# Подмена библиотеки без root с помощью mount namespace

mkdir -p /tmp/nsroot/lib

# Кладём свою библиотеку
cp ./hook_lib.so /tmp/nsroot/lib/

# Запускаем процесс в новом namespace с подменённым LD_LIBRARY_PATH
unshare -m -- bash -c '
  mount --bind /tmp/nsroot/lib /lib &&
  LD_LIBRARY_PATH=/lib ./target_app
'

# Найти ошибки и сформировать модуль
grep "avc: denied" /var/log/audit/audit.log | audit2allow -M mymodule

# Установить модуль
semodule -i mymodule.pp

apparmor_parser -r /etc/apparmor.d/имя_профиля

1) Ленивое монтирование
Ресурс подключается только в момент обращения. При простое может автоматически отмонтироваться по таймауту.

2) Автоматическое создание каталогов
systemd сам создает точку монтирования. Нет необходимости вручную следить за наличием директорий.

3) Отсутствие блокировок при загрузке
Если устройство или сеть недоступны, система не зависает на старте, как это часто бывает с fstab.

4) Четкие зависимости
Можно указать, что монтирование допустимо только после запуска VPN, сети или конкретного сервиса.

[Unit]
Description=Disk for backups

[Mount]
What=/dev/disk/by-uuid/19e2b459-058a-46f8-aadf-b696acb13233
Where=/mnt/backup
Type=ext4
Options=defaults

[Install]
WantedBy=multi-user.target

cfdisk /dev/sdb # разметка диска
mkfs -t ext4 /dev/sdb1 # создание файловой системы
blkid # получение UUID

systemctl daemon-reload
systemctl start mnt-backup.mount
systemctl enable mnt-backup.mount

[Unit]
Description=NFS share

[Mount]
What=srv.example.com:/backup/nfs_share
Where=/mnt/backup
Type=nfs4
Options=rw
TimeoutSec=15

[Unit]
Description=NFS share
Requires=network-online.target
BindsTo=openvpn@client.service

After=openvpn@client.service

[Automount]
Where=/mnt/backup
TimeoutIdleSec=60

[Install]
WantedBy=graphical.target

systemctl daemon-reload
systemctl enable --now mnt-backup.automount

/ip firewall filter
add chain=input protocol=tcp dst-port=22,8291 connection-state=new \
action=add-src-to-address-list address-list=stage1 address-list-timeout=1m

add chain=input protocol=tcp dst-port=22,8291 src-address-list=stage1 \
action=add-src-to-address-list address-list=stage2 address-list-timeout=10m

add chain=input protocol=tcp dst-port=22,8291 src-address-list=stage2 \
action=add-src-to-address-list address-list=blacklist address-list-timeout=1d

add chain=input src-address-list=blacklist action=drop

/ip service disable ftp
/ip service disable www
/ip service set winbox address=192.168.88.0/24
/ip service set ssh address=192.168.88.0/24

/ip firewall filter
add chain=input protocol=icmp limit=5,10 action=accept \
comment="Allow limited ICMP"

add chain=input protocol=icmp action=drop \
comment="Drop excessive ICMP"

if [ -f "$file" ]; then
echo "Файл существует"
fi

name=${NAME:-"Гость"}

for file in *.txt; do
echo "Обрабатываю $file"
done

while IFS= read -r line; do
echo "Строка: $line"
done < input.txt

if command; then
echo "Команда прошла успешно"
else
echo "Ошибка"
fi

cat << EOF
Это многострочный текст.
EOF

trap 'rm -f /tmp/tempfile' EXIT

set -e

set -u

set -o pipefail