1.selinux的介绍
SELinux(Security-Enhanced Linux) 是美国国家安全局（NSA）对于强制访问控制的实现，是 Linux历史上最杰出的新安全子系统。NSA是在Linux社区的帮助下开发了一种访问控制体系，在这种访问控制体系的限制下，进程只能访问那些在他的任务中所需要文件。SELinux 默认安装在 Fedora 和 Red Hat Enterprise Linux 上，也可以作为其他发行版上容易安装的包得到。
SELinux 是 2.6 版本的 Linux 内核中提供的强制访问控制(MAC）系统。对于目前可用的 Linux安全模块来说，SELinux 是功能最全面，而且测试最充分的，它是在 20 年的 MAC 研究基础上建立的。SELinux 在类型强制服务器中合并了多级安全性或一种可选的多类策略，并采用了基于角色的访问控制概念。 [1]
大部分使用 SELinux 的人使用的都是 SELinux 就绪的发行版，例如 Fedora、Red Hat Enterprise Linux (RHEL）、Debian或 Centos。它们都是在内核中启用 SELinux 的，并且提供一个可定制的安全策略，还提供很多用户层的库和工具，它们都可以使用 SELinux 的功能。
SELinux是一种基于 域-类型 模型（domain-type）的强制访问控制（MAC）安全系统， 它由NSA编写并设计成内核模块包含到内核中，相应的某些安全相关的应用也被打了SELinux的补丁，最后还有一个相应的安全策略。任何程序对其资源享 有完全的控制权。假设某个程序打算把含有潜在重要信息的文件扔到/tmp目录下，那么在DAC情况下没人能阻止他。SELinux提供了比传统的UNIX 权限更好的访问控制。
2.selinux的状态说明
selinux有三个状态：enforcing，disabled和permissive
我们用过ftp来引入selinux的使用。
首先，我们在服务器端安装vsftpd服务，客户端安装lftp。
在selinux打开，关闭和警告状态下。通过客户端的lftp连接服务器显示，目录的安全内容
步骤一：selinux关闭
方法一：
编辑selinux的配置文件：vim /etc/selinux/config
修改SELINUX=disabled
修改完后重启。
方法二：临时设定使用命令setenforce <1|0> ##0为警告，1为强制，且不能在关闭状态下设定，重启完后，不保存
只能打开不能关闭。
步骤二：实验并查看结果
在selinux的状态为disable下：
1.在服务端，新建一个文件，发送到 /var/ftp
2.在客户端，lftp连接服务端，显示带有安全内容的目录
ls -Z
3.在服务端，查看/var/ftp的安全内容目录
存在问号
步骤三：开启服务器端的selinux
编辑selinux的配置文件：vim /etc/selinux/config
修改SELINUX=enforcing
reboot
步骤四：实验并查看结果
在selinux的状态为enforcing下：
1.在服务端，新建一个文件，发送到 /var/ftp
2.在客户端，lftp连接服务端，显示带有安全内容的目录
3.在服务端，查看/var/ftp的安全内容目录
实验结果表明，在关闭selinux下，无法查看安全内容，安全内容为？号。在客户端，可以看见任何内容。在开启selinux下，只有安全内容为public_content的文件可以看到。
步骤五：将selinux的状态改为peimissive
步骤六：实验并产看结果
在selinux的状态为permissive下：
1.在服务端，新建一个文件，发送到 /var/ftp
2.在客户端，lftp连接服务端，显示带有安全内容的目录
3.在服务端，查看/var/ftp的安全内容目录
实验结果：虽然，安全内容不是public_content，但是还是能在ftp内显示，只是警告，警告的内容可以在日志查看。
查看警告的日志：cat /var/log/audit/audit.log
3.修改安全上下文
1)修改文件的安全上下文
chcon -t public_centent_t /var/ftp/file3
2）修改目录的安全上下文
chcon -t mnt_t /var/ftp/pub/ -R
3)永久修改安全上下文
chcon命令修改的安全上下文为临时安全上下文，重启以后会还原.
永久修改安全上下文的命令
semanage fcontext -a -t public_content_t '/westos(/.*)?' ##修改安全上下文及目录中文件的安全上下文
restorecon -RvvF /westos/ ##修改安全上下文，还可以查看以前的安全上下文
步骤一：建立目录和文件查看安全上下文
步骤二：修改安全上下文
4.seboll值
sebool，selinux对权限的布尔值，显示那些功能打开，那些功能不打开
1）查看ftp的sebool值
getsebllo -a |grep ftp
2）修改ftp的布尔值
步骤一：selinux关闭状态下，可以上传
步骤二：selinux开启状态下，不可以上传
步骤三：修改权限：setsebool -P ftp_home_dir on
5.selinux的排错
提供日志的插件
setroubleshoot-server.x86_64