2.11. Empêcher le chargement automatique des modules du noyau au démarrage du système

Procédure

1. Sélectionnez un module du noyau que vous souhaitez placer dans une liste de refus :

   $ lsmod
   
   Module                  Size  Used by
   fuse                  126976  3
   xt_CHECKSUM            16384  1
   ipt_MASQUERADE         16384  1
   uinput                 20480  1
   xt_conntrack           16384  1
   …​

   La commande lsmod affiche une liste des modules chargés dans le noyau en cours d'exécution.

   • Vous pouvez également identifier un module du noyau non chargé que vous souhaitez empêcher de se charger.

     Tous les modules du noyau sont situés dans le répertoire /lib/modules/<KERNEL_VERSION>/kernel/<SUBSYSTEM>/.

2. Créer un fichier de configuration pour une liste de deniers :

   # vim /etc/modprobe.d/blacklist.conf
   
   	# Blacklists <KERNEL_MODULE_1>
   	blacklist <MODULE_NAME_1>
   	install <MODULE_NAME_1> /bin/false
   
   	# Blacklists <KERNEL_MODULE_2>
   	blacklist <MODULE_NAME_2>
   	install <MODULE_NAME_2> /bin/false
   
   	# Blacklists <KERNEL_MODULE_n>
   	blacklist <MODULE_NAME_n>
   	install <MODULE_NAME_n> /bin/false
   	…​

   L'exemple montre le contenu du fichier blacklist.conf, édité par l'éditeur vim. La ligne blacklist garantit que le module du noyau concerné ne sera pas automatiquement chargé pendant le processus de démarrage. La commande blacklist, cependant, n'empêche pas le module d'être chargé en tant que dépendance d'un autre module du noyau qui n'est pas dans une liste de dénylage. Par conséquent, la ligne install entraîne l'exécution de la commande /bin/false au lieu de l'installation d'un module.

   Les lignes commençant par un signe dièse sont des commentaires destinés à rendre le fichier plus lisible.

   Note

   Lorsque vous saisissez le nom d'un module du noyau, n'ajoutez pas l'extension .ko.xz à la fin du nom. Les noms des modules du noyau n'ont pas d'extension, mais les fichiers correspondants en ont une.

3. Créez une copie de sauvegarde de l'image ramdisk initiale actuelle avant de la reconstruire :

   # cp /boot/initramfs-$(uname -r).img /boot/initramfs-$(uname -r).bak.$(date %m-\r%H%M%S).img

   La commande ci-dessus crée une image de sauvegarde initramfs au cas où la nouvelle version aurait un problème inattendu.

   • Vous pouvez également créer une copie de sauvegarde d'une autre image initiale de ramdisk qui correspond à la version du noyau pour laquelle vous souhaitez placer des modules de noyau dans une liste de dénombrement :

     # cp /boot/initramfs-<SOME_VERSION>.img /boot/initramfs-<SOME_VERSION>.img.bak.$(date %m-\r%H%M%S)

4. Générer une nouvelle image ramdisk initiale pour refléter les changements :

   # dracut -f -v

   • Si vous construisez une image initiale de ramdisk pour une version de noyau différente de celle dans laquelle vous êtes actuellement démarré, indiquez à la fois la cible initramfs et la version du noyau :

     # dracut -f -v /boot/initramfs-<TARGET_VERSION>.img <CORRESPONDING_TARGET_KERNEL_VERSION>

5. Redémarrer le système :

   $ reboot