首页 > 其他分享 >使用AppJail配置网络并创建tiny jail（未成功）

使用AppJail配置网络并创建tiny jail（未成功）

时间：2024-06-06 17:33:26浏览次数：15  
标签：AppJail package tiny nginx jail pkg appjail pf

创建tiny jail成功了，但是网络配置这块，jail里只能ping通外面，而无法pkg更新软件。本文章是这篇文章Jail管理器AppJail的使用@FreeBSD-CSDN博客的网络篇。

首先host主机配置pf防火墙

参考这里：Packet Filter - AppJail Handbook 

在/etc/rc.conf文件中添加

pf_enable="YES"
pflog_enable="YES"

当然也选择使用sysrc命令添加，这样就不需要再进入编辑器了： 

sysrc pf_enable="YES"
sysrc pflog_enable="YES"

配置防火墙的基本规则，在/etc/pf.conf文件中写入：

tcp_services = "{ ssh, smtp, domain, www, pop3, auth, pop3s }"
udp_services = "{ domain }"

block all
pass out proto tcp to any port $tcp_services keep state
pass proto udp to any port $udp_services keep state

pass in proto tcp to any port $tcp_services keep state
pass inet proto icmp from any to any

基本pf配置完成后，再配置pf可以转发ip

# To forward IPv6 traffic
sysctl net.inet.ip.forwarding=1

# To forward IPv6 traffic, use:
sysctl net.inet6.ip6.forwarding=1

# To enable these settings at system boot, use sysrc(8) to add them to /etc/rc.conf:

sysrc gateway_enable=yes
sysrc ipv6_gateway_enable=yes

配置好后重启

service pf restart 

注意若pf配置失误可能导致ssh连不上

为AppJail进行网络配置

若要使用网络，首先需要在FreeBSD pf创建anchors（锚点）。之所以选择pf防火墙软件，是因为在FreeBSD中最流行以及在手册里排在第一位的就是pf 。在/etc/pf.conf文件中添加如下语句：

nat-anchor "appjail-nat/jail/*"
nat-anchor "appjail-nat/network/*"
rdr-anchor "appjail-rdr/*"

前面pf中已经做过的操作

在/etc/rc.conf文件中添加

pf_enable="YES"
pflog_enable="YES"

当然也选择使用sysrc命令添加，这样就不需要再进入编辑器了： 

sysrc pf_enable="YES"
sysrc pflog_enable="YES"

重启服务 

service pf restart 

注意若pf配置失误可能导致ssh连不上

nat网络配置

参考这里：NAT - AppJail Handbook

appjail nat add network web

appjail nat on network web

appjail nat boot on network web

这样创建好后，jail里就可以调用web网络使用nat通信了，也就是外网通了。

创建nginx tiny jail

参考这里：Tiny Jails - AppJail Handbook

创建pkg.sh文件

先写一个pkg.sh文件，内容如下：

#!/bin/sh

main()
{
    local jail="$1" package="$2"

    if [ -z "${jail}" -o -z "${package}" ]; then
        echo "usage: pkg.sh jail package" >&2
        exit 64
    fi

    get_depends "${jail}" "${package}" | while IFS= read -r _package
    do
        pkg -j "${jail}" query "%Fp" -- "${_package}"
    done
}

get_depends()
{
    _get_depends "$@" | sort | uniq
}

_get_depends()
{
    local jail="$1" package="$2"

    if [ -z "${jail}" -o -z "${package}" ]; then
        echo "usage: get_depends jail package" >&2
        exit 64
    fi

    pkg -j "${jail}" query '%dn-%dv' -- "${package}" | while IFS= read -r _package
    do
        get_depends "${jail}" "${_package}"
    done

    printf "%s\n" "${package}"
}

main "$@"

将pkg.sh文件设置为可执行：chmod 755 pkg.sh 

创建web网段

appjail network add web 10.0.0.0/24

appjail network add web 10.0.0.0/24

创建nginx的镜像:nginx.lst

# 创建web网段
appjail network add web 10.0.0.0/24

# 创建nginx的镜像:nginx.lst
appjail quick nginx virtualnet="web:nginx default" nat expose=80 start overwrite
appjail pkg jail nginx install -y nginx
./pkg.sh nginx nginx > nginx.lst

这里止步于appjail pkg jail nginx install -y nginx

以下内容还未调试通过

Before we can export the jail, we need to edit the list to add the /usr/local/www and /usr/local/etc/nginx directories and not just add the *-dist files.

appjail stop nginx
appjail jail create -I tiny+export="files:nginx.lst output:nginx.appjail compress:xz" nginx

The template is not included, so we can use the bridge.conf template and edit its required parameters.

appjail jail create -t /usr/local/share/examples/appjail/templates/bridge.conf -I tiny+import=nginx.appjail tinynginx
appjail-config set -j tinynginx '${iface}=nginx'
appjail-config set -j tinynginx '${ext_iface}=em0'
appjail-config set -j tinynginx devfs_ruleset=10
appjail start tinynginx

Now, a bit of post-processing:

# appjail sysrc jail tinynginx ifconfig_sb_nginx="SYNCDHCP"
...
# appjail cmd jexec tinynginx service netif start
...
# appjail cmd jexec tinynginx mkdir -p /var/log/nginx
# appjail cmd jexec tinynginx ln -s /usr/local/www/nginx-dist /usr/local/www/nginx
# appjail cmd jexec tinynginx service nginx oneenable
...
# appjail cmd jexec tinynginx service nginx start
...
# fetch -qo - http://192.168.1.104
<!DOCTYPE html>
<html>
<head>
<title>Welcome to nginx!</title>
...

 总结

AppJail的配置不算很难，但是手册写的太零散，需要自己穿针引线。尤其是网络这块，别的软件一般都有个快速手册，按照快速手册能基本用起来。但是AppJail的快速手册里的jail起来之后是没有网络的，而网络部分需要自己去看说明书，而且各个技术细节还是分开讲......

也许是AppJail功能太强大的缘故，不适合快速入门。先暂时到这里，目前的情况就是jail能ping通外面，但是无法pkg外网，导致不能装wget、 curl 以及 lynx等，也就是无法实用。

 在jail内部使用ifconfig igb0 10.0.0.3 netmask 255.255.255.0 也没有成功。用命令：appjail start myjail virtualnet="web:nginx default" nat start overwrite 起另一个jail，结果起来之后还是没有网络配置....

好吧，就到这里吧，用cbsd管理试试。

调试

nginx虚拟机启动时报错equires appjail-nat/jail/*

[00:00:35] [ debug ] [nginx] Setting NAT rule: network:web ext_if:igb0 logopts:0 () on_if:igb0
[00:00:40] [ error ] [nginx] The nat command requires appjail-nat/jail/* and appjail-nat/network/* anchors to work.

原来是先要配置pf防火墙，并在/etc/pf.conf文件中加入这三句：

nat-anchor "appjail-nat/jail/*"
nat-anchor "appjail-nat/network/*"
rdr-anchor "appjail-rdr/*"

pf防火墙重启后连不上了

最不想看到的事情，结果还是发生了。防火墙重启后ssh连不上了，ping也不通，不知道系统怎么回事了。只能到控制台去看了，其实就是防火墙把自己给防了...

加了一条规则，允许连这台主机的一些服务端口：

pass in proto tcp to any port $tcp_services keep state

同时也加了一条允许ping的：

pass inet proto icmp from any to any

报错Unable to update repository FreeBSD

执行appjail pkg jail nginx install -y nginx ，结果报错：
Updating FreeBSD repository catalogue...
pkg: An error occured while fetching package

pkg: An error occured while fetching package
repository FreeBSD has no meta file, using default settings
pkg: An error occured while fetching package
pkg: An error occured while fetching package
pkg: An error occured while fetching package
pkg: An error occured while fetching package
Unable to update repository FreeBSD
Error updating repositories!

怀疑是jail系统里网络不通...

appjail login nginx 进入系统，发现能ping通

执行pkg search命令，发现提示:

root@nginx:~ # pkg search nginx
The package management tool is not yet installed on your system.
Do you want to fetch and install it now? [y/N]: n
所以问题就是pkg安装的时候有个选项导致没有进行下一步？ 

尝试解决方法，执行这个命令：

appjail cmd jexec nginx pkg search nginx
按照提示按一下y

 外部执行命令appjail cmd jexec nginx pkg search nginx卡住

需要修改pkg？ 

mkdir -p /usr/local/etc/pkg/repos

echo "FreeBSD: { enabled: no }" > /usr/local/etc/pkg/repos/FreeBSD.conf

也就是：

appjail cmd jexec nginx mkdir -p /usr/local/etc/pkg/repos
root@fbhost:~ # appjail cmd jexec nginx echo "FreeBSD: { enabled: no }" > /usr/local/etc/pkg/repos/FreeBSD.conf

再次执行：appjail cmd jexec nginx pkg search nginx

不行。怀疑是不是pf防火墙，把防火墙放开：

pass out proto tcp to any keep state

首先弄明白前面操作不起作用的原因了：

两条指令都只对host主机起了作用（确切的说是目录创建对jail生效了，第二条指令只对host主机起作用了），没有修改jail虚拟机的设置。

其次不能设为no，那样就无法pkg 安装软件了。

首先把host主机的/usr/local/etc/pkg/repos/FreeBSD.conf删掉或者把no改成yes （刚才第二句导致的结果）。

生成备份镜像以便做实验

appjail image export -t py -c zstd nginx
生成文件：Saved as /usr/local/appjail/cache/images/nginx/py-amd64-image.appjail

这样万一把这个jail弄崩了，可以直接用备份镜像创建新jail！ 

在nginx jail内部pkg search 也卡住

pkg search nginx
The package management tool is not yet installed on your system.
Do you want to fetch and install it now? [y/N]: y
Bootstrapping pkg from pkg+https://pkg.FreeBSD.org/FreeBSD:14:amd64/quarterly, please wait...

所以是jail内部pkg本身就没执行成功，这是个问题....

暂时问题搁置。

jail内部配置网络ifconfig igb0 10.0.0.3 netmask 255.255.255.0 报错

ifconfig igb0 10.0.0.3 netmask 255.255.255.0 
ifconfig: socket(family 2,SOCK_DGRAM): Protocol not supported
可能不支持内部配置？ 只能通过appjail命令来设置？ 

比着葫芦画瓢，使用这个命令来起jail：appjail start myjail virtualnet="web:nginx default" nat start overwrite

结果里面也是没有ip的....

标签：AppJail,package,tiny,nginx,jail,pkg,appjail,pf
From： https://blog.csdn.net/skywalk8163/article/details/139486081

相关文章

  • Jail管理器AppJail的使用@FreeBSD
    Jail的简介Jail是FreeBSD操作系统中一个功能强大的安全机制，自FreeBSD4.X版本起便投入使用，并且随着系统的发展，其功能、效率、稳定性和安全性得到了持续的强化。Jail基于chroot的概念，通过更改一系列程序的根目录，为程序提供了一个隔离的安全环境，将其与系统的其他部分完全分隔......
  • vue3 ts 集成 tinymce
    首先引入@tinymce/tinymce-vueyarnadd@tinymce/tinymce-vue-S我的版本是然后写一个组件<template><mainid="sample"><Editorv-model="editorData"api-key="j7tvgx4xnptg3cjd63cfnl62z9s78uylw4o7vkkwdljjy91e":init=&qu......
  • TinyVue 3.15.0 正式发布，推出全新的 Charts 图表组件底座，功能更强、图表更丰富！
    你好，我是Kagol。我们非常高兴地宣布，2024年4月8日，TinyVue发布了v3.15.0......
  • TinyRender学习笔记
    通过手写软光栅渲染器加深对计算机图形学基本原理的理解，并练习C++面向对象程序设计。github链接：blackbird2003/blackbirdTinyRenderer(github.com)该项目主要参考Home·ssloy/tinyrendererWiki(github.com)编写推荐先过一下GAMES101Lesson0GettingStartedUsingTGAi......
  • tinymce 5.X 和 6.X 富文本编辑器如何实现上传图片
    在项目中，前端会经常使用tinymce富文本编辑器插件，编辑器有上传图片的功能，而对于上传的这个图片的处理，有两种方式：编辑器中有一个images_upload_handler方法，上传图片会触发该事件，该事件有3个参数，分别是上传图片的文件内容、上传成功的success处理方法、上传失败的failure处理方法。......
  • 开源项目tiny11builder对Windows11进行精简
    由于采用的是Powershell脚本，系统默认的策略是阻止运行的，需要以管理员身份运行Powershell后，输入以下命令：Set-ExecutionPolicyunrestricted将「tiny11builder」解压，在文件“tiny11maker.ps1”上鼠标右键→使用PowerShell运行。   提前下载好官方原版Windows11镜像，双击虚......
  • MySQL里 没有 boolean类型 怎么办？MySQL 里的 tinyint(1)
    之前我写的博客：https://www.cnblogs.com/del88/p/12538470.html由于之前的博客，没有使用markdown懒得重新排版了，重新写一篇；直接看AI给的答案吧：MySQL里没有boolean类型怎么办？在MySQL中，确实没有专门的boolean数据类型。不过，MySQL通常使用TINYINT(1)作为布尔值的替代。当使用T......
  • TinyMCE上传图片后端处理写法
    TinyMCE上传图片后端处理写法 写法有两种，一种是先把图片转换成base64后再本地解析显示，这样可以直接将图片储存在HTML文件中，如果图片过多可能会让HTML文件过大，或者你可以将已经转码成base64的图片上传到服务器后服务器再转码成原jpg或png格式。另一种是方法是通过POST把图片......
  • 如何将之前编辑的文章HTML源代码导入到TinyMCE编辑器中
    如何将之前编辑的文章HTML源代码导入到TinyMCE编辑器中 如果你想用TinyMCE来修改你之前写的文章那么你需要将源代码放到TinyMCE中，如果服务器把HTML源码发给我们可是我们应该怎样调用？方法为使用 tinymce.activeEditor.setContent()这个函数具体用法为：tinymce.activeEdito......
  • 【AI Many-Shot-Jailbreaking】上下文窗口越大越危险
    在人工智能的发展过程中，安全性问题逐渐引起了人们的关注。Anthropic公司发了一篇关于“许多次破解监狱”的技术研究。这种技术可以用来规避大型语言模型（LLM）开发者设定的安全防护措施。我们将深入探讨这种技术的工作原理、可能产生的影响，以及如何采取有效的缓解措施。希望通......

赞助商

阅读排行

网站主页关于我们联系我们网站地图

本网站内容转载自其他媒体，侵权联系[admin##ips99.com]。

Copyright © 2020-2023 IPS99 版权所有 IPS99