如何通过OverlayFS在Linux上创建支持写时复制的认证隔离系统？

本文共计916个文字，预计阅读时间需要4分钟。

OverlayFS 是一种构建在认证级隔离环境上的可靠内核级机制，核心在于使用写时复制（COW）确保基础系统不可更改、运行状态可销毁、变更路径可控。它不依赖用户态守护进程，而是通过内核直接保障隔离层，自然适用于强审计算法和合规场景。

严格划分三层目录并固化权限

物理隔离是认证环境的第一道防线，必须从目录归属与挂载点位置入手：

• lowerdir：使用预签名、哈希校验过的只读 rootfs（如从可信镜像解压），立即执行 chown root:root 和 chmod 555，禁用所有写和执行位，防止符号链接逃逸或 setuid 程序绕过
• upperdir：必须位于独立块设备或 tmpfs（推荐 size=128M,mode=0700），创建后执行 chown -R sandbox:sandbox 并清除 setuid/setgid 位（find . -type f -perm /6000 -exec chmod a-s {} \;）
• workdir：与 upperdir 同一文件系统，初始化后清空内容；禁止将其暴露给沙箱进程，也不允许挂载 bind 或进入命名空间

启用关键挂载选项以满足审计要求

默认挂载不具备认证所需的行为确定性，必须显式配置以下参数：

• redirect_dir=on：确保 rename() 在 merged 视图下正确重定向到 upperdir，避免因目录移动绕过上层覆盖逻辑，这对日志归档与路径审计至关重要
• index=on：启用硬链接索引，防止同一 lower 文件的多个硬链接在 copy-up 时出现元数据不一致，保障审计日志中 inode 与路径映射关系稳定
• noexec,nosuid,nodev：从 VFS 层面阻断代码执行、特权提升与设备访问，即使 upperdir 中混入恶意二进制或设备节点也无效

按实例生命周期管理 upperdir 实现“一次一密”

认证环境严禁状态复用，每个会话必须视为全新可信边界：

• 启动前生成唯一标识（如 SHA256(PID+timestamp+nonce)），据此创建独立 upper_<id> 与 work_<id> 目录
• 启动前强制清空 upperdir（rm -rf $upper && mkdir -p $upper），杜绝残留配置、临时文件或持久化后门
• 退出后立即 umount /merged 并递归删除整个 upperdir；如需保留审计输出，仅允许通过白名单路径（如 /tmp/audit.log）经 cp --reflink=always 拷出，且目标目录需单独挂载为只读

叠加命名空间与 seccomp-bpf 完成纵深防御

OverlayFS 提供文件系统层隔离，但认证环境需全栈控制：

• 配合 unshare -r -u -n -p -i 创建非特权用户命名空间，使 sandbox 用户 UID 映射为容器内 1000，宿主上实际为无权 UID
• 加载最小化 seccomp-bpf 策略，显式拒绝 mount、chroot、ptrace、keyctl 等高风险系统调用
• 通过 pivot_root 切换根目录后，再次 mount --make-rprivate / 防止子 mount 传播，确保隔离视图不被外部干扰