Linux文件系統(tǒng)的安全保障---Overlayroot！
`overlayroot` 是一種使用 OverlayFS 實現(xiàn)的功能，可將根文件系統(tǒng)掛載為只讀，并通過一個臨時的寫層實現(xiàn)對文件系統(tǒng)的修改。這種方法非常適合嵌入式設(shè)備或需要保持系統(tǒng)文件完整性和安全性的場景。下文以 RK3568 平臺為例，介紹制作 overlayroot 的詳細(xì)步驟。
1. 制作精簡文件系統(tǒng)ramdisk
1.1 環(huán)境準(zhǔn)備
1. 目標(biāo)系統(tǒng)：確保系統(tǒng)支持 OverlayFS（內(nèi)核版本 ≥ 3.18）。
2. 工具和依賴：
一個支持 OverlayFS 的 Linux 內(nèi)核。
`busybox` 或其他必要的系統(tǒng)工具。
1.2 OverlayFS 的基本原理
OverlayFS 將文件系統(tǒng)分為以下兩層：
Lowerdir：只讀的底層文件系統(tǒng)，通常是現(xiàn)有的根文件系統(tǒng)。
Upperdir：可寫的頂層，存儲所有的臨時更改。
Workdir：OverlayFS 的工作目錄，用于支持文件操作。
1.3 制作步驟
1.3.1 創(chuàng)建 OverlayFS 配置結(jié)構(gòu)
首先創(chuàng)建一個工作目錄來組織文件系統(tǒng)結(jié)構(gòu)。
mkdir -p /tmp/ramdisk/{bin,sbin,etc,proc,sys,dev,tmp}bin 和 sbin：存放用戶工具（例如 busybox）。
etc：存放必要的配置文件。
proc、sys、dev：為內(nèi)核文件系統(tǒng)掛載預(yù)留的掛載點。
tmp：用于臨時存儲文件。
將 busybox 和相關(guān)依賴文件復(fù)制到適當(dāng)?shù)哪夸?/p>
1.3.2 配置掛載腳本
在ramdisk 的腳本中配置相關(guān)的掛載和優(yōu)化
root_rw=/userdata #讀寫掛載點
root_ro=/root-ro #只讀文件系統(tǒng)掛載點
ROOTMNT=${rootmnt} # use global name to indicate created outside this
OVERLAYROOT_DEBUG=0
#優(yōu)化userdata分區(qū)自動修復(fù)
e2fsck -y /dev/disk/by-partlabel/userdata
tune2fs -O has_journal /dev/disk/by-partlabel/userdata2. ramdisk.img 鏡像打包和解包制作
2.1 打包腳本
創(chuàng)建腳本 pack_ramdisk.sh，將 RAMDisk 內(nèi)容打包為 ramdisk.img：
#!/bin/bash
cd ramdisk_contents
find .| cpio -o -H newc >../ramdisk.cpio
gzip ../ramdisk.cpio
mv ../ramdisk.cpio.gz ../ramdisk.img2.2 解包腳本
創(chuàng)建腳本 unpack_ramdisk.sh，將 ramdisk.img 解包到工作目錄：
#!/bin/bash
mkdir ramdisk_contents
cd ramdisk_contents
gunzip -c ../ramdisk.img > ramdisk.cpio
cpio -idv < ramdisk.cpio
rm ramdisk.cpio通過上面打包解包腳本可以直接修改已經(jīng)制作好的ramdisk.img鏡像
3. 打包到boot.img
3.1 配置項目文件
在項目 defconfig 文件中，添加以下內(nèi)容：
RK_USE_FIT_IMG=y
RK_BOOT_FIT_ITS="bootramdisk.its"
RK_RAMDISK_IMG="ramdisk.img"在 rk356x_bsp/device/rockchip/common/scripts/mk-kernel.sh 文件中添加打包邏輯：
if[-n "$RK_BOOT_FIT_ITS"]; then
if[-z "$RK_ROOTFS_INITRD"]; then
run_command \
"$SCRIPTS_DIR/mk-fitimage.sh" \
"build-$VANXOAK_CUSTOMER_NAME/kernel/$RK_BOOT_IMG" \
"$RK_BOOT_FIT_ITS" \
"build-$VANXOAK_CUSTOMER_NAME/$RK_KERNEL_IMG" \
"build-$VANXOAK_CUSTOMER_NAME/kernel/$RK_RAMDISK_IMG"
fi
fi
4. Kernel 配置與設(shè)備樹修改
4.1 設(shè)備樹配置修改
修改設(shè)備樹文件 chosen 節(jié)點，添加 overlayroot 參數(shù)：
chosen: chosen {
//bootargs = "earlycon=uart8250,mmio32,0xfe660000 console=ttyFIQ0 root=PARTUUID=614e0000-0000 rw rootwait";
bootargs ="earlycon=uart8250,mmio32,0xfe660000 console=ttyFIQ0 root=PARTLABEL=rootfs rootfstype=ext4 ro rootwait overlayroot=device:dev=PARTLABEL=userdata,fstype=ext4,mkfs=1 coherent_pool=1m systemd.gpt_auto=0 cgroup_enable=memory swapaccount=1 swiotlb=0x10000 net.ifnames=0";
};4.2 修改內(nèi)核配置
確保內(nèi)核啟用了 OverlayFS：
CONFIG_OVERLAY_FS=y5. 測試效果與優(yōu)化
將更新后的 boot.img 刷寫到開發(fā)板，重啟后執(zhí)行：
df -h輸出類似以下內(nèi)容：
root@hd-rk3568:~# df -h
文件系統(tǒng) 容量 已用 可用已用% 掛載點
udev 963M 8.0K 963M 1%/dev
tmpfs 196M 1.3M 195M 1%/run
/dev/mmcblk0p6 3.2G 3.1G 0 100%/root-ro
/dev/mmcblk0p8 23G 590M 23G 3%/userdata
overlayroot 23G 590M 23G 3%/添加完上面內(nèi)容后，更新boot.img到開發(fā)板，執(zhí)行df -h命令可以看到rootfs分區(qū)掛載為/root-ro變?yōu)橹蛔x分區(qū)，userdata分區(qū)掛載為overlayroot保存文件系統(tǒng)修改差異部分。若要重置系統(tǒng)狀態(tài)，只需清空userdata內(nèi)容即可。
6. 總結(jié)
通過以上步驟，您可以成功為 RK3568 平臺配置 overlayroot。這種設(shè)置使得系統(tǒng)文件更加安全，同時提供靈活的更新和重置能力，非常適合嵌入式場景。
