selinux处于enforcing模式时会拦截服务启动、端口绑定和文件读写；用setenforce 0可临时切至permissive验证，改/etc/selinux/config并重启才能永久禁用，grub加selinux=0仅单次生效。
getenforce 返回 Enforcing 就说明 SELinux 正在拦你
很多服务起不来、端口 bind 失败、文件读写被拒，getenforce 一查是 Enforcing，基本就能锁定问题源头。这不是“可能有关”，而是大概率就是它在拦截——比如你改了 Nginx 配置监听 8080，但 systemctl start nginx 报错，journalctl -u nginx 里没明显错误，这时候就该怀疑 SELinux。
临时关：用 setenforce 0 快速验证，别直接永久关
这是最安全的第一步：不改配置、不重启、立刻生效，且可逆。
-
sudo setenforce 0立即切到Permissive模式（getenforce输出变为Permissive） - 此时所有 SELinux 拦截全部放开，但违规行为仍记进
/var/log/audit/audit.log，方便后续分析 - 如果服务立刻正常，说明确实是 SELinux 策略冲突；如果还不行，问题在别处，不用再往下折腾 SELinux
- 别用
echo 0 > /selinux/enforce——这个路径在现代内核（RHEL/CentOS 7+、Alma/Rocky 8+）已废弃，会报No such file or directory
永久关：改 /etc/selinux/config，不是 /etc/sysconfig/selinux
虽然两个路径在多数发行版中是软链，但真实配置入口始终是 /etc/selinux/config。编辑错位置会导致重启后无效。
- 用
sudo vi /etc/selinux/config打开，找到SELINUX=enforcing这一行 - 把它改成
SELINUX=disabled（注意不是permissive，后者仍是加载策略的） - 保存退出后必须
reboot，仅systemctl restart systemd-selinux或类似操作完全无效 - 重启后运行
getenforce应输出Disabled，同时sestatus的 “Loaded policy name” 字段为空，才真正关闭
紧急绕过：GRUB 加 selinux=0，适合进不了系统时救急
比如修改配置出错导致登录失败、SSH 连不上，又没法物理接触服务器，这个方法能让你先起来干活。
- 重启，在 GRUB 菜单按
e编辑启动项 - 找到以
linux开头的行（含vmlinuz），在行尾空格后加selinux=0 - 按
Ctrl+X或F10启动，这次启动全程无 SELinux -
getenforce会显示Disabled，但注意：这只是当次有效，下次重启还会恢复原状 - 别把它当永久方案——它跳过了整个 SELinux 子系统初始化，某些依赖安全上下文的工具（如
restorecon）会失效或报错
真正麻烦的不是“怎么关”，而是关完发现 audit 日志里一堆 AVC 拒绝记录，说明之前靠 SELinux 挡住了真实风险。如果你只是为跑通某个旧应用而关，至少先用 setenforce 0 捕获日志，再用 ausearch -m avc -ts recent | audit2why 看看到底拦了什么——有时候加一条 semanage port -a -t http_port_t -p tcp 8080 就够了，根本不用关。
