在CentOS系统中，SELinux默认处于Enforcing模式，很多服务明明启动了、防火墙也放行了，但客户端就是连不上，问题十有八九出在SELinux的端口上下文配置上。用semanage命令管理SELinux端口类型和上下文，是解决这类问题最直接、最规范的方法。核心操作就三步：查看当前端口上下文、添加自定义端口规则、验证规则是否生效。下面我会把每个环节掰开了讲，包括常用命令、参数含义、实战案例和排错思路。
一、先搞懂SELinux端口管理的基本逻辑
SELinux通过"类型（type）"和"上下文（context）"两套机制来控制访问。每个端口都有一个标签，比如http_port_t、ssh_port_t。进程运行在某个域（domain）里，只能访问被标记为对应类型的端口。你把一个非标准服务跑在8080端口，但SELinux不认识这个端口的类型，就会直接拒绝连接。semanage就是用来给端口打标签、改标签的官方工具，它属于policycoreutils-python-utils软件包。
二、确认semanage工具是否已安装
不是所有CentOS最小安装都自带semanage。先检查一下：
which semanage
如果没有输出，执行安装：
yum install -y policycoreutils-python-utils
CentOS 8及以上版本用dnf：
dnf install -y policycoreutils-python-utils
装完之后验证版本：
semanage --version
三、查看当前所有端口的SELinux上下文
这是排错的第一步，先看看系统里哪些端口已经被标记了：
semanage port -l
输出结果类似这样：
http_port_t tcp 80, 81, 443, 488, 8008, 8009, 8443 ssh_port_t tcp 22
你会看到每个类型后面跟着协议（tcp/udp）和端口号列表。如果你要用的端口不在列表里，就需要手动添加。
四、添加自定义端口到指定类型
假设你要让Nginx跑在8080端口，需要把8080/tcp加到http_port_t类型：
semanage port -a -t http_port_t -p tcp 8080
参数解释：
-a 表示添加（add），-t 指定目标类型，-p 指定协议，最后是端口号。如果端口已经存在于该类型，系统会报错，这时候用-m（modify）替换-a，或者先用-d删除再添加。
再举个例子，给MariaDB的3307端口加标签：
semanage port -a -t mysqld_port_t -p tcp 3307
如果你不确定某个服务应该用什么类型，可以先查一下已有的类型列表：
semanage port -l | grep -i mysql
五、删除和修改端口规则
删除某个端口的规则：
semanage port -d -t http_port_t -p tcp 8080
修改端口的类型（比如把8080从http_port_t改成其他类型）：
semanage port -m -t http_cache_port_t -p tcp 8080
注意，-m和-a不能同时用，修改的前提是该端口已经在目标类型中存在。
六、查看特定类型下的端口详情
如果你只想看http_port_t类型下有哪些端口：
semanage port -l -t http_port_t
或者查看所有类型的完整列表：
semanage port -l -C
-C参数会以更紧凑的格式输出，方便快速浏览。
七、SELinux上下文不只是端口，还有文件和进程
semanage不只管端口。它还管理文件上下文（fcontext）和布尔值（boolean）。很多时候端口问题其实是文件上下文不对导致的。比如你把网站文件放在/data/www目录下，但SELinux认为那个目录是default_t类型，httpd进程访问不了。解决方法：
semanage fcontext -a -t httpd_sys_content_t "/data/www(/.*)?"
然后用restorecon应用：
restorecon -Rv /data/www
这一步很多人会忽略，但它和端口配置同样重要。端口标签对了，文件标签不对，服务照样起不来。
八、SELinux布尔值的快速开关
有些场景不需要改端口类型，只需要打开一个布尔开关。比如允许HTTP进程连接远程数据库：
setsebool -P httpd_can_network_connect_db 1
-P参数表示永久生效（写入策略文件），不加-P只在当前会话有效。查看所有布尔值：
getsebool -a | grep httpd
常见的和Web服务相关的布尔值还有httpd_can_network_connect、httpd_enable_homedirs等，根据实际需求开启。
九、实战排错：服务启动了但端口不通的完整流程
遇到这种情况，按以下顺序排查：
第一步，确认服务确实在监听：
ss -tlnp | grep 8080
第二步，确认防火墙放行：
firewall-cmd --list-ports
第三步，检查SELinux是否拦截：
ausearch -m avc -ts recent
如果看到类似"denied"的记录，说明SELinux在阻止。第四步，查看端口上下文：
semanage port -l | grep 8080
如果没有8080，就用前面的命令添加。第五步，如果添加后还不行，检查文件上下文和布尔值。全部确认后重启服务：
systemctl restart httpd
十、关于临时禁用SELinux的警告
很多人图省事直接setenforce 0把SELinux关掉。这在生产环境是非常危险的做法。SELinux是CentOS安全体系的核心组件，关掉它等于把大门敞开。正确的做法永远是用semanage去配置规则，让SELinux在Enforcing模式下正常工作。如果实在需要临时调试，可以用setenforce 0，但一定要记得改完之后setenforce 1恢复。
十一、查看和恢复默认策略
如果你改乱了想恢复默认，可以用：
semanage port -D
这会删除所有自定义端口规则，恢复到策略包的默认状态。文件上下文同理：
semanage fcontext -D
但要注意，这会清除你所有的自定义配置，操作前务必确认。
十二、CentOS 7和CentOS 8的差异提醒
CentOS 7使用的是SELinux策略版本30左右，CentOS 8/Stream使用的是31以上版本，部分类型名称可能有变化。比如CentOS 8中http_port_t的定义范围更广。如果你从7迁移到8，旧的规则可能需要重新检查。另外CentOS 8开始逐步转向AppStream和模块，某些服务的SELinux策略包名称也变了，安装时注意用对应的包名。
总结
semanage是CentOS上管理SELinux端口和上下文最核心的命令行工具。掌握port子命令的-a、-m、-d、-l参数组合，配合fcontext和boolean的使用，基本能覆盖90%以上的SELinux访问控制问题。关键原则是：不要关SELinux，要学会配置它。每次改完规则用ausearch验证、用ss确认监听、用curl或浏览器实际测试，形成闭环。把这些命令练熟了，CentOS的安全管理就不再是黑箱操作。
