

setsebool -P httpd_read_user_content 1

此命令将开启httpd_read_user_content布尔值，以便httpd进程可以读取用户目录中的内容。

MySQL/MariaDB

如果MySQL/MariaDB服务器无法用以套接字连接，则需要检查SELinux的限制。可以使用以下命令开启对“mysqld_safe”进程的SELinux支持：

setsebool -P mysqld_selinux 1

此命令将使SELinux允许“mysqld_safe”进程使用网络套接字。

FTP

如果FTP服务器无法上传文件，则需要开启FTP使用SELinux标签的支持。可以使用以下命令：

setsebool -P ftpd_use_passive_mode 1

此命令将开启ftpd_use_passive_mode布尔值，以便在SELinux中开启FTP的从属标签支持。

以上是一些常见服务在SELinux下的配置方法。更多服务配置请参阅相应官方文档。

总结

SELinux是一个强大的安全工具，可以保护我们的系统，但在使用中也需要仔细配置，以避免限制系统的正常运行。在必要的时候，我们还需特别注意相关服务在SELinux下的限制，以及相应的配置方法。