selinux 是导致 502 错误的关键排查项，尤其在 centos/rhel 上；需用 getenforce 确认 enforcing 状态，ausearch 查 avc 拒绝日志，执行 setsebool -p httpd_can_network_connect 1 临时放行 nginx 外连，避免关闭 selinux。

502 错误本身不直接暴露 SELinux 是否介入，但当其他基础检查都正常（服务在跑、端口通、配置无误、超时合理）却仍持续返回 502，SELinux 就是必须验证的一环——尤其在 CentOS/RHEL 系统上。

确认 SELinux 当前状态

先看它是不是开着：

• 运行 getenforce：输出 Enforcing 表示已启用并生效；Permissive 是记录不拦截；Disabled 则完全无关
• 若为 Enforcing，再查是否因网络连接被拒：ausearch -m avc -ts recent | grep nginx 或翻 /var/log/audit/audit.log，找含 avc: denied 和 connect、name_connect 的条目

快速验证是否 SELinux 导致 502

临时放行网络访问（不关 SELinux），最稳妥的测试方式：

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

• 执行 setsebool -P httpd_can_network_connect 1 —— 这条命令允许 Nginx（作为 httpd 类型进程）发起 outbound 连接，覆盖绝大多数反向代理场景
• 无需重启 Nginx，立刻用 curl -I http://your-domain 测试。如果 502 消失，基本可锁定是 SELinux 策略限制
• 注意：不要用 setenforce 0 临时关闭，那会掩盖真实策略问题，且生产环境禁止

区分 403 和 502 的 SELinux 原因

别混淆两类错误的 SELinux 触发点：

• 403 多因文件上下文不对（如网页根目录类型不是 httpd_sys_content_t），用 ls -Z /var/www 查看，用 semanage fcontext 修复
• 502 几乎只因 httpd_can_network_connect 被禁，导致 Nginx 无法 connect() 到 localhost:8080 或上游 IP:端口
• 如果后端走 Unix socket（如 proxy_pass http://unix:/tmp/backend.sock），还需额外开启 httpd_can_network_connect_db 或手动调整 socket 上下文

避免误判的实操建议

SELinux 不是“黑盒”，排查时要交叉验证：

• 用 curl -v http://127.0.0.1:8080 直连后端，成功但 Nginx 报 502 → 高度怀疑 SELinux 或 Nginx 用户权限问题
• 用 ss -tlnp | grep :8080 确认后端监听的是 127.0.0.1:8080 而非 localhost:8080 或 ::1:8080，IPv6 地址有时触发不同 SELinux 规则
• 检查 Nginx worker 进程的上下文：ps -Z | grep nginx，应看到类似 system_u:system_r:httpd_t:s0，不是 unconfined_t