使用AppJail配置网络并创建tiny jail（未成功）

2024-06-07 09:12
文章标签 配置 使用 创建 网络 tiny 成功 jail appjail

本文主要是介绍使用AppJail配置网络并创建tiny jail（未成功），希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

创建tiny jail成功了，但是网络配置这块，jail里只能ping通外面，而无法pkg更新软件。本文章是这篇文章Jail管理器AppJail的使用@FreeBSD-CSDN博客的网络篇。

首先host主机配置pf防火墙

参考这里：Packet Filter - AppJail Handbook 

在/etc/rc.conf文件中添加

pf_enable="YES"
pflog_enable="YES"

当然也选择使用sysrc命令添加，这样就不需要再进入编辑器了： 

sysrc pf_enable="YES"
sysrc pflog_enable="YES"

配置防火墙的基本规则，在/etc/pf.conf文件中写入：

tcp_services = "{ ssh, smtp, domain, www, pop3, auth, pop3s }"
udp_services = "{ domain }"block all
pass out proto tcp to any port $tcp_services keep state
pass proto udp to any port $udp_services keep statepass in proto tcp to any port $tcp_services keep state
pass inet proto icmp from any to any

基本pf配置完成后，再配置pf可以转发ip

# To forward IPv6 traffic
sysctl net.inet.ip.forwarding=1# To forward IPv6 traffic, use:
sysctl net.inet6.ip6.forwarding=1# To enable these settings at system boot, use sysrc(8) to add them to /etc/rc.conf:sysrc gateway_enable=yes
sysrc ipv6_gateway_enable=yes

配置好后重启

service pf restart 

注意若pf配置失误可能导致ssh连不上

为AppJail进行网络配置

若要使用网络，首先需要在FreeBSD pf创建anchors（锚点）。之所以选择pf防火墙软件，是因为在FreeBSD中最流行以及在手册里排在第一位的就是pf 。在/etc/pf.conf文件中添加如下语句：

nat-anchor "appjail-nat/jail/*"
nat-anchor "appjail-nat/network/*"
rdr-anchor "appjail-rdr/*"

前面pf中已经做过的操作

在/etc/rc.conf文件中添加

pf_enable="YES"
pflog_enable="YES"

当然也选择使用sysrc命令添加，这样就不需要再进入编辑器了： 

sysrc pf_enable="YES"
sysrc pflog_enable="YES"

重启服务 

service pf restart 

注意若pf配置失误可能导致ssh连不上

nat网络配置

参考这里：NAT - AppJail Handbook

appjail nat add network webappjail nat on network webappjail nat boot on network web

这样创建好后，jail里就可以调用web网络使用nat通信了，也就是外网通了。

创建nginx tiny jail

参考这里：Tiny Jails - AppJail Handbook

创建pkg.sh文件

先写一个pkg.sh文件，内容如下：

#!/bin/shmain()
{local jail="$1" package="$2"if [ -z "${jail}" -o -z "${package}" ]; thenecho "usage: pkg.sh jail package" >&2exit 64figet_depends "${jail}" "${package}" | while IFS= read -r _packagedopkg -j "${jail}" query "%Fp" -- "${_package}"done
}get_depends()
{_get_depends "$@" | sort | uniq
}_get_depends()
{local jail="$1" package="$2"if [ -z "${jail}" -o -z "${package}" ]; thenecho "usage: get_depends jail package" >&2exit 64fipkg -j "${jail}" query '%dn-%dv' -- "${package}" | while IFS= read -r _packagedoget_depends "${jail}" "${_package}"doneprintf "%s\n" "${package}"
}main "$@"

将pkg.sh文件设置为可执行：chmod 755 pkg.sh 

创建web网段

appjail network add web 10.0.0.0/24

appjail network add web 10.0.0.0/24

创建nginx的镜像:nginx.lst

# 创建web网段
appjail network add web 10.0.0.0/24# 创建nginx的镜像:nginx.lst
appjail quick nginx virtualnet="web:nginx default" nat expose=80 start overwrite
appjail pkg jail nginx install -y nginx
./pkg.sh nginx nginx > nginx.lst

这里止步于appjail pkg jail nginx install -y nginx

以下内容还未调试通过

Before we can export the jail, we need to edit the list to add the /usr/local/www and /usr/local/etc/nginx directories and not just add the *-dist files.

appjail stop nginx
appjail jail create -I tiny+export="files:nginx.lst output:nginx.appjail compress:xz" nginx

The template is not included, so we can use the bridge.conf template and edit its required parameters.

appjail jail create -t /usr/local/share/examples/appjail/templates/bridge.conf -I tiny+import=nginx.appjail tinynginx
appjail-config set -j tinynginx '${iface}=nginx'
appjail-config set -j tinynginx '${ext_iface}=em0'
appjail-config set -j tinynginx devfs_ruleset=10
appjail start tinynginx

Now, a bit of post-processing:

# appjail sysrc jail tinynginx ifconfig_sb_nginx="SYNCDHCP"
...
# appjail cmd jexec tinynginx service netif start
...
# appjail cmd jexec tinynginx mkdir -p /var/log/nginx
# appjail cmd jexec tinynginx ln -s /usr/local/www/nginx-dist /usr/local/www/nginx
# appjail cmd jexec tinynginx service nginx oneenable
...
# appjail cmd jexec tinynginx service nginx start
...
# fetch -qo - http://192.168.1.104
<!DOCTYPE html>
<html>
<head>
<title>Welcome to nginx!</title>
...

 总结

AppJail的配置不算很难，但是手册写的太零散，需要自己穿针引线。尤其是网络这块，别的软件一般都有个快速手册，按照快速手册能基本用起来。但是AppJail的快速手册里的jail起来之后是没有网络的，而网络部分需要自己去看说明书，而且各个技术细节还是分开讲......

也许是AppJail功能太强大的缘故，不适合快速入门。先暂时到这里，目前的情况就是jail能ping通外面，但是无法pkg外网，导致不能装wget、 curl 以及 lynx等，也就是无法实用。

 在jail内部使用ifconfig igb0 10.0.0.3 netmask 255.255.255.0 也没有成功。用命令：appjail start myjail virtualnet="web:nginx default" nat start overwrite 起另一个jail，结果起来之后还是没有网络配置....

好吧，就到这里吧，用cbsd管理试试。

调试

nginx虚拟机启动时报错equires appjail-nat/jail/*

[00:00:35] [ debug ] [nginx] Setting NAT rule: network:web ext_if:igb0 logopts:0 () on_if:igb0
[00:00:40] [ error ] [nginx] The nat command requires appjail-nat/jail/* and appjail-nat/network/* anchors to work.

原来是先要配置pf防火墙，并在/etc/pf.conf文件中加入这三句：

nat-anchor "appjail-nat/jail/*"
nat-anchor "appjail-nat/network/*"
rdr-anchor "appjail-rdr/*"

pf防火墙重启后连不上了

最不想看到的事情，结果还是发生了。防火墙重启后ssh连不上了，ping也不通，不知道系统怎么回事了。只能到控制台去看了，其实就是防火墙把自己给防了...

加了一条规则，允许连这台主机的一些服务端口：

pass in proto tcp to any port $tcp_services keep state

同时也加了一条允许ping的：

pass inet proto icmp from any to any

报错Unable to update repository FreeBSD

执行appjail pkg jail nginx install -y nginx ，结果报错：
Updating FreeBSD repository catalogue...
pkg: An error occured while fetching package

pkg: An error occured while fetching package
repository FreeBSD has no meta file, using default settings
pkg: An error occured while fetching package
pkg: An error occured while fetching package
pkg: An error occured while fetching package
pkg: An error occured while fetching package
Unable to update repository FreeBSD
Error updating repositories!

怀疑是jail系统里网络不通...

appjail login nginx 进入系统，发现能ping通

执行pkg search命令，发现提示:

root@nginx:~ # pkg search nginx
The package management tool is not yet installed on your system.
Do you want to fetch and install it now? [y/N]: n
所以问题就是pkg安装的时候有个选项导致没有进行下一步？ 

尝试解决方法，执行这个命令：

appjail cmd jexec nginx pkg search nginx
按照提示按一下y

 外部执行命令appjail cmd jexec nginx pkg search nginx卡住

需要修改pkg？ 

mkdir -p /usr/local/etc/pkg/repos

echo "FreeBSD: { enabled: no }" > /usr/local/etc/pkg/repos/FreeBSD.conf

也就是：

appjail cmd jexec nginx mkdir -p /usr/local/etc/pkg/repos
root@fbhost:~ # appjail cmd jexec nginx echo "FreeBSD: { enabled: no }" > /usr/local/etc/pkg/repos/FreeBSD.conf

再次执行：appjail cmd jexec nginx pkg search nginx

不行。怀疑是不是pf防火墙，把防火墙放开：

pass out proto tcp to any keep state

首先弄明白前面操作不起作用的原因了：

两条指令都只对host主机起了作用（确切的说是目录创建对jail生效了，第二条指令只对host主机起作用了），没有修改jail虚拟机的设置。

其次不能设为no，那样就无法pkg 安装软件了。

首先把host主机的/usr/local/etc/pkg/repos/FreeBSD.conf删掉或者把no改成yes （刚才第二句导致的结果）。

生成备份镜像以便做实验

appjail image export -t py -c zstd nginx
生成文件：Saved as /usr/local/appjail/cache/images/nginx/py-amd64-image.appjail

这样万一把这个jail弄崩了，可以直接用备份镜像创建新jail！ 

在nginx jail内部pkg search 也卡住

pkg search nginx
The package management tool is not yet installed on your system.
Do you want to fetch and install it now? [y/N]: y
Bootstrapping pkg from pkg+https://pkg.FreeBSD.org/FreeBSD:14:amd64/quarterly, please wait...

所以是jail内部pkg本身就没执行成功，这是个问题....

暂时问题搁置。

jail内部配置网络ifconfig igb0 10.0.0.3 netmask 255.255.255.0 报错

ifconfig igb0 10.0.0.3 netmask 255.255.255.0 
ifconfig: socket(family 2,SOCK_DGRAM): Protocol not supported
可能不支持内部配置？ 只能通过appjail命令来设置？ 

比着葫芦画瓢，使用这个命令来起jail：appjail start myjail virtualnet="web:nginx default" nat start overwrite

结果里面也是没有ip的....

这篇关于使用AppJail配置网络并创建tiny jail（未成功）的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/1038758。

相关文章

Zookeeper安装和配置说明

Zookeeper安装和配置说明

一、Zookeeper的搭建方式 Zookeeper安装方式有三种，单机模式和集群模式以及伪集群模式。 ■ 单机模式：Zookeeper只运行在一台服务器上，适合测试环境； ■ 伪集群模式：就是在一台物理机上运行多个Zookeeper 实例； ■ 集群模式：Zookeeper运行于一个集群上，适合生产环境，这个计算机集群被称为一个“集合体”（ensemble） Zookeeper通过复制来实现
阅读更多...
CentOS7安装配置mysql5.7 tar免安装版

CentOS7安装配置mysql5.7 tar免安装版

一、CentOS7.4系统自带mariadb # 查看系统自带的Mariadb[root@localhost~]# rpm -qa|grep mariadbmariadb-libs-5.5.44-2.el7.centos.x86_64# 卸载系统自带的Mariadb[root@localhost ~]# rpm -e --nodeps mariadb-libs-5.5.44-2.el7
阅读更多...
中文分词jieba库的使用与实景应用（一）

中文分词jieba库的使用与实景应用（一）

知识星球：https://articles.zsxq.com/id_fxvgc803qmr2.html 目录 一.定义： 精确模式（默认模式）： 全模式： 搜索引擎模式： paddle 模式（基于深度学习的分词模式）： 二 自定义词典 三.文本解析   调整词出现的频率 四. 关键词提取 A. 基于TF-IDF算法的关键词提取 B. 基于TextRank算法的关键词提取
阅读更多...
使用SecondaryNameNode恢复NameNode的数据

使用SecondaryNameNode恢复NameNode的数据

1）需求： NameNode进程挂了并且存储的数据也丢失了，如何恢复NameNode 此种方式恢复的数据可能存在小部分数据的丢失。 2）故障模拟 （1）kill -9 NameNode进程 [lytfly@hadoop102 current]$ kill -9 19886 （2）删除NameNode存储的数据（/opt/module/hadoop-3.1.4/data/tmp/dfs/na
阅读更多...
hadoop开启回收站配置

hadoop开启回收站配置

开启回收站功能，可以将删除的文件在不超时的情况下，恢复原数据，起到防止误删除、备份等作用。 开启回收站功能参数说明 （1）默认值fs.trash.interval = 0，0表示禁用回收站；其他值表示设置文件的存活时间。 （2）默认值fs.trash.checkpoint.interval = 0，检查回收站的间隔时间。如果该值为0，则该值设置和fs.trash.interval的参数值相等。
阅读更多...
NameNode内存生产配置

NameNode内存生产配置

Hadoop2.x 系列，配置 NameNode 内存 NameNode 内存默认 2000m ，如果服务器内存 4G ， NameNode 内存可以配置 3g 。在 hadoop-env.sh 文件中配置如下。 HADOOP_NAMENODE_OPTS=-Xmx3072m Hadoop3.x 系列，配置 Nam
阅读更多...
Hadoop数据压缩使用介绍

Hadoop数据压缩使用介绍

一、压缩原则 （1）运算密集型的Job，少用压缩 （2）IO密集型的Job，多用压缩 二、压缩算法比较 三、压缩位置选择 四、压缩参数配置 1）为了支持多种压缩/解压缩算法，Hadoop引入了编码/解码器 2）要在Hadoop中启用压缩，可以配置如下参数
阅读更多...
Makefile简明使用教程

Makefile简明使用教程

文章目录 规则makefile文件的基本语法：加在命令前的特殊符号：.PHONY伪目标: Makefilev1 直观写法v2 加上中间过程v3 伪目标v4 变量 make 选项-f-n-C Make 是一种流行的构建工具，常用于将源代码转换成可执行文件或者其他形式的输出文件(如库文件、文档等)。Make 可以自动化地执行编译、链接等一系列操作。 规则 makefile文件
阅读更多...
使用opencv优化图片（画面变清晰）

使用opencv优化图片（画面变清晰）

文章目录 需求影响照片清晰度的因素 实现降噪测试代码 锐化空间锐化Unsharp Masking频率域锐化对比测试 对比度增强常用算法对比测试 需求 对图像进行优化，使其看起来更清晰，同时保持尺寸不变，通常涉及到图像处理技术如锐化、降噪、对比度增强等 影响照片清晰度的因素 影响照片清晰度的因素有很多，主要可以从以下几个方面来分析 1. 拍摄设备 相机传感器：相机传
阅读更多...
wolfSSL参数设置或配置项解释

wolfSSL参数设置或配置项解释

1. wolfCrypt Only 解释：wolfCrypt是一个开源的、轻量级的、可移植的加密库，支持多种加密算法和协议。选择“wolfCrypt Only”意味着系统或应用将仅使用wolfCrypt库进行加密操作，而不依赖其他加密库。 2. DTLS Support 解释：DTLS（Datagram Transport Layer Security）是一种基于UDP的安全协议，提供类似于
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2