SELinux策略规则的开启和关闭（详解版）

以下是关于SELinux策略规则开启和关闭的完整攻略。

SELinux是什么？

SELinux（Security Enhanced Linux）是一个安全性增强的Linux内核安全模块，它可以限制应用程序的权限，防止系统中的恶意软件和攻击者利用系统漏洞对系统进行攻击。

SELinux基础

在讲解开启和关闭SELinux策略规则之前，先来了解一些SELinux的基础知识。

SELinux模式

SELinux模式一般有三种：

• Enforcing：强制模式，所有安全规则都会被严格执行。
• Permissive：宽容模式，所有安全规则不会被执行，但是违反规则的记录会被记录在SELinux的安全审计日志中，可以作为调试和开发的参考。
• Disabled：禁用模式，SELinux完全不会启用。

SELinux上下文

一个进程、文件、端口、套接字等在SELinux中都有自己的上下文，主要包括：

• user：进程的用户标识符（UID）
• role：进程的角色，可以控制进程的能力范围
• type：进程的安全类型
• level：进程的安全级别

例子：

unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

上边的例子中，unconfined_u表示用户，unconfined_r表示角色，unconfined_t表示类型，s0-s0:c0.c1023表示级别。

开启SELinux策略规则

在Linux中，SELinux的策略规则是由一系列的规则组成的，来限制进程的权限。这些规则中，包括了不同介质（比如进程、网络或文件）在不同上下文下所允许访问的策略规则。在默认情况下，Linux上拥有严格的SELinux策略，而这些策略规则是通过用于编写规则的策略语言所定义的。

第一步：查看SELinux状态

在操作之前，我们需要先检查SELinux状态是否启用，以及是否为Enforcing模式。可以通过以下命令检查：

getenforce

如果返回结果为Enforcing，则表示已经启用了SELinux策略规则。

第二步：开启SELinux策略规则

要开启SELinux策略规则，需要执行以下步骤：

1. 安装SELinux工具

在开启SELinux策略规则之前，需要先安装SELinux工具来修改SELinux策略规则。可以通过以下命令来安装：

yum install policycoreutils policycoreutils-python selinux-policy selinux-policy-targeted libselinux-utils setools setools-console mcstrans

2. 修改SELinux策略规则

SELinux常见的策略规则包括文件上下文、端口允许规则、MASQ 规则等等，这些都可以通过修改policy文件来实现。在修改policy文件之前，需要先备份当前的policy文件，以免出现问题可以回滚。可以使用以下命令来完成：

cp -rf /etc/selinux/targeted/contexts/ /root/selinux_backup/

接下来，进入目录/etc/selinux/targeted/，打开policy文件，例如：vi policy.te，在对应的组之间添加相关规则。

3. 编译SELinux策略规则

在编辑完策略文件之后，需要对其进行编译，以生成SELinux策略规则。可以通过以下命令来编译生成：

make load

这会自动更新SELinux策略规则。如果当它更新完成并重启服务器之后，所有的SELinux策略规则将会生效。

4. 重启系统

更新完SELinux策略规则后，需要重启系统才能让所有的SELinux策略规则生效。可以使用以下命令来重启系统：

reboot

第三步：验证SELinux策略规则是否生效

验证SELinux策略规则是否生效有许多方法，例如确认当前的SELinux模式是否为Enforcing模式，或者检查/var/log/audit/audit.log文件以确认是否记录任何SELinux违反规则的记录。

关闭SELinux策略规则

虽然开启SELinux策略规则对于系统的安全性非常重要，但是有些情况下需要关闭SELinux策略规则以满足某些特殊需求。在临时关闭SELinux策略规则之前，需要了解关闭SELinux策略规则可能会导致一些安全性问题。

临时关闭SELinux策略规则

要临时关闭SELinux策略规则，需要使用以下命令：

setenforce 0

这将会关闭所有的SELinux策略规则直到下一次服务器重启或接下来再次开启SELinux策略规则。

永久关闭SELinux策略规则

如果需要关闭SELinux策略规则，可以编辑SELinux的config文件来实现：

vim /etc/selinux/config

将SELINUX的值改为disabled，保存更改，重启服务器即可。

SELINUX=disabled

需要注意的是，永久地关闭SELinux策略规则虽然能够满足某些特殊需求，但是在安全性上存在风险。如果在以后的某个时间点需要重新启用SELinux策略规则，需要执行之前的开启SELinux策略规则的操作。

总结

以上就是关于SELinux策略规则开启和关闭的完整攻略，包括了SELinux的基础知识、开启和关闭的详细步骤和验证方法。在使用SELinux时，需要根据实际情况选择开启或关闭相应的策略规则，以更好地保护系统的安全。