[sisyphus] I: 3proxy-0.6

[sisyphus] I: 3proxy-0.6

[Afanasov Dmitry]

[-- Attachment #1: Type: text/plain, Size: 667 bytes --]

приветствую.

на ftp://ftp.altlinux.org/people/ender/3proxy лежит (либо будет через час)
сборка 3proxy с drop root патчем.

отличия от upstream'а:
1. может нормально сбросить рутовые права (остаются только cat_net_bind)
2. не принимает ключи конфига setuid, setgid, pidfile, chroot - только
   через командную строку. ругается на них в syslog.

имя пользователя редактируется через /etc/sysconfig/3proxy. по умолчанию
там пока root. прошу проверить с пользователем _3proxy.

также вопрос: прятать ли 3proxy в chroot? делать ли это control'ируемым?
это потребует переноса конфига /etc/3proxy в /var/lib/3proxy/etc.

-- 
С уважением
Афанасов Дмитрий

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [sisyphus] I: 3proxy-0.6

[Max Ivanov]

> это потребует переноса конфига /etc/3proxy в /var/lib/3proxy/etc.

Вот в случае если будет принято решение, что оно нужно, как этот
перенос будет осуществлен (для тех кто обновляется со старой версии)?

Re: [sisyphus] I: 3proxy-0.6

[Alexey I. Froloff]

[-- Attachment #1: Type: text/plain, Size: 395 bytes --]

On Tue, Jun 09, 2009 at 08:41:09PM +0400, Max Ivanov wrote:
> > это потребует переноса конфига /etc/3proxy в /var/lib/3proxy/etc.
> Вот в случае если будет принято решение, что оно нужно, как этот
> перенос будет осуществлен (для тех кто обновляется со старой версии)?
Если сделать по человечески, то автоматически при помощи скрипта
/etc/chroot.d/3proxy.conf

-- 
Regards,
Sir Raorn.

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 197 bytes --]

Re: [sisyphus] I: 3proxy-0.6

[Afanasov Dmitry]

[-- Attachment #1: Type: text/plain, Size: 938 bytes --]

On Tue, Jun 09, 2009 at 08:57:37PM +0400, Alexey I. Froloff wrote:
> On Tue, Jun 09, 2009 at 08:41:09PM +0400, Max Ivanov wrote:
> > > это потребует переноса конфига /etc/3proxy в /var/lib/3proxy/etc.
> > Вот в случае если будет принято решение, что оно нужно, как этот
> > перенос будет осуществлен (для тех кто обновляется со старой версии)?
> Если сделать по человечески, то автоматически при помощи скрипта
> /etc/chroot.d/3proxy.conf
именно это и мыслю.

а так как 3proxy по reload делает restart, то после установочного
condreload будет сделан останов сервиса, adjusting files and libraries и
запуск сервиса уже в chroot'е.

pidfile независимо от chroot'а создается в "хост" системе, потому
управление сервисом осуществится нормально.

весь вопрос в конфиге, логах и дополнительных файлах (include, может
списки url). их перенести и держать придется в chroot'е, как в bind.

-- 
 С уважением
 Афанасов Дмитрий

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [sisyphus] I: 3proxy-0.6

[Eugene Prokopiev]

>  это потребует переноса конфига /etc/3proxy в /var/lib/3proxy/etc.

а чрутиться после чтения конфига, как это делают остальные, не выйдет?

-- 
С уважением,
Прокопьев Евгений

Re: [sisyphus] I: 3proxy-0.6

[Afanasov Dmitry]

[-- Attachment #1: Type: text/plain, Size: 405 bytes --]

On Wed, Jun 10, 2009 at 08:59:46AM +0400, Eugene Prokopiev wrote:
> >  это потребует переноса конфига /etc/3proxy в /var/lib/3proxy/etc.
> 
> а чрутиться после чтения конфига, как это делают остальные, не выйдет?
тут конфиг "интерпретируемый".
во время чтения конфига будут запущены все сервисы, и не понятно как
chroot в главном треде подействует на остальные.
-- 
С уважением
Афанасов Дмитрий

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [sisyphus] I: 3proxy-0.6

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 419 bytes --]

On Tue, Jun 09, 2009 at 07:41:47PM +0400, Afanasov Dmitry wrote:
> приветствую.
> 
> на ftp://ftp.altlinux.org/people/ender/3proxy лежит (либо будет через час)
> сборка 3proxy с drop root патчем.

Общее соображение для выбранной схемы drop root: убедитесь, что
непривилегированный процесс, читающий конфиг(и), не имеет доступ на запись
в файлы конфигов и каталоги, в которых эти файлы размещены.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 197 bytes --]

Re: [sisyphus] I: 3proxy-0.6

[Afanasov Dmitry]

[-- Attachment #1: Type: text/plain, Size: 956 bytes --]

On Wed, Jun 10, 2009 at 12:29:21PM +0400, Dmitry V. Levin wrote:
> On Tue, Jun 09, 2009 at 07:41:47PM +0400, Afanasov Dmitry wrote:
> > приветствую.
> > 
> > на ftp://ftp.altlinux.org/people/ender/3proxy лежит (либо будет через час)
> > сборка 3proxy с drop root патчем.
> 
> Общее соображение для выбранной схемы drop root: убедитесь, что
> непривилегированный процесс, читающий конфиг(и), не имеет доступ на запись
> в файлы конфигов и каталоги, в которых эти файлы размещены.
проверил следующее:
1. создание raw сокетов - не пускает
2. rw доступ на /etc/3proxy.conf - не пускает
3. chown root:root - нельзя

для аудита: http://git.altlinux.org/people/ender/packages/?p=3proxy.git;a=commitdiff;h=0f72c6af224bb7dba04c610da3a59482cd5aaba6

чтобы ещё проверить. логи обязаны быть доступны на запись, pid файл тоже.
все остальное, что не доступно для пользователя _3proxy выдает permission
denied.

-- 
 С уважением
 Афанасов Дмитрий

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [sisyphus] I: 3proxy-0.6

[Afanasov Dmitry]

[-- Attachment #1: Type: text/plain, Size: 560 bytes --]

приветсвую, 

после озвученных замечаний, 3proxy с droproot отправлена в сизиф. 

> имя пользователя редактируется через /etc/sysconfig/3proxy. по умолчанию
> там пока root. прошу проверить с пользователем _3proxy.
прошу обратить внимание, что по умолчанию пользователь теперь _3proxy, но
/etc/sysconfig/3proxy отмечаен как noreplace. бишь, если изменяли
самостоятельно, останется измененное значение.

chroot пока не работает. пока за upstream'ом послежу, все-таки хоть
как-то этот функционал там предусмотрен.
-- 
С уважением
Афанасов Дмитрий

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]