Executando o Linux em um disco somente leitura - é possível?

Question

Gostaria de saber se é possível executar um servidor Linux a partir de um disco somente leitura, especificamente o CentOS 5.4.

Nosso sistema tem várias máquinas Linux, cada uma com seu próprio disco, com o sistema operacional instalado. Tudo está habilitado para leitura / gravação no momento. Estamos inicializando a partir desses discos, mas executando todos os nossos softwares que desenvolvemos em alguns discos externos compartilhados pelo NFS.

O que queremos fazer é garantir que nada seja alguma vez gravado no disco interno com o SO nele, apenas na unidade externa compartilhada por meio do NFS. Estou pensando que provavelmente podemos gerenciar isso editando o arquivo / etc / fstab e montando a unidade como somente leitura.

Então, se pegássemos uma imagem do disco interno, então inicializássemos o sistema, executássemos nosso software (que tocaria apenas os discos externos), depois desligássemos o sistema e tirássemos outra imagem do disco interno, não haveria único byte diferente.

O próprio SO vai querer escrever seus próprios arquivos de log, então eu não posso ver que montar as unidades como somente leitura resultaria em um sistema operacional em funcionamento - ou seria?

Eu só posso pensar que algum tipo de inicialização de rede conseguiria isso, mas não há possibilidade de adicionar uma máquina extra para atuar como um servidor DHCP e TFTP para isso.

Qualquer ajuda ou ideia seria muito apreciada! :)

    

Answer 1

Sim, é possível executar um servidor Linux com mídia somente leitura. Veja o Devil Linux; esses servidores são executados em um disco de CD.

Você pode criar um espaço gravável para coisas como arquivos de log usando um disco RAM. O espaço será muito apertado, no entanto. Eu não recomendaria fazer isso, exceto por circunstâncias muito especializadas.

Na maioria dos casos, você pode hibridizar o processo; a maior parte do servidor é somente de leitura, mas há um espaço de rascunho para arquivos de log com uma unidade interna ou unidade USB.

Você também pode fazer isso com roteadores Linux inicializáveis, como eu os vi feitos para inicializar a partir de um disquete que é somente de leitura.

Outra desvantagem são atualizações. O pensamento era que, mesmo que alguém quebrasse alguma falha, eles não poderiam causar muitos danos, já que eles não podem alterar os arquivos do sistema ou qualquer coisa assim, eu acho. Periodicamente, você atualiza a imagem master ou obtém a mais nova imagem ISO e usa isso para inicializar a partir da atualização; com o servidor Devil Linux que eu tinha experimentado eu tinha a imagem ISO para inicializar a partir de então usava um disco USB para puxar os arquivos específicos da configuração para esse servidor. Alternativamente, você pode editar os arquivos necessários para sua configuração particular e reintegrá-los com o diretório / etc do CD e gravar novamente o disco.

De qualquer forma, sim, isso pode ser feito, mas é um problema de manutenção e algo a ser considerado apenas em casos muito especializados.

    

Answer 2

"I'm wondering if it is possible to run a Linux server from a read only disk, specifically CentOS 5.4."

Não, o servidor precisará de algum local para gravar dados. Os logs são um bom exemplo disso.

No entanto, você pode configurar partições de forma que o sistema seja separado do restante do seu armazenamento.

Por exemplo, eu participo normalmente uma área de trabalho para ter uma partição / home / para dados do usuário, uma partição raiz / para o resto e depois quaisquer unidades adicionais que particionarei por conta própria e adicionarei ao fstab após a instalação para montá-las onde eles pertencem.

    

Answer 3

Acho que é possível - suponho que você deva dar uma olhada nos Live CDs e fazer um live cd personalizado.

    

Answer 4

Inicie seus sistemas não a partir do disco rígido, mas a partir de uma unidade flash USB ao vivo protegida contra gravação. Existe um utilitário no Fedora - livecd-iso-to-disk - que também funciona para o Centos LiveCD. Você pode personalizá-lo facilmente usando o recurso "overlay" e, em seguida, ativar a proteção contra gravação.

As alterações no disco do sistema serão possíveis, mas não sobreviverão à reinicialização - elas estarão apenas na memória.

Apenas montar partições somente leitura não ajudaria muito na segurança, pois quando o sistema é comprometido, a primeira coisa que um cracker fará será remontá-lo para leitura-gravação. Apenas a segurança física garantirá que nenhum dado no disco seja alterado.

Mas você nunca receberá atualizações de segurança para esses sistemas, por isso precisa ter muito cuidado.