ubuntu selinux怎么排错

在 Ubuntu 上，SELinux 默认是不启用的（Ubuntu 官方默认使用 AppArmor）。如果你是在 Ubuntu 上手动启用了 SELinux，排错思路和 RHEL/CentOS 类似，但有一些 Ubuntu 特有的注意点。

下面按「确认状态 → 看日志 → 分析拒绝 → 临时/永久解决 → Ubuntu 特有坑」来排错。

一、先确认 SELinux 是否真的在跑

getenforce

可能结果：

Disabled：SELinux 根本没开（Ubuntu 默认）
Permissive：只记录不拦截（排错阶段建议）
Enforcing：真正拦截

查看详细状态：

sestatus

如果显示 SELinux status: disabled，那你的问题不是 SELinux 导致的。

二、Ubuntu 开启 SELinux 的前提（很重要）

Ubuntu 启用 SELinux 需要：

安装 selinux-basics
修改 kernel cmdline
重启

sudo apt install selinux-basics selinux-policy-default
sudo selinux-activate
reboot

⚠️ 不建议在生产 Ubuntu 上用 SELinux，除非你非常清楚在做什么。

三、SELinux 排错核心：看 AVC 拒绝日志

1️⃣ 查看 SELinux 拒绝（AVC）

sudo ausearch -m avc -ts recent

或实时看：

sudo tail -f /var/log/audit/audit.log

典型拒绝示例：

type=AVC msg=audit(...): denied { read } for pid=... comm="nginx"

2️⃣ 用 sealert（推荐）

sudo apt install setools setroubleshoot
sealert -a /var/var/log/audit/audit.log

它会告诉你：

被拒绝的原因
建议的修复命令（如 setsebool 或 semanage）

四、常见排错操作

✅ 1. 临时改为 Permissive（排错用）

sudo setenforce 0

确认问题是否消失：

消失 → 就是 SELinux 问题
没消失 → 不是 SELinux

✅ 2. 根据 AVC 生成策略模块（最常用）

sudo ausearch -m avc -ts recent | audit2allow -M myfix
sudo semodule -i myfix.pp

⚠️ 不要无脑允许所有 AVC，否则等于关掉 SELinux。

✅ 3. 文件上下文错误（非常常见）

例如 Web 服务 403：

ls -Z /var/www/html

修复：

sudo semanage fcontext -a -t httpd_sys_content_t "/var/www/html(/.*)?"
sudo restorecon -Rv /var/www/html

✅ 4. 布尔值开关

查看：

getsebool -a | grep httpd

开启：

sudo setsebool -P httpd_can_network_connect on

五、Ubuntu 上 SELinux 的“坑”

❌ 1. AppArmor 和 SELinux 冲突

Ubuntu 默认有 AppArmor：

sudo aa-status

如果两者都在：

行为不可预期
建议 二选一

❌ 2. systemd / snap 对 SELinux 支持差

Ubuntu 的：

snap
某些 systemd 服务

在 SELinux 下经常异常。

❌ 3. 策略不完整

Ubuntu 的 SELinux policy 远不如 RHEL 完善。

六、排错流程总结（速查）

getenforce
sestatus
ausearch -m avc
sealert -a /var/log/audit/audit.log
setenforce 0  # 验证
audit2allow
restorecon

如果你愿意，可以把：

ausearch -m avc 的输出
或具体报错（如 nginx / mysql / docker）

贴出来，我可以直接帮你分析该加哪条 SELinux 规则。