centos selinux如何修复

在 CentOS 中，SELinux 出问题（如权限拒绝、系统无法启动、服务异常）时，通常可以按下面步骤进行排查与修复。

一、先确认 SELinux 状态

getenforce
sestatus

常见状态：

• Enforcing：强制模式（会拦截）
• Permissive：宽容模式（只记录不拦截）
• Disabled：已关闭

二、临时关闭 SELinux（应急）

setenforce 0

仅当前生效，重启后恢复

三、查看 SELinux 拒绝原因（最重要）

ausearch -m avc -ts recent

或

grep AVC /var/log/audit/audit.log

常见错误示例：

type=AVC msg=audit(...): denied { read } for pid=...

四、使用 sealert 分析（推荐）

yum install -y setroubleshoot-server
sealert -a /var/log/audit/audit.log

它会给出具体修复命令，例如：

setsebool -P httpd_can_network_connect on

五、常见修复方式

1️⃣ 恢复文件 SELinux 标签（最常见）

如果文件/目录权限异常：

restorecon -Rv /var/www/html

对整个系统修复（谨慎）：

fixfiles onboot
# 或
touch /.autorelabel
reboot

2️⃣ 修改布尔值（服务类问题）

查看：

getsebool -a | grep httpd

修改：

setsebool -P httpd_enable_homedirs on

3️⃣ 添加自定义策略（高级）

grep httpd /var/log/audit/audit.log | audit2allow -M myhttpd
semodule -i myhttpd.pp

六、系统因 SELinux 无法启动

1. 启动时加内核参数：

selinux=0

或

enforcing=0

2. 启动后执行：

touch /.autorelabel
reboot

七、彻底关闭 SELinux（不推荐）

vi /etc/selinux/config

修改为：

SELINUX=disabled

重启生效。

八、典型场景速查

如果你能提供 具体报错信息或服务名称（如 Nginx / MySQL / FTP），我可以给你精确修复命令。