SELinux不能真正“关闭防护”，只能切换为Permissive模式（setenforce 0，临时生效）或永久设为disabled（修改/etc/selinux/config并重启）；getenforce仅显示当前运行模式，sestatus则同时显示当前模式与配置文件设定值。
SELinux 不能“关闭防护”——只能切换模式或彻底禁用。真正要做的，是根据场景选 setenforce 0（临时宽容）还是改配置文件并重启（永久 disabled）。
getenforce 和 sestatus 返回值怎么看
运行 getenforce 只返回一行：Enforcing、Permissive 或 Disabled。它不反映配置文件设置，只告诉你当前内核加载的运行状态。
sestatus 更全面，会显示 SELinux status（是否启用）、Current mode（当前运行模式）、Mode from config file（配置文件里写的值）。如果 Current mode 是 enforcing 但 Mode from config file 是 disabled，说明你改过配置但还没重启。
-
Enforcing：策略生效，违规操作被拒绝（常见报错如Permission denied却权限明明正确） -
Permissive：策略不执行，只记录 AVC 日志到/var/log/audit/audit.log（适合排查问题） -
Disabled：内核没加载 SELinux 模块，ls -Z看不到安全上下文，restorecon等命令失效
setenforce 0 为什么有时不生效
setenforce 0 只在 SELinux 当前是 Enforcing 或 Permissive 时有效；如果已经是 Disabled，执行后会报错 setenforce: SELinux is disabled。
更关键的是：某些环境（比如容器宿主机、云厂商定制镜像）可能编译内核时就去掉了 SELinux 支持，此时 getenforce 返回 Disabled，setenforce 命令根本不存在，强行运行会提示 command not found。
- 检查命令是否存在：
which setenforce - 确认模块加载：
lsmod | grep selinux—— 若无输出，大概率内核未启用 SELinux -
setenforce 0后立刻getenforce，必须返回Permissive才算成功
/etc/selinux/config 和 /etc/sysconfig/selinux 哪个该改
在标准 CentOS 7 中，/etc/selinux/config 是主配置文件；/etc/sysconfig/selinux 是它的符号链接，二者指向同一内容。修改任意一个都行，但建议统一改 /etc/selinux/config，避免混淆。
文件里只认 SELINUX= 这一行，其他如 #SELINUX=enforcing 注释掉的行无效。必须确保该行未被注释且值为 disabled：
SELINUX=disabled
注意大小写敏感，disabled 不能写成 Disabled 或 disable。改完必须重启，否则配置不加载。
- 备份原文件：
cp /etc/selinux/config /etc/selinux/config.bak - 用
sed一键替换（免交互）：sed -i 's/^SELINUX=.*/SELINUX=disabled/' /etc/selinux/config - 重启后验证：
sestatus | grep "SELinux status"应输出disabled
永久禁用后仍看到 AVC 日志？
如果改了配置、重启了，sestatus 显示 disabled，但 /var/log/audit/audit.log 里还有 AVC 记录，说明 auditd 服务仍在运行，只是日志来源不是 SELinux（可能是其他内核子系统或第三方审计工具）。此时可停用 auditd：systemctl stop auditd && systemctl disable auditd。
另一个常见误判：某些应用（如 Docker、Kubernetes）自己实现类似 SELinux 的策略控制（如 security_opt），它们和系统级 SELinux 无关，关掉系统 SELinux 不影响它们的行为。
真正容易被忽略的是：SELINUXTYPE=targeted 这行不用动，它只在 SELinux 启用时起作用；disabled 状态下该值完全被忽略。
