保护文件 Linux文件系统属性使用方法

在Linux系统中，有许多办法来保护您的文件。文件系统属性就是其中之一。在本文中，您将了解如何使用这些文件系统属性。

在使用文件系统属性之前，您应该了解各种文件系统间的主要区别。一般情况下，我们把文件系统分为XFS文件系统和其它文件系统。对于管理属性，XFS有自己的解决方法，且这里我们将讨论的属性选项也完全不一样。在本文中，我们将讨论ext文件系统上的属性设置。要使用文件系统属性，必须启动文件系统。默认情况下，只有新启动的文件系统使用文件系统属性。为了启动一个文件系统属性支持，您需要在挂载文件系统时指定一个挂载(mount)选项。这个选项就是user_xattr。在测试本文描述的任何信息之前，请确认该属性设置为启动。您可以使用挂载(mount)命令来确认该信息。下面的内容显示如何在启动了根文件系统的计算机上查看文件系统属性。

通过使用挂载(mount)命令来确认文件系统属性支持

/dev/mapper/vg_flo-lv_root on / type ext4 (rw，noatime，user_xattr)

proc on /proc type proc (rw)

sysfs on /sys type sysfs (rw)

devpts on /dev/pts type devpts (rw，gid=5，mode=620)

tmpfs on /dev/shm type tmpfs (rw，rootcontext=“system_u:object_r:tmpfs_t:s0”)

/dev/sda1 on /boot type ext4 (rw)

/dev/mapper/luks-3e67401f-44c6-4a27-a1bf-cdf0dcf45f65 on /home type ext4

(rw，noatime，user_xattr)none on /proc/sys/fs/binfmt_misc type binfmt_misc (rw)

none on /proc/fs/vmblock/mountPoint type vmblock (rw)

sunrpc on /var/lib/nfs/rpc_pipefs type rpc_pipefs (rw)

fusectl on /sys/fs/fuse/connections type fusectl (rw)

gvfs-fuse-daemon on /home/sander/.gvfs type fuse.gvfs-fuse-daemon

(rw，nosuid，nodev，user=sander)

如果目前文件系统不支持这些属性，通常情况下，您可以为一个已挂载的文件系统添加user_xattr选项。您可以使用如下命令，在根文件系统上添加user_xattr选项。

mount -o remount，user_xattr /

重新挂载(remount)选项可以保证文件系统使用新的属性，而无需完全卸载文件系统。如果您希望文件系统能长期支持文件系统属性，您需要在/etc/fstab文件中里指定其作为一个选项。 以下显示，如何在我的Fedora系统上为根逻辑卷启动文件系统属性。

显示与改变属性

这里存在两种不同的文件系统属性。一些属性是作为默认属性使用，而另一些则被设置为简单的文件管理系统。lsattr命令能显示计算机上的文件和目录的部分系统属性，并且无需改变文件系统的属性。例如，如果在etc目录上发现了I属性，这意味着该目录正在使用H-树索引来加速搜索。同样，在一个ext4文件系统中，可能在许多文件和目录上找到E属性，这意味着这些文件正在使用区代替块来获得更高效的存储。所有这些系统属性都代表着某个状态，而且不能更改。

对于那些管理员可以修改的属性，您会发现其中的部分属性具有实验状态。这表示：这些属性可能会在新版本的内核和文件系统中部署和使用，但是目前还没有任何功能。不过，一些已经部署的属性可能对你有用。比如：

I immutable：具有该属性的文件不能被修改。该属性可以有效地防止一些重要文件被意外删除。

J journal：该属性能确保文件数据块先于文件元数据写入日志。该属性仅适用于data=mount日志模式，它可以为您的文件提供更多保护。

S secure deletion： 具有该属性的文件，在删除命令提交前，其数据块就会被清除。该属性仅适用于最新的内核版本和文件系统。

U undelete：使用该属性的文件能通过工具恢复，如extundelete。该属性仅适用于最新的内核版本和文件系统。

您可以使用chattr命令来设置文件属性。例如，下面的命令将/etc/hosts 文件属性配置为immutalbe：

chattr +i /etc/hosts

使用lsattr命令来检查配置是否成功。该命令可以显示某个文件当前的所有已配置的属性。

[root@flo ~]# chattr +i /etc/hosts

[root@flo ~]# lsattr /etc/hosts

----i--------e- /etc/hosts

文件系统属性中一个很好的特性是这些属性可以应用于所有用户。因此，无论哪个用户登录，文件系统属性都是有效的。这可以确保根用户也会受限于您的属性设置。但是根用户可以删除文件系统属性。

在诸如ext4等现代Linux文件系统上，默认情况下，文件系统属性就能用于实现高级文件系统功能，比如区。而在其它文件系统中，在您开始使用这些高级功能前，您可能必须先启动属性支持。通过这些属性，您可以为您的文件添加额外的保护用户，甚至根用户的都不能例外。因此，文件系统属性为您的服务器安全提供一种非常有价值的额外保护方式。