Czwarty segment narzuca sposób montowania dysku. Do wyboru mamy:

Możesz się spotkać z kilkoma opcjami jednocześnie np: defaults,ro (bez spacji), co oznacza, że system przyjmuje opcję domyślną (defaults), ale ograniczoną wpisem ro (tylko do odczytu). Pozostałe opcje wchodzące w skład defaults zostaną aktywne (oczywiście poza rw, które zostało zastąpione wpisem ro).

W pliku /etc/fstab można narzucić domyślnie ustawiane prawa dostępu. Prawa dostępu ustala zlecenie: mount z opcjami umask=000,dmask=0000,fmask=0000 oraz tradycyjne zlecenia: chmod, chown, z tym, ze nadrzędne są opcje montowania urządzeń. Prawa dostępu są szczególnie ważne, gdy z pokładu zwykłego usera chcemy mieć dostęp do flopka, CD-ROM, partycji Windows.

Przykłady:

Najbardziej oszczędny wpis dotyczący montowania katalogu /mnt/win_c (windowsowa partycja FAT):
/dev/hda1 /mnt/win_c vfat defaults 0 0

bardziej rozbudowany:
/dev/hda1 /mnt/win_c vfat umask=022,isocharset=iso8859-2,codepage=852 0 0
/dev/hda1 /mnt/win_c vfat rw,umask=000,dmask=0000,fmask=0000,quiet,iocharset=iso8859-2,codepage=852 0 0 (ważne są opcje: quiet, ?mask=). Ten wpis zapewni pełne (także dla włamywacza, więc nie szalejmy zbytnio ze zdejmowaniem zabezpieczeń) prawa dostępu do partycji Windows FAT.

lub na partycji NTFS:
/dev/hdc9   /mnt/win_d   ntfs   umask=0,iocharset=iso8859-2   0 0

Co mówi powyższy zapis? Urządzeniu hdc9 (czyli dyskowi twardemu hdc) montowanemu jako /mnt/win_d, narzucamy system plików ntfs lub np. fat. Proszę zwrócić uwagę na wpis umask=. Ustala on (podczas montowania systemu plików) maksymalnie dopuszczalne prawa dostępu we wskazanych katalogach. Co ważne, ręcznie zmodyfikowane prawa (na bardziej restrykcyjne), są utrzymywane tylko na czas sesji systemu. Po restarcie (lub przemontowaniu) następuje zerowanie do wartości ustalonych we wpisie umask=.

Lista wpisów i odpowiadające im prawa dostępu:
umask=002 daje prawa 775 (rwx rwx r-x)
umask=022 daje prawa 755 (rwx r-x r-x)
umask=0 daje prawa 777 (rwx rwx rwx)
umask=077 daje prawa 700 (rwx --- ---)

Wpis isocharset=iso8859-2,codepage=852 narzuca kodowanie czcionki polskiej dla nazw plików umieszczonych na partycji windowsowej.

Należy pamiętać, że jeżeli katalog win_c jest w katalogu /mnt, to prawa dostępu są dodatkowo regulowane poprzez prawa nadrzędnego katalogu /mnt. Wówczas korekta praw podkatalogu /mnt/win_c musi być współgrająca z prawami katalogu /mnt. W Linuksie Mandrake/Mandriva mamy narzędzie msec nadzorujące prawa do kluczowych katalogów np. /mnt.

/dev/hda1 /mnt/windows vfat defaults 0 0

• archiwizacja - na podstawie tej informacji system stwierdza, które systemy plików mają być archwizowane. Jeśli pole to zostanie pominięte, domyślnie przyjmowana jest wartość zero.
• nr-przebiegu - na podstawie tego pola wyznaczana jest kolejność, w jakiej systemy plików poddawane są sprawdzaniu. Systemy plików, które nie mają być sprawdzane, powinny mieć nr-przebiegu ustawiony na zero. Główny system plików (powinien być sprawdzony jako pierwszy) musi mieć nr-przebiegu o wartości jeden, natomiast pozostałe systemy plików powinny mieć wartość większą od jednego. Jeśli dwa lub więcej systemów plików będzie miało taki sam nr-przebiegu, to nastąpi próba równoległego sprawdzenia tych systemów plików, o ile będzie to możliwe.  

Jeżeli nie rozumiesz piątego segmentu, to podczas ręcznego dodawania wpisów do pliku /etc/fstab wpisz po prostu: 0 0 (zero zero).

 

Czas zabezpieczyć nasze partycje restrykcyjnymi opcjami montowania. Wykonaj poniższe:
 

• Zmień w pliku /etc/fstab zapis z defaults na ro,nosuid,nodev,noexec względem partycji obsługujących konta ftp, www, czyli z punktem montowania /var/www , /var/ftp . Tak zamontowana partycja nie zezwala na modyfikacje i kasowanie zawartości oraz blokuje odpalanie skryptów, programów.
  
  Osobnym problemem są shelle prywatnych użytkowników, którzy otrzymają przywilej posiadania własnych kont www, ftp. Ponieważ bardzo łatwo jest wysnifować nazwę takiego konta shellowego i hasło do niego, wskazane jest wydzielenie osobnych małych partycji dla takich użytkowników i montowanie ich jako np. /home/antek z parametrami: rw,nosuid,nodev,noexec,auto,nouser,async . O partycji montowanej jako /home napisałem poniżej.
   
• Zmień w pliku /etc/fstab zapis z defaults na rw,nosuid,nodev,noexec,auto,nouser,async względem partycji z punktem montowania /home . Uniemożliwi to odpalanie niektórych programów-skryptów osadzonych na partycji /home zarówno przez userów jak i ewentualnego włamywacza.
   
• Zmień w pliku /etc/fstab zapis z defaults na defaults,nodev,noexec względem partycji montowanej jako /var . Uniemożliwi to odpalanie skryptów serwera Apache (osadzonego w katalogu /var/www). Ograniczy to co prawda funkcjonalnoć serwera Apache, ale i zabezpieczy przed włamaniami.
   
• Zmień w pliku /etc/fstab zapis z defaults na defaults,ro,nodev względem partycji montowanej jako /usr . Należy wówczas pamiętać, by przed instalowaniem programów, a nawet przed wykonaniem zwykłego uaktualnienia plików zmienić wpis:/usr defaults,ro,nodev na /usr defaults, przemontować partycję, a po zakończeniu prac powrócić do restrykcyjnego zapisu.
   
• Zmień w pliku /etc/fstab zapis z defaults na defaults,rw,nodev,nosuid,noexec względem partycji montowanej jako /tmp.
   
• Radykalnie zabezpiecz partycję z archiwaliami przez usunięcie możliwości montowania tego dysku podczas startu Linuksa (kasując wiersz z tym dyskiem w pliku etc/fstab oraz ewentualnie /etc/mtab - zrób wcześniej kopie plików!) i wydaniu polecenia umount /archcopy (lub restarcie komputera). Jeżeli dodatkowo usuniesz pusty już (bo odmontowany) katalog /archcopy to nikt z Internetu nawet nie domyśli się, że posiadasz na dysku tajne archiwum. Powtórny zapis na ten dysk lub jego odczyt będzie możliwy dopiero po utworzeniu pustego na razie katalogu /archcopy i wprowadzeniu usuniętego wiersza do pliku /etc/fstab (rozumiesz więc po co proponowałem wykonanie kopii tego pliku). Teraz jedynie zostało wydanie polecenia mount /archcopy lub restart komputera. Jedynie osoba mająca bezpośredni dostęp do komputera może zauważyć, że zamiast deklarowanych w BIOSIE 30 GB jest... np. 25!!! Stąd ważne jest zwykłe hasłowanie BIOSU i fizyczne zabezpieczenie serwera. Wykluczone powinno być używanie archiwum w trakcie połączenia z siecią, Internetem.
  Co trzymać w takim archiwum? Przeczytaj notatki o przygotowaniu do reinstalacji.
   
• Ustal czy partycje FAT, NTFS mają być montowane w trybie default ze wszystkimi tego konsekwencjami, czy z opcją ro (tylko do odczytu). Jeżeli nie dbasz o bezpieczeństwo, a wygodę użytkowników to możesz zastapić wpis default na noauto,user,rw (co oznacza, że partycja nie jest montowana automatycznie, a prawo do odczytu i zapisu ma użytkownik, który ją zamontował plus oczywiście root).
     
• Przykład uprawnień dostępu do partycji w pliku /etc/fstab (CHIP 6/2002 str. 162-167):

  /usr   defaults,ro,nodev
  /var   dafaults,nodev
  /tmp   defaults,nodev,nosuid,noexec
  /home   rw,nosuid,nodev,noexec,auto,nouser,async

  Jeżeli dobrze się przyjrzałeś, to powyższa propozycja jest mocno restrykcyjna, w sam raz na serwer. Użytkownicy kont z katalogami montowanymi w /home nie bedą mogli uruchamiać niektórych programów (noexec) oraz nikt (łącznie z rootem) niczego nie zainstaluje w katalogu /usr (ro).

• Generalnie można przyjąć, że poza partycjami montowanymi jako / , /boot oraz /SWAP (które muszą mieć opcję defaults), pozostałe partycje można restrykcyjnie montować. Pamiętaj, że dodatkowo zabezpieczysz katalog /tmp poprzez założenie mu bitu sticky zwanego "bitem lepkości".

Aby zmiany wprowadzić w życie należy odmontować i zamontować partycje. Najłatwiej zrobisz to restartując system. Więcej o zabezpieczaniu serwera znajdziesz na stronie BHP.

Zewnętrzny programik GAG opisany na sąsiedniej stronie ma ciekawą opcję Hide primary partitions. Umożliwia ona ukrycie wybranych partycji podczas startu komputera.

 
Plik wymiany SWAP (czyli wirtualna pamięć oparta na dysku twardym, wspierająca pamięć RAM) jest niezbędny do pracy Linuksa. Gdy mamy mało pamięci RAM, to system szuka pamięci podręcznej w SWAP. W komputerach przeznaczonych do prac biurowych zapotrzebowanie na pamięć jest stosunkowo stabilne i można nawet wyliczyć sobie optymalną wielkość (zależną od potrzeb systemu, wielkości obrabianych plików itp). Problem pojawia się, gdy nasz serwer zostanie poddany atakowi DoS (lub innemu działaniu skokowo zwiększającego obciążenie procesami). Gdy zabraknie pamięci RAM (plus SWAP) może nastąpić błędne działanie systemu, a nawet zawieszenie komputera.

Pamięć SWAP ma swoje ograniczenia wielkościowe. Na komputerze z procesorem x86 (Intel, AMD) limit wynosi 2GB, z tym że trzeba pamiętać, iż na bardzo starych Linuksach (ze starym Kernelem 2.2.x) limit wynosił 128MB.
 

 
Co zrobić, gdy po podzieleniu dysku i zainstalowaniu Linuksa brakuje nam pamięci SWAP? Pierw należy ustalić, która partycja ma za dużo niezagospodarowanego miejsca oraz czy nie ma restrykcyjnych opcji montowania. Przyjmuję, że mamy najprostszy układ, czyli jedną, dużą partycję montowaną jako / (oraz inne typu /home /var itd.). W takim układzie katalog /tmp pracuje na partycji montowanej jako /. Oczywiście, gdy wydzieliłeś osobną i zbyt dużą partycję montowaną jako /tmp to jeszcze lepiej, gdyż właśnie w katalogu /tmp umieścimy plik wymiany /SWAP.

Zaloguj się jako root. Wszystkie czynności wykonasz pod rootem.
Zlecenie df -h pokaże obraz zajętości partycji. Opcja -h poda wyniki w megabajtach (MB)
Ustaliliśmy, że nowy plik wymiany SWAP będzie w katalogu /tmp

Jako root wpisz zlecenia:
cd /tmp (wejście do katalogu /tmp)
touch /tmp/swapbis (tworzy pusty na razie plik swapbis)
dd if=/dev/zero of=/tmp/swapbis bs=1M count=512 (zlecenie dd kopiuje do pliku swapbis określoną 512 liczbę megabajtów MB zawierających same zera, ze źródła /dev/zero)
chmod 600 /tmp/swapbis (restrykcyjne prawa dostępu)
mkswap /tmp/swapbis (zamiana dokumentu swapbis na specjalny plik wymiany)
swapon /tmp/swapbis (włączenie pliku wymiany swapbis do systemu)

swapoff /tmp/swapbis (wyłącza plik wymiany swapbis)
 

 
Można na jednym komputerze użyć kilku plików SWAP umieszczonych na jednym lub kilku dyskach. Jeżeli chcemy podczas startu systemu uruchomić kilka SWAPów, to w pliku /etc/fstab wpisujemy:

/dev/hda6    none    swap    sw,pri=3    0    0
/dev/hda7    none    swap    sw,pri=3    0    0
/dev/hdb1    none    swap    sw,pri=3    0    0
/dev/hdc1    none    swap    sw,pri=1    0    0

Opis powyższego: mamy 3 dyski hda, hdb, hdc. Na dysku pierwszym, na partycji 6 oraz 7 (hda6, hda7); na dysku drugim oraz trzecim, na partycji pierwszej - umieszczono SWAP. Opcja pri w /etc/fstab narzuca PRIORYTET. Priorytet musi być liczbą z przedziału pomiędzy 0 a 32767 (najwyższym priorytetem jest 32767). Partycje SWAP będą zapełniane w kolejności narzuconej przez opcję pri (w powyższym przykładzie po zapełnieniu zestawu partycji z pri=3 nastąpi użycie partycji z pri=1). Jeśli kilka partycji ma ten sam priorytet, wtedy Linux automatycznie, jednocześnie i równo będzie je zapełniał.

 
Dysk twardy opuszcza fabrykę formatowany niskopoziomowo. U klienta dysk dzielimy na partycje (tworzymy tablicę partycji) oraz zakładamy system plików (formatując partycje ustalamy typ systemu plików np. ext2).
 

• efdisk lub fdisk - programy do partycjonowania dysku. Zlecenie fdisk bez argumentów da listę partycji (z pliku /etc/fstab). Opis praktycznego wykorzystania programu fdisk jest na stronie o instalacji Mandrake 6.1. Artykuł o klonowaniu dysków z praktycznym zastosowaniem zlecenia efdisk jest na stronie SysResCD_KlonowanieDyskow.php. Generalnie namawiam do dzielenia dysku innymi narzędziami np. instalatorem Mandrake/Mandriva, czyli zleceniem diskdrake.
  Aby zobaczyć dodatkowe parametry partycji (np. ilość bloków), trzeba wpisać zlecenie:
  fdisk /dev/hda (ewentualnie sda)
  następnie kolejno wcisnąć klawisze: P oraz ENTER.
   
• Mając dysk podzielony na partycje należy sformatować je (założyć system plików) za pomocą zlecenia odpowiadającego danemu systemowi plików:
  /sbin/mkfs
  /sbin/mkfs.cramfs
  /sbin/mkfs.ext2
  /sbin/mkfs.ext3
  /sbin/mkfs.minix
  /sbin/mkfs.msdos
  /sbin/mkfs.vfat
  czyli w praktyce wpisujemy jako root:
  mkfs.ext3 /dev/hda1
  hda (ewentualnie sda), czyli pierwszy dysk, pierwsza partycja (podstawowa)
   
• badblocks - program, który sprawdza, czy na dysku występują uszkodzone bloki. Trzeba znać linuksowe oznaczenia partycji oraz ilość bloków (np. 2456), by uruchomić zlecenie. Ilość bloków odczytasz np. w programie mc. Przykład zlecenia:
  badblocks /de/hda1 2456
  Zlecenie:
  badblocks /de/hda1 2456 -o /mnt/floppy/plikzwynikami.txt
  pozwala zapisać wyniki w pliku (flopek musi być wcześniej zamontowany). Opcja -s wyświetli graficzny wynik postępu. Opcja -w wprowadzi swoje wpisy na dysk, co da wiarygodniejsze wyniki, ale i zamaże dotychczasowe dane.
   
• fdformat /dev/fd0H1440 (uwaga: nie /dev/fd0). Niskopoziomowe formatowanie. Wylistuj zawartość swojego katalogu /dev, by zobaczyć, że można dyskietkę można sformatować na różne wielkości np.: 360, 720, 14440, 1722 KB
   
• quota wykorzystanie dysków i limity dyskowe userów/grup. Opis na sąsiedniej stronie.
   
• e2fsck -v /dev/hda1 (przykładowe hda1 to partycja pierwsza dysku pierwszego). Sprawdza poprawność systemu plików ext2.
   
• du - bez argumentów wyświetla wielkość przestrzeni dyskowej zajmowanej przez aktualny katalog.
  Zlecenie:
  du -a /
  dołącza do wyników wszystkie pliki, nie tylko katalogi.
  Zlecenie:
  du -cksh * | sort -rn | head -6
  da listę pięciu podkatalogów zajmujących najwięcej miejsca w aktualnym katalogu
   
• df -h - daje obraz zajętości partycji. Opcja -h poda wyniki w megabajtach (MB)