[devel] Writing initscript: is pidfile needed?

[devel] Writing initscript: is pidfile needed?

[Sviatoslav Sviridov]

Приветствую,

Нужна консультация по выбору наиболее правильного решения...
Дело в следующем:
собираю tor (http://tor.eff.org/), пишу к нему initscript из template.

Сам tor умеет:
- форкаться (уходить в бэкграунд)
- понижать привилегии до указанных user/group
- создавать/удалять свой pidfile
Не умеет:
- уходить в chroot

Проблема: под непривилегированным пользователем tor не может создать
pidfile, start-stop-daemon на это обижается, при прверке статуса фигню
выдает.

Варианты решения:
1. Не просить tor создавать pidfile, не говорить ничего про pidfile при
вызове start-daemon/stop-daemon. В этом случае все вроде бы работает,
никто не жалуется.
2. Не просить tor уходить в background, делать это при помощи
start-stop-daemon, используя "start-daemon --make-pidfile". В этом
случае pidfile будет создаваться и удаляться вне tor.
3. перепилить tor так, чтобы pidfile создавался до смены pid/gid?
4. ???

Внутреннее чутье и природная лень мне предлагают вариант 1 :), а какой
является наиболее кошерным?

-- 
Best Regards,
Sviatoslav Sviridov <Sviataslau_Svirydau at epam.com>
phone:  +375 (17) 210 1662, ext. 1503
fax:    +375 (17) 210 1168
mobile: +375 (29) 641 4214
-- 
Satellite Safety Tip #14:
	If you see a bright streak in the sky coming at you, duck.

Re: [devel] Writing initscript: is pidfile needed?

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 1145 bytes --]

Sviatoslav Sviridov пишет:
> Приветствую,
> 
> Нужна консультация по выбору наиболее правильного решения...
> Дело в следующем:
> собираю tor (http://tor.eff.org/), пишу к нему initscript из template.
> 
> Сам tor умеет:
> - форкаться (уходить в бэкграунд)
> - понижать привилегии до указанных user/group
> - создавать/удалять свой pidfile
> Не умеет:
> - уходить в chroot
> 
> Проблема: под непривилегированным пользователем tor не может создать
> pidfile, start-stop-daemon на это обижается, при прверке статуса фигню
> выдает.
> 
> Варианты решения:
> 1. Не просить tor создавать pidfile, не говорить ничего про pidfile при
> вызове start-daemon/stop-daemon. В этом случае все вроде бы работает,
> никто не жалуется.
> 2. Не просить tor уходить в background, делать это при помощи
> start-stop-daemon, используя "start-daemon --make-pidfile". В этом
> случае pidfile будет создаваться и удаляться вне tor.
> 3. перепилить tor так, чтобы pidfile создавался до смены pid/gid?
> 4. ???
> 
> Внутреннее чутье и природная лень мне предлагают вариант 1 :), а какой
> является наиболее кошерным?
> 
IMHO вариант 2.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Writing initscript: is pidfile needed?

[Andrei Bulava]

Ivan Fedorov wrote:
> Sviatoslav Sviridov пишет:

<skip />

>> Проблема: под непривилегированным пользователем tor не может
>> создать pidfile, start-stop-daemon на это обижается, при прверке
>> статуса фигню выдает.
>> 
>> Варианты решения:

<skip />

>> 2. Не просить tor уходить в background, делать это при помощи 
>> start-stop-daemon, используя "start-daemon --make-pidfile". В этом 
>> случае pidfile будет создаваться и удаляться вне tor.

<skip />


>> а какой является наиболее кошерным?
>> 
> 
> IMHO вариант 2.

Признайтесь, где вы уже успели так сделать? ;-) Мои два цента в другом 
ответе.

-- 
// AB1002-UANIC

Re: [devel] Writing initscript: is pidfile needed?

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 292 bytes --]

Andrei Bulava пишет:

>>> а какой является наиболее кошерным?
>>>
>>
>> IMHO вариант 2.
> 
> Признайтесь, где вы уже успели так сделать? ;-)
IMHO вам по статусу еще далековато до таких вопросов! ;)
Но вообще я нигде такого еще не делал...
> Мои два цента в другом ответе.
видел


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Writing initscript: is pidfile needed?

[Andrei Bulava]

Sviatoslav Sviridov wrote:
> Приветствую,

<skip />

> Проблема: под непривилегированным пользователем tor не может создать
> pidfile, start-stop-daemon на это обижается, при прверке статуса фигню
> выдает.

<skip />

> Внутреннее чутье и природная лень мне предлагают вариант 1 :), а какой
> является наиболее кошерным?

Тренируйте своё чутьё ;-)

Ничто не мешает класть pidfile в /var/run/tor/<pidfile>. /var/run/tor 
должна принадлежать root и иметь права rwx для группы, к которой 
принадлежит псевдопользователь, под которым будет запускаться tor.

-- 
// AB1002-UANIC

Re: [devel] Writing initscript: is pidfile needed?

[Sviatoslav Sviridov]

Andrei Bulava wrote:

> Sviatoslav Sviridov wrote:
>
>> Приветствую,
>
> <skip />
>
>> Проблема: под непривилегированным пользователем tor не может создать
>> pidfile, start-stop-daemon на это обижается, при прверке статуса фигню
>> выдает.
>
> <skip />
>
>> Внутреннее чутье и природная лень мне предлагают вариант 1 :), а какой
>> является наиболее кошерным?
>
>
> Тренируйте своё чутьё ;-)
>
> Ничто не мешает класть pidfile в /var/run/tor/<pidfile>. /var/run/tor
> должна принадлежать root и иметь права rwx для группы, к которой
> принадлежит псевдопользователь, под которым будет запускаться tor.

Хм... тоже вариант... однако он мне почему-то не пришел в голову...
подозреваю, что на это повлияло созерцание /var/run на localhost... не
заметил я там подкаталогов, доступных по записи пользователю либо
группе, отличным от root... Есть такие прецеденты? Это нормально с точки
зрения ALT Security Policy?

-- 
Best Regards,
Sviatoslav Sviridov <Sviataslau_Svirydau at epam.com>
phone:  +375 (17) 210 1662, ext. 1503
fax:    +375 (17) 210 1168
mobile: +375 (29) 641 4214
-- 
Satellite Safety Tip #14:
	If you see a bright streak in the sky coming at you, duck.

Re: [devel] Writing initscript: is pidfile needed?

[Andrei Bulava]

Sviatoslav Sviridov wrote:
> Andrei Bulava wrote:

<skip />

>> Ничто не мешает класть pidfile в /var/run/tor/<pidfile>.
>> /var/run/tor должна принадлежать root и иметь права rwx для группы,
>> к которой принадлежит псевдопользователь, под которым будет
>> запускаться tor.
> 
> 
> Хм... тоже вариант... однако он мне почему-то не пришел в голову... 
> подозреваю, что на это повлияло созерцание /var/run на localhost...
> не заметил я там подкаталогов, доступных по записи пользователю либо 
> группе, отличным от root... Есть такие прецеденты?

Просто большинство из того, что вы искали, лежит по chroot'ам :-)

# ls -ald /var/lib/nut/var/lib/upsd
drwx-wx--T  2 root upsdrv 4096 Jul  8 08:43 /var/lib/nut/var/lib/upsd
# ls -al /var/lib/nut/var/lib/upsd
total 16
drwx-wx--T  2 root   upsdrv 4096 Jul  8 08:43 .
drwx--x---  3 root   upsdrv 4096 Aug  5  2004 ..
srw-rw----  1 upsdrv upsdrv    0 Jul  8 08:43 hidups-hiddev0
-rw-r--r--  1 upsdrv upsdrv    6 Jul  8 08:43 hidups-hiddev0.pid
-rw-r--r--  1 upsd   upsd      6 Jul  8 08:43 upsd.pid
# id upsd
uid=115(upsd) gid=426(upsd) groups=426(upsd),116(upsdrv)

# ls -ald /var/lib/mysql
drwxrws--t  8 root mysql 4096 Jul  8 08:44 /var/lib/mysql
# ls -al /var/lib/mysql/*.pid
-rw-rw----  1 mysql mysql 6 Jul  8 08:44 /var/lib/mysql/mysqld.pid

> Это нормально с точки зрения ALT Security Policy?

Будет нормально с нижеследующими поправками по следам осмотра nut, 
упакованного ldv@, писавшим это Policy:

/var/run/tor должна принадлежать root, а для группы,
к которой принадлежит псевдопользователь, под которым будет
запускаться tor, на эту директорию хватит и прав -wx. Насчёт sticky бита 
  на эту же директорию - его тоже нужно выставить.

-- 
// AB1002-UANIC

Re: [devel] Writing initscript: is pidfile needed?

[Sviatoslav Sviridov]

Andrei Bulava wrote:

> Просто большинство из того, что вы искали, лежит по chroot'ам :-)

спасибо за примеры, у меня не было установлено этих пакетов :)
Так и сделаю

> ...
>
>> Это нормально с точки зрения ALT Security Policy?
>
>
> Будет нормально с нижеследующими поправками по следам осмотра nut,
> упакованного ldv@, писавшим это Policy:
>
> /var/run/tor должна принадлежать root, а для группы,
> к которой принадлежит псевдопользователь, под которым будет
> запускаться tor, на эту директорию хватит и прав -wx. Насчёт sticky
> бита  на эту же директорию - его тоже нужно выставить.

Такой еще вопрос:
Имеется /var/cache/tor, куда складывается, например, закешированный
список серверов. tor требует, чтобы он был владельцем данного каталога,
иначе отказывается туда писать... Я поставил там 2700 _tor:_tor. Это
приемлемо?

ЗЫ крутится в голове еще вариант сразу размещать все в /var/lib/tor,
чтоб потом меньше мороки было, когда его в чрут пихать... но, чесслово,
сейчас лень ;)

-- 
Best Regards,
Sviatoslav Sviridov <Sviataslau_Svirydau at epam.com>
phone:  +375 (17) 210 1662, ext. 1503
fax:    +375 (17) 210 1168
mobile: +375 (29) 641 4214
-- 
Satellite Safety Tip #14:
	If you see a bright streak in the sky coming at you, duck.