落雪无迹飞叶谷 - Gentoo中文社区
type: channel
link: https://batsom.net/index.php/tag/Gentoo%E4%B8%AD%E6%96%87%E7%A4%BE%E5%8C%BA/
items: Linux内核配置选项简介(14)
items: Linux内核配置选项简介(9)

Linux内核配置选项简介(14)
type: item
date: 2020-04-11T15:19:29+09:00
description: Security options安全选项这里的选项不明白的建议不要选,否则有可能弄巧成拙.Enable access key retention supportCONFIG_KEYS在内核中保留认证令牌(authentication token)和访问密钥(access key).eCryptfs(CONFIG_ECRYPT_FS)依赖于它.不确定的选"N". Enable register of persistent per-UID keyrings 启用持久性每UID密钥环的注册Large payload keys 大负载密钥TRUSTED KEYS CONFIG_TRUSTED_KEYS "TRUSTED KEY"的意思是由TPM(可信赖平台模块)用RSA算法封装的一对随机数.开启此项后,内核将可以为创建/封装/解封"TRUSTED KEY"提供支持.如果引导PCR(平台配置寄存器)和各种条件都匹配,那么TPM只解封密钥.用户空间永远只能看到加密过后的二进制内容.不确定的选"N". ENCRYPTED KEYS CONFIG_ENCRYPTED_KEYS "ENCRYPTED KEY"的意思是由内核封装的一对随机数,该对随机数可以用一个"主密钥"使用对称加密算法进行加密和解密.开启此项后,内核将可以为创建/加密/解密"ENCRYPTED KEY"提供支持."主密钥"既可以是"TRUSTED KEY"也可以是"user-key"(用户选择的密钥).用户空间永远只能看到/存储加密过后的二进制内容.不确定的选"N". Enable the /proc/keys file by which keys may be viewed CONFIG_KEYS_DEBUG_PROC_KEYS 开启"/proc/keys"文件支持,该文件中保存了系统上所有可见的密钥.注意,LSM(Linux安全模块)安全检查仍然是必须的.不确定的选"N". Diffie-Hellman operations on retained key Diffie-Hellman对保留密钥的操作Restrict unprivileged access to the kernel syslogCONFIG_SECURITY_DMESG_RESTRICT禁止非特权用户访问内核日志(dmesg),相当于"echo 1 > /proc/sys/kernel/dmesg_restrict".不确定的选"N". Enable different security modelsCONFIG_SECURITY允许内核选择不同的LSM(Linux安全模块),如果未选中则内核将使用默认的安全模块 ("Default security module").不确定的选"N". Enable the securityfs filesystemCONFIG_SECURITYFSsecurityfs安全文件系统支持.当前仅被TPM bios字符设备驱动以及IMA(完整性提供者)使用. 它与SELinux或SMACK之类没有关系.不确定的选"N". Socket and Networking Security HooksCONFIG_SECURITY_NETWORK允许安全模块通过Security Hook对Socket与Networking进行访问控制.不确定的选"N". Remove the kernel mapping in user mode在用户模式下删除内核映射 XFRM (IPSec) Networking Security Hooks CONFIG_SECURITY_NETWORK_XFRM 为XFRM(IPSec)启用安全Hook.这样安全模块可以通过这些hook,根据IPSec策略标签, 实现针对每个网络包的访问控制.非IPSec通信则被当做"无标签"处理, 仅允许那些被明确批准可以不使用策略标签的socket才能不通过IPSec进行通信.不确定的选"N". Security hooks for pathname based access controlCONFIG_SECURITY_PATH此安全钩子程序可以让各种安全模块实现基于路径的访问控制.不确定的选"N". Enable Intel(R) Trusted Execution Technology (Intel(R) TXT)CONFIG_INTEL_TXT支持使用可信引导(Trusted Boot)技术引导内核(需要使用tboot模块).这将使用英特尔TXT(可信任执行技术)来引导内核. 在不支持TXT的平台上开启此项没有效果.详见"Documentation/intel_txt.txt"文档.不确定的选"N". Low …

Linux内核配置选项简介(9)
type: item
date: 2020-04-11T15:15:22+09:00
description: Networking support网络支持Networking options网络选项 Packet socket CONFIG_PACKET 链路层PF_PACKET套接字支持.可以让应用程序(比如:抓包工具tcpdump, DHCP客户端dhclient)直接与网络设备通讯,而无需使用内核中的其它中介协议.不确定的选"Y"或"M". Packet: sockets monitoring interface CONFIG_PACKET_DIAG PF_PACKET套接字监控接口,ss这样的诊断工具需要它. Unix domain sockets CONFIG_UNIX Unix domain sockets 支持.许多程序都使用它在操作系统内部进行进程间通信(IPC), 比如: X Window, syslog, udev 等等.选"Y",除非你确实知道自己在做什么. UNIX: socket monitoring interface CONFIG_UNIX_DIAG UNIX套接字监控接口,ss这样的工具需要它. Transformation user configuration interface CONFIG_XFRM_USER 为IPsec相关的工具提供Transformation(XFRM)用户配置接口 Transformation sub policy support CONFIG_XFRM_SUB_POLICY XFRM子策略支持,不确定的选"N". Transformation migrate database CONFIG_XFRM_MIGRATE 用于动态的更新 IPsec SA(security association) 的定位器(locator). 这个特性对于手机这类移动设备来讲至关重要, 因为它需要在不同的基站之间迁移.不确定的选"N". Transformation statistics CONFIG_XFRM_STATISTICS 转换统计,这不是SNMP/MIB规范的内容.用于调试目的.不确定的选"N". PF_KEY sockets CONFIG_NET_KEY PF_KEYv2 套接字支持(与KAME兼容).PF_KEY协议族主要用来处理SA(安全关联), 对SADB(SA数据库)进行管理,主要用在IPsec协议中.PF_KEY_v2的编程API在RFC2367中定义. PF_KEY MIGRATE CONFIG_NET_KEY_MIGRATE 向PF_KEYv2套接字中添加一个 PF_KEY MIGRATE 消息. 、 PF_KEY MIGRATE 消息可用于动态的更新 IPsec SA(security association) 的定位器(locator). 这个特性对于手机这类移动设备来讲至关重要,因为它需要在不同的基站之间迁移.不确定的选"N". SMC socket protocol family SMC套接字协议族 TCP/IP networking CONFIG_INET TCP/IP协议,必选! IP: multicasting CONFIG_IP_MULTICAST IP组播(IP multicasting)支持.指的是一个发送者向一组特定的接收者发送数据, 但只需发送一份数据副本.实际应用的场合很少,MBONE算是其中之一, 与RTP等音视频协议相结合也算一种.不确定的选"N". IP: advanced router CONFIG_IP_ADVANCED_ROUTER 高级路由支持,需要开启内核的IP转发功能(echo 1 > /proc/sys/net/ipv4/ip_forward)才能正常工作. 如果这个Linux系统用作专业的路由器就选上,选上之后还需要按需选择其下的子项.一般的主机不需要这个. FIB TRIE statistics CONFIG_IP_FIB_TRIE_STATS 主要用于测试TRIE性能 IP: policy routing CONFIG_IP_MULTIPLE_TABLES 策略路由 IP: equal cost multipath CONFIG_IP_ROUTE_MULTIPATH 用于基于目的地址的负载均衡 IP: verbose route monitoring CONFIG_IP_ROUTE_VERBOSE 显示冗余的路由监控信息 IP: kernel level autoconfiguration CONFIG_IP_PNP 在内核启动时自动配置网卡的ip地址/路由表,配置信息来自于以下途径:内核引导参数, 自举协议(BOOTP),反向地址转换协议(RARP),动态主机配置协议(DHCP).通常, 需要从网络启动的无盘工作…