SELinux拦截Nginx跨网段访问时，关键在系统调用层拒绝网络连接，需先用getenforce和setenforce 0验证，再通过ausearch -m avc -c nginx | audit2why定位avc拒绝，最后启用httpd_can_network_connect布尔值并检查目标端口是否属于http_port_t类型。
Linux 中排查 Nginx 跨网段访问被 SELinux 拦截，关键不是“能不能连通”，而是“SELinux 是否在系统调用层就拒绝了网络连接动作”。跨网段访问（比如 Nginx 反向代理到 192.168.10.50:3000 或 10.20.30.40:8080）触发的拦截，通常不报错在 Nginx error.log 里，而藏在 SELinux 的 AVC 拒绝日志中。
确认 SELinux 正在生效并锁定问题源头
先排除干扰，快速验证是否为 SELinux 导致：
- 运行 getenforce —— 若返回 Enforcing，说明策略已启用
- 临时切宽容模式：sudo setenforce 0，然后立刻测试跨网段请求（如 curl http://your-domain.com/api）
- 若此时请求成功，基本可断定是 SELinux 拦截；测试完立即恢复：sudo setenforce 1
查 AVC 日志定位具体拒绝动作
SELinux 拦截发生在内核层面，日志不在 Nginx 或系统 messages 里，而在审计日志中：
- 用 ausearch -m avc -c nginx -ts recent 抓最近的拒绝记录
- 更直观解读：ausearch -m avc -c nginx -ts recent | audit2why，它会直接告诉你缺哪条 allow 规则
- 常见拒绝提示示例：avc: denied { name_connect } for ... scontext=system_u:system_r:httpd_t:s0 tcontext=system_u:object_r:port_t:s0 tclass=tcp_socket —— 这说明进程想连外部 TCP 端口，但没授权
修复核心布尔值：允许网络外连
跨网段访问本质是 Nginx 主动发起 outbound 连接，SELinux 默认禁止 Web 服务这样做：
- 检查当前状态：getsebool httpd_can_network_connect
- 临时开启：setsebool httpd_can_network_connect on
- 永久生效（生产环境必须）：setsebool -P httpd_can_network_connect on
- 注意：该布尔值控制的是 所有 httpd_t 类型进程（包括 Nginx），不是仅限 Apache
补充检查：端口类型与上下文一致性
如果后端服务监听非标准端口（如 3000、8081、9001），还需确保该端口被标记为允许 HTTP 服务连接：
- 查当前允许的端口：semanage port -l | grep http_port_t
- 若目标端口不在列表中，添加它：semanage port -a -t http_port_t -p tcp 3000
- 同时确认后端服务自身未被 SELinux 限制（例如其 socket 文件或执行文件上下文是否为 svirt_sandbox_file_t 或 container_file_t，需另配布尔值）
