SELinux拦截问题本质是策略拒绝而非权限不足，排错须按“确认→定位→修复”三步：先用getenforce/sestatus验证模式，再通过ausearch/audit2why/sealert分析AVC日志，最后针对文件标签、端口类型或布尔值错误修复，audit2allow仅作兜底。
SELinux 拦截问题不是权限不足，而是策略拒绝——即使 ls -l 显示权限全开、用户正确，avc: denied 仍会阻止访问。排错核心是“先确认、再定位、后修复”，不跳步、不盲调。
第一步：确认是不是 SELinux 在拦
别一上来就改策略。先验证根源：
- 运行
getenforce—— 若返回 Enforcing，说明策略正在生效； - 运行
sestatus—— 看 “Current mode” 是否为 Enforcing，“Loaded policy name” 是否为 targeted（默认）； - 临时切宽容模式测试：
setenforce 0，立刻重启服务或重试操作；若问题消失，基本锁定 SELinux； - 切回强制模式：
setenforce 1，避免长期处于 Permissive 影响安全审计。
第二步：看日志，定位具体被拒动作
拒绝记录在审计日志里，不是 /var/log/messages，也不是 journalctl 默认输出：
- 查最近 AVC 拒绝：
ausearch -m avc -ts recent； - 按进程名过滤（如 nginx）：
ausearch -m avc -c nginx； - 用
audit2why -a解读每条拒绝——它会告诉你缺哪条allow规则，甚至建议restorecon或setsebool； - 更友好可读的报告：
sealert -a /var/log/audit/audit.log（需已安装setroubleshoot）。
第三步：常见拦截场景与对应修复
90% 的问题集中在三类上下文错配：
-
文件/目录标签错误：比如把网站文件放到
/data/www，但 SELinux 认为它不属于 httpd 可读区域。
→ 查标签：ls -Z /data/www；
→ 修复：semanage fcontext -a -t httpd_sys_content_t "/data/www(/.*)?"，再restorecon -Rv /data/www； -
端口类型不匹配：httpd 监听 8080，但该端口没被标记为
http_port_t。
→ 查当前允许端口：semanage port -l | grep http_port_t；
→ 添加：semanage port -a -t http_port_t -p tcp 8080； -
布尔值未开启：比如需要 httpd 连外网（反向代理）、读用户家目录等。
→ 查相关开关：getsebool -a | grep httpd；
→ 临时开：setsebool httpd_can_network_connect on；
→ 永久开：setsebool -P httpd_can_network_connect on。
第四步：谨慎使用 audit2allow（仅当上述不适用）
这是兜底方案，不是首选。生成的规则要最小化、可审计：
- 收集本服务的拒绝事件：
ausearch -c 'nginx' -m avc -ts today | audit2allow -M my-nginx； - 编译并安装：
semodule -i my-nginx.pp； - 若需优先加载且影响面可控，可用：
semodule -X 300 -i my-nginx.pp。
