3.11. Impedir que os módulos do núcleo sejam carregados automaticamente no momento da inicialização do sistema

Procedimento

1. Selecione um módulo do núcleo que você deseja colocar em um denilista:

   $ lsmod
   
   Module                  Size  Used by
   fuse                  126976  3
   xt_CHECKSUM            16384  1
   ipt_MASQUERADE         16384  1
   uinput                 20480  1
   xt_conntrack           16384  1
   …​

   Copy to Clipboard Toggle word wrap

   O comando lsmod exibe uma lista de módulos carregados para o kernel atualmente em execução.

   • Alternativamente, identifique um módulo de kernel descarregado que você deseja evitar de carregar potencialmente.

     Todos os módulos do kernel estão localizados no diretório /lib/modules/<KERNEL_VERSION>/kernel/<SUBSYSTEM>/.

2. Criar um arquivo de configuração para um denilista:

   # vim /etc/modprobe.d/blacklist.conf
   
   	# Blacklists <KERNEL_MODULE_1>
   	blacklist <MODULE_NAME_1>
   	install <MODULE_NAME_1> /bin/false
   
   	# Blacklists <KERNEL_MODULE_2>
   	blacklist <MODULE_NAME_2>
   	install <MODULE_NAME_2> /bin/false
   
   	# Blacklists <KERNEL_MODULE_n>
   	blacklist <MODULE_NAME_n>
   	install <MODULE_NAME_n> /bin/false
   	…​

   Copy to Clipboard Toggle word wrap

   O exemplo mostra o conteúdo do arquivo blacklist.conf, editado pelo editor vim. A linha blacklist garante que o módulo do kernel relevante não será carregado automaticamente durante o processo de inicialização. O comando blacklist, entretanto, não impede que o módulo seja carregado como uma dependência para outro módulo do kernel que não esteja em um denylist. Portanto, a linha install faz com que o /bin/false seja executado ao invés de instalar um módulo.

   As linhas que começam com um sinal de hash são comentários para tornar o arquivo mais legível.

   Nota

   Ao inserir o nome de um módulo de kernel, não anexe a extensão .ko.xz ao final do nome. Os nomes dos módulos do kernel não têm extensões; seus arquivos correspondentes têm.

3. Criar uma cópia de segurança da imagem inicial do ramdisk atual antes de reconstruir:

   # cp /boot/initramfs-$(uname -r).img /boot/initramfs-$(uname -r).bak.$(date %m-\r%H%M%S).img

   Copy to Clipboard Toggle word wrap

   O comando acima cria uma imagem de backup initramfs caso a nova versão tenha um problema inesperado.

   • Alternativamente, crie uma cópia de segurança de outra imagem ramdisk inicial que corresponda à versão do kernel para a qual você deseja colocar os módulos do kernel em um denylist:

     # cp /boot/initramfs-<SOME_VERSION>.img /boot/initramfs-<SOME_VERSION>.img.bak.$(date %m-\r%H%M%S)

     Copy to Clipboard Toggle word wrap

4. Gerar uma nova imagem ramdisk inicial para refletir as mudanças:

   # dracut -f -v

   Copy to Clipboard Toggle word wrap

   • Se você estiver construindo uma imagem ramdisk inicial para uma versão do kernel diferente da que você está inicializando atualmente, especifique tanto a versão alvo initramfs quanto a versão do kernel:

     # dracut -f -v /boot/initramfs-<TARGET_VERSION>.img <CORRESPONDING_TARGET_KERNEL_VERSION>

     Copy to Clipboard Toggle word wrap

5. Reinicie o sistema:

   $ reboot

   Copy to Clipboard Toggle word wrap