Namespace дотор эхлүүлсэн Firefox URL-ыг одоо байгаа инстанц руу шилжүүлэв

Команд VPN-ийн namespace дотор ажиллаж, Firefox цонх гарч ирэх боловч хуудас ердийн холболтоор гарсаар байна. Маршрутлалтын тохиргоо магадгүй хамгийн түрүүнд дахин барих зүйл биш. Команд хүлээж байсан хөтчийн инстанцыг үүсгэсэн эсэх, эсвэл URL-ыг өөр газарт ажиллаж байсан инстанц руу шилжүүлсэн эсэхийг шалгана уу. Энэ ялгаа үр дүнг нэг алхамаар тайлбарлаж, nftables-ийн нэг цагийг хэмнэнэ.

Шинж нь цонх хүйтэн эхлэлгүйгээр шууд гарч ирдэг.

Шинэ цонх бол шинэ инстанц биш

Ширээний програмууд одоо байгаа процессыг тогтмол дахин ашигладаг. Нэг сүлжээний namespace доторх эхлүүлэгч аль хэдийн ажиллаж буй хүлээн авагчийг тэр namespace руу зөөдөггүй, учир нь хүлээн авагч хэзээ ч эхлүүлэлтийн хэсэг байгаагүй. Firefox-ийн алсын удирдлагын зан төлөв профайлтай холбоотой: аль хэдийн ашиглагдаж буй профайлын эсрэг эхлүүлэхэд аргументууд эзэнд нь шилждэг. Шинэ цонх бодитой; шинэ сүлжээний зам биш.

Хувийн хайлт болон шинэ цонхны сонголт нь сүлжээ тусгаарлалтын хяналт биш.

Зөвхөн цонхны горимд нөлөөлдөг командын мөрийн туг ч мөн адил биш. Хэрэв профайл завгүй бол хүсэлт түүнийг эзэмшдэг процесс руу явж, тэр процесс эхэлсэн namespace-оо хадгална.

Тусдаа профайл дээр тусдаа инстанцыг албадаж бий болго

Хөтчийн дэмжигдсэн профайлын ажлын урсгалаар үүсгэсэн тусгай профайлыг ашиглаж, түүгээр нь ил тод эхлүүлнэ үү. Үүнийг дэмждэг Firefox хувилбаруудад --new-instance одоо байгаа инстанц доторх цонхны оронд шинэ инстанц шаарддаг. Суулгасан хувилбарын өөрийн тусламжийн гаралтыг үзнэ үү, учир нь боломжтой тугууд хувилбараас хамаарч өөр өөр байна.

Тэр ижил амьд профайлыг нэгэн зэрэг нээх гэж бүү оролд, мөн «профайл ашиглагдаж байна» гэсэн анхааруулгыг түгжээний файлуудыг устгах заавар гэж бүү үз.

Хөтчийг ердийн root бус хэрэглэгчийнх нь дор ч ажиллуул. Сүлжээний тохиргоо ихэвчлэн захиргааны эрх шаарддаг бөгөөд ижил туршилтын хэсэг учраас хөтчид ч мөн адил эрх өгөх нь уруу татдаг. График хөтчид тэдгээр хэрэггүй бөгөөд түүнийг root болгон ажиллуулах нь профайл, зөвшөөрлийн асуудлын тусдаа ангиллыг бий болгодог. Эрх мэдэл ба сүлжээний замыг хоёр бие даасан шийдвэр гэж баримтал.

Аль процесс трафикийг зөөж байгааг шалга

Linux дээр процессын сүлжээний namespace нь түүний namespace холбоосоор харагдана. Хүсэлт илгээж байна гэж бодож буй процессын хувьд, дараа нь үнэхээр илгээж буй процессын хувьд уншина уу.

readlink /proc/ACTUAL_PID/ns/net

Хөтчүүд хэд хэдэн процесс ажиллуулдаг тул таних нь чухал: холболт үүсгэж буй агуулгын процесс таны хамгийн түрүүнд шалгасан процесс биш байж болно. Холбоосыг таны зорьсон namespace-той харьцуулж, нэг инстанцад хамааруулж болох шинэ, хор хөнөөлгүй хүсэлтээр баталгаажуул. Хамааруулалт бол бүх шалгалт. Холболтыг аль процесс үүсгэснийг хэлж чадахгүй бол та namespace-ыг шалгаж чадаагүй.

Namespace үнэхээр буруу үед

Заримдаа эхлүүлэгч үнэхээр бүтэлгүйтэж, шинэ инстанц буруу namespace-д эхэлдэг. Түүнийг төрүүлсэн үйлчилгээ эсвэл бүрхүүлийг шалга, учир нь нэгж эсвэл ширээний бичлэг сессийн автобусаар дахин ажиллахдаа namespace-аа алдаж болно. Дараа нь хөтчийг буруутгахаас өмнө зөв namespace доторх shell-ээс дахин шалга. Нэг удаад нэг хувьсагч байлгах нь үүнийг оношилгоотой байлгах цорын ганц арга.

Дэлгэц хуваалцах нь resolver-ыг ч хуваалцдаггүй.

Хэрэв процесс зөв namespace-д байгаа бөгөөд нэрний шийдэлт дахиад бүтэлгүйтвэл,түүний resolver орчныг тусдаа асуудал гэж судал. Өөр маршрутлалтын өөрчлөлт нь буруу инстанцад эхлэхээс өмнө шилжүүлсэн хүсэлтийг зөөж чадахгүй.