в /lib/systemd/system

по всякому редактировал getty@.service и serial-getty@.service результата не добился, может не так редактировал...

почитал http://0pointer.de/blog/projects/serial-console.html

сменил права на 0000 для /lib/systemd/system-generators/systemd-getty-generator , опять безрезультатно...

записал в /etc/udev/rules.d/99-remove-tty.rules

KERNEL=="tty[0-99]", RUN="/bin/rm /dev/%k", OPTIONS+="ignore_device"

то что нужно, но в однопользовательском режиме рут всеравно заходит, буду разбираться в однопользовательском, что-же там происходит и как на это влиять.