Re: jail: icmp

universe <universe(at)truemetal.org> wrote:
> weiss jemand ob tools wie "ping" oder "traceroute" inzwischen in einer
> jail funktionieren? bei mir (4.4-stable, 8/12/01) gehts nach wie vor
> nicht - seufz.

Nein, tun sie nicht, und das ist ein Feature, kein Bug.
Ein Prozeß in einem jail darf keine raw-Sockets öffnen,
Punkt. Und das ist gut so.

Das kannst Du im Source leicht nachvollziehen:

src/sys/kern/uipc_syscalls.c:socket()
        error = socreate(uap->domain, &so, uap->type, uap->protocol, p);
-->
src/sys/kern/uipc_socket.c:socreate()
        error = (*prp->pr_usrreqs->pru_attach)(so, proto, p);
-->
Indirekter call über struct ipprotosw inetsw[].pr_usrreqs fuer
SOCK_RAW (== rip_usrreqs) aus src/sys/netinet/in_proto.c und
über struct pr_usrreqs rip_usrreqs.pru_attach (== rip_attach)
aus src/sys/netinet/raw_ip.c.
-->
src/sys/netinet/raw_ip.c:rip_attach()
        if (p && (error = suser(p)) != 0)
                return error;
-->
src/sys/kern/kern_prot.c:suser()
        return suser_xxx(0, p, 0);
-->
src/sys/kern/kern_prot.c:suser_xxx()
       if (proc && proc->p_prison && !(flag & PRISON_ROOT))
               return (EPERM);

> ich hatte mal einen demo-account auf einem der "virtual private
> server" (ebenfalls jail-umgebung) die von verio angeboten werden, die
> hatten zu dem zeitpunkt 4.2-release oder -stable und bei denen
> funktionierte das. :(

Dann müssen die das in den Kernel irgendwie hineingehackt
haben. Halte ich für eine ausgesprochen schlechte Idee.

Ich vermute, sie dachten, es würde einen schlechten Ein-
druck machen, wenn ping und traceroute nicht funktionier-
ten, haben sich aber keine Gedanken über die Folgen ihres
Hacks gemacht.

Gruß
   Olli

-- 
Oliver Fromme, secnetix GmbH & Co KG, Oettingenstr. 2, 80538 München
Any opinions expressed in this message may be personal to the author
and may not necessarily reflect the opinions of secnetix in any way.
"All that we see or seem is just a dream within a dream" (E. A. Poe)
To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message