如何启用或禁用 SELinux 布尔值？
介绍
SELinux（安全增强型Linux）是一个安全模块，为基于Linux 的系统提供强制访问控制（MAC）。 SELinux 模块的工作原理是确保系统上的每个进程和用户只能访问他们需要的资源。它通过定义进程、文件和其他系统资源的安全上下文来实现这一点。
SELinux 的关键特性之一是它对布尔值的使用。这些是可以设置为“开”或“关”的二元选项。
SELinux 布尔值的解释
SELinux 布尔值是二进制选项，用于确定是否强制执行特定策略。每个布尔值对应于一个特定的 SELinux 规则或策略。
例如，布尔值 httpd_can_network_connect 控制是否允许 Apache Web 服务器进行网络连接。可以使用 Linux 中的setsebool命令设置布尔值。
启用 SELinux 布尔值
SELinux 布尔值是一组控制 SELinux 策略各个方面的标志。这些标志可用于启用或禁用某些安全功能，以及自定义系统的行为。
启用 SELinux 布尔值的分步说明
在启用 SELinux 布尔值之前，检查系统布尔值的当前状态非常重要。这可以通过运行以下命令来完成 -
semanage boolean -l
一旦确定了要启用的布尔值，您可以使用以下命令 -
setsebool boolean_name on
例如，如果您想启用 httpd_can_network_connect 布尔值，您可以运行 -
setsebool httpd_can_network_connect on
检查 SELinux 布尔值的当前状态
要检查系统上当前是否启用或禁用特定布尔值，请运行以下命令 -
getsebool boolean_name
例如，要检查 httpd_can_network_connect 是否启用或禁用，请运行 -
getsebool httpd_can_network_connect
这将返回“on”或“off”，指示布尔值当前是启用还是禁用。
启用特定布尔值
要启用特定的 SELinux 布尔值，请使用此命令
setsebool BOOLEAN_NAME [VALUE]
其中 BOOLEAN_NAME 替换为特定布尔值的名称，VALUE 为“1”（启用）或“0”（禁用）。
验证布尔值是否已启用
启用 SELinux 布尔值后，验证它是否已成功启用非常重要。您可以通过使用 getsebool 命令检查布尔值的状态来完成此操作，如上一节所述。如果现在启用布尔值，则运行命令时您应该会看到返回“on”。
禁用 SELinux 布尔值
可以禁用 SELinux 布尔值以允许访问某些系统功能，否则这些功能可能会受到限制。当禁用某个布尔值时，将授予对先前被 SELinux 拒绝的特定操作的访问权限。仅应在必要时禁用布尔值，并且用户应确保他们了解禁用某些值所涉及的潜在安全风险。
禁用 SELinux 布尔值的分步说明：
首先，使用命令“semanage boolean -l”检查 SELinux 布尔值的当前状态。这将显示所有可用布尔值及其当前状态的列表。
通过搜索列表来确定要禁用的特定布尔值。
要禁用选定的布尔值，请使用以下命令：`setsebool [boolean_name] off`。
禁用布尔值后，请使用以下命令检查其状态来验证它是否已关闭：“getsebool [boolean_name]”。
如果禁用特定布尔值后，您发现它会导致系统功能出现问题或错误，只需输入以下命令即可恢复到之前的状态：“setsebool [boolean_name] on”。
值得注意的是，并非所有布尔值都可以或应该被禁用，因为这样做可能会损害系统的安全性和功能。
检查 SELinux 布尔值的当前状态
在禁用任何 SELinux 布尔值之前，首先确定它们在系统上的当前状态并确认它们是否已设置为“关闭”至关重要。利用带有“-l”参数的semanage工具列出所有当前可用的布尔值及其各自的状态 -
$ semanage boolean -l
这会向您显示可用 SELinux 布尔值及其当前状态（“打开”或“关闭”）的列表。确认要禁用的布尔值后，记下其名称和状态以供将来参考。
禁用特定布尔值
要禁用特定的 SELinux 布尔值，请使用“setsebool”命令，后跟布尔值名称和“off”作为参数。例如，要禁用 httpd_use_nfs 布尔值，请运行以下命令 -
$ setsebool httpd_use_nfs off
请确保在按 Enter 之前输入正确的布尔值名称，因为不正确的值可能会导致系统功能出现问题。
验证布尔值是否已被禁用
禁用特定 SELinux 布尔值后，必须验证它是否已成功关闭。利用此命令检查其当前状态 -
$ getsebool [boolean_name]
输出应显示您首选的 SELinux 布尔值已被禁用或关闭。
SELinux 布尔值的利基子主题
使用“semanage”命令来管理布尔值
“semanage”命令是管理 SELinux 策略（包括布尔值）的强大工具。它允许您轻松查看、添加、删除和修改布尔值。
要使用此命令，您必须安装“policycoreutils-python-utils”软件包。要使用 semanage 查看所有可用的布尔值，请输入以下命令 -
$ sudo semanage boolean -l
这将显示系统中所有可用布尔值的列表。
要使用 semanage 启用或禁用特定布尔值，请运行以下命令 -
$ sudo semanage boolean --modify --on
$ sudo semanage boolean --modify --off
其中 '' 是您要启用或禁用的布尔值的名称。
您可以通过运行验证布尔值是否已启用或禁用 -
$ getsebool
在 Selinux 中创建自定义布尔值
有时您可能需要在 SELinux 中创建自定义布尔值以满足特定的安全要求。为此，您可以使用“semanage”命令。
要使用 semanage 创建新的布尔值，请运行 -
$ sudo semanage boolean -m --on|off
其中 '' 是新的自定义布尔值的名称。然后，您可以检查新的自定义布尔值是否已创建：
$ getsebool -a | grep ""
您还可以使用“-m”修改现有的自定义布尔值，并使用“-d”删除它。
SELinux 问题故障排除
SELinux 有时使用起来很有挑战性，特别是如果您是新手的话。解决 SELinux 问题可能非常耗时，但确保系统安全至关重要。如果您遇到 SELinux 问题，首先要做的是检查日志。
SELinux 日志存储在“/var/log/audit/audit.log”中。您可以使用“ausearch”命令来搜索相关日志条目 -
$ sudo ausearch -m avc -ts recent
这将显示所有最近的 AVC（访问矢量缓存）拒绝。
您还可以使用“audit2allow”和“audit2why”命令来帮助确定发生 AVC 拒绝的原因。另一个常见问题是某些应用程序在启用 SELinux 的情况下可能无法正常工作。
在这种情况下，您可以尝试使用暂时禁用 SELinux -
$ sudo setenforce 0
这将使 SELinux 进入宽容模式而不是强制模式，允许所有操作但仍记录它们。这样，您可以确定哪些操作导致问题并相应地创建自定义策略。
结论
SELinux 是一项重要的安全功能，可以通过强制执行访问控制来保护您的系统。启用或禁用 SELinux 布尔值是自定义这些访问控制以满足您的特定需求的有用工具。了解启用和禁用 SELinux 布尔值的过程，以及创建自定义布尔值和故障排除问题，可以帮助您优化系统的安全性。