Содержание

Versions Compared

Key

  • This line was added.
  • This line was removed.
  • Formatting was changed.

Table of Contents


Info
titleДанная статья применима к:
  • ОС ОН Орёл 2.12.33

    Операционная Система Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6) с установленными оперативными обновлениями (версия пакета lxc-astra не ниже 1.0.0+ci10)

    ОС СН Смоленск 1.6
  • с установленными обновлениями

    Операционная Система Astra Linux Special Edition РУСБ.10015-16 исп. 1 с установленными оперативными обновлениями (версия пакета lxc-astra не ниже 1.0.0+ci10)

  • ОС ОН Орёл 2.12.33 (версия пакета lxc-astra не ниже 1.0.0+ci10)



В ОС ОН Орёл 2.12 и ОС СН Смоленск 1.6 возможно использование механизмов Firejail (используется в графическом киоске) и LXC. При этом в ОС СН Смоленск эти механизмы позволяют создавать дополнительный уровень изоляции приложений на нулевом уровне конфиденциальности

Firejail

Firejail - это система изолированного выполнения графических и консольных приложений. Целью применения Firejail является:

Info
Минимизация риска компрометации основной системы при запуске не заслуживающих доверия или потенциально уязвимых программ.


Для изоляции в Firejail используются:

Info
  • Механизм пространств имён (namespaces)
  • Фильтрация системных вызовов (seccomp-bpf)


После запуска программа и все её дочерние процессы используют отдельные представления ресурсов ядра, таких как сетевой стек, таблица процессов и точки монтирования.

В отличие от LXC, Firejail проще в настройке, и не требует подготовки системного образа: состав контейнера формируется «на лету» на основе содержимого текущей ФС, и удаляется после завершения работы приложения.

Info
Firejail можно применять и для запуска контейнеров LXC.


Предоставляются гибкие средства задания правил доступа к файловой системе:

Info
  • Можно определять к каким файлами и директориям разрешён или запрещён доступ;
  • Можно подключать для данных временные ФС (tmpfs), ограничивать доступ к файлам или директориям только чтением;
  • Можно совмещать директории через bind-mount и overlayfs.


Профили изоляции системных вызовов подготовлены для большого числа популярных приложений, в том числе для:

Info
  • Firefox;
  • Chromium;
  • VLC.

Для выполнения программы в режиме изоляции достаточно указать имя приложения в качестве аргумента утилиты Firejail, например,

Command
firejail firefox

LXC - система виртуализации "контейнеры"

LXC — это система виртуализации "контейнеров" на уровне операционной системы для запуска нескольких изолированных экземпляров операционной системы на одном узле.

  • LXC не использует виртуальные машины, а создаёт виртуальное окружение с собственным пространством процессов и сетевым стеком;
  • Все экземпляры LXC используют один экземпляр ядра операционной системы;
  • LXC основана на технологии cgroups, входящей в ядро ОС;

Известная проблема доступа к ядру ОС, когда root-пользователь LXC-контейнера может выполнить произвольный код в родительской операционной системе (за счёт того, что uid 0 внутри контейнера совпадает с uid 0 базовой системы) решена введением (версии LXC начиная с ) «непривилегированных контейнеров», где uid 0 в контейнере соответствует непривилегированному пользователю снаружи, и имеет расширенные права только на свои ресурсы.

Механизм cgroups (control group) — механизм ядра ОС, который ограничивает и изолирует вычислительные ресурсы (процессорные, сетевые, ресурсы памяти, ресурсы ввода-вывода) для групп процессов.
Механизм позволяет образовывать иерархические группы процессов с заданными ресурсными свойствами, и обеспечивает программное управление ими.

Механизм cgroups предоставляет единый программный интерфейс к целому спектру средств управления процессами,
начиная с контроля единичного процесса (таких как, например, утилита nice),
и вплоть до полной виртуализации на уровне системы LXC.

Механизм cgroups предоставляет следующие возможности:

  • ограничение ресурсов (resource limiting): использование памяти, в том числе виртуальной;

  • приоритизацию: разным группам можно выделить разное количество процессорного ресурса и пропускной способности подсистемы ввода-вывода;

  • учёт: подсчёт затрат тех либо иных ресурсов группой;

  • изоляцию: разделение пространств имён для групп таким образом, что одной группе недоступны процессы, сетевые соединения и файлы другой;

  • управление: приостановку (freezing) групп, создание контрольных точек (checkpointing) и их перезагрузку.

Работа с LXC-контейнерами в ОС СН Смоленск 1.6


Warning

Использование механизмов LXC в ОС СН Смоленск 1.6 возможно только на нулевом уровне конфиденциальности

Установка пакетов

Установить комплект пакетов для запуска контейнеров LXC можно с помощью графического менеджера пакетов или из командной строки командами:

Info
sudo apt install lxc lxc-astra

Для установки следует использовать пакет lxc-astra версии не ниже 1.0.0.

Настройка сети под LXC-контейнеры

Info
Перед установкой пакетов необходимо правильно настроить пути к репозиториям в файле /etc/apt/sources.list: в нём дожны быть указаны в качестве источников установочный диск (репозиторий) и диск (репозиторий) со средставами разработки. В ОС СН Смоленск некоторые пакеты, нужные для работы  lxc, находятся на втором диске дистрибутива (диск со средствами разработки).
  1. Создать файл /etc/default/lxc-net со следующим содержимым:

    Code Block
    USE_LXC_BRIDGE="true"
    LXC_BRIDGE="lxcbr0"
    LXC_ADDR="10.0.3.1"
    LXC_NETMASK="255.255.255.0"
    LXC_NETWORK="10.0.3.0/24"
    LXC_DHCP_RANGE="10.0.3.2,10.0.3.254"
    LXC_DHCP_MAX="253"
    LXC_DHCP_CONFILE=""
    LXC_DOMAIN=""


  2. В файле /etc/lxc/default.conf строчку

    Code Block
    lxc.net.0.type = empty

    заменить на текст:

    Code Block
    lxc.net.0.type = veth
    lxc.net.0.link = lxcbr0
    lxc.net.0.flags = up


  3. Запустить службу lxc-net:

    Command

    sudo systemctl start lxc-net


  4. Создать контейнер:

    Warning
    Так как качестве ядра контейнера и используется ядро хост-машины, на хост-машине с ОС СН Смоленск обязательно нужно использовать astralinux-se шаблон, а для ОС ОН Орёл – astralinux-ce шаблон;


    Command

    #для ОС СН Смоленск:
    sudo lxc-create -t astralinux-se -n container-1

    #или для ОС ОН Орёл:
    sudo lxc-create -t astralinux-ce -n container-1

    Для контейнера использовано имя container-1, в командах управления контейнерами имя контейнера задаётся опцией -n;

  5. Запустить созданный контейнер:

    Command

    sudo lxc-start -n container-1


  6. Дождаться, когда в контейнере заработает сетевой интерфейс, т.е. когда команда:

    Command
    sudo lxc-info -n container-1 -iH

    станет выдавать IP-адрес конейнера.

  7. Войти в контейнер, используя полученный адрес (пароль пользователя, устанавливаемый по умолчанию - astralinux):

    Command
    ssh -l admin `sudo lxc-info -n container-1 -iH`



Типовые операции с LXC-контейнерами

  1. Запуск:

    Command
    sudo lxc-start -n container-1


  2. Остановка:

    Command
    sudo lxc-stop -n container-1


  3. Просмотр всех контейнеров:

    Command
    sudo lxc-ls -f


  4. Сетевой вход в контейнер:

    Command
    ssh -l admin 10.10.10.100

    (возможна задержка примерно в минуту, в течение которой ssh-сервер стартует внутри контейнера). Пароль по умолчанию — astralinux
    важно: после первого логина нужно сменить пароль для пользователя admin на более надёжный командой passwd;

  5. Удаление контейнера:

    Command
    sudo lxc-destroy -n container-1


  6. Также, в случае использования контейнера в ОС ОН Орёл для входа можно использовать консоль:

    Command
    sudo lxc-console -n container-1


  7. Внутри контейнера, при правильно настроенной сети, можно устанавливать и настраивать программы так же, как и на обычном компьютере.