если мы смонтировали /home с nodev, потом примонтировал в /home/куда-то-там/chroot - debootstrap с чрутом работать будут?

не знаю. скорее всего - нет.

за то знаю, что если смотировать каталог с noexec, то там ничего не соберётся. Первая же команда (configure) радостно сообщит, что ей не удалось пройти первый-же тест

Один из довольно частых вопросов на различных околониксовых ресурсах — вопрос о том, какую схему разбивки дисков использовать. С виду простой вопрос на самом деле таит в себе множество подводных камней. Если, конечно же, дело касается серверов. На десктопах все гораздо скучнее и серее.

Универсального решения в данном вопросе нету, просто есть некоторые аспекты, которыми следует руководствоваться при выборе схемы разбивки.

Ограничение пользователей

Все разделы, куда обычный пользователь имеет права на запись (/home; /tmp; /var/tmp), необходимо вынести в отдельные разделы. Этим шагом убиваем сразу целое семейство зайцев:

    при переустановке системы нет необходимости впопыхах переносить данные пользователей на другие носители / восстанавливать что откопалось из протухших бэкапов годовалой давности
    получаем возможность монтировать данные разделы с noexec, чтобы злостные кулхацкеры не запускали всякую дрянь в вашей системе. (напомню, что noexec не спасает от шелл скриптов. это на самом деле не важно. враг может запускать как скрипт, так и команду - разницы никакой. потому запрещать исполнять скрипты не нужно, нужно запрещать исполнять команды,  например выдав врагу в качестве шелла /bin/false. А вот запрет исполнять файлы очень полезен и на серверах и даже на десктопах. Если конечно вы не программист)
    спасаемся от hard-link атаки (это когда обнаруживается уязвимость в каком-либо пакете, вы его успешно сносите, а уязвимость остается, потому что злоумышленник создал хард-линк на уязвимый файл).
не только. ещё враг может создать линк на файл с SUID битом. при некоторых условиях это может помочь врагу получить права рута. однако, если враг не может писать в разделы с программами, то он очевидно и не может создавать там хардлинки. А создавать хардлинки он может только в каталогах, в которые у него есть доступ, а именно в /tmp/, /home/, /var/. Но невозможно сделать хардлинк из одного раздела в другой.   
можем использовать в /tmp файловую систему ext2 (журналирование здесь ни к чему, т.к. в случае сбоя восстанавливать ничего не нужно). угу. это несколько увеличивает скорость. Кроме того, желательно очищать раздел на выходе. Если это действительно раздел, его можно просто забить нулями целиком. Но если это просто каталог, никто вам не даст гарантии, что нули лягут поверх секретных файлов. Кроме того, непонятно сколько этих нулей нужно

Защищаем систему от отказа в работе из-за нехватки дискового места

Стоит помнить, что у нас есть замечательный /var/log, который очень любит забиваться логами под завязку, ненасытные пользователи, которым вечно не хватает дискового пространства и временные папки, которые любят забиваться миллионами временных файлов, которые никто не удаляет. Все подобные разделы (/var; /home; /tmp) так же желательно вынести за пределы корня.

Палки в колеса злоумылшленникам

Весьма сомнтельная мера, однако не раз встречал подобную рекомендацию: монтировать /usr в readonly.
Однако самим себе мы так же создаем некие неудобства: обновить то систему так просто теперь не получится. Однако, например в GNU/Debian это обходится добавлением в /etc/apt/apt.conf:

DPkg
{
Pre-Invoke { "mount /usr -o remount,rw" };
Post-Invoke { "mount /usr -o remount,ro" };
};

Правда post-invoke не всегда срабатывает. Иногда приходится с помощью lsof +L1 вычислять кто же виноват, в том, что /usr занят и не может быть перемонтирован в ro.

swap. Нужен или нет?

Сплошь и рядом рекомендации делать своп равным двойному размеру оперативной памяти. На серверах, где бывает и по 64-128Гб (а то и больше) оперативки это даже как то глупо звучит. Особой нужды в свопе на системах нынче нет. Ну только если вы не хотите использовать hibernation. Впрочем это прерогатива ноутбуков, а не серверов.

в принципе - да. своп двойного раздела нужен лишь если у вас ~64МЕГАбайта памяти. а таких компов уже 100 лет не бывает. но советы гуру живут и по сей день. С другой стороны, своп и сегодня нужен. Он нужен для того, что-бы если в программе есть ошибка, и она жрёт память(МНОГО), у вас ничего не рухнуло, кроме этой программы. В ядре Linux существует механизм для убиения зарвавшихся приложений, называется OOM-killer. Вот только, он не является телепатом, и часто ошибается. На десктопе он может например обрушить X сервер, что для пользователя будет равносильно полному краху ОС.

В итоге - своп нужен. Размер свопа должен быть примерно равен размеру памяти. В конце концов - память на диске стоит копейки, особенно по сравнению с ВАШИМ нервами.

Опции монтирования

Весьма важный пункт, на который стоит обратить внимание. Помимо вышеупомянутого noexec, на пользовательских разделах стоит ставить nosuid и nodev. Так же можно снижать нагрузку на диск с помощью опций noatime или relatime и с помощью увеличения времени коммита commit=60 (по умолчанию время коммита — 5 секунд).

Следует заметить, что noatime в 90% случаев вообще не даёт прироста быстродействия. А даже если и даёт, то очень незначительный. С другой стороны, найти последний файл к которому был доступ вы не сможете. Вы администратор, или так, покурить зашли?

Итоги

Данные аспекты носят рекомендательный характер, строгих правил по данному вопросу нет. Все зависит от личных предпочтений.
Однако, все же хотелось бы подвести некую черту:

*    Старайтесь выносить из корня в отдельные разделы /boot, /home, /tmp, /var.
раздел /boot/ выносить нет никакой необходимости. Разве что вы зашифровали корень. Вот только шифровать корень не нужно, ибо там нет (не должно быть) никаких секретных данных. Секретные данные должны лежать в /home/
*    Используйте lvm, чтобы в дальнейшем не кусать локти, если вдруг какой-то раздел срочно необходимо увеличить.
зачем кусать-то? просто тарим два соседних раздела, потому их прибиваем, а потом создаём два новых, один больше, второй меньше. Вот и вся любовь. LVM не нужна. Ибо, если администратор не умеет сохранять и создавать разделы, ему никакая LVM не поможет. (конечно, на практике LVM использовать можно и нужно. но не для этого)
*   Не забывайте про опции монтирования, щадящие диски. Мы же не хотим, чтобы они вылетали.
noatime сохраняет диск только в странных фантазиях автора. это всё равно, как отрезать ногу, потому-что "ходить не нужно". IRL таки нужно, но на костылях. ИЧСХ одноногий быстрее устаёт. Если вы переживаете за ресурс SSD - используйте опцию ro. (Хотя, ИМХО, вы этот SSD выкинете на помойку ещё рабочим. Как выкидываете рабочие HDD. В десктопе. В файловом сервере просто смиритесь - HDD - расходный материал.)
*    не забывайте убирать резерв для рута на вынесенных разделах, т.к. в нем более нет необходимости (tune2fs -m 0 /раздел)
угу. добавлю, что /tmp/ можно и нужно вынести в память, если её много.
*    кроме, есть смысл вынести /usr/. раздела в 7.6Гб мне хватило на посл. KDE+Gnome2.3+куча ПО. Не думаю, что у вас ПО больше.