centos6.9 getenforce命令如何查看SELinux当前状态？

在CentOS 6.9系统中，安全增强型Linux（SELinux）是一个重要的安全模块，用于控制系统中进程的访问权限。getenforce命令是SELinux工具集中的一个基础命令，用于查看当前系统的SELinux运行模式，了解getenforce的使用和SELinux的状态对于系统管理员来说至关重要,因为它直接关系到系统的安全策略执行。

SELinux的三种运行模式

SELinux主要分为三种运行模式： enforcing（强制模式）、permissive（宽容模式）和disabled（禁用模式），在强制模式下，SELinux会严格 enforced安全策略，违反策略的访问操作会被阻止并记录日志；在宽容模式下，系统仅记录违反策略的操作但不会阻止；禁用模式则完全关闭SELinux功能，通过getenforce命令，管理员可以快速确认当前系统处于哪种模式,从而采取相应的管理操作。

使用getenforce查看当前状态

getenforce命令的用法非常简单，直接在终端输入该命令即可返回当前的SELinux模式，当系统处于强制模式时，命令会输出Enforcing；处于宽容模式时输出Permissive；禁用时则输出Disabled，这一命令无需额外参数，适合快速诊断SELinux状态，尤其是在排查安全策略相关问题时,它是第一步检查操作。

与setenforce的联动使用

在实际管理中，getenforce常与setenforce命令配合使用。setenforce用于临时切换SELinux的运行模式，例如setenforce 0将系统切换至宽容模式，setenforce 1则切换回强制模式，需要注意的是，setenforce的修改是临时的，系统重启后会恢复为配置文件中设置的默认模式，若需永久修改模式，需编辑/etc/selinux/config文件，将SELINUX参数设置为相应的值（如enforcing、permissive或disabled）,修改后需重启系统生效。

常见场景与故障排查

当系统出现服务异常或访问被拒绝时，SELinux可能是原因之一，通过getenforce确认状态后，可结合audit2why或sealert工具分析日志，定位具体的策略冲突，若Web服务无法访问文件，而SELinux处于强制模式，可能是上下文（context）配置不当，需使用chcon或semanage命令调整文件的安全上下文，或通过setsebool修改布尔值策略,确保服务正常运行。

永久配置与最佳实践

对于生产环境，建议保持SELinux的强制模式以最大化安全性，若需禁用，应谨慎评估风险，并在配置文件中修改后重启系统，定期检查SELinux日志（位于/var/log/audit/目录）有助于及时发现潜在问题，使用semanage工具管理策略比直接修改文件标签更安全,可避免破坏系统默认配置。

相关问答FAQs

Q1: 如何永久禁用SELinux？
A1: 编辑/etc/selinux/config文件，将SELINUX=enforcing改为SELINUX=disabled，保存后重启系统，注意：禁用SELinux会降低系统安全性，仅建议在特定测试场景下使用。

Q2: SELinux处于宽容模式时，如何查看被阻止的操作？
A2: 使用grep "AVC" /var/log/audit/audit.log命令查看审计日志，或通过ausearch -m AVC -ts recent筛选最近的SELinux拒绝事件，结合audit2why分析原因。