哥们儿姐们儿们最近我这又给大伙儿折腾出点小经验，今天就来好好唠唠。这回是关于服务器安全加固的事儿，想着给它弄得更瓷实点，结果可差点没把自己也给加固进去了。事情是这样的，我，看到系统里有个`nodev`的功能，说是能防止在这个分区上创建设备文件，听起来是挺安全，就琢磨着给一些不常用的挂载点都加上。
本站为89游戏官网游戏攻略分站，89游戏每日更新热门游戏，下载请前往主站地址:www.gm89.icu
心血来潮，手痒想试试
当时想着，服务器上一些用来存文件、存日志的挂载点，应该用不到什么设备文件？这玩意儿一加，是不是就能避免很多奇奇怪怪的攻击？心里就这么一盘算，觉得挺有道理的。也没多想，就跑去`/etc/fstab`文件里，找到几个自认为“应该没问题”的挂载点。
- 先是找到那些专门用来放备份的目录，比如`/backup`。
- 接着是那些放网站静态资源的，比如`/data/www`。
- 还有一些专门跑容器持久化存储的，比如`/var/lib/docker/volumes`。
对着这些行，二话不说，直接就在后面挂载选项里给它们都加了个`nodev`。保存文件，然后想着稳妥一点，就跑去命令行，挨个儿敲了几个`mount -o remount /挂载点`的命令，让这些改动马上生效。当时心里还挺美滋滋的，觉得自己又给服务器安全上了一道锁。
意想不到的问题来了
结果，第二天一早，跑去看看服务器跑得咋样，发现有个重要的服务竟然没启动起来！登录到服务器一看，好家伙，红字一堆，日志也报错，页面更是打不开。当时心里就咯噔一下，完了，这是出啥事儿了？
出了问题第一反应就是从最近操作开始回溯。可是昨晚除了加固了一下`fstab`，也没干别的？这`nodev`跟服务启动有什么关系？脑子有点转不过弯来。我开始按老流程排查：
- 检查服务日志： 翻了半天，只看到一堆“服务启动失败”的通用错误，根本看不出具体是哪里出的问题。
- 检查系统日志： `dmesg`和`/var/log/messages`里也看了，各种系统级别的报错，有些是跟磁盘相关的，但也没明确指出“因为`nodev`导致服务挂了”这种直白的说法。
- 检查网络： ping一下内外网，没问题。
- 检查磁盘空间： `df -h`一看，空间还多得很。
- 检查权限： 文件的读写权限也都正常。
当时就一头雾水，折腾了快一个上午，愣是没找到根源。心里还嘀咕，难道是昨天晚上系统自己更新了什么鬼东西？或者是不是硬件出毛病了？各种瞎想，反正就是没往我这个“安全加固”上想。
拨开云雾见月明
排查到实在没辙了，想着是不是我昨天的操作真有问题。虽然觉得`nodev`这种“安全功能”不应该影响服务启动，但死马当活马医。我就又去`/etc/fstab`里，把我昨天加的那些`nodev`选项，一个一个都给删掉了。
删完之后，为了让改动生效，我又老老实实地执行了一遍`mount -o remount /挂载点`。然后，战战兢兢地去重启那个出问题的服务。没想到，奇迹发生了！服务一下子就启动成功了，之前那些报错全没了，页面也能正常访问了。
当时我真是又惊又喜又有点懵圈。原来真是这玩意儿搞的鬼！
这下终于明白了！
后来我去网上查了查，才算把这事儿给彻底搞明白。这个`nodev`选项，它的作用确实是“禁止创建设备文件”。但有些服务，尤其是那些依赖于虚拟设备、容器运行时或者其他复杂底层组件的服务，它们在启动或者运行过程中，是需要创建或者访问一些特殊的设备文件的。比如，虚拟化技术、某些数据库或者Web服务器在处理一些特殊请求时，都可能间接用到设备文件。
你把`nodev`一开，这些服务就没法创建它们需要的设备文件了，自然也就启动失败或者运行不正常。我那个挂掉的服务，恰好就是需要访问底层一些设备文件的。
我这回算是吃一堑长一智了。不是所有的安全功能都能随便开的，尤其是像`nodev`这种，搞不好直接就把你自己的应用给“安全”掉了。
那遇到这种问题，我的经验就是，别慌！最快的解决方法，就是赶紧去`/etc/fstab`文件里，把自己之前手贱加上的`nodev`选项给删掉。删完了，保存文件，然后记得用`mount -o remount /你改动的那个挂载点`命令，让改动马上生效。一般情况下，服务就能恢复正常了。省得像我一样，折腾半天，差点怀疑人生。