По умолчанию Ubuntu и большинство других Unix запрещают обычным пользователям (студентам, гостям) доступ к системным файлам. Только администратор с соответствующими полномочиями (имя пользователя и ключ) может устанавливать программное обеспечение, изменять системные настройки или удалять разделы.

Обычные пользователи по умолчанию могут писать только в свой домашний каталог и временный каталог системы. Обычный способ обработки одноразовых гостевых сессий - поместить их домашний каталог во временный каталог, а временный каталог - в основную память.

Если вы хотите убедиться в этом, установите системный раздел только для чтения и положите поверх него aufs раздел, который хранит изменения в основной памяти.

fsprotect - это набор скриптов, которые защищают существующие файловые системы. fsprotect отлично подходит для общедоступных компьютеров, таких как библиотеки, интернет-кафе и т. д.

Используя aufs, они упаковывают файловую систему tmpfs, заставляя записывать изменения в файловую систему tmpfs.

Корневая файловая система защищена скриптом initramfs. Другие файловые системы защищены скриптом инициализации. Все защищенные файловые системы становятся доступными только для чтения, обеспечивая их неизменность даже при отключении питания.

Чтобы установить fsprotect во всех поддерживаемых в настоящее время версиях Ubuntu, откройте терминал и введите:

sudo apt-get install fsprotect

Преимущества использования fsprotect:

• Файловые системы защищены и без изменений когда-либо записывается на диск.
• Защищенные файловые системы монтируются только для чтения. Это означает, что они не повреждены при неправильном выключении компьютера.
• Это очень удобно.
• В некоторых случаях это делает доступ к файловой системе быстрее.

Недостатками использования fsprotect являются:

• Изменения файловой системы не могут превышать предопределенный лимит в байтах (установленный вами).
• Поскольку tmpfs интенсивно используется, вам необходимо иметь достаточное пространство подкачки.

Предупреждение: Я реализовал это решение, и оно работает, но время объединения, чтобы вернуться к моментальному снимку, может привести к длительному процессу загрузки, если большие изменения были внесены в систему во время последней загрузки. В течение этого периода ожидания пользователям может показаться, что система зависает!

Также следует помнить, что любой, кто обладает достаточными знаниями для установки моментального снимка, может внести изменения в «замороженное» состояние. Я воспользовался этой возможностью для обновления «замороженных» систем, но опять же, это также может увеличить время, необходимое для объединения (возврата к) снимка!

Снимки LVM + cron + script = «замороженное» состояние

Недавно я начал копаться в LVM, и мне пришло в голову, что можно реально создать «замороженное» состояние на машине, используя LVM и его возможности моментальных снимков. Конечно, для этого метода требуется система, настроенная с использованием LVM (или, по крайней мере, LVM на разделах, которые должны быть заморожены).

Резюме:

• Установите систему на разделы LVM, зарезервировав достаточно места на PV для моментального снимка
• Настройте систему так, как вы этого хотите. [тысяча сто двадцать девять]
• Создайте задание cron, которое запускается от имени root при загрузке, чтобы объединить снимок, и создайте новый снимок, чтобы заменить объединенный.
• Все последующие перезагрузки возвращаются к снимку. Все созданные снимки сделаны из системы в том состоянии, в котором вы ее создали.
• В качестве дополнительного бонуса снимок может быть смонтирован и изменен (при условии, что у вас есть привилегии root), а «замороженное» состояние может быть обновлено при необходимости.

Подтверждение концепции: Заморозьте все, кроме одного раздела, из чистой установки

Установка:

• Загрузка из live Ubuntu disc / USB и выберите опцию «Попробуйте Ubuntu без установки». Это важно для ручной настройки разделов с помощью LVM
• Когда Ubuntu загружает разделы вашего диска, используя инструмент по вашему выбору, чтобы у него был один раздел, который занимает все пространство диска. Вот с чем я работаю:
  • /dev/sda (размер 1T)
    • /dev/sda1 (размер 1T)
  • Далее в терминале настройте LVM на /dev/sda1. Я собираюсь поместить большую часть системы в один раздел, но вам не придется этого делать.
    • sudo pvcreate /dev/sda1
    • sudo vgcreate ubuntu-vg /dev/sda1
    • sudo lvcreate -n swap -L 1G ubuntu-vg
    • sudo lvcreate -n unfrozen -L 10G ubuntu-vg
    • sudo lvcreate -n root -l +50%free ubuntu-vg
  • Теперь, если вам нужно было запустить sudo vgs, а затем sudo lvs, вы должны увидеть, что количество свободного места, оставшегося в группе томов «ubuntu-vg» (VFree под выводом vgs), равно равно количеству места, занимаемого логическим томом «root» (LSize при выводе lvs). В моем случае у меня есть 506,44 г свободного в Ubuntu-VG, а мой корневой раздел имеет размер 506,44 г. Если свободное место в группе томов равно размеру раздела, который я хочу заморозить, я смогу стереть весь раздел и все еще восстановить после перезагрузки. Оставьте оставшееся свободное место в Ubuntu-VG пока неиспользованным. Мы будем использовать его позже.
  • Теперь установите Ubuntu, используя ручное разбиение
  • Когда установка будет завершена, продолжите и перезагрузитесь во вновь установленную систему.
  • После загрузки в новую систему настройте ее так, чтобы она была именно такой, какой вы хотите, чтобы компьютер каждый раз загружался.
    • Если вы не случайно изменили снимок и не хотите, чтобы раздел снимка отображался в строке меню ...
      • mkdir /steady
      • Отредактируйте /etc/fstab, добавив (это все одна строка) /dev/ubuntu-vg/steadystate /steady ext4 defaults,ro,nofail 0 1 в качестве последней строки файла
      • Поскольку такие вещи, как обновления, будут сдуваться с каждой перезагрузкой, Вы можете отключить их.
      • Если у вас есть незамерзающий раздел, такой как у меня, в / unfrozen, не забудьте сделать его доступным для пользователей, которым необходим доступ к нему
    • Как только система настроена точно так, как вы хотите, создайте следующий скрипт ( вам понадобятся права суперпользователя) и сохраните как /root/steadystate.sh в вашем любимом редакторе. Обратите внимание, что если вы изменили имя группы томов при настройке LVM, вам также потребуется обновить его в приведенном ниже сценарии.

        #!/bin/bash
        LOG=/dev/kmsg
    
        # wait for merge in progress
        echo -n "Reverting to snapshot if present... " | tee -a $LOG
        merging=1
        while [ "$merging" == "1" ];
        do
            /usr/sbin/service lightdm stop #prevent the auto-login/login screen from loading
            [ "$(sudo lvs -a | grep steadystate)" == "" ] && merging=0
            sleep 1
        done
    
        # create snapshot
        echo -n "Creating new snapshot... " | tee -a $LOG
        /sbin/lvcreate -s -n steadystate -l +100%free /dev/ubuntu-vg/root
    
        # make sure root comes online before trying to merge
        while [ ! -e /dev/mapper/ubuntu--vg-root];
        do
            sleep .5;
        done
        echo -n "Scheduling reset to snapshot... " | tee -a $LOG
        /sbin/lvconvert --merge /dev/ubuntu-vg/steadystate
    
        echo -n "Starting lightdm... " | tee -a $LOG
        /usr/sbin/service lightdm start
    

    • Наконец, запустите sudo crontab -e, выберите редактор и поместите @reboot /bin/bash /root/steadystate.sh в конец файла. Сохраните и закройте ( Ctrl + X ; ответьте Y для сохранения)
    • Перезагрузитесь, и у вас должна быть система, которая заморожен, за исключением раздела, смонтированного в / unfrozen

    Это работает, потому что моментальный снимок создается во время загрузки, и хотя мы передаем команду для объединения моментального снимка сразу после этого, моментальный снимок не может быть объединены, когда логический том для root активен. Поэтому он откладывает действие слияния до следующей активации / dev / ubuntu-vg / root, что происходит при следующей перезагрузке. Это действие также может быть запущено, если система была загружена с живого USB.

    Просто для удовольствия я вошел после перезагрузки и запустил sudo apt remove --purge firefox* libreoffice-* unity*, что я обычно не советую делать, потому что он удаляет некоторые полезные программы и переводит систему в состояние, которое может быть нежелательным! Система даже не отключится должным образом из графического интерфейса. Так как же это исправить? Перезагружать! После перезагрузки все было в порядке. Firefox, LibreOffice и Unity вернулись на свои места.

    Я также пытался удалить Linux *. Это оставляло машину неспособной к загрузке, однако, простая загрузка с живого диска Ubuntu, казалось, произвела слияние. Повторный перезапуск оставил систему в «замороженном» состоянии

    Если вы хотите иметь возможность вносить изменения, вы можете (повторно) смонтировать снимок с правами rw, а затем выполнить привязку к нему и внести любые необходимые изменения. оставаться постоянным. Это не безупречно, но это доказательство концепции.