在Linux系统安全领域，SELinux（Security-Enhanced Linux）作为强制访问控制（MAC）机制的核心组件，为系统提供了细粒度的访问控制策略。然而，许多系统管理员在配置SELinux策略时常常遇到策略状态不明确、模式切换混乱等问题。本文将通过sestatus命令快速检查SELinux策略状态和模式，帮助安全工程师高效诊断SELinux相关问题。
SELinux策略状态检查
首先，使用sestatus命令查看当前SELinux的整体状态：
sestatus
该命令输出包括SELinux是否启用、当前策略模式（permissive/enforcing）、以及加载的策略文件路径等信息。若输出显示SELinux status: enabled和SELinuxfs mount: /sys/fs/selinux，则表示SELinux已正确加载并运行。
策略模式切换验证
在生产环境中，我们经常需要在permissive（宽容模式）和enforcing（强制模式）之间切换以调试策略。可通过以下命令检查当前模式：
getenforce
输出结果为Enforcing或Permissive。若需临时切换至宽容模式，可使用：
sudo setenforce 0
切换回强制模式：
sudo setenforce 1
实际案例：调试策略不生效问题
假设在配置了自定义SELinux策略后，发现某些服务无法访问特定目录。首先通过sestatus确认策略已加载且处于强制模式：
sestatus
# 输出示例：
# SELinux status: enabled
# SELinuxfs mount: /sys/fs/selinux
# SELinux root directory: /etc/selinux
# Loaded policy name: targeted
# Current mode: enforcing
# Mode from config file: enforcing
若策略模式正常但问题依旧，可通过查看审计日志确认拒绝规则：
ausearch -m avc -ts recent
结合sestatus和审计日志分析，可快速定位是策略配置错误还是模式设置不当。
总结
通过sestatus命令可快速判断SELinux的运行状态，配合getenforce与审计工具，能有效提升安全策略调试效率。在系统管理过程中，应定期验证SELinux状态，确保访问控制策略正确生效。
讨论