SELinux配置详解：开启关闭安全模式指南

本文深入解析了Linux中SELinux的三种运行模式（Enforcing、Permissive、Disabled）及其查看、临时切换与永久配置方法，强调getenforce和sestatus命令的关键区别——后者能揭示SELinux是否真正启用、当前模式、配置文件设定及内核策略加载状态，避免因启动参数（如selinux=0）覆盖配置文件而导致的“修改无效”陷阱，并提醒用户：临时切换仅限于前两种模式，彻底关闭需谨慎，重启必须干净执行（推荐shutdown -r now），是运维人员精准掌控系统安全策略不可或缺的实战指南。

如何查看当前 SELinux 模式

SELinux 有三种运行模式：enforcing（强制执行策略）、permissive（记录但不阻止违规行为）、disabled（完全关闭）。最直接的判断方式是运行：

getenforce

它只输出一行结果，比如 Enforcing 或 Permissive。注意大小写敏感，且不带引号。

如果返回 Disabled，说明 SELinux 已在内核启动时被禁用，此时 setenforce 命令无效，必须改配置文件再重启。

临时切换 enforcing/permissive 模式

用 setenforce 可以立即切换前两种模式，无需重启：

• setenforce 1 → 切换到 enforcing
• setenforce 0 → 切换到 permissive

这个操作只在当前运行周期生效；系统重启后会恢复为 /etc/selinux/config 中设定的默认模式。

常见错误：在 disabled 模式下执行 setenforce 0，会报错 setenforce: SELinux is disabled，此时不能靠这条命令“启用”SELinux。

永久修改 SELinux 模式（需编辑配置文件）

真正持久生效的方式是改 /etc/selinux/config 文件中的 SELINUX= 行：

• SELINUX=enforcing → 强制执行（默认生产环境推荐）
• SELINUX=permissive → 排查问题常用，日志全但不拦截
• SELINUX=disabled → 彻底关闭（不建议，部分发行版如 RHEL 9+ 启动时可能报警告甚至失败）

改完保存后必须重启系统才生效。仅运行 reboot 不够——某些旧内核或 init 系统可能缓存状态，建议用 shutdown -r now 确保干净重启。

注意：SELINUXTYPE=targeted 这行一般不动，它是策略类型，不是运行模式；改错这里不会影响 enforce/permissive 切换，但可能让服务无法加载策略。

为什么 sestatus 比 getenforce 更有用

sestatus 输出更完整，能一眼看出是否真“启用”、当前模式、策略类型、以及关键路径是否存在：

$ sestatus
SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
Current mode:                   enforcing
Mode from config file:          enforcing
Policy MLS status:              enabled
Policy deny_unknown status:     allowed
Max kernel policy version:      33

重点看 SELinux status 和 Current mode 两行。如果 status 是 disabled，哪怕 config 文件写的是 enforcing，也说明内核没加载模块——这时候得检查启动参数有没有 selinux=0 或 security=selinux 缺失。

很多排查卡在“明明改了 config 却不生效”，其实是因为 grub 启动项里硬编码关掉了 SELinux，这种优先级高于配置文件。

文中关于的知识介绍，希望对你的学习有所帮助！若是受益匪浅，那就动动鼠标收藏这篇《SELinux配置详解：开启关闭安全模式指南》文章吧，也可关注golang学习网公众号了解相关技术文章。