SELinux的enforcing模式只能通过setenforce 0临时降级为permissive（记录不拦截），或修改/etc/selinux/config中SELINUX=disabled并重启永久禁用；无法用kill或systemctl关闭，因其是内核模块。

SELinux 的 enforcing 模式不是“关不掉”，而是必须明确切换为 permissive（临时）或 disabled（永久），否则它始终在强制拦截进程行为。直接 kill 或 systemctl stop 都无效——SELinux 是内核模块，不是普通服务。

getenforce 返回 enforcing 时怎么临时切到宽容模式

临时切换只影响当前运行时，重启即恢复。关键不是“关闭”，而是降级为 permissive：它继续记录违规（写入 /var/log/audit/audit.log），但不阻止操作。

• setenforce 0 是唯一有效命令，setenforce 1 会切回 enforcing
• 执行后立刻生效，无需 reload 或 restart 任何服务
• getenforce 应返回 Permissive，不是 Disabled
• 注意：setenforce 必须由 root 执行；普通用户即使加 sudo，若未配置权限也会报错 Permission denied

为什么 sed -i 's/SELINUX=enforcing/SELINUX=disabled/' /etc/selinux/config 不一定生效

配置文件路径和行格式容易出错。CentOS 7 实际认的是 /etc/selinux/config，但该文件里可能有注释行、大小写混用、空格差异，导致 sed 替换失败。

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

• 先确认真实路径：ls -l /etc/selinux/config，部分旧镜像可能 symlink 到 /etc/sysconfig/selinux
• 原文件中可能是 #SELINUX=enforcing（被注释）或 SELINUX=enforcing（无注释），sed 命令需匹配实际内容
• 更稳妥的做法是用 vim 手动编辑：找到 SELINUX= 开头的非注释行，改成 SELINUX=disabled
• 改完务必检查：执行 grep "^SELINUX=" /etc/selinux/config，输出应只有一行且值为 disabled

reboot 后 getenforce 还是 enforcing？检查这三处

永久设置失效通常不是命令没跑对，而是系统没真正加载新配置。

• 确认修改的是 /etc/selinux/config，而不是同目录下其他文件（如 semanage.conf）
• 检查 SELINUXTYPE 行是否被意外改错，虽然不影响禁用，但某些内核版本会因类型不匹配拒绝加载策略
• 最常被忽略：重启前必须确保没有残留的 SELinux 上下文锁。可执行 touch /.autorelabel 强制 relabel（仅限首次永久禁用后，避免后续文件访问异常）
• 验证方式：重启后运行 sestatus，输出中 SELinux status: 必须是 disabled，而不仅是 getenforce 返回 Disabled

真正麻烦的不是改配置，而是改完之后忘了 sestatus 看全量状态，或者误以为 permissive 就等于“已关”——它仍在审计、占内存、影响某些容器工具的行为判断。