Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Раздел полезных советов: Подготовка chroot-окружения в Debia..., auto_tips (ok), 19-Окт-09, (0) [смотреть все] Ещё неплохо создать etc hostssys и proc нужно просто монтирвать без rbindа такж, Nicknnn (ok), 11:14 , 19-Окт-09, (1) // итак, допустим apache таки ломанулиу нас dev есть конечно, а даже если и нет, т, pavel_simple (ok), 13:21 , 19-Окт-09, (2) // users webusergroups sbuildАпач, уж 100 лет как, без рута умеет работать Для , pavlinux (ok), 18:23 , 19-Окт-09, (4)   // А чем плоха, к примеру, виртуалка под OpenVZ chroot хорош для мелких задач, а т, Pilat (ok), 19:00 , 19-Окт-09, (5)   В применение изолированных сред, само название говорит за себя В изоляции д, pavlinux (ok), 19:54 , 19-Окт-09, (6)   Не думаю что всё тка плохо OpenVZ держать не очень накладно, там расходы копееч, Pilat (ok), 20:15 , 19-Окт-09, (7)   Правильный chroot это runtime chroot, т е по мере необходимости Пришёл конн, pavlinux (ok), 20:55 , 19-Окт-09, (8)   В идеальном мире да А в реальном , Pilat (ok), 22:34 , 19-Окт-09, (9)   Никому не нужно Написать гибрид xinetd fork chroot не долго , pavlinux (ok), 00:49 , 20-Окт-09, (10)   Ну и нафига такой пример , Pilat (ok), 02:22 , 20-Окт-09, (11)   есть такой апач Apache 2 ITK MPM и Peruser MPM, но всё не так просто, как кажет, shutdown now (?), 22:30 , 21-Окт-09, (14)   И в чем эта накладность состоит Оно не виртуаль в общем то, а просто резатель р, User294 (ok), 05:36 , 23-Окт-09, (15)   А зачем создавать полное окружение - нужно все-голишь чтобы сервис умел запускат, mma (?), 07:56 , 20-Окт-09, (12) // но при этом чрут сам посебе не назовешь полноценной изоляцией, нужно как минимум, mma (?), 07:58 , 20-Окт-09, (13) // А с каких пор CAP_SYS_CHROOT есть у кого-то, кроме рута , sjinks (?), 15:44 , 23-Окт-09, (16) // я не правильно выразился, но суть думаю понятна как можно выйти за пределы chroo, mma (?), 19:12 , 23-Окт-09, (17) Без рутовых привилегий и при условии, что у демона нет открытых файлов каталогов, sjinks (?), 17:11 , 24-Окт-09, (18) chroot в chroot и fchdirОт этого ведб стандартными способами не защитишся, mma (?), 19:36 , 24-Окт-09, (19) Да, только второй chroot можно сделать, если у демона есть CAP_SYS_CHROOT т е, sjinks (?), 20:02 , 24-Окт-09, (20) вы не написали зачем все это надо, какие преимущества и недостатки вкрадце ввод, jura12 (??), 04:14 , 13-Ноя-09, (21) 1,12,21

Сообщения

[Сортировка по времени | RSS]

	4. "Подготовка chroot-окружения в Debian или Ubuntu"	+/–
	Сообщение от pavlinux (ok), 19-Окт-09, 18:23
	users = webuser groups = sbuild Апач, уж 100 лет как, без рута умеет работать. Для сумневающихся - http://www.grsecurity.net/ А нужно это для того, чтоб не плдоить виртуалки.
	Ответить | Правка | Наверх | Cообщить модератору

	5. "Подготовка chroot-окружения в Debian или Ubuntu"	+/–
	Сообщение от Pilat (ok), 19-Окт-09, 19:00
	А чем плоха, к примеру, виртуалка под OpenVZ? chroot хорош для мелких задач, а тут практически вся система.
	Ответить | Правка | Наверх | Cообщить модератору

	6. "Подготовка chroot-окружения в Debian или Ubuntu"	+/–
	Сообщение от pavlinux (ok), 19-Окт-09, 19:54
	>А чем плоха, к примеру, виртуалка под OpenVZ? chroot хорош для мелких >задач, а тут практически вся система.   В применение изолированных сред, само название говорит за себя.... В изоляции должно сужествовать только то, что нужно, и не байта больше. Приложение + Shared Objects (.so) и R/O данные.   Данные для записи складываются в SQL/CIFS/NFS итп, но в другом chroot. База или каталоги для записи хранится на RAID1/5/10 c hourly/daily incremental снапшотами и weekly TAPE/DVD-R/BD-R бакапом. OpenVZ, как и любую другую виртуаль, очень накладно держать для каждого сервиса раздельно. У виртуалок есть два приемущества - быстырый бэкап, и полная изоляция (SMM бэкдором не многие умеют пользоваться).
	Ответить | Правка | Наверх | Cообщить модератору

	7. "Подготовка chroot-окружения в Debian или Ubuntu"	+/–
	Сообщение от Pilat (ok), 19-Окт-09, 20:15
	Не думаю что всё тка плохо. OpenVZ держать не очень накладно, там расходы копеечные. Вопрос про chroot: а как обновлять в нём софт, если только библиотеки? В нашем примере там не только библиотеки - там всё.
	Ответить | Правка | Наверх | Cообщить модератору

	8. "Подготовка chroot-окружения в Debian или Ubuntu"	+/–
	Сообщение от pavlinux (ok), 19-Окт-09, 20:55
	>Не думаю что всё тка плохо. OpenVZ держать не очень накладно, там расходы копеечные. > >Вопрос про chroot: а как обновлять в нём софт, если только библиотеки? Правильный chroot это runtime chroot, т.е. по мере  необходимости... Пришёл коннект, родил chroot и перенаправил туда. LIMIT_PER_ONE_SERVER = 1024; CONNECTIONS = 0; EXTERN CONNECT(); MASTER_CONNECT(char *user) {   WHILE (ONLINE) {      IF ( CONNECTIONS % LIMIT_PER_ONE_SERVER == 0 )       {        THEN              FORK_IN_CHROOT_NEW_SERVER(CONNECT());              REDIRECT_TO_NEW_SERVER(user);         ELSE              REDIRECT_TO_NONBUSY_SERVER(user);      }     CONNECTIONS++   } // while } ну и так далее
	Ответить | Правка | Наверх | Cообщить модератору

	9. "Подготовка chroot-окружения в Debian или Ubuntu"	+/–
	Сообщение от Pilat (ok), 19-Окт-09, 22:34
	>Правильный chroot это runtime chroot, т.е. по мере  необходимости... >Пришёл коннект, родил chroot и перенаправил туда. В идеальном мире да. А в реальном?
	Ответить | Правка | Наверх | Cообщить модератору

	10. "Подготовка chroot-окружения в Debian или Ubuntu"	+/–
	Сообщение от pavlinux (ok), 20-Окт-09, 00:49
	>>Правильный chroot это runtime chroot, т.е. по мере  необходимости... >>Пришёл коннект, родил chroot и перенаправил туда. > >В идеальном мире да. А в реальном? Никому не нужно :) Написать гибрид xinetd+fork+chroot не долго.
	Ответить | Правка | Наверх | Cообщить модератору

	11. "Подготовка chroot-окружения в Debian или Ubuntu"	+/–
	Сообщение от Pilat (ok), 20-Окт-09, 02:22
	>Написать гибрид xinetd+fork+chroot не долго. Ну и нафига такой пример?
	Ответить | Правка | Наверх | Cообщить модератору

	14. "Подготовка chroot-окружения в Debian или Ubuntu"	+/–
	Сообщение от shutdown now (?), 21-Окт-09, 22:30
	есть такой апач: Apache 2 ITK MPM и Peruser MPM, но всё не так просто, как кажется, в результате он медленнее и  ресурсов ему больше нужно
	Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

	15. "Подготовка chroot-окружения в Debian или Ubuntu"	+/–
	Сообщение от User294 (ok), 23-Окт-09, 05:36
	> OpenVZ, как и любую другую виртуаль, очень накладно держать для каждого > сервиса раздельно. И в чем эта накладность состоит? Оно не виртуаль в общем то, а просто резатель ресурсов крутой. Тот же чрут но только сильно более правильный. Поэтому просадка скорости от опенвзы - не больно какая заметная. А вот интересные фенечки оно зато умеет. Ну и можно содержать систему с 5 процессами - один из которых инит а второй sshd к тому же будет.Как раз по контейнеру на сервис. Нифига оно не накладно, строго говоря. Если задаться целью его минимизировать - это можно.Скажем нафиг в контейнере стандартные утилсы и прочая, если оно может жить на ФС хоста и управляться оттуда?Как бонус - если хакер сломает что-то, он попадет в вроде как машину но какую-то сильно неудобную и неполноценную, где вредительствовать особо не дают :) Из плюсов - хаксор не сможет грузить модули ядра даже будучи рутом (вза сие отшивает) и дуракозащищенность - повыше.Например недавний сплойт повышающий права до рута на взе вообще не работал, что тоже некий плюс.
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема