在Linux系统中，SELinux（安全增强型Linux）作为强制访问控制机制，能有效提升系统安全性，但有时合法应用会被SELinux策略阻止运行，此时需添加”白名单”（即自定义规则），以下是三种主流方法，操作前请确认问题确由SELinux引起（通过sudo ausearch -m avc -ts recent或/var/log/audit/audit.log检查拒绝日志）。
方法1：使用audit2allow工具（推荐）
适用场景：快速为被拦截的应用生成自定义策略模块
步骤：
-
捕获拒绝日志
重现问题后执行：sudo ausearch -m avc -ts recent | audit2allow -m myapp > myapp.te
生成策略模板文件
myapp.te（-m指定模块名） -
编译策略模块
sudo checkmodule -M -m -o myapp.mod myapp.te sudo semodule_package -o myapp.pp -m myapp.mod
-
加载并启用模块
sudo semodule -i myapp.pp sudo semodule -l | grep myapp # 验证加载成功
方法2：修改文件上下文（针对资源标签错误）
适用场景：应用因文件/目录标签错误被拒绝访问
操作：
# 添加新规则（例：将目录标记为httpd可读） sudo semanage fcontext -a -t httpd_sys_content_t "/custom/web(/.*)?" # 应用新标签 sudo restorecon -Rv /custom/web
方法3：自定义端口规则（如非标准端口被拦截）
适用场景：为Web服务器/NFS等添加非标准端口
示例（允许HTTP使用8080端口）：
sudo semanage port -a -t http_port_t -p tcp 8080
关键验证与维护
-
测试规则有效性
- 重启应用后检查日志：
sudo tail -f /var/log/audit/audit.log - 临时禁用SELinux测试（仅调试）：
sudo setenforce 0（完成后务必用setenforce 1恢复）
- 重启应用后检查日志：
-
管理自定义模块
- 查看已加载模块：
sudo semodule -l - 删除模块：
sudo semodule -r myapp
- 查看已加载模块：
安全注意事项
- 最小权限原则：仅添加必要规则，避免过度放权（如
allow * *;会严重削弱安全性） - 备份策略：关键操作前备份策略：
sudo semodule -B - 官方资源优先：检查默认布尔值是否满足需求：
getsebool -a | grep service_name - 生产环境建议：复杂场景推荐使用
sealert -a /var/log/audit/audit.log分析完整建议
引用说明：本文操作基于RHEL/CentOS 7+及SELinux策略工具集（policycoreutils, setroubleshoot, selinux-policy-devel），参考资源：
- SELinux官方Wiki
- RHEL文档：使用SELinux
- 工具手册页：
man audit2allow,man semanage,man semodule
通过合理配置SELinux白名单，可在保障系统安全的前提下兼容各类应用，若遇复杂策略需求，建议结合audit2why分析日志根源或查阅发行版特定文档。
原创文章，发布者：酷番叔，转转请注明出处：https://cloud.kd.cn/ask/8780.html
