要在CentOS系统上禁止内核模块加载与卸载，最直接的方法是使用内核模块黑名单机制。具体操作是编辑/etc/modprobe.d/blacklist.conf文件，添加"blacklist 模块名"行来阻止自动加载，同时结合系统配置彻底禁用模块操作。对于已加载的模块，可以通过rmmod命令移除，但更严格的限制需要修改内核参数或使用SELinux策略。下面将详细解释具体步骤和注意事项。
内核模块黑名单配置方法
黑名单配置是阻止模块加载的基础方法。在CentOS 7及更高版本中，进入/etc/modprobe.d/目录创建或编辑配置文件。例如要禁止nvidia驱动模块，可执行：sudo vim /etc/modprobe.d/blacklist-nvidia.conf，添加内容"blacklist nvidia"并保存。这个配置会在系统启动时生效，防止模块被modprobe或insmod命令加载。但需注意，黑名单仅阻止自动加载，若模块已被编译进内核或通过其他方式加载，则此方法无效。
彻底禁用模块加载的系统配置
除了黑名单外，可通过内核启动参数完全禁用模块功能。编辑/boot/grub2/grub.cfg或使用grubby工具，在kernel行添加"module.sig_enforce=1"参数启用签名验证，配合"module_blacklist=模块名"指定禁用模块。更严格的做法是添加"modprobe.blacklist=模块名1,模块名2"参数，多个模块用逗号分隔。重启系统后，这些模块将无法通过任何方式加载。此方法适用于需要高度安全的生产环境。
运行时模块管理限制
对于已运行的系统，临时禁用模块操作需要权限控制。首先检查当前加载的模块：lsmod | grep 模块名。卸载模块使用rmmod命令，但可能因依赖关系失败，此时需按依赖顺序反向卸载。更有效的方法是设置内核运行时参数：echo 1 > /proc/sys/kernel/modules_disabled，这将永久禁止所有模块加载（包括insmod），且不可逆，除非重启。建议先测试：echo 1 > /proc/sys/kernel/modules_disabled && echo $? 验证执行结果。
SELinux策略强化模块限制
在启用SELinux的CentOS系统中，可通过策略精细控制模块操作。检查当前状态：getenforce，若为Enforcing则已启用。创建自定义策略文件module_disable.te，定义禁止模块加载的规则：type module_disable_t; deny module_disable_t kernel_t:system module_load;。编译并安装策略：checkmodule -M -m -o module_disable.mod module_disable.te && semodule_package -o module_disable.pp -m module_disable.mod && semodule -i module_disable.pp。此方法可与黑名单组合使用，提供多层防护。
内核编译时永久禁用模块
若需彻底移除模块加载能力，可重新编译内核。下载内核源码后，执行make menuconfig，在"Enable loadable module support"选项中取消勾选，这将完全禁用动态模块加载功能，所有驱动必须静态编译进内核。编译参数：CONFIG_MODULES=n。完成后安装新内核：make && make modules_install && make install。此方法会导致系统无法加载任何外部模块，但能最大化安全性，适合定制化部署环境。
故障排除与常见问题
实施限制后可能出现问题。若系统启动失败，进入救援模式检查/boot/grub2/grub.cfg中的内核参数是否正确。模块依赖冲突可通过dracut --regenerate-all -f重建initramfs解决。关键系统模块如ext4、nvme被误禁时，需在启动时按e编辑grub参数，临时移除黑名单参数。建议操作前备份模块配置：cp -r /lib/modules/$(uname -r) /root/modules_backup。定期检查日志：journalctl -k | grep -i module 监控模块相关事件。
安全加固最佳实践
生产环境中建议分层实施：首先使用黑名单禁用非必要模块；其次通过内核参数限制签名验证；再结合SELinux策略控制权限；最后定期审计模块状态。创建监控脚本检查模块加载尝试：#!/bin/bash; while true; do dmesg -w | grep -E "loading|unloading" >> /var/log/module_audit.log; sleep 30; done。同时配置audit规则：auditctl -w /sbin/modprobe -p x -k module_load。这些措施能有效防止未经授权的模块操作，满足等保要求。
不同CentOS版本的差异处理
CentOS 6使用旧版init系统，黑名单配置在/etc/modprobe.d/blacklist中，且不支持grub2参数。CentOS 8引入Module Integrity Checking机制，需同时配置dnf install kernel-modules-extra并设置kernel.modules_disabled=1。CentOS Stream版本中，模块管理工具更新为kmod，命令语法略有不同。跨版本迁移时，需测试模块兼容性：modinfo 模块名 | grep vermagic，确保模块版本与内核匹配。推荐使用uname -r和rpm -qa | grep kernel-core确认环境信息。
总结来说，CentOS系统禁止内核模块加载与卸载需要根据安全需求选择合适方案。轻度限制用黑名单配置，中度安全需求结合内核参数，高度安全环境可采用SELinux或内核编译方案。所有操作前务必在测试环境验证，并保留恢复手段。通过系统化实施这些方法，能显著提升系统安全性和稳定性。
