Re: Jail Prozesse

Am Mi, den 19.11.2003 schrieb Andreas Braukmann um 19:44:
> Moin,
>
> --On Mittwoch, 19. November 2003 18:17 Uhr +0100 Widmer Hannes <h.widmer(at)cybernet.ch> wrote:
> (Deine Zeilenumbrueche saugen tote Hamster durch Nanoroehrchen. Ich
> musste das mal wieder manuell reparieren.)
>
> > Hab unseren Jailserver nun so weit am laufen. Ein Problem,welches ich
> > aber bislang noch nicht fixen konnte ist, dass wenn ich die Services
> > (apache,mysql,vsftp....) als script im rc.d des jails während dem
> > Systemboot starte, die Services im Jail laufen
> > (laut proc)
>
> laut welchem "proc"? Meinst Du ein gemountetes Proc-Dateisystem?
> Zeige doch mal Beispiele und/oder Logfiles! Du laesst die Mitleser
> *mal*wieder* im Dunkeln tappen.
>
> > aber die ProzessID auf dem main system sichtbar ist und
> > icht im Jail.
>
> Was sagt denn ein "ps a" innerhalb des Jails? Gar nichts?
> Was sagt ein "ps a" ausserhalb des Jails?
>
> > Das heisst, wenn ich nun it dem Script im jail den apache
> > als beispiel beenden möchte, sagt er mir das apache nicht läuft ....
> > dies auch mit allen anderen Services.
>
> Dann wird das mit hoher Wahrscheinlichkeit auch so sein.
> Wie sieht denn das Log des Startvorgangs des Jails aus?
> Was sagen die Logfiles der *vorgeblich* im Jail gestarteten
> Dienste?
>
>
> >
> > Kill ich aber die PID auf dem hostsystem und starte den Service
> > im Jail, hab ich den Prozess danach im Jail sichtbar.
>
> IMHO ein klares Indiz dafuer, dass die Dienste nicht im Jail,
> sondern ausserhalb der Jails liefen. Das typische Jail-Horror-
> Szenario:
> * Dienst wird auf dem Host-System gestartet und bindet
> sich an IN_ADDR_ANY (also an alle verfuegbaren IP-Adressen
> und damit auch an die IP-Adresse, die eigentlich fuer die
> Dienste im Jail reserviert bleiben sollte)
> * Dienst wird im Jail gestartet und will sich an die
> Jail-IP-Adresse binden => da ist aber schon der Listen-
> Socket des schon gestarteten Dienstes ... => Booom.
>
> Du stoppst den Dienst (auf dem Hostsystem), dadurch wird auch
> die Bindung des Listen-Sockets an die Jail-IP aufgehoben. Wenn
> Du nun den Dienst innerhalb des Jails neu startest, klappt das
> auch.
>
> -Andreas
>
>
>
>
> To Unsubscribe: send mail to majordomo.FreeBSD.org
> with "unsubscribe de-bsd-questions" in the body of the message

Sockets in einem Jail haben Vorrang. Man bindet an eine ip und einen
port zwei dienste, jeweils aus dem jail und aus dem basesystem(ja das
geht), jedoch lauscht der socket nur wirklich im jail, konflikte bzw
"socketkollisionen" entstehen so nicht, da der socket im jail vorrang
hat :)

gruss jesk

To Unsubscribe: send mail to majordomo.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message
Received on Fri 21 Nov 2003 - 09:55:39 CET