Ошибка доступа к службе или отказ запуска приложения в РЕД ОС с записью «avc: denied» в журнале аудита — типичный признак того, что SELinux блокирует нужное действие в режиме enforcing. Прежде чем отключать механизм защиты, выполните команду getenforce в терминале: вывод Enforcing означает, что политика принудительно применяется, и именно она может быть причиной сбоя.
В этой статье разберём, как проверить текущий статус SELinux в РЕД ОС (RED OS), временно перевести его в разрешительный режим и полностью отключить через конфигурационный файл. Также рассмотрим, чем грозит отключение защиты и когда достаточно обойтись режимом permissive вместо полного выключения.
Что такое SELinux и зачем он нужен в РЕД ОС
SELinux (Security-Enhanced Linux) — это модуль принудительного контроля доступа, встроенный в ядро Linux. В отличие от классических прав на файлы (владелец, группа, остальные), он проверяет каждое действие процесса по набору политик безопасности: какие файлы может читать служба, к каким портам подключаться, какие системные вызовы выполнять.
В РЕД ОС — отечественной операционной системе на базе ядра Linux — SELinux является частью штатной системы защиты. Это особенно важно для серверных и корпоративных применений, где ОС позиционируется как защищённое решение. Отключение модуля снижает уровень защищённости, поэтому такой шаг должен быть осознанным.
Однако на практике строгие политики иногда мешают работе стороннего ПО: веб-серверы не читают файлы из нестандартных каталогов, базы данных не могут открыть свои порты, самописные скрипты отклоняются. В таких случаях администраторы и ищут способ отключить SELinux в РЕД ОС.
Проверка текущего статуса SELinux
Перед любыми изменениями определите, в каком режиме работает модуль. Откройте терминал и выполните:
getenforceКоманда вернёт одно из трёх значений. Если нужен более подробный вывод — версия политики, точка монтирования, режим из конфигурации — используйте sestatus:
sestatus- 🟢 Enforcing — политика применяется принудительно, нарушения блокируются и логируются;
- 🟡 Permissive — нарушения только фиксируются в журнале, но не блокируются;
- 🔴 Disabled — модуль полностью выключен, политики не загружаются.
Если getenforce вернул Enforcing, а приложение не работает — проверьте журнал аудита. Записи об отказах SELinux содержат строки вида avc: denied, их можно найти командой grep avc /var/log/audit/audit.log либо через journalctl, в зависимости от конфигурации системы журналирования.
Временное отключение SELinux (режим permissive)
Самый безопасный способ проверить, мешает ли SELinux работе приложения — временно перевести его в разрешительный режим. Изменение действует до перезагрузки и не требует правки конфигурационных файлов.
Выполните от имени root или через sudo:
sudo setenforce 0После этого getenforce должен вернуть Permissive. Проверьте работу проблемного приложения: если оно заработало — причина действительно была в политиках SELinux. Вернуть принудительный режим можно командой sudo setenforce 1.
⚠️ Внимание: команда setenforce 0 не отключает SELinux полностью — после перезагрузки система снова вернётся в режим, указанный в конфигурационном файле. Для постоянного отключения требуется правка конфигурации.
Преимущество permissive-режима в том, что все нарушения продолжают записываться в журнал. Это позволяет собрать информацию о том, какие именно разрешения нужны приложению, и позже настроить политику точечно, вместо того чтобы оставлять систему без защиты.
Постоянное отключение SELinux через конфигурационный файл
Чтобы SELinux не запускался и после перезагрузки, отредактируйте файл /etc/selinux/config. Откройте его в текстовом редакторе с правами root:
sudo nano /etc/selinux/configНайдите строку, начинающуюся с SELINUX=, и измените её значение на disabled:
SELINUX=disabledСохраните файл (в nano — Ctrl+O, затем Enter, выход — Ctrl+X) и перезагрузите систему. Изменение вступает в силу только после перезагрузки, поскольку модуль инициализируется на раннем этапе загрузки ядра.
☑️ Чек-лист отключения SELinux в РЕД ОС
После перезагрузки убедитесь, что отключение прошло успешно: sestatus должен вывести SELinux status: disabled. Если статус остался enforcing, проверьте, не опечатка ли в конфиге и не переопределяется ли значение параметрами загрузчика.
Альтернатива: режим permissive вместо полного отключения
Полное отключение — крайняя мера. Компромиссный вариант — прописать в /etc/selinux/config значение SELINUX=permissive. Политики при этом загружаются, контексты файлов сохраняются, но нарушения не блокируются.
| Режим | Защита | Журналирование | Когда применять |
|---|---|---|---|
| Enforcing | Полная | Да | Боевые серверы, корпоративная среда |
| Permissive | Нет блокировок | Да | Диагностика, настройка нового ПО |
| Disabled | Отсутствует | Нет | Тестовые стенды, несовместимое ПО |
У режима permissive есть важное техническое преимущество: при полном отключении SELinux файловые контексты безопасности перестают обновляться, и при повторном включении модуля потребуется перемаркировка всей файловой системы — иначе система может загружаться долго или работать некорректно. В permissive-режиме такой проблемы нет.
Как восстановить контексты при повторном включении SELinux
Если SELinux был полностью отключён, а затем снова включён, создайте в корне файл /.autorelabel (командой sudo touch /.autorelabel) и перезагрузитесь. Система при загрузке перемаркирует файловую систему — это может занять заметное время на дисках с большим числом файлов.
Риски отключения SELinux и рекомендации по безопасности
Отключая SELinux, вы убираете один из уровней защиты системы. Если злоумышленник или вредоносный процесс получит доступ к уязвимой службе, политики SELinux могли бы ограничить ущерб — запретить чтение чужих файлов, сетевые подключения, запись в системные каталоги. Без модуля этот барьер исчезает.
⚠️ Внимание: в корпоративной среде и на системах, обрабатывающих конфиденциальные данные, отключение SELinux может нарушать требования информационной безопасности и внутренние регламенты. Согласуйте такое изменение с ответственными за ИБ и зафиксируйте его в документации.
Вместо полного отключения рассмотрите более щадящие варианты. Часто проблему решает точечная настройка: изменение контекста файлов командой chcon или restorecon, разрешение конкретного действия через модули политики, корректировка булевых переключателей setsebool. Такой подход сохраняет защиту для остальной системы.
- 🛡️ Оставьте режим enforcing на серверах, доступных из сети;
- 🔍 Используйте permissive для диагностики вместо disabled;
- 📋 Документируйте любые изменения режима SELinux в боевой инфраструктуре;
- 🔄 После устранения причины конфликта возвращайте защитный режим.
Возможные проблемы после отключения и их решение
Иногда после смены режима возникают побочные эффекты. Самая частая ситуация — статус не меняется после перезагрузки. Проверьте содержимое /etc/selinux/config на опечатки: значение должно быть именно disabled в нижнем регистре, без лишних пробелов и кавычек.
Вторая возможная причина — параметры ядра в загрузчике. Если в конфигурации GRUB указан параметр selinux=1 или enforcing=1, он может переопределять настройку из файла. Просмотреть текущие параметры ядра можно командой cat /proc/cmdline. Правка загрузчика требует аккуратности: ошибка в конфигурации GRUB способна помешать загрузке системы, поэтому перед изменениями сохраните резервную копию и сверяйтесь с документацией вашей версии РЕД ОС.
Обратная ситуация — повторное включение SELinux после долгой работы в режиме disabled. Как уже упоминалось, файлы за это время не получали контекстов, поэтому перед включением создайте файл /.autorelabel и перезагрузитесь. Без перемаркировки службы могут массово получать отказы в доступе.
Часто задаваемые вопросы
Как узнать, включён ли SELinux в РЕД ОС?
Выполните в терминале команду getenforce. Ответ Enforcing означает активную защиту, Permissive — режим только журналирования, Disabled — модуль выключен. Подробный статус покажет команда sestatus.
Отключится ли SELinux сразу после правки /etc/selinux/config?
Нет. Изменение конфигурационного файла применяется только после перезагрузки системы, поскольку SELinux инициализируется на ранней стадии загрузки ядра. До перезагрузки можно временно переключить режим командой setenforce 0.
Чем permissive лучше полного отключения?
В режиме permissive политики загружены, контексты файлов продолжают обновляться, а все нарушения записываются в журнал. Это упрощает диагностику и позволяет вернуться к enforcing без перемаркировки файловой системы, которая потребуется после полного отключения.
Опасно ли отключать SELinux на домашнем компьютере?
Риск ниже, чем на сервере, но защитный барьер всё же снимается. Если отключение нужно для конкретного приложения, предпочтительнее режим permissive или точечная настройка политики. Полное отключение оправдано на изолированных тестовых стендах.
Что делать, если после включения SELinux обратно система работает со сбоями?
Скорее всего, файловые контексты устарели за время работы в режиме disabled. Создайте файл /.autorelabel командой sudo touch /.autorelabel и перезагрузитесь — система автоматически перемаркирует файловую систему при загрузке. Процесс может занять продолжительное время.