Kwantena na LXD ba ya iya buɗe /dev/net/tun? Duba shigar unix-char

LXD yana fallasa na'urar haruffa ta mai masauki ga kwantena ta hanyar ƙara kullin na'ura, ba ta koya wa baƙo ya ƙirƙira ɗaya ba. Idan kwantenan ba shi da /dev/net/tun, mai masauki na iya samun na'urar kuma baƙo har yanzu ya kasa buɗe ta. Shigar unix-char ita ce rabin wannan hanya daga gefen mai sarrafawa, kuma da gangan ta fi taƙaitaccen kwantena mai gata. Shi ya sa kullin mai masauki da kullin kwantena suka cancanci dubawa daban.

Hanyar gajera ce da za a iya kiyaye ta a gani: LXD yana warware hanyar mai masauki, yana ƙirƙirar kulli mai dacewa a cikin misali kuma yana ƙara na'urar cikin cgroup na na'urori na kwantena. Bayan haka aikin baƙo yana buƙatar izininsa da iyawarsa don amfani da kullin ga kowane abu.

Abin da shigar unix-char ke canzawa a zahiri

Na'urar unix-char tana gaya wa LXD ya fallasa na'urar haruffa ɗaya ta mai masauki a zaɓaɓɓiyar hanya a cikin kwantena. Shigar tana da sassa uku masu muhimmanci: alamar na'urar da mai sarrafawa ke amfani da ita, hanyar source a kan mai masauki da path da baƙo ke gani. Ƙarshen biyun ne kawai ke bayyana na'urar kanta. Kuskuren rubutu a ɗayansu yana haifar da kulli a wurin da abokin ciniki ba ya buɗewa.

A kan mai masauki, na'urar yawanci /dev/net/tun ce. A cikin kwantena za ka iya riƙe wannan hanyar ko zaɓi wata, amma hanyar dole ta dace da abin da abokin ciniki na VPN ke tsammani. Riƙe /dev/net/tun yana guje wa matsala ta biyu ta tsari, domin yawancin abokan ciniki suna buɗe wannan hanyar ba tare da tambaya ba.

Mai sarrafawa yana amfani da shigar lokacin da misalin ya fara ko lokacin da aka haɗa na'urar da zafi. Ba ya kwafa direba cikin baƙo kuma ba ya ƙirƙirar fuskar tunnel. Yana sa kullin a bayyane kuma yana ba da izinin shiga ta ƙungiyar kula da na'urori ta kwantena.

Bayyana na'urar a kan misali, ba a cikin baƙo ba

Ƙara shigar daga mahallin gudanarwa na LXD, tare da ambaton misalin da alama da za ka gane daga baya. Don kwantena mai suna vpnbox, umarnin shi ne:

lxc config device add vpnbox tun unix-char source=/dev/net/tun path=/dev/net/tun
lxc config device show vpnbox

Alamar tun ta gida ce ga tsarin misali. Ba sunan fuska ba ce kuma ba dole ba ta dace da kome a cikin baƙo. Idan bayani ya riga ya ba da wannan na'urar, ƙara shigar ta biyu yana haifar da rikici maimakon yawa, don haka fara duba tsarin da ke aiki.

Gyara fayiloli a cikin kwantena shine Layer mara daidai. mknod a cikin rubutun farawa na iya nuna yana aiki a kan kwantena mai gata, sannan ya ɓace yayin sake ƙirƙira ko ya kasa a kan wanda ba shi da gata sosai. Mai sarrafawa ne ya mallaki saitin na'urori na misalin; bari ya mallaki kullin kuma.

Daidaita mallaka da yanayi da aikin baƙo

Shigar unix-char na iya saita uid, gid da mode ga kullin a cikin kwantena. Yi amfani da su don dacewa da asusun da ke tafiyar da abokin ciniki na VPN, maimakon buɗe na'urar ga kowane mai amfani ko canza kwantena zuwa yanayin gata.

Bayyanuwa ba ɗaya ba ne da izini. Kullin da root ya mallaka da yanayi 600 yana bayyane ga sabis ɗin da ke gudana a matsayin mai amfani mara gata kuma har yanzu ba ya iya buɗe shi. Fara duba asusun baƙo, sannan saita mallaka ga wannan asusun, kuma ka riƙe yanayin bai fi abin da abokin ciniki ke buƙata faɗi ba.

Aikin kuma yana buƙatar iyawar daidaita fuskar tunnel, yawanci CAP_NET_ADMIN a cikin sararin sunan cibiyar sadarwa na kwantena. Ba da na'urar ba ya ba da wannan iyawa, kuma ba da iyawa ba ya samar da na'urar; buƙatu ne masu zaman kansu.

San abin da shigar ba ta bayarwa

Kullin da ake gani ba VPN mai aiki ba ne. Har yanzu dole a shigar da kunshin abokin ciniki, har yanzu bayanin ya kasance mai inganci, kuma har yanzu sabis ɗin ya fara. Tabbatarwa, hanyoyi da DNS sun kasance aikin abokin ciniki, kuma gazawa a can ba hujja ba ce cewa shigar na'urar ba daidai ba ce.

systemd na iya ƙara wani hani. Rukunin da ke da DeviceAllow ko manufar na'urori mai tauri na iya hana shiga kullin da mai sarrafa kwantena ya bayar. Duba manufar na'urori ta rukunin lokacin da kullin ya wanzu amma sabis ɗin yana ba da rahoton kuskuren izini, kuma canza wannan manufar maimakon faɗaɗa kwantena.

Haɗin zafi na zaɓi ne kuma bayyananne. Shigar da ke da required=false tana buƙatar hanyar tushe kuma tana iya bayyana ko ɓacewa yayin da na'urar mai masauki ke canzawa. Irin wannan rayuwar ta dace da kayan aiki da ke zuwa da tafiya; ga na'urar TUN da VPN ke buƙata a lokacin tashi, shigar zaɓi na iya barin sabis ɗin ya fara kafin abin da ake buƙata ya kasance.

Tabbatar da bayyanuwa, buɗewa da fuska a wannan tsari

Da farko tabbatar da kullin a cikin kwantenan da aka nufa. Hanya, manyan lambobi da ƙananan lambobi da mallaka ya kamata su dace da na'urar mai masauki da shigar da ka ƙara. Rashin kulli yana nufin mai sarrafawa bai yi amfani da shigar ba, ko ya yi amfani da ita ga wani misali.

lxc exec vpnbox -- ls -l /dev/net/tun
lxc exec vpnbox -- sh -c 'test -c /dev/net/tun && echo char-device-ok'

Sannan tabbatar da cewa asusun sabis ɗin zai iya buɗe shi. Gwajin ɗan gajeren lokaci a matsayin wannan asusun yana raba matsalar mallaka daga matsalar sabis. A ƙarshe, fara abokin ciniki kuma tabbatar da cewa fuskar tunnel ta bayyana; mataki na uku ne kawai ke tabbatar da dukan hanyar, domin biyun farko na iya wucewa yayin da bayanin ko iyawar abokin ciniki har yanzu ba daidai ba.

Rubuta misalin, alamar na'urar, tushen mai masauki, hanyar baƙo da asusun mai mallaka lokacin da aka amince da canjin. Waɗannan ƙima biyar sune abin da sake ƙirƙira, ƙaura ko canjin bayani daga baya dole ya kiyaye, kuma sun fi sauƙin kwatanta fiye da kuskuren izini mara mahallin.