[sisyphus] Засунуть resolvconf в чрут

[sisyphus] Засунуть resolvconf в чрут

[Michael A. Kangin]

Здравствуйте.

Понадобилось мне тут дёргать resolvconf из openvpn. При поднятии 
интерфейса всё ок, а вот при опускании - как то уныло оно дёргается из 
openvpn'ного чрута, никак.
Озаботился я засунуть resolvconf в чрут openvpn'у. Ну скрипты-конфиги 
всё ясно, /bin/cat с библиотеками понятно, а вот что делать с 
/var/run/resolvconf?
Мне пока на ум ничего кроме mount --bind не приходит, но это как-то 
черезчур как мне кажется для чрута, да и не хорошо наверное сразу такое 
в /etc/chroot.d засовывать.
Есть какие-нибудь идеи, что еще можно с этим сделать?

про незасовывать в чрут openvpn я догадываюсь.

-- 
Michael A. Kangin

Re: [sisyphus] Засунуть resolvconf в чрут

[Mikhail Efremov]

On Tue, 27 Nov 2012 04:36:38 +0400 Michael A. Kangin wrote:
> Здравствуйте.
> 
> Понадобилось мне тут дёргать resolvconf из openvpn. При поднятии 
> интерфейса всё ок, а вот при опускании - как то уныло оно дёргается
> из openvpn'ного чрута, никак.
> Озаботился я засунуть resolvconf в чрут openvpn'у. Ну скрипты-конфиги 
> всё ясно, /bin/cat с библиотеками понятно, а вот что делать с 
> /var/run/resolvconf?
> Мне пока на ум ничего кроме mount --bind не приходит, но это как-то 
> черезчур как мне кажется для чрута, да и не хорошо наверное сразу
> такое в /etc/chroot.d засовывать.
> Есть какие-нибудь идеи, что еще можно с этим сделать?

Использовать etcnet и делать все необходимое в ifdown-post скрипте.
Причем теперь resolvconf -d должен вызываться всегда при опускании
интерфейса и делать это в ifdown-post больше не надо, должно работать
само.

-- 
WBR, Mikhail Efremov

Re: [sisyphus] Засунуть resolvconf в чрут

[Mikhail Efremov]

On Tue, 27 Nov 2012 12:10:56 +0400 Mikhail Efremov wrote:
> On Tue, 27 Nov 2012 04:36:38 +0400 Michael A. Kangin wrote:
> > Здравствуйте.
> > 
> > Понадобилось мне тут дёргать resolvconf из openvpn. При поднятии 
> > интерфейса всё ок, а вот при опускании - как то уныло оно дёргается
> > из openvpn'ного чрута, никак.
> > Озаботился я засунуть resolvconf в чрут openvpn'у. Ну
> > скрипты-конфиги всё ясно, /bin/cat с библиотеками понятно, а вот
> > что делать с /var/run/resolvconf?
> > Мне пока на ум ничего кроме mount --bind не приходит, но это как-то 
> > черезчур как мне кажется для чрута, да и не хорошо наверное сразу
> > такое в /etc/chroot.d засовывать.
> > Есть какие-нибудь идеи, что еще можно с этим сделать?
> 
> Использовать etcnet и делать все необходимое в ifdown-post скрипте.
> Причем теперь resolvconf -d должен вызываться всегда при опускании
> интерфейса и делать это в ifdown-post больше не надо, должно работать
> само.

Добавлю, что запускать resolvconf -a в ifup-post скрипте все еще надо
(если ns присылает сервер, а не конфигурируются сразу на стороне
клиента). Хорошо бы добавить обработку присылаемых ns в сам etcnet,
чтобы не писать каждый раз одинаковых ifup-post скриптов.

-- 
WBR, Mikhail Efremov

Re: [sisyphus] Засунуть resolvconf в чрут

[Michael A. Kangin]

On 11/28/2012 02:04 PM, Mikhail Efremov wrote:

> Добавлю, что запускать resolvconf -a в ifup-post скрипте все еще надо
> (если ns присылает сервер, а не конфигурируются сразу на стороне
> клиента). Хорошо бы добавить обработку присылаемых ns в сам etcnet,
> чтобы не писать каждый раз одинаковых ifup-post скриптов.

Это однозначно придётся делать OpenVPN'ом - ей лучше знать что на этот
раз надо прописывать на очередной безликий tunN.

у меня собственно такая схема - в качестве nameserver используется bind
на localhost, у которого сконфигурировано много хинтов, на какую зону к
кому forward делать. А когда поднимается VPN-подключение например на
vpn.firma29.ru, то еще должно добавляться search lan.firma29.ru. А на
какой tun оно сядет, фиг знает. То есть для остановки интерфейса это не
проблема, но не для поднятия.

-- 
wbr, Michael A. Kangin

Re: [sisyphus] Засунуть resolvconf в чрут

[Nikolay A. Fetisov]

В Ср, 28/11/2012 в 20:48 +0400, Michael A. Kangin пишет:
> ....
> Это однозначно придётся делать OpenVPN'ом - ей лучше знать что на этот
> раз надо прописывать на очередной безликий tunN.

Безликий tunX можно сделать вполне конкретным с фиксированным номером -
см. параметр конфигурации dev tunX . 

> 
> у меня собственно такая схема - в качестве nameserver используется bind
> на localhost, у которого сконфигурировано много хинтов, на какую зону к
> кому forward делать. А когда поднимается VPN-подключение например на
> vpn.firma29.ru, то еще должно добавляться search lan.firma29.ru. А на
> какой tun оно сядет, фиг знает. То есть для остановки интерфейса это не
> проблема, но не для поднятия.
> 

Запихивание resolvconf во внутрь chroot вряд ли в такой ситуации
поможет. OpenVPN после поднятия интерфейса и его настройки выполняет не
только chroot(), но и chuser() - запущенный из down/down-pre скриптов 
resolvconf не сможет изменить /etc/resolv.conf .


-- 
С уважением,
Николай Фетисов

Re: [sisyphus] Засунуть resolvconf в чрут

[Michael A. Kangin]

29.11.2012 01:26, Nikolay A. Fetisov пишет:

> Запихивание resolvconf во внутрь chroot вряд ли в такой ситуации
> поможет. OpenVPN после поднятия интерфейса и его настройки выполняет не
> только chroot(), но и chuser() - запущенный из down/down-pre скриптов
> resolvconf не сможет изменить /etc/resolv.conf .

Я знатный извращенец, я в тестах еще и sudo в чрут засунул.

Кстати, а чисто абстрактно, что секурней: в чруте от имени рута или в 
нативной системе от непривелегированного пользователя?

> У resolvconf есть полезный в таких случаях ключ -p, с ним он
> записывает в /etc/resolv.conf только search, но не nameserver.
> Если же установить пакет openresolv-bind, то конфиги для bind с
> соответствующим forward будут генериться при этом автоматически.

Интересно. Спасибо, посмотрю.

-- 
Michael A. Kangin

Re: [sisyphus] Засунуть resolvconf в чрут

[Nikolay A. Fetisov]

В Чт, 29/11/2012 в 16:12 +0400, Michael A. Kangin пишет:
> 29.11.2012 01:26, Nikolay A. Fetisov пишет:
> 
> > Запихивание resolvconf во внутрь chroot вряд ли в такой ситуации
> > поможет. OpenVPN после поднятия интерфейса и его настройки выполняет не
> > только chroot(), но и chuser() - запущенный из down/down-pre скриптов
> > resolvconf не сможет изменить /etc/resolv.conf .
> 
> Я знатный извращенец, я в тестах еще и sudo в чрут засунул.

... а не проще вытащить OpenVPN из chroot'а?

> 
> Кстати, а чисто абстрактно, что секурней: в чруте от имени рута или в 
> нативной системе от непривелегированного пользователя?

IMHO, в chroot от непривилегированного пользователя :-)

Т.е., внутри chroot просто устанавливать флажок, по появлению которого
вне chroot будет срабатывать нужный скрипт.

Что-то типа: внутри chroot - touch /tmp/flag , снаружи - задание для
cron'а вида 
* * * * * root [ -f /path_to_chroot/tmp/flag ] && /some/script

По желанию - вместо cron'а использовать inotify.


-- 
С уважением,
Николай Фетисов

Re: [sisyphus] Засунуть resolvconf в чрут

[Mikhail Efremov]

On Wed, 28 Nov 2012 20:48:31 +0400 Michael A. Kangin wrote:
> On 11/28/2012 02:04 PM, Mikhail Efremov wrote:
> 
> > Добавлю, что запускать resolvconf -a в ifup-post скрипте все еще
> > надо (если ns присылает сервер, а не конфигурируются сразу на
> > стороне клиента). Хорошо бы добавить обработку присылаемых ns в сам
> > etcnet, чтобы не писать каждый раз одинаковых ifup-post скриптов.
> 
> Это однозначно придётся делать OpenVPN'ом - ей лучше знать что на этот
> раз надо прописывать на очередной безликий tunN.

Как уже тут рядом сказали, имя может быть любое. В случае etcnet имя
интерфейса будет соответствовать имени каталога в /etc/net/ifaces/.
А вызываться ifup-post скрипт будет в конечном итоге самим openvpn
(можно считать, что это просто скрипт для --up).
А вот ifdown-post запускается etcnet'ом, после остановки openvpn.

> у меня собственно такая схема - в качестве nameserver используется
> bind на localhost, у которого сконфигурировано много хинтов, на какую
> зону к кому forward делать. А когда поднимается VPN-подключение
> например на vpn.firma29.ru, то еще должно добавляться search
> lan.firma29.ru. А на какой tun оно сядет, фиг знает. То есть для
> остановки интерфейса это не проблема, но не для поднятия.

У resolvconf есть полезный в таких случаях ключ -p, с ним он
записывает в /etc/resolv.conf только search, но не nameserver.
Если же установить пакет openresolv-bind, то конфиги для bind с
соответствующим forward будут генериться при этом автоматически.

-- 
WBR, Mikhail Efremov