selinux深度限制网络行为的核心是 enforcing 模式下的类型强制策略，需通过布尔值开关、端口标签和 audit2allow 生成最小权限规则实现精准控制。
要深度限制系统服务的网络行为，SELinux 的核心不是“放开网络”，而是“精确控制谁、在什么条件下、能访问哪些网络资源”。关键在于类型强制（TE）策略、端口标签、布尔值开关和最小化授权逻辑。配置不是一蹴而就，而是观察→分析→约束→验证的闭环过程。
确认并锁定强制模式
所有深度限制的前提是 SELinux 处于 enforcing 模式。宽容（permissive）或禁用（disabled）状态无法真正拦截行为。
- 运行
sestatus检查：输出中 Current mode 和 Mode from config file 都应为 enforcing - 若非如此，编辑
/etc/selinux/config，设置SELINUX=enforcing并重启；临时启用可用sudo setenforce 1 - 切勿跳过此步——没有 enforcing 模式，后续所有策略形同虚设
识别服务域与默认网络能力
每个服务进程运行在专属域（domain）中，如 httpd_t、mysqld_t、redis_t。这些域默认是否允许联网，取决于策略设计和布尔值开关。
- 查看服务进程上下文：
ps -eZ | grep httpd→ 确认其类型为httpd_t - 检查该域的网络布尔值：
getsebool -a | grep httpd_can_network，常见项包括：httpd_can_network_connect（是否可主动发起连接）httpd_can_network_connect_db（是否可连数据库端口）httpd_can_sendmail（是否可调用 sendmail） - 默认多数为
off；如需联网，必须显式开启，且仅开所需项，例如只连 MySQL 就只开httpd_can_network_connect_db，而非全开httpd_can_network_connect
精准约束端口与协议
SELinux 不按 IP 或域名限制，而是按端口标签（port type）控制。服务只能访问被标记为兼容类型的端口。
- 查看当前端口标签：
semanage port -l | grep http_port→ 显示http_port_t绑定的端口（如 80, 443, 8008） - 若服务需监听或连接自定义端口（如 8080），先确认该端口是否已有合适标签：
semanage port -l | grep 8080 - 若无，为其分配标准类型（如 Web 服务用
http_port_t）：sudo semanage port -a -t http_port_t -p tcp 8080 - 禁止服务访问非标准端口：不为其打标签，或用
semanage port -d删除错误绑定
从拒绝日志生成最小权限策略
当服务因网络受限报错时，SELinux 会在 audit 日志中记录 AVC 拒绝事件。这是定制策略最真实、最安全的依据。
- 收集最近的网络拒绝：
ausearch -m avc -se httpd_t -m netif -m node -i | grep "connect\|name_connect" - 提取关键信息后，用
audit2allow生成最小规则：ausearch -m avc -se httpd_t -i | audit2allow -M myhttpd_net - 安装模块：
sudo semodule -i myhttpd_net.pp - ⚠️ 注意：避免直接使用
audit2allow -a全量生成；务必人工审查 .te 文件，删掉冗余规则（如对tmpfs_t或proc_t的访问），只保留明确需要的name_connect、node_bind等网络相关规则
