CentOS 中的 context 与网络的关系
在 CentOS 中，所谓的 context 通常指 SELinux 安全上下文。它给系统中的主体（如进程）与客体（如文件、端口、套接字等）打上标签，并由内核在访问时做强制访问控制（MAC）决策。与传统 **DAC（rwx 权限）**不同，即便以 root 运行，只要 SELinux 策略不允许，访问也会被拒绝；因此，context 会直接影响进程能否绑定端口、监听套接字、发起或接受网络连接等行为。
与网络最直接的三类关联
-
端口与协议绑定
- SELinux 给端口也定义了类型（如 http_port_t）。只有当进程的安全上下文类型被策略允许使用该端口类型时，绑定才会成功。例如：httpd_t 进程默认只能绑定 80/tcp、443/tcp 等标记为 http_port_t 的端口；若要使用 82/tcp，除了在防火墙放行，还需执行：semanage port -a -t http_port_t -p tcp 82。简言之：防火墙决定“包能否到达端口”，SELinux 决定“进程能否使用该端口”。
-
节点与接口访问控制
- 在使用 NetLabel/CIPSO 或 标记化 IPsec 时，SELinux 可基于网络接口、源/目的节点、以及对等体进行更细粒度的网络访问控制（启用标签化流量时会触发额外的接口/节点/对等检查）。这类机制常用于需要跨主机保持安全标签一致性的场景（如高安全域间通信）。
-
进程间通信与套接字
- SELinux 不仅管控文件与网络端口，也管控 Unix 域套接字、共享内存、信号量 等 IPC 对象。很多网络服务依赖这些 IPC 进行本地进程协作，若相关对象的上下文或策略不允许，即使网络可达，服务也可能异常。
常见网络场景下的 context 影响与处置
-
Web 服务改用非常规端口
- 现象：服务启动失败或日志提示权限被拒（AVC denied），但防火墙已放行端口。
- 处置：放行防火墙后，使用 semanage port 将端口加入对应服务类型（如 http_port_t），或调整策略模块以允许目标类型绑定该端口。
-
自定义网络服务监听失败
- 现象：服务以 root 运行仍无法 bind。
- 处置：确认服务进程的 domain 类型 是否被策略允许绑定目标 端口类型；必要时为服务编写/加载专用策略模块，或改用已被策略允许的类型与端口组合。
-
跨主机安全通信
- 场景：需要在不同主机间保持一致的端到端安全标签。
- 处置：部署 NetLabel/CIPSO 或 标记化 IPsec，并在策略中配置接口/节点/对等检查，使标签随通信流转，从而在主机间延续 SELinux 的强制访问控制。
排查与验证要点
-
查看与修改对象上下文
- 文件/目录：ls -Z；进程：ps -eZ；端口：semanage port -l。必要时用 semanage fcontext/chcon 调整文件上下文，用 semanage port 调整端口上下文。
-
观察拒绝日志与运行状态
- 使用 ausearch -m avc -ts recent 或 journalctl -xe 查看 AVC denied 细节；必要时临时切换 permissive 模式验证是否为 SELinux 导致，再回到 enforcing 并完善策略。
-
理解控制边界
- 记住“防火墙管可达，SELinux 管可用”：两者是互补关系，网络连通并不等于进程有权限使用相关端口或对象。
