Настройка фаервола и capabilities

Предположим, на этапе загрузки настраивается фаервол. Его настройки хранятся в некотором файле. Задача состоит в том, чтобы нельзя было до следующей перезагрузки перенастраивать фаервол. Можно ли это решить путем запрещения capability CAP_NET_ADMIN или CAP_SYS_ADMIN ? Т.е. для настройки я изменяю файл, потом перегружаю систему. После настройки фаервола отрубаю capability. Теперь до следующего изменения файла и перезагрузки системы никто , даже root, не может изменить настройки фаервола. Такое возможно организовать?