使用AppJail配置网络并创建tiny jail（未成功）

news2024/11/16 0:15:29

创建tiny jail成功了，但是网络配置这块，jail里只能ping通外面，而无法pkg更新软件。本文章是这篇文章Jail管理器AppJail的使用@FreeBSD-CSDN博客的网络篇。

首先host主机配置pf防火墙

参考这里：Packet Filter - AppJail Handbook 

在/etc/rc.conf文件中添加

pf_enable="YES"
pflog_enable="YES"

当然也选择使用sysrc命令添加，这样就不需要再进入编辑器了： 

sysrc pf_enable="YES"
sysrc pflog_enable="YES"

配置防火墙的基本规则，在/etc/pf.conf文件中写入：

tcp_services = "{ ssh, smtp, domain, www, pop3, auth, pop3s }"
udp_services = "{ domain }"

block all
pass out proto tcp to any port $tcp_services keep state
pass proto udp to any port $udp_services keep state

pass in proto tcp to any port $tcp_services keep state
pass inet proto icmp from any to any

基本pf配置完成后，再配置pf可以转发ip

# To forward IPv6 traffic
sysctl net.inet.ip.forwarding=1

# To forward IPv6 traffic, use:
sysctl net.inet6.ip6.forwarding=1

# To enable these settings at system boot, use sysrc(8) to add them to /etc/rc.conf:

sysrc gateway_enable=yes
sysrc ipv6_gateway_enable=yes

配置好后重启

service pf restart 

注意若pf配置失误可能导致ssh连不上

为AppJail进行网络配置

若要使用网络，首先需要在FreeBSD pf创建anchors（锚点）。之所以选择pf防火墙软件，是因为在FreeBSD中最流行以及在手册里排在第一位的就是pf 。在/etc/pf.conf文件中添加如下语句：

nat-anchor "appjail-nat/jail/*"
nat-anchor "appjail-nat/network/*"
rdr-anchor "appjail-rdr/*"

前面pf中已经做过的操作

在/etc/rc.conf文件中添加

pf_enable="YES"
pflog_enable="YES"

当然也选择使用sysrc命令添加，这样就不需要再进入编辑器了： 

sysrc pf_enable="YES"
sysrc pflog_enable="YES"

重启服务 

service pf restart 

注意若pf配置失误可能导致ssh连不上

nat网络配置

参考这里：NAT - AppJail Handbook

appjail nat add network web

appjail nat on network web

appjail nat boot on network web

这样创建好后，jail里就可以调用web网络使用nat通信了，也就是外网通了。

创建nginx tiny jail

参考这里：Tiny Jails - AppJail Handbook

创建pkg.sh文件

先写一个pkg.sh文件，内容如下：

#!/bin/sh

main()
{
    local jail="$1" package="$2"

    if [ -z "${jail}" -o -z "${package}" ]; then
        echo "usage: pkg.sh jail package" >&2
        exit 64
    fi

    get_depends "${jail}" "${package}" | while IFS= read -r _package
    do
        pkg -j "${jail}" query "%Fp" -- "${_package}"
    done
}

get_depends()
{
    _get_depends "$@" | sort | uniq
}

_get_depends()
{
    local jail="$1" package="$2"

    if [ -z "${jail}" -o -z "${package}" ]; then
        echo "usage: get_depends jail package" >&2
        exit 64
    fi

    pkg -j "${jail}" query '%dn-%dv' -- "${package}" | while IFS= read -r _package
    do
        get_depends "${jail}" "${_package}"
    done

    printf "%s\n" "${package}"
}

main "$@"

将pkg.sh文件设置为可执行：chmod 755 pkg.sh 

创建web网段

appjail network add web 10.0.0.0/24

appjail network add web 10.0.0.0/24

创建nginx的镜像:nginx.lst

# 创建web网段
appjail network add web 10.0.0.0/24

# 创建nginx的镜像:nginx.lst
appjail quick nginx virtualnet="web:nginx default" nat expose=80 start overwrite
appjail pkg jail nginx install -y nginx
./pkg.sh nginx nginx > nginx.lst

这里止步于appjail pkg jail nginx install -y nginx

以下内容还未调试通过

Before we can export the jail, we need to edit the list to add the /usr/local/www and /usr/local/etc/nginx directories and not just add the *-dist files.

appjail stop nginx
appjail jail create -I tiny+export="files:nginx.lst output:nginx.appjail compress:xz" nginx

The template is not included, so we can use the bridge.conf template and edit its required parameters.

appjail jail create -t /usr/local/share/examples/appjail/templates/bridge.conf -I tiny+import=nginx.appjail tinynginx
appjail-config set -j tinynginx '${iface}=nginx'
appjail-config set -j tinynginx '${ext_iface}=em0'
appjail-config set -j tinynginx devfs_ruleset=10
appjail start tinynginx

Now, a bit of post-processing:

# appjail sysrc jail tinynginx ifconfig_sb_nginx="SYNCDHCP"
...
# appjail cmd jexec tinynginx service netif start
...
# appjail cmd jexec tinynginx mkdir -p /var/log/nginx
# appjail cmd jexec tinynginx ln -s /usr/local/www/nginx-dist /usr/local/www/nginx
# appjail cmd jexec tinynginx service nginx oneenable
...
# appjail cmd jexec tinynginx service nginx start
...
# fetch -qo - http://192.168.1.104
<!DOCTYPE html>
<html>
<head>
<title>Welcome to nginx!</title>
...

 总结

AppJail的配置不算很难，但是手册写的太零散，需要自己穿针引线。尤其是网络这块，别的软件一般都有个快速手册，按照快速手册能基本用起来。但是AppJail的快速手册里的jail起来之后是没有网络的，而网络部分需要自己去看说明书，而且各个技术细节还是分开讲......

也许是AppJail功能太强大的缘故，不适合快速入门。先暂时到这里，目前的情况就是jail能ping通外面，但是无法pkg外网，导致不能装wget、 curl 以及 lynx等，也就是无法实用。

 在jail内部使用ifconfig igb0 10.0.0.3 netmask 255.255.255.0 也没有成功。用命令：appjail start myjail virtualnet="web:nginx default" nat start overwrite 起另一个jail，结果起来之后还是没有网络配置....

好吧，就到这里吧，用cbsd管理试试。

调试

nginx虚拟机启动时报错equires appjail-nat/jail/*

[00:00:35] [ debug ] [nginx] Setting NAT rule: network:web ext_if:igb0 logopts:0 () on_if:igb0
[00:00:40] [ error ] [nginx] The nat command requires appjail-nat/jail/* and appjail-nat/network/* anchors to work.

原来是先要配置pf防火墙，并在/etc/pf.conf文件中加入这三句：

nat-anchor "appjail-nat/jail/*"
nat-anchor "appjail-nat/network/*"
rdr-anchor "appjail-rdr/*"

pf防火墙重启后连不上了

最不想看到的事情，结果还是发生了。防火墙重启后ssh连不上了，ping也不通，不知道系统怎么回事了。只能到控制台去看了，其实就是防火墙把自己给防了...

加了一条规则，允许连这台主机的一些服务端口：

pass in proto tcp to any port $tcp_services keep state

同时也加了一条允许ping的：

pass inet proto icmp from any to any

报错Unable to update repository FreeBSD

执行appjail pkg jail nginx install -y nginx ，结果报错：
Updating FreeBSD repository catalogue...
pkg: An error occured while fetching package

pkg: An error occured while fetching package
repository FreeBSD has no meta file, using default settings
pkg: An error occured while fetching package
pkg: An error occured while fetching package
pkg: An error occured while fetching package
pkg: An error occured while fetching package
Unable to update repository FreeBSD
Error updating repositories!

怀疑是jail系统里网络不通...

appjail login nginx 进入系统，发现能ping通

执行pkg search命令，发现提示:

root@nginx:~ # pkg search nginx
The package management tool is not yet installed on your system.
Do you want to fetch and install it now? [y/N]: n
所以问题就是pkg安装的时候有个选项导致没有进行下一步？ 

尝试解决方法，执行这个命令：

appjail cmd jexec nginx pkg search nginx
按照提示按一下y

 外部执行命令appjail cmd jexec nginx pkg search nginx卡住

需要修改pkg？ 

mkdir -p /usr/local/etc/pkg/repos

echo "FreeBSD: { enabled: no }" > /usr/local/etc/pkg/repos/FreeBSD.conf

也就是：

appjail cmd jexec nginx mkdir -p /usr/local/etc/pkg/repos
root@fbhost:~ # appjail cmd jexec nginx echo "FreeBSD: { enabled: no }" > /usr/local/etc/pkg/repos/FreeBSD.conf

再次执行：appjail cmd jexec nginx pkg search nginx

不行。怀疑是不是pf防火墙，把防火墙放开：

pass out proto tcp to any keep state

首先弄明白前面操作不起作用的原因了：

两条指令都只对host主机起了作用（确切的说是目录创建对jail生效了，第二条指令只对host主机起作用了），没有修改jail虚拟机的设置。

其次不能设为no，那样就无法pkg 安装软件了。

首先把host主机的/usr/local/etc/pkg/repos/FreeBSD.conf删掉或者把no改成yes （刚才第二句导致的结果）。

生成备份镜像以便做实验

appjail image export -t py -c zstd nginx
生成文件：Saved as /usr/local/appjail/cache/images/nginx/py-amd64-image.appjail

这样万一把这个jail弄崩了，可以直接用备份镜像创建新jail！ 

在nginx jail内部pkg search 也卡住

pkg search nginx
The package management tool is not yet installed on your system.
Do you want to fetch and install it now? [y/N]: y
Bootstrapping pkg from pkg+https://pkg.FreeBSD.org/FreeBSD:14:amd64/quarterly, please wait...

所以是jail内部pkg本身就没执行成功，这是个问题....

暂时问题搁置。

jail内部配置网络ifconfig igb0 10.0.0.3 netmask 255.255.255.0 报错

ifconfig igb0 10.0.0.3 netmask 255.255.255.0 
ifconfig: socket(family 2,SOCK_DGRAM): Protocol not supported
可能不支持内部配置？ 只能通过appjail命令来设置？ 

比着葫芦画瓢，使用这个命令来起jail：appjail start myjail virtualnet="web:nginx default" nat start overwrite

结果里面也是没有ip的....

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1800126.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

[经验] 羊肺怎么清洗才干净视频 #经验分享#学习方法#其他

[经验] 羊肺怎么清洗才干净视频 #经验分享#学习方法#其他

羊肺怎么清洗才干净视频 1、羊肺怎么清洗才干净 羊肺是一种营养丰富的食材&#xff0c;含有丰富的蛋白质和维生素&#xff0c;是众多美食菜谱的重要原料之一。但是&#xff0c;由于羊肺的内部结构复杂&#xff0c;清洗起来比较麻烦。那么&#xff0c;如何清洗羊肺才能让它干净…
阅读更多...
基于Python的Selenium详细教程

基于Python的Selenium详细教程

一、PyCharm安装配置Selenium 本文使用环境&#xff1a;windows11、Python 3.10.5、PyCharm 2022.1.3、Selenium 4.3.0 需要你懂的技术&#xff1a;Python、HTML、CSS、JavaScript 1.Seleium安装&#xff1a; 在PyCharm终端或window命令窗口输入以下命令 #查看已安装的Pytho…
阅读更多...
在 Qt Creator 上创建 ROS 项目并新建/导入 ROS 包

在 Qt Creator 上创建 ROS 项目并新建/导入 ROS 包

0、引言 ⚠️ 在开始之前&#xff0c;您需要确保您已经为 Qt 配置好了 ROS 开发环境了。如果您还没有配置好&#xff0c;可以参考这篇文章 本文将着手探讨如何在 Qt Creator 上编辑 ROS 项目&#xff08;工作空间&#xff09;。 1、本教程使用到的相关软件或产品 Ubuntu 20.0…
阅读更多...
【Neo4j】Windows11使用Neo4j导入CSV数据可视化知识图谱

【Neo4j】Windows11使用Neo4j导入CSV数据可视化知识图谱

Windows11使用Neo4j导入CSV数据可视化知识图谱 序1. 安装JDK21&#xff08;1&#xff09;下载&#xff08;2&#xff09;安装&#xff08;3&#xff09;环境配置 2. 安装Neo4j&#xff08;1&#xff09;下载&#xff08;2&#xff09;解压安装&#xff08;3&#xff09;环境配置…
阅读更多...
java 原生http服务器 测试JS前端ajax访问实现跨域传post数据

java 原生http服务器 测试JS前端ajax访问实现跨域传post数据

后端 java eclipse 字节流转字符 package Httpv3;import com.sun.net.httpserver.Headers; import com.sun.net.httpserver.HttpExchange; import com.sun.net.httpserver.HttpHandler; import com.sun.net.httpserver.HttpServer;import java.io.IOException; import java.i…
阅读更多...
【Python报错】已解决Attributeerror: ‘list‘ object has no attribute ‘join‘( Solved)

【Python报错】已解决Attributeerror: ‘list‘ object has no attribute ‘join‘( Solved)

解决Python报错&#xff1a;AttributeError: ‘list’ object has no attribute ‘join’ (Solved) 在Python中&#xff0c;字符串&#xff08;str&#xff09;对象有一个非常有用的join()方法&#xff0c;它允许你将序列中的元素连接&#xff08;join&#xff09;成一个字符串…
阅读更多...
动态规划学习（混合背包，有依赖的背包，以及背包思想）

动态规划学习（混合背包，有依赖的背包，以及背包思想）

混合背包的定义&#xff1a; 混合背包问题就是混合01背包、完全背包和多重背包&#xff0c;可供选择的物体i可能有一个、或者无数个、或者有限个。 所以&#xff0c;就不要考虑这么多了&#xff0c;直接分这三种情况考虑就行&#xff01;&#xff01; 样例&#xff1a; for(…
阅读更多...
优化财务管理制度提升企业经营效益—以审计代理记账为例

优化财务管理制度提升企业经营效益—以审计代理记账为例

随着社会经济的快速发展&#xff0c;企业经营规模不断扩大&#xff0c;面临的财务管理问题也日益复杂&#xff0c;而作为其中的重要一环&#xff0c;审计代理记账已经成为了企业的必要组成部分&#xff0c;本文将重点探讨审计代理记账对于优化企业财务管理&#xff0c;提高经营…
阅读更多...
【数据结构】图论入门

【数据结构】图论入门

引入 数据的逻辑结构&#xff1a; 集合&#xff1a;数据元素间除“同属于一个集合”外&#xff0c;无其他关系线性结构&#xff1a;一个对多个&#xff0c;例如&#xff1a;线性表、栈、队列树形结构&#xff1a;一个对多个&#xff0c;例如&#xff1a;树图形结构&#xff1…
阅读更多...
Linux 中常用的设置、工具和操作

Linux 中常用的设置、工具和操作

1.设置固定的ip地址步骤 1.1 添加IPADDR“所设置的固定ip地址” TYPE"Ethernet" PROXY_METHOD"none" BROWSER_ONLY"no" BOOTPROTO"static" DEFROUTE"yes" IPV4_FAILURE_FATAL"no" IPV6INIT"yes" IPV6…
阅读更多...
Vue——模板引用(不建议使用，了解)

Vue——模板引用(不建议使用，了解)

文章目录 前言测试案例 前言 模板引用&#xff0c;在官方文档中也有很详细的描述。 虽然 Vue 的声明性渲染模型为你抽象了大部分对 DOM 的直接操作&#xff0c;但在某些情况下&#xff0c;我们仍然需要直接访问底层 DOM 元素。 个人理解为&#xff1a; 在vue中&#xff0c;依据…
阅读更多...
gcc与g++的原理

gcc与g++的原理

程序的翻译 1 快速认识gcc/g2 程序翻译的过程2.1 预处理阶段2.2 编译阶段2.3 汇编阶段2.4 链接阶段 3 动静态库 1 快速认识gcc/g 首先我们需要在linux系统中安装对应的编译器gcc/g&#xff0c;安装命令如下&#xff08;centos7环境下&#xff09;&#xff1a; gcc: yum instal…
阅读更多...
【HarmonyOS4学习笔记】《HarmonyOS4+NEXT星河版入门到企业级实战教程》课程学习笔记（十三）

【HarmonyOS4学习笔记】《HarmonyOS4+NEXT星河版入门到企业级实战教程》课程学习笔记（十三）

课程地址&#xff1a; 黑马程序员HarmonyOS4NEXT星河版入门到企业级实战教程&#xff0c;一套精通鸿蒙应用开发 &#xff08;本篇笔记对应课程第 20 - 21节&#xff09; P20《19.ArkUI-属性动画和显式动画》 本节先来学习属性动画和显式动画&#xff1a; 在代码中定义动画&am…
阅读更多...
Qt开发技术：Q3D图表开发笔记（四）：Q3DSurface三维曲面图颜色样式详解、Demo以及代码详解

Qt开发技术：Q3D图表开发笔记（四）：Q3DSurface三维曲面图颜色样式详解、Demo以及代码详解

若该文为原创文章&#xff0c;转载请注明原文出处 本文章博客地址&#xff1a;https://hpzwl.blog.csdn.net/article/details/139424086 各位读者&#xff0c;知识无穷而人力有穷&#xff0c;要么改需求&#xff0c;要么找专业人士&#xff0c;要么自己研究 红胖子网络科技博…
阅读更多...
centos安装vscode的教程

centos安装vscode的教程

centos安装vscode的教程 步骤一&#xff1a;打开vscode官网找到历史版本 历史版本链接 步骤二&#xff1a;找到文件下载的位置 在命令行中输入&#xff08;稍等片刻即可打开&#xff09;&#xff1a; /usr/share/code/bin/code关闭vscode后&#xff0c;可在应用程序----编程…
阅读更多...
Matplotlib常见图汇总

Matplotlib常见图汇总

Matplotlib是python的一个画图库&#xff0c;便于数据可视化。 安装命令 pip install matplotlib 常用命令&#xff1a; 绘制直线&#xff0c;连接两个点 import matplotlib.pyplot as plt plt.plot([0,5],[2,4]) plt.show() 运行结果如下&#xff1a; 多条线&#xff1a;…
阅读更多...
计算机组成实验---Cache的实现

计算机组成实验---Cache的实现

直接映射 先看懂cache的映射原理&#xff0c;根据cache大小与主存大小来计算各个信号线的位数 各个信号线位数 主存地址在逻辑上分为区号、块号、块内地址 Cache结构 Cache访问原理 基本过程 状态机&#xff1a;“三段式”实现 6.3 Verilog 状态机 | 菜鸟教程 (runoob.com) …
阅读更多...
Proxyman 现代直观的 HTTP 调试代理应用程序

Proxyman 现代直观的 HTTP 调试代理应用程序

Proxyman 是一款现代而直观的 HTTP 调试代理应用程序&#xff0c;它的功能强大&#xff0c;使您可以轻松捕获、检查和操作 HTTP(s) 流量。不再让繁杂的网络调试工具阻碍您的工作&#xff0c;使用 Proxyman&#xff0c;您将轻松应对网络调试的挑战。 下载地址&#xff1a;https…
阅读更多...
el-table 固定前n行

el-table 固定前n行

el-table 固定前n行 第一种&#xff0c;通过设置前几行粘性布局 <el-table:data"tableData2"borderheight"calc(98% - 40px)"// 设置行样式:row-class-name"TableRowClassName"selection-change"handleSelectionChange" ><…
阅读更多...
计网期末复习指南（四）：网络层（IP协议、IPv4、IPv6、CIDR、ARP、ICMP）

计网期末复习指南（四）：网络层（IP协议、IPv4、IPv6、CIDR、ARP、ICMP）

前言&#xff1a;本系列文章旨在通过TCP/IP协议簇自下而上的梳理大致的知识点&#xff0c;从计算机网络体系结构出发到应用层&#xff0c;每一个协议层通过一篇文章进行总结&#xff0c;本系列正在持续更新中... 计网期末复习指南&#xff08;一&#xff09;&#xff1a;计算…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023