Bug 2616

Summary: [FR] [3.1] filesystem mount options could be better controlled
Product: Sisyphus Reporter: Michael Shigorin <mike>
Component: alterator-vmAssignee: Олег Соловьев <mcpain>
Status: CLOSED FIXED QA Contact: qa-sisyphus
Severity: enhancement    
Priority: P5 CC: inger, kirill, ldv, legion, mcpain, rider
Version: unstable   
Hardware: all   
OS: Linux   
Bug Depends on:    
Bug Blocks: 7371    

Description Michael Shigorin 2003-05-26 19:48:34 MSD
installer/setup could allow for centralized control over most important filesystems; particularly (citing ldv):

&gt; nodev на /usr
&gt; nosuid,nodev на /var
&gt; noexec,nosuid,nodev на /tmp
&gt; noexec,nosuid,nodev на /home

NB: it is strongly discouraged to make any of these uncontrolled default.  Except /usr, probably.
---

---

Comment 1 inger@altlinux.org 2004-05-14 17:54:26 MSD
to maintainer 
Comment 2 Anton Farygin 2004-05-14 18:41:57 MSD
в TODO
Comment 3 Anton Farygin 2004-06-30 18:01:07 MSD
в TODO к новому мантейнеру
Comment 4 Michael Shigorin 2004-07-16 12:03:39 MSD
не, это FR на _новый_ инсталлер... куда перевесить? :)
Comment 5 Sergey Bolshakov 2004-07-16 12:27:19 MSD
повисит тут пока
Comment 6 Sergey Bolshakov 2004-09-20 17:03:08 MSD
в долгий ящик
Comment 7 Michael Shigorin 2005-04-29 23:37:37 MSD
ящик пришёл?
Comment 8 Sergey Bolshakov 2005-05-24 12:56:01 MSD
reassigned to proper package
Comment 9 Michael Shigorin 2007-02-04 19:58:00 MSK
Перевешиваю.
Comment 10 Sergey Bolshakov 2007-02-04 23:19:31 MSK
Правильно ли я понимаю, что коль речь о centralized control, то
следовало бы реализовать возможность назначения опций монтирования
в профилях ?
Comment 11 Michael Shigorin 2007-02-05 16:40:23 MSK
В чём-то да, только это профили, ортогональные ФСным -- что-то вроде msec, если
помнишь.

Возможно, опять в долгий ящик -- до появления expert-режима и централизованного
гайкозажимателя.
Comment 12 Dmitry V. Levin 2007-03-08 20:50:31 MSK
ping
Comment 13 Sergey Bolshakov 2007-03-09 16:23:19 MSK
в /vm ничто не препятствует назначению опций монтирования,
отличных от default. Жду предложений, если нынешнего поведения
недостаточно.
Comment 14 Michael Shigorin 2007-03-11 23:41:23 MSK
Если хочешь, можешь использовать рекомендации из первого сообщения в болванке
серверной разбивки, а вручную -- уже достаточно.

Правда, на самом по себе /var "nosuid,nodev" несовместимо с /var/lib/vz.  Может
иметь смысл для серверного инсталера с ovz по умолчанию делать отдельный
/var/lib/vz -- ldv, legion, что скажете? (или забыть и закрыть нафиг, поскольку
good enough)

А, ещё noexec на там, где $TMPDIR, несовместимо с mc было. :)
Comment 15 Dmitry V. Levin 2007-03-14 04:48:31 MSK
Предлагаю такую логику:

nosuid: везде, кроме / и /usr
nodev: везде кроме /, /var и /home
noexec добавлять автоматически, похоже, нереально.

Да, и неплохо бы добавить /var/lib/vz в список известных точек монтирования.
Comment 16 Michael Shigorin 2007-03-14 12:58:12 MSK
Ага по всем пунктам.
Comment 17 Sergey Bolshakov 2007-03-14 13:40:55 MSK
прошу пояснить, где эти соглашения предполагается предлагать/форсировать ?
- в автоинсталле (--> в профиле)
- в ручной разбивке
Comment 18 Michael Shigorin 2007-03-14 14:00:33 MSK
Форсировать нигде не стоит, предлагать в server все три пункта из комментария
Димы -- IMHHO стоит, в ручной разбивке было бы неплохо предлагать, но критичен
внятный help.

2 kirill: см. тж. свежий тред в devel@ From: lakostis@ Subject: U: alterator-vm
Comment 19 Sergey Bolshakov 2007-03-14 14:11:17 MSK
mike: в авторазбивке оно либо форсируется, либо не выполняется вовсе.

Comment 20 Michael Shigorin 2007-03-14 18:57:44 MSK
Торможу, поскольку без ручного подтверждения автомат пока не пользовал.

Вообще изначальный смысл был скорее в том, чтобы начинающий администратор при
использовании ALT Linux сразу получил интересные хинты (не в виде грабель), а
потом уже сам про них читал и думал, где/что ещё можно применить.

Вот комплект "умеренно закрутить гайки" с повышенной возможностью их заметить и
пониженной -- наступить на побочные эффекты:

* server
nosuid: везде, кроме /, /usr и /home
nodev: везде, кроме /, /var и /home
noatime: /usr

* workstation
nodev,noatime: /usr

* custom
nosuid: /home
nodev: /home
noatime: /usr
Comment 21 Alexander Volkov 2007-03-15 09:00:11 MSK
(In reply to comment #20)
> Вот комплект "умеренно закрутить гайки" с повышенной возможностью их заметить 
и
> пониженной -- наступить на побочные эффекты:
> 
> * server
> nosuid: везде, кроме /, /usr и /home
> nodev: везде, кроме /, /var и /home
> noatime: /usr
> 
> * workstation
> nodev,noatime: /usr
> 
> * custom
> nosuid: /home
> nodev: /home
> noatime: /usr

Поддерживаю, хотя таки ставлю noatime ещё и на /var с /home
Comment 22 Denis Smirnov 2007-03-15 10:22:36 MSK
http://www.freesource.info/wiki/RazbienieDiska

немного устарело, но мое мнение по поводу флагов более-менее аргументировано там
есть.
Comment 23 Dmitry V. Levin 2007-03-16 02:57:00 MSK
> ------- Additional Comment #17 From Sergey Bolshakov 2007-03-14 13:40 -------
> прошу пояснить, где эти соглашения предполагается предлагать/форсировать ?
> - в автоинсталле (--> в профиле)
> - в ручной разбивке

Во всех профилях предполагается форсировать.
В диалоге выбора точки монтирования предполагается предлагать.
Например, при изменении точки монтирования, когда фокус ввода
покидает виджет выбора точки монтирования, устанавливать
параметры монтирования сообразно выбранной точке монтирования;
ну а пользователь сможет поменять их прежде чем нажмёт OK.

Ну и noatime для /usr не повредит, наверное.

2mike: не вижу смысла делать разные правила назначения
nosuid и nodev в зависимости от профиля.
Comment 24 Mikhail Gusarov 2007-03-16 16:49:35 MSK
В списке уже есть /var/www и /var/ftp с особыми настройками. Есть ещё один 
популярный сервис, для кэша которого неплохо бы сделать отдельный mountpoint, 
из-за специфичности работы с диском: squid.

("/var/cache/squid" . "nodev,nosuid,noexec,noatime")
Comment 25 Michael Shigorin 2007-03-17 01:34:19 MSK
(In reply to comment #21)
> Поддерживаю, хотя таки ставлю noatime ещё и на /var с /home
Нельзя по умолчанию -- там есть приличные шансы, что на него полагаются (как
минимум MUA).  А руками уж каждый пусть сам думает.

2 ldv: я вижу -- отчасти как замену отсутствующему регулятору, который
подразумевался в самом начале бага (помнишь expert mode и msec?).  Если хочешь,
то возможность в рассылке или по телефону выдать краткую рекомендацию по снятию
проблемы, а не рассказывать на пальцах всю историю.
Comment 26 Michael Shigorin 2007-03-17 01:44:22 MSK
(In reply to comment #24)
> ("/var/cache/squid" . "nodev,nosuid,noexec,noatime")
BTW, хороший пример целесообразности reiserfs (и RAID0).  squid -z дешёвый ;)
(это не совсем пуленепробиваемое решение -- reiserfs3 иногда действительно
рассыпается вдребезги, хотя к тому количеству сбоев по питанию ext* обычно тоже
уже давно дурно)
Comment 27 Sergey Bolshakov 2007-03-26 13:43:29 MSD
done in 0.3-alt8
Comment 28 Michael Shigorin 2007-05-01 19:16:51 MSD
Ура :-)

Долгий ящик сделал своё дело :-)