[devel] Q: chroot jail directories

[devel] Q: chroot jail directories

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1310 bytes --]

Greetings!

В результате предварительного обсуждения в личной переписке появилось
мнение, что в нынешних FHS/LSB не хватает места непосредственно в /,
предназначенного для chrooted environment'ов общего назначения
(используемых в режиме readonly независимо несколькими приложениями).

Согласно FHS, в корневой файловой системе не разрешено разводить
самодеятельность; все обязательные, желательные и возможные имена
подкаталогов перечислены явно.
Поэтому добавление любого нового каталога должно быть стандартизировано.

Разумеется, на помещение каталога для общих chroot'ов именно в / есть
серьезные причины.

На данный момент уже есть два общих chroot'а, которые следовало бы
поместить в / - "empty" и "resolv" (сейчас они находятся в /var).

Для того, чтобы вынести этот вопрос на обсуждение в FHS/LSB, нужно как
минимум предложить имя для каталога, о котором идет речь. Это имя должно
быть короткое, понятное и не должно приводить к путанице.

Жду ваших предложений.


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.com/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

Re: [devel] Q: chroot jail directories

[Yura Zotov]

On Wed, Apr 10, 2002 at 08:25:40PM +0400, Dmitry V. Levin wrote:

<skip>

> Для того, чтобы вынести этот вопрос на обсуждение в FHS/LSB, нужно как
> минимум предложить имя для каталога, о котором идет речь. Это имя должно
> быть короткое, понятное и не должно приводить к путанице.
> 
> Жду ваших предложений.
> 

jail

--
Юрий А. Зотов

[devel] Re: Q: chroot jail directories

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 198 bytes --]

On Wed, Apr 10, 2002 at 08:25:40PM +0400, Dmitry V. Levin wrote:
> Жду ваших предложений.
/chroot ?

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

[devel] Re: Q: chroot jail directories

[Mikhail Zabaluev]

[-- Attachment #1: Type: text/plain, Size: 952 bytes --]

Hello Yura,

On Wed, Apr 10, 2002 at 09:10:23PM +0400, Yura Zotov wrote:
>
> On Wed, Apr 10, 2002 at 08:25:40PM +0400, Dmitry V. Levin wrote:
> 
> <skip>
> 
> > Для того, чтобы вынести этот вопрос на обсуждение в FHS/LSB, нужно как
> > минимум предложить имя для каталога, о котором идет речь. Это имя должно
> > быть короткое, понятное и не должно приводить к путанице.
> > 
> > Жду ваших предложений.
> > 
> 
> jail

On Wed, Apr 10, 2002 at 10:02:28PM +0300, Michael Shigorin wrote:
>
> /chroot ?

Ну вот, два самых очевидных решения перечислены :-)
Первое короче и эффектнее.

Всё-таки, почему плохо размещать узилища в /var?
Если какие-то chrooted приложения запускаются до/без монтирования
файловых систем -- это, по-моему, уже перебор. Сеть даже не должна
взводиться в таких режимах.

-- 
Stay tuned,
  MhZ                                     JID: mookid@jabber.org
___________
I just asked myself... what would John DeLorean do?
		-- Raoul Duke

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

Re: [devel] Re: Q: chroot jail directories

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 908 bytes --]

On Thu, Apr 11, 2002 at 03:09:59AM +0400, Mikhail Zabaluev wrote:
> Всё-таки, почему плохо размещать узилища в /var?

Размещение в / дает следующие преимущества:
+ гарантированные hard link'и на библиотеки и конфиги, что снимает
  проблему целостности chroot'а (например, из-за внезапного окончания
  места на диске);
+ работа команд вроде ping без примонтированных /var и /usr.

> Если какие-то chrooted приложения запускаются до/без монтирования
> файловых систем -- это, по-моему, уже перебор. Сеть даже не должна
> взводиться в таких режимах.

С чего бы это вдруг?


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.com/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

[devel] Re: Q: chroot jail directories

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 839 bytes --]

On Thu, Apr 11, 2002 at 11:26:52AM +0400, Dmitry V. Levin wrote:
> + гарантированные hard link'и на библиотеки и конфиги, что снимает
>   проблему целостности chroot'а (например, из-за внезапного окончания
>   места на диске);
И гарантированное увеличение / (что не есть хорошо, особенно в
случае неконтролируемой активности процессов под chroot) -- или
необходимость выделять еще один раздел, что сделают многие (и что
сломает хардлинки) :-(

> + работа команд вроде ping без примонтированных /var и /usr.
Возможно ли динамическое переключение резолвера -- или это
слишком трудоемко?  Чтоб в нормальном режиме оно было
параноилальным и работало в chroot, а при авариях позволяло
работать без него.  Не уверен, что игра стоит свеч, впрочем.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

Re: [devel] Re: Q: chroot jail directories

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1295 bytes --]

On Thu, Apr 11, 2002 at 11:25:58AM +0300, Michael Shigorin wrote:
> > + гарантированные hard link'и на библиотеки и конфиги, что снимает
> >   проблему целостности chroot'а (например, из-за внезапного окончания
> >   места на диске);
> И гарантированное увеличение / (что не есть хорошо, особенно в
> случае неконтролируемой активности процессов под chroot) -- или
> необходимость выделять еще один раздел, что сделают многие (и что
> сломает хардлинки) :-(

Налицо непонимание вопроса:
увеличение количества hard link'ов на / _не_ приводит к увеличению места,
занятого на /; зато копирование с раздела на раздел - приводит.

> > + работа команд вроде ping без примонтированных /var и /usr.
> Возможно ли динамическое переключение резолвера -- или это
> слишком трудоемко?  Чтоб в нормальном режиме оно было
> параноилальным и работало в chroot, а при авариях позволяло
> работать без него.  Не уверен, что игра стоит свеч, впрочем.

Действительно, зачем?


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.com/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

[devel] Re: Q: chroot jail directories

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 464 bytes --]

On Thu, Apr 11, 2002 at 12:42:57PM +0400, Dmitry V. Levin wrote:
> Налицо непонимание вопроса:
Явно.  Не спорю :-)

> увеличение количества hard link'ов на / _не_ приводит к увеличению места,
> занятого на /; зато копирование с раздела на раздел - приводит.
Извиняюсь и иду пить кофе (бурча, что хардлинкованная библиотека
-- это все же convenience over patience ;)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

Re: [devel] Q: chroot jail directories

[Sir Raorn]

[-- Attachment #1: Type: text/plain, Size: 368 bytes --]

On Wed, Apr 10, 2002 at 08:25:40PM +0400, Dmitry V. Levin wrote:
> Для того, чтобы вынести этот вопрос на обсуждение в FHS/LSB, нужно как
> минимум предложить имя для каталога, о котором идет речь. Это имя должно
> быть короткое, понятное и не должно приводить к путанице.
/chroot ессно. Или /sandbox...

-- 
Regards, Sir Raorn.
AIF5-RIPN, Binec System Administrator.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

Re: [devel] Q: chroot jail directories

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 893 bytes --]

On Wed, Apr 10, 2002 at 09:10:23PM +0400, Yura Zotov wrote:
> > Для того, чтобы вынести этот вопрос на обсуждение в FHS/LSB, нужно как
> > минимум предложить имя для каталога, о котором идет речь. Это имя должно
> > быть короткое, понятное и не должно приводить к путанице.
> > 
> > Жду ваших предложений.
> 
> jail

Есть возражение: "jail" в некоторых ОС (например, FreeBSD) имеет смысл,
отличный от "chroot". Будет лучше, если новое имя будет отражать
закладываемую в него сущность, оставив /jail до лучших времен - а вдруг
в Linux'е появится jail(2)?


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.com/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]