[sisyphus] резолвер

[sisyphus] резолвер

[Michael A. Kangin]

Всем привет.

А кто-нибудь знает, можно нашего резолвера попросить выйти из чрута?
Чрут даёт ему каких-нибудь ощутимых преимуществ в 2019 году?

А то если сделать индивидуальный resolv.conf для неймспейса:
/etc/netns/XXXX/resolv.conf

То /etc/resolv.conf при входе в ns подменяется-перемонтируется, а тот 
что в чруте настоящий - нет.
И ничего не работает.

-- 
Michael A. Kangin

Re: [sisyphus] резолвер

[Dmitry V. Levin]

On Tue, Apr 09, 2019 at 02:09:36AM +0200, Michael A. Kangin wrote:
> Всем привет.
> 
> А кто-нибудь знает, можно нашего резолвера попросить выйти из чрута?

Какого резолвера?  Из какого чрута?


-- 
ldv

Re: [sisyphus] резолвер

[Sergey]

On Tuesday 09 April 2019, Dmitry V. Levin wrote:

> > А кто-нибудь знает, можно нашего резолвера попросить
> > выйти из чрута? 
> 
> Какого резолвера?  Из какого чрута?

Я так понимаю, что вопрос из-за того, что какой-то resolv.conf
лежит в /var/resolv/etc/, а изменения в /etc/resolv.conf не 
во всех случаях становятся актуальными без запуска update_chrooted
(или изменения /var/resolv/etc/resolv.conf другим способом каким-
нибудь). Хотя вопрос, каков сейчас список приложений, которые
используют /var/resolv/ тем или иным образом.

-- 
С уважением, Сергей.

Re: [sisyphus] резолвер

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 635 bytes --]

On Tue, Apr 09, 2019 at 04:47:23PM +0400, Sergey wrote:
> On Tuesday 09 April 2019, Dmitry V. Levin wrote:
> 
> > > А кто-нибудь знает, можно нашего резолвера попросить
> > > выйти из чрута? 
> > 
> > Какого резолвера?  Из какого чрута?
> 
> Я так понимаю, что вопрос из-за того, что какой-то resolv.conf
> лежит в /var/resolv/etc/, а изменения в /etc/resolv.conf не 
> во всех случаях становятся актуальными без запуска update_chrooted

При изменении /etc/resolv.conf автоматическими средствами update_chrooted
также запускается автоматически.

Но не факт, что вопрос был про /var/resolv/etc/resolv.conf


-- 
ldv

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 801 bytes --]

Re: [sisyphus] резолвер

[Michael A. Kangin]

On 04/09/2019 02:47 PM, Sergey wrote:

> Я так понимаю, что вопрос из-за того, что какой-то resolv.conf
> лежит в /var/resolv/etc/, а изменения в /etc/resolv.conf не
> во всех случаях становятся актуальными без запуска update_chrooted
> (или изменения /var/resolv/etc/resolv.conf другим способом каким-
> нибудь). Хотя вопрос, каков сейчас список приложений, которые
> используют /var/resolv/ тем или иным образом.



"каков сейчас список приложений" - а это разве не на общесистемном 
уровне применяется?

По крайней мере, ping работает с файлами именно из /var/resolv/etc/



У меня такая проблема - на хосте работает свой резолвер, он прописан в 
/etc/net/ifaces/{iface}/resolv.conf как 127.0.0.1.
При старте системы всё это прописывается в /etc/resolv.conf, 
/var/resolv/etc/resolv.conf, всё хорошо и благостно.

Теперь создаём netns, у которого свой собственный lo со своим 
собственным 127.0.0.1, и обнаруживаем, что резолвинг в этом неймспейсе 
не работает.

Ок, в man ip-netns сказано:
===================
For applications that are aware of network namespaces, the convention is 
to look for global network configuration files first in /etc/netns/NAME/ 
then in /etc/.  For example, if you want a different version of
/etc/resolv.conf for a network namespace used to isolate your vpn you 
would name it /etc/netns/myvpn/resolv.conf.

ip netns exec automates handling of this configuration, file convention 
for network namespace unaware applications, by creating a mount 
namespace and bind mounting all of the per network namespace configure 
files into their traditional location in /etc.
==================

Делаем директорию /etc/netns/myns, кладём туда исправленный экземпляр 
resolv.conf
Заходим снова в неймспейс, смотрим, что изнутри него /etc/resolv.conf 
виден как исправленно-правильный, однако резолвинг по-прежнему не 
работает, потому что /var/resolv/etc/resolv.conf остался старый, 
немодифицированный.
Если теперь изнутри неймспейса сказать update_chrooted, то резолвинг 
чинится для неймспейса, но тут же (ожидаемо) ломается для остальной 
хост-системы.


В общем, для меня тот факт, что resolv.conf и hosts используются из 
чрута /var/resolv/, создаёт дикое количество затруднений и проблем, и я 
был бы очень рад, если бы нашёлся путь использовать версии файлов 
непосредственно из /etc (как это в RHEL например работает).

Re: [sisyphus] резолвер

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 2970 bytes --]

On Wed, Apr 10, 2019 at 04:50:55PM +0200, Michael A. Kangin wrote:
> On 04/09/2019 02:47 PM, Sergey wrote:
> 
> > Я так понимаю, что вопрос из-за того, что какой-то resolv.conf
> > лежит в /var/resolv/etc/, а изменения в /etc/resolv.conf не
> > во всех случаях становятся актуальными без запуска update_chrooted
> > (или изменения /var/resolv/etc/resolv.conf другим способом каким-
> > нибудь). Хотя вопрос, каков сейчас список приложений, которые
> > используют /var/resolv/ тем или иным образом.
> 
> 
> 
> "каков сейчас список приложений" - а это разве не на общесистемном 
> уровне применяется?

Нет, конечно, на уровне приложений.

> По крайней мере, ping работает с файлами именно из /var/resolv/etc/
> 
> У меня такая проблема - на хосте работает свой резолвер, он прописан в 
> /etc/net/ifaces/{iface}/resolv.conf как 127.0.0.1.
> При старте системы всё это прописывается в /etc/resolv.conf, 
> /var/resolv/etc/resolv.conf, всё хорошо и благостно.
> 
> Теперь создаём netns, у которого свой собственный lo со своим 
> собственным 127.0.0.1, и обнаруживаем, что резолвинг в этом неймспейсе 
> не работает.
> 
> Ок, в man ip-netns сказано:
> ===================
> For applications that are aware of network namespaces, the convention is 
> to look for global network configuration files first in /etc/netns/NAME/ 
> then in /etc/.  For example, if you want a different version of
> /etc/resolv.conf for a network namespace used to isolate your vpn you 
> would name it /etc/netns/myvpn/resolv.conf.
> 
> ip netns exec automates handling of this configuration, file convention 
> for network namespace unaware applications, by creating a mount 
> namespace and bind mounting all of the per network namespace configure 
> files into their traditional location in /etc.
> ==================
> 
> Делаем директорию /etc/netns/myns, кладём туда исправленный экземпляр 
> resolv.conf
> Заходим снова в неймспейс, смотрим, что изнутри него /etc/resolv.conf 
> виден как исправленно-правильный, однако резолвинг по-прежнему не 
> работает, потому что /var/resolv/etc/resolv.conf остался старый, 
> немодифицированный.
> Если теперь изнутри неймспейса сказать update_chrooted, то резолвинг 
> чинится для неймспейса, но тут же (ожидаемо) ломается для остальной 
> хост-системы.

Научите ip netns exec, который "automates handling of this configuration
... by creating a mount namespace and bind mounting all of the per network
namespace configure files into their traditional location in /etc",
не забывать про /var/resolv/.

> В общем, для меня тот факт, что resolv.conf и hosts используются из 
> чрута /var/resolv/, создаёт дикое количество затруднений и проблем, и я 
> был бы очень рад, если бы нашёлся путь использовать версии файлов 
> непосредственно из /etc (как это в RHEL например работает).

Что за дикое количество затруднений и проблем?
Вы всю систему в netns запихиваете, что ли?


-- 
ldv

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 801 bytes --]

Re: [sisyphus] резолвер в чруте

[Michael A. Kangin]

On 04/10/2019 05:06 PM, Dmitry V. Levin wrote:

>>> Я так понимаю, что вопрос из-за того, что какой-то resolv.conf
>>> лежит в /var/resolv/etc/, а изменения в /etc/resolv.conf не
>>> во всех случаях становятся актуальными без запуска update_chrooted
>>> (или изменения /var/resolv/etc/resolv.conf другим способом каким-
>>> нибудь). Хотя вопрос, каков сейчас список приложений, которые
>>> используют /var/resolv/ тем или иным образом.
>>
>> "каков сейчас список приложений" - а это разве не на общесистемном
>> уровне применяется?
> 
> Нет, конечно, на уровне приложений.

Хорошо, из того, что я попробовал, резолвингом из чрута (/var/resolv) 
пользуются:
- ping
- traceroute
- curl
- wget
- firefox
- chromium
- chrome

Если это не "общесистемно", то разница настолько тонка, что ускользает 
от меня.


>> В общем, для меня тот факт, что resolv.conf и hosts используются из
>> чрута /var/resolv/, создаёт дикое количество затруднений и проблем, и я
>> был бы очень рад, если бы нашёлся путь использовать версии файлов
>> непосредственно из /etc (как это в RHEL например работает).
> 
> Что за дикое количество затруднений и проблем?
> Вы всю систему в netns запихиваете, что ли?

- я довольно часто модифицирую /etc/hosts. Меня очень утомляет и 
расстраивает, когда его изменения не применяются сразу, а требуют еще 
операции по обновлению чрута.
- люди, впервые сталкивающиеся с Альтлинуксом, неизменно впадают в 
глубокий когнитивный диссонанс от этой милой особенности. Реально, это 
довольно серьёзная проблема, и пожалуй основная причина, препятствующая 
использовать решения на Альт для корпоративной инфраструктуры.
- требуются дополнительные (и неоправданные) усилия по задачам типа 
"сделать резолвинг в initrd".
- "Научите ip netns exec... не забывать про /var/resolv/"

Итак, резолвинг в чруте может создавать реальные проблемы, и в тоже 
время я не вижу никаких преимуществ от этого решения.

Поэтому я был бы крайне признателен за способ, как можно вытащить 
резолвер из чрута для всех приложений разом. У control ручку не нашёл, 
на вики никакой информации (кроме фразы "Даже libresolv выполняется в 
chroot") не нашёл.

Re: [sisyphus] резолвер в чруте

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1028 bytes --]

On Wed, Apr 10, 2019 at 06:58:59PM +0200, Michael A. Kangin wrote:
> On 04/10/2019 05:06 PM, Dmitry V. Levin wrote:
> 
> >>> Я так понимаю, что вопрос из-за того, что какой-то resolv.conf
> >>> лежит в /var/resolv/etc/, а изменения в /etc/resolv.conf не
> >>> во всех случаях становятся актуальными без запуска update_chrooted
> >>> (или изменения /var/resolv/etc/resolv.conf другим способом каким-
> >>> нибудь). Хотя вопрос, каков сейчас список приложений, которые
> >>> используют /var/resolv/ тем или иным образом.
> >>
> >> "каков сейчас список приложений" - а это разве не на общесистемном
> >> уровне применяется?
> > 
> > Нет, конечно, на уровне приложений.
> 
> Хорошо, из того, что я попробовал, резолвингом из чрута (/var/resolv) 
> пользуются:
> - ping
> - traceroute
> - curl
> - wget
> - firefox
> - chromium
> - chrome

Нет, это не соответствует действительности.
Из вашего списка только ping пользуется, да и то только если запущен от рута.
Как вы получили этот список?


-- 
ldv

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 801 bytes --]

Re: [sisyphus] резолвер в чруте

[Michael A. Kangin]

On 04/10/2019 07:05 PM, Dmitry V. Levin wrote:

> Нет, это не соответствует действительности.
> Из вашего списка только ping пользуется, 

Ох да, пардон. Запутался в экземплярах resolv(conf).conf :)

То есть, основной диагностический инструмент ping пользуется иным 
резолвингом, чем все остальные приложения. Это даже еще интересней.

 > да и то только если запущен от рута.

У меня при запуске от пользователя тоже используется чрут.

Re: [sisyphus] резолвер в чруте

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 583 bytes --]

On Wed, Apr 10, 2019 at 07:24:25PM +0200, Michael A. Kangin wrote:
> On 04/10/2019 07:05 PM, Dmitry V. Levin wrote:
> 
> > Нет, это не соответствует действительности.
> > Из вашего списка только ping пользуется, 
> 
> Ох да, пардон. Запутался в экземплярах resolv(conf).conf :)
> 
> То есть, основной диагностический инструмент ping пользуется иным 
> резолвингом, чем все остальные приложения. Это даже еще интересней.
> 
>  > да и то только если запущен от рута.
> 
> У меня при запуске от пользователя тоже используется чрут.

Как вы это определили?


-- 
ldv

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 801 bytes --]

Re: [sisyphus] резолвер в чруте

[Michael A. Kangin]

On 04/10/2019 07:29 PM, Dmitry V. Levin wrote:

>>   > да и то только если запущен от рута.
>>
>> У меня при запуске от пользователя тоже используется чрут.
> 
> Как вы это определили?


[root@mak-ws ~]# echo '8.8.8.8 test.tld' >>/etc/hosts
[root@mak-ws ~]# ping test.tld
ping: unknown host test.tld
[root@mak-ws ~]# su - mak
[mak@mak-ws ~]$ ping test.tld
ping: unknown host test.tld
[mak@mak-ws ~]$ traceroute test.tld
traceroute to test.tld (8.8.8.8), 30 hops max, 60 byte packets
...

(система - P8)

Re: [sisyphus] резолвер в чруте

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1026 bytes --]

On Wed, Apr 10, 2019 at 07:36:15PM +0200, Michael A. Kangin wrote:
> On 04/10/2019 07:29 PM, Dmitry V. Levin wrote:
> 
> >>   > да и то только если запущен от рута.
> >>
> >> У меня при запуске от пользователя тоже используется чрут.
> > 
> > Как вы это определили?
> 
> [root@mak-ws ~]# echo '8.8.8.8 test.tld' >>/etc/hosts
> [root@mak-ws ~]# ping test.tld
> ping: unknown host test.tld
> [root@mak-ws ~]# su - mak
> [mak@mak-ws ~]$ ping test.tld
> ping: unknown host test.tld
> [mak@mak-ws ~]$ traceroute test.tld
> traceroute to test.tld (8.8.8.8), 30 hops max, 60 byte packets
> ...
> 
> (система - P8)

В p8 да, в Сизифе нет.
Вы же пишете в список рассылки sisyphus@, и все полагают, что то,
что вы пишите, имеет отношение к Сизифу.  Оказывается, это не так,
и всё, что вы написали раньше, к Сизифу не относится.

В Сизифе ping настолько непривилегированный, что не может использовать
/var/resolv как чрут, за исключением случаев, когда запущен
привилегированным пользователем.


-- 
ldv

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 801 bytes --]

Re: [sisyphus] резолвер в чруте

[Michael A. Kangin]

On 04/10/2019 07:50 PM, Dmitry V. Levin wrote:

> В Сизифе ping настолько непривилегированный, что не может использовать
> /var/resolv как чрут, за исключением случаев, когда запущен
> привилегированным пользователем.

Спасибо за разъяснения.

Оказывается, прогресс от релиза к релизу не стоит на месте, и хочется 
надеяться, что где-нибудь к P10 моя мечта окончательно сбудется, и 
резолвинг будет работать однозначно, предсказуемо и без чрута для любых 
сочетаний программ и пользователей, а ping снова станет релевантным 
диагностическим инструментом.

Re: [sisyphus] резолвер в чруте

[Mikhail Efremov]

On Wed, 10 Apr 2019 20:50:59 +0300 Dmitry V. Levin wrote:
> В Сизифе ping настолько непривилегированный, что не может использовать
> /var/resolv как чрут, за исключением случаев, когда запущен
> привилегированным пользователем.

Я тут как раз думаю, что можно было бы даже при запуске от
непривилегированного пользователя дать ping'у CAP_SYS_CHROOT,
зачрутиться и отобрать :). Но это все равно временное повышение
привилегий, делать так ради того, чтобы зачрутиться... Не уверен, что
оно того стоит.

-- 
WBR, Mikhail Efremov

Re: [sisyphus] резолвер в чруте

[Sergey]

On Wednesday 10 April 2019, Dmitry V. Levin wrote:

> > Хорошо, из того, что я попробовал, резолвингом из чрута (/var/resolv) 
> > пользуются:
> > - ping
> > - traceroute
> > - curl
> > - wget
> > - firefox
> > - chromium
> > - chrome
> 
> Нет, это не соответствует действительности.
> Из вашего списка только ping пользуется, да и то только если запущен
> от рута. 

Вообще, конечно, эти бы особенности актуализовать на wiki. Кто бы сделал...

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [sisyphus] резолвер в чруте

[Eugene Prokopiev]

Вот +1 ко всему нижеизложенному

ср, 10 апр. 2019 г. в 19:59, Michael A. Kangin <mak@complife.ru>:

> - я довольно часто модифицирую /etc/hosts. Меня очень утомляет и
> расстраивает, когда его изменения не применяются сразу, а требуют еще
> операции по обновлению чрута.
> - люди, впервые сталкивающиеся с Альтлинуксом, неизменно впадают в
> глубокий когнитивный диссонанс от этой милой особенности. Реально, это
> довольно серьёзная проблема, и пожалуй основная причина, препятствующая
> использовать решения на Альт для корпоративной инфраструктуры.
> - требуются дополнительные (и неоправданные) усилия по задачам типа
> "сделать резолвинг в initrd".
> - "Научите ip netns exec... не забывать про /var/resolv/"
>
> Итак, резолвинг в чруте может создавать реальные проблемы, и в тоже
> время я не вижу никаких преимуществ от этого решения.
>
> Поэтому я был бы крайне признателен за способ, как можно вытащить
> резолвер из чрута для всех приложений разом. У control ручку не нашёл,
> на вики никакой информации (кроме фразы "Даже libresolv выполняется в
> chroot") не нашёл.

-- 
WBR,
Eugene Prokopiev