SELinux通过端口类型标签（如http_port_t）控制服务绑定权限，仅当进程类型（如httpd_t）与端口类型匹配时才允许绑定；否则报“Permission denied”，即使防火墙放行也无效。
SELinux 对端口的控制依赖于端口上下文标签，而不是仅靠防火墙规则。只有当服务进程的类型（如 httpd_t）与监听端口的类型（如 http_port_t）匹配时，服务才能成功绑定并使用该端口。否则会报“Permission denied”或启动失败，即使 iptables/firewalld 放行也无效。
查看当前端口的安全上下文
使用 semanage port -l 列出所有已定义的端口类型映射：
-
semanage port -l | grep http查看 HTTP 相关端口（如 80、443、8080），确认是否标记为http_port_t -
semanage port -l | grep ssh检查 SSH 默认端口 22 是否为ssh_port_t - 若某端口未在列表中出现，说明它没有被 SELinux 显式赋予类型，默认可能被拒绝
为自定义端口添加永久上下文标签
例如将 Nginx 改为监听 8081 端口，需先为其分配 http_port_t 类型：
- 执行
sudo semanage port -a -t http_port_t -p tcp 8081 - 验证是否生效：
semanage port -l | grep 8081应显示tcp 8081及对应类型 - 注意：-a 仅在端口未被占用且未定义时可用；若端口已存在映射，需先用
-d删除再添加
修改或删除已有端口标签
不推荐随意更改系统默认端口类型，但调试或迁移时可能需要调整：
- 将 TCP 8000 端口从原类型改为
http_port_t：sudo semanage port -m -t http_port_t -p tcp 8000 - 删除某端口的自定义映射：
sudo semanage port -d -p tcp 9000 - 操作后无需重启服务，SELinux 策略实时生效，但需确保服务配置已更新监听地址
排查端口访问被拒问题
当服务无法绑定端口且日志含 “Permission denied”，优先检查 SELinux 端口上下文：
- 运行
sudo ausearch -m avc -ts recent | grep port查找 AVC 拒绝记录 - 用
sealert -a /var/log/audit/audit.log解析详细建议（需安装 setroubleshoot） - 常见错误提示如 “scontext=system_u:system_r:httpd_t:s0 tcontext=system_u:object_r:port_t:s0” 表明目标端口类型是通用
port_t，而非服务所需类型
