Nova resposta (22/03/2015)
( Nota: esta resposta é mais simples que a anterior, mas não mais segura. Minha primeira resposta é mais forte porque você pode manter os arquivos somente leitura pelas opções de montagem fs antes dos sinalizadores de permissão. Portanto, forçar a gravação de arquivos sem permissão para gravação não funcionará em absoluto.)
Sim, no Debian , existe um pacote: fsprotect ( página inicial ).
Ele usa aufs(por padrão, mas poderia usar outra unionfsferramenta) para permitir alterações de sessão ao vivo, mas na RAM, por padrão, para que tudo seja esquecido na reinicialização.
Você pode instalá-los executando simplesmente:
apt-get install fsprotect
Depois de concluído, no documento on-line:
Depois disso:
- Edite
/boot/grub/menu.lstou /etc/default/grub2ou /etc/lilo.confadicione " fsprotect=1G" aos parâmetros do kernel.
- Modifique 1G conforme necessário.
- Aplicar alterações (ou seja, executar
update-grub)
- Edite
/etc/default/fsprotectse você deseja proteger outros sistemas de arquivos /.
- reiniciar
Você também pode proteger com senha o gerenciador de inicialização grub ou proibir quaisquer alterações nele.
A partir daí, se algum arquivo estiver protegido contra alterações, por exemplo, por
chmod ugo-w myfile
se você usar a amostra vi myfilee tentar escrever nela com o comando :w!, isso funcionará e você será myfilealterado. Você pode reiniciar para recuperar não modificado myfile.
Isso nem é possível com a minha primeira solução a seguir:
Antiga (primeira) resposta:
Sim, é uma solução forte, mas poderosa!
Tornando r / o utilizável
Você tem que montar alguns diretórios em rw , como /var, /etce talvez /home. Isso pode ser feito usando aufs ou unionfs . Eu gosto disso de outra maneira , usando /dev/shme mount --bind:
cp -a /var /dev/shm/
mount --bind /dev/shm/var /var
Você poderia antes, mover todos os diretórios que não precisam alterar a operação normal em a static-var, do que criar links simbólicos em / var:
mkdir /static-var
mkdir /static-var/cache
mkdir /static-var/lib
mv /var/lib/dpkg /static-var/lib/dpkg
ln -s /static-var/lib/dpkg /var/lib/dpkg
mv /var/cache/apt /static-var/cache/apt
ln -s /static-var/cache/apt /var/cache/apt
... # an so on
Então, quando remontar em ro, copiando /varem /dev/shmnão tomar muito espaço, como a maioria dos arquivos são movidos para /static-vare apenas links simbólicos devem ser copiados na memória RAM.
A melhor maneira de fazer isso com precisão é fazer um ciclo de energia completo, um dia de trabalho completo e executar um comando como:
find / -type f -o -type f -mtime -1
Então você verá quais arquivos precisam estar localizados na partição de leitura e gravação.
Exploração madeireira
Como neste host não existe memória estática gravável, para armazenar o histórico e outros logs, você precisa configurar um syslogservidor remoto .
echo >/etc/syslog.conf '*.* @mySyslogServer.localdomain'
Dessa forma, se o seu sistema for interrompido por qualquer motivo, tudo será registrado antes.
Atualizando
Ao executar com alguns mount --bindem uso, para fazer essa atualização enquanto o sistema está em uso (sem a necessidade de executar init 1, para reduzir o tempo de inatividade), a maneira mais simples é recriar uma raiz limpa , capaz de fazer a atualização:
Após remontar '/' no modo de leitura e gravação :
mount -o remount,rw /
for mpnt in /{,proc,sys,dev{,/pts}};do
mount --bind $mnpt /$mnt$mpnt;
done
chroot /mnt
apt-get update && apt-get dist-upgrade
exit
umount /mnt/{dev{/pts,},proc,sys,}
sync
mount -o remount,ro /
E agora:
shutdown -r now