Dans ce script : secure_tmp | JShielder - Linux Server Hardening Script
l'auteur propose 2 choses :
- Créer un systeme de fichiers temporaires tmpfs ayant /tmp pour point de montage.
- Replacement de /var/tmp par un lien pointant vers /tmp
Ce qui donne pour le 1er point :
Pour un système sans partition dédiée à /tmp
Code : Tout sélectionner
# dd if=/dev/zero of=/usr/tmpDISK bs=1024 count=2048000
# mount -t tmpfs -o loop,noexec,nosuid,rw /usr/tmpDISK /tmp
# echo "/usr/tmpDISK /tmp tmpfs loop,nosuid,noexec,rw 0 0" >> /etc/fstab
et avec une partition dédiée /dev/sdxy
simplement :
Code : Tout sélectionner
# echo "/dev/sdxy /tmp tmpfs loop,nosuid,noexec,rw 0 0" >> /etc/fstab
et pour le 2d point :
Code : Tout sélectionner
# rm -rf /var/tmp
# ln -s /tmp /var/tmp
Par ailleurs, on peut lire dans Tmpfs — The Linux Kernel documentation
tmpfs puts everything into the kernel internal caches and grows and shrinks to accommodate the files it contains and is able to swap unneeded pages out to swap space. It has maximum size limits which can be adjusted on the fly via ‘mount -o remount …’
....
Some people (including me) find it very convenient to mount it e.g. on /tmp and /var/tmp and have a big swap partition.
...
Traduction :
tmpfs place tout dans les caches internes du noyau (en RAM) et s'agrandit et se rétrécit pour s'adapter aux fichiers qu'il contient
et est capable de "swapper" les pages inutiles vers l'espace d'échange.
Il a des limites de taille maximale qui peuvent être ajustées à la volée via 'mount -o remount ...'.
...
Certaines personnes (dont moi) trouvent très pratique de le monter par exemple sur /tmp et /var/tmp
et d'avoir une grande partition d'échange.
...
Comme jusqu'à présent, je plaçais /tmp et le swap sur des volumes LVM distincts,
je me demande s'il ne serait pas plus judicieux de supprimer le LV prévu pour /tmp
et de redistribuer l'espace libéré entre la racine et le swap ?
Notez que pour éviter la saturation du volume "racine",
je place déjà /var/log et /var/cache sur des LV dédiés,
le reste de /var restant sur la racine.
Ce qui donne dans /etc/fstab
Code : Tout sélectionner
/dev/mapper/vg0-tmp /tmp ext4 rw,relatime,nosuid,noexec,nodev,nouser 0 2
/dev/mapper/vg0-var_cache /var/cache ext4 rw,relatime,nosuid,noexec,nodev,nouser 0 2
/dev/mapper/vg0-var_log /var/log ext4 rw,relatime,nosuid,noexec,nodev,nouser 0 2
Merci pour vos avis et suggestions.
