| 1.3, Аноним (-), 02:33, 02/06/2016 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Весьма годная запускалка контейнеров. Вместо громких бла-бла как gnome apps эти просто взяли и запилили. Программы менять не требуется, и вообще.
| | |
| |
| 2.10, Аноним (-), 17:10, 02/06/2016 [^] [^^] [^^^] [ответить]
| +1 +/– |
>> и фильтрация системных вызовов
> А между тем реальная победа над freebsd jail
А что из них фиолетевее?
| | |
|
| 1.7, Аноним (-), 13:02, 02/06/2016 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Если ипользовать Firejail, то можно default route поменять в контейнере?
| | |
| |
| 2.8, Аноним (-), 13:18, 02/06/2016 [^] [^^] [^^^] [ответить]
| +/– |
предположу, что сие можное реализовать через маркировку пакетов от определенного пида через айпитейблс с последующим рулением через ip rule и таблицы рутинга. в теории можно даже автоматизировать
| | |
| 2.16, Анонис (?), 08:14, 03/06/2016 [^] [^^] [^^^] [ответить]
| +/– | |
> Если ипользовать Firejail, то можно default route поменять в контейнере?
Создай новый сетевой нэймспэйс и получи свои сетевые адаптеры, правила фаера, маршруты и прочее. Настоящая виртуальная машина со скоростью как у чрута.
| | |
|
| 1.12, Онаним (?), 02:01, 03/06/2016 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
Запретить отдельно взятому приложению доступ в Интернет позволяет? Давно ищу что-то, что позволит выпускать в Сеть только те проги, которым это реально надо также легко, как это делается в Windows (AppArmor не помог - не умеет ограничивать Java-приложения а некоторые нативные проги под ним не запускаются вообще даже если всё разрешить).
| | |
| |
| |
| 3.15, Онаним (?), 03:30, 03/06/2016 [^] [^^] [^^^] [ответить]
| –1 +/– |
Речь идёт о гуёвых приложениях, ещё и требующих доступа к USB-железу, например, так что про Docker сомневаюсь, LXC - хз.
| | |
| 3.18, Аноним (-), 08:19, 03/06/2016 [^] [^^] [^^^] [ответить]
| +/– | |
> lxc/docker. И overlayfs чтобы место на диске не перерасходовать.
А зачем? Сабж умеет "временные" пустышки создавать и компоновать вид ФС монтированием. Да еще системные вызовы грамотно обрубает, так что вылезти из грамотно сделанного контейнеа будет достаточно сложно. Эти в отличие от докеров занимались не пиаром а системным программированием.
| | |
|
| 2.17, Аноним (-), 08:18, 03/06/2016 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> Запретить отдельно взятому приложению доступ в Интернет позволяет?
Да. Можно даже веселее: убираешь сеть в дефолтном namespace. Поднимаешь ее только в namespaces в которые пушишь свои избранные проги. Можешь интерфейс в новый namespace переместить, или создать новый MACVLAN на существующем ифэйсе (сабж это умеет).
Вообще, да будет вам не лень прочитать "man ip" от корки до корки, узнаете что Linux умеет делать с сетями очень многое. О половине из этого вы даже не мечтали, а оно есть.
| | |
| |
| 3.19, stalkerdroad (ok), 13:34, 03/06/2016 [^] [^^] [^^^] [ответить]
| –1 +/– |
 > Поднимаешь ее только в namespaces в которые пушишь свои избранные проги.
Мне кажется все дочерние процессы также будут иметь доступ в интернет.
Это не как в виндоус. Там ограничение по полному пути exe-программы.
| | |
| |
| 4.21, Led (ok), 21:39, 03/06/2016 [^] [^^] [^^^] [ответить]
| +/– |
 Пиши ещё - мнение вендузоеда-на-каникулах очень важно для нас.
| | |
|
|
|
| 1.22, Аноним (-), 22:10, 03/06/2016 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
народ, что лучше, чтобы запускать софтваре без прав на чтение других директорий (включая хомяка) - оно или ручками пилить отдельного юзверя и проставлять права?
| | |
|
