Linux mount --make-private 怎样阻断挂载传播

如果一个挂载点处于 shared 状态，在它下面发生的挂载或卸载事件可能会传播到同一 peer group 的其他挂载点。要把它变成不接收、也不向外发送挂载事件的 private 挂载，使用：

# 把已经存在的挂载点改成 private，阻止挂载事件进出该挂载点
sudo mount --make-private /srv/data

--make-private只改变指定挂载点；如果目标下面还有需要一起隔离的子挂载，要用--make-rprivate。两者改变的是挂载传播属性，不是目录权限、文件系统只读状态，也不会替你创建新的文件系统挂载。

官方参考地址：https://man7.org/linux/man-pages/man8/mount.8.html

先看清 Linux 挂载传播到底改变什么

Linux 的 shared subtree 机制把挂载点标记为 shared、slave、private 或 unbindable。shared 挂载会和 peer group 交换挂载与卸载事件；slave 只接收来自 master 的传播；private 不参与传播；unbindable 则是在 private 的基础上禁止 bind mount。

因此，“阻断挂载传播”对应的是把传播类型改为 private，而不是给目录加权限、卸载目录，或在命令后追加一个看似相关的-o ro。先看状态，再决定是否递归修改：

# 只读查看目标挂载点的传播属性，不执行任何挂载变更
findmnt -o TARGET,PROPAGATION /srv/data

# 查看当前命名空间的挂载信息，关注 shared、master 等可选字段
grep ' /srv/data ' /proc/self/mountinfo

如果输出里出现shared:N，说明它属于某个 shared peer group；出现master:N或propagate_from:N，说明它处在接收传播的关系中；没有这些可选字段时，通常表示该挂载点是 private。判断时要以当前进程所在的 mount namespace 为准。

为什么要用 mount --make-private

从 shared 改为 private 后，目标挂载点不再拥有 peer group，挂载和卸载事件不会传播进入，也不会传播出去。这个能力常用于挂载命名空间、容器运行时或临时挂载目录的隔离边界：某个命名空间里创建的挂载不应意外影响宿主或其他命名空间。

单个挂载点的最小命令如下：

# 让 /srv/data 只承担自己的挂载树，不参与 shared 事件交换
sudo mount --make-private /srv/data

# 立刻读取结果，确认目标挂载点已经不再显示 shared 关系
findmnt -o TARGET,PROPAGATION /srv/data

这条命令要求/srv/data本身是一个可识别的挂载点。它不会读取fstab来猜测目标，也不会把普通目录自动变成挂载点；必要时应先确认目录对应的挂载记录。

只隔离一个点，还是连子挂载一起隔离

关键区别在于命令中的r：--make-private处理指定挂载点，--make-rprivate递归处理目标及其子挂载。若目标树下已经有多个 bind mount、proc、sysfs 或其他子挂载，只改父挂载点可能留下传播关系。

# 递归把目标挂载树标记为 private，适合隔离整个子树
sudo mount --make-rprivate /srv/data

# 递归查看树内每个挂载点的传播属性，便于发现残留关系
findmnt -R -o TARGET,PROPAGATION /srv/data

不要把r理解成“更强的 private 模式”或“阻断双向传播的另一种方向”。它表达的是递归范围；private 仍然负责传播语义本身。目标只是阻止父点的事件向外扩散时，单点命令更容易控制影响范围；目标是封闭整棵挂载树时，递归命令更符合意图。

按结果判断命令是否生效

最小确认只需要重新查看传播属性，不需要制造一次真实挂载事件。对于单点修改，可以用：

# 重新查询单个挂载点，结果应不再显示 shared 或 master 传播字段
findmnt -no TARGET,PROPAGATION /srv/data

# 用内核公开的 mountinfo 交叉查看同一挂载点的可选字段
grep ' /srv/data ' /proc/self/mountinfo

递归修改则要把父点和子挂载一起看：

# 输出整个挂载子树，确认各层传播属性都符合隔离目标
findmnt -R -o TARGET,PROPAGATION /srv/data

# 只保留可能表示传播关系的字段，减少排查时的噪声
grep -E ' /srv/data([^ ]*) |shared:|master:|propagate_from:' /proc/self/mountinfo

如果仍能看到某个子挂载带有shared:N，通常说明之前只执行了非递归的--make-private，或者检查的路径并不是同一个挂载点。若命令返回权限错误，则先确认当前进程是否拥有修改挂载拓扑所需的权限，并确认自己位于预期的 mount namespace。

常见误区与边界

还要注意，挂载传播属性是按挂载点记录的；它不等于“所有后代路径永远都不会发生任何变化”。当排查复杂挂载树时，应同时看父挂载、子挂载以及它们在当前 namespace 中的关系。

结论：先确认范围，再选择 private 还是 rprivate

想阻断一个挂载点的传播，用mount --make-private MOUNTPOINT；想连同其下的挂载树一起隔离，用mount --make-rprivate MOUNTPOINT。执行前用findmnt -o TARGET,PROPAGATION识别当前状态，执行后再次读取结果；这样可以把传播属性、目录权限、文件系统选项和命名空间边界分开判断。

如果你只需要“接收上游事件但不向回传播”，那是 slave 的问题，不应误用 private；如果还要禁止 bind 复制，则应另行评估 unbindable。命令选择的核心不是参数越多越安全，而是让修改范围和隔离目标保持一致。

相关问题

--make-private 和 --make-rprivate 有什么区别？

前者只修改指定挂载点，后者递归修改该点及其子挂载。是否使用递归，取决于你要隔离单个挂载点还是整棵挂载子树。

private 会不会让目录变成只读？

不会。private 控制挂载和卸载事件的传播，不等于ro，也不改变普通文件权限。

为什么 findmnt 还能看到子挂载？

private 只改变传播属性，不会卸载已有子挂载。用findmnt -R查看树时仍会看到它们，但应分别检查每个挂载点的传播状态。