Запуск вещей (веб-сервисов) в изолированной среде

1676
Shiki

Прежде всего, я прочитал все вопросы о chroot, которые я мог найти в сети и на Superuser. По сути, все они охватывают запуск 32-битного приложения на 64-битном хосте и так далее.

Я хочу иметь изолированную систему в полном chroot (запуск Lighttpd, MySQL, SSH и т. Д. Оттуда). (Из соображений безопасности я должен изолировать dev от живого.) Так что я установил среду chroot, установил все необходимые вещи и зашил в chroot. Все прошло нормально. Отредактировано /etc/ssh/sshd_configдля использования порта 22222 вместо 22. Используется service ssh startтогда. Там написано, что служба запущена, но если я попробую это: ssh -p 22222 localhostя получаю «Отказ в соединении». Система chrooted является очень минимальной, поэтому в ней нет брандмауэра, hosts.allow / deny или чего-либо еще.

ЛЮБАЯ идея приветствуется.

PS. Среда chroot будет областью разработки, как я уже упоминал. Я думал, что chroot - это самый простой способ, но если вы скажете, что KVM лучше или что-то еще, я могу пойти на это. Машина легко может работать даже на 10 ВМ.

Использованные инструкции:
http://www.gentoo.org/doc/en/handbook/handbook-x86.xml?part=1&chap=6
https://help.ubuntu.com/community/BasicChroot
http: //www.gentoo .org / proj / en / base / amd64 / howtos / index.xml? part = 1 & chap = 2
http://ubuntuforums.org/showthread.php?t=248724

1

1 ответ на вопрос

0
Gilles

Запуск среды разработки в chroot на реальной среде - ужасная идея. Это не отвечает вашим требованиям по изоляции среды разработки от реальной среды. Все, что для этого нужно - это маленькая ошибка, чтобы убить работающий серверный процесс вместо сервера разработки или заставить сервер разработки прослушивать порт 22 или 80.

Вы можете запустить среду разработки как chroot на компьютере разработчика, но это сложнее, чем настроить виртуальную машину. Единственная причина, по которой я могу не использовать виртуальную машину, заключается в том, что ваше оборудование слишком старое, чтобы комфортно работать с виртуальной машиной, что, как вы говорите, не так. Виртуальная машина предоставляет вам автономную сетевую среду (так что вы можете тестировать сервисы на их реальных портах, с их настоящим межсетевым экраном), автономную среду процессов (чтобы вы знали, сколько памяти вам действительно нужно, и сколько ЦП вам действительно нужно) и т. Д. ,

В идеале, если это позволяет производительность, как виртуальная среда, так и среда разработки будут работать внутри виртуальных машин с использованием одной и той же технологии виртуальных машин. Это сделает развертывание настолько рискованным, насколько это возможно.

Живая среда работает весь день, и у нас нет шансов установить на нее виртуальную машину. Насколько мы можем это сделать, мы хотели бы использовать chroot ... не могли бы вы помочь с проблемой? Пожалуйста.. Shiki 14 лет назад 0
@Shiki: Настройка chroot * сложнее * и * более рискованна *, чем виртуальная машина. Как вы говорите в своем вопросе, я говорю «KVM лучше» (за исключением того, что я не высказываю мнение о KVM против какой-либо другой технологии VM). Поместить вашу живую среду в виртуальную машину - это просто неприятно, важно поместить среду разработки в отдельный контекст сети и процесса, то есть виртуальную машину (или, разумеется, другую физическую машину). Я не знаю, почему ваш chrooted `sshd` не работает так, как вы хотите; и это для меня уже аргумент против chroot. Gilles 14 лет назад 0
Материал до сих пор. Я использовал VMWare, поскольку XEN и KVM нуждались в изменениях сетевых настроек, которые мне не нужны. Это серьезно. Я попытаюсь установить KVM или что-то в этом роде, потому что VMWare является худшим, так как он стал бесплатным (серверный продукт .. это так). Shiki 14 лет назад 0
@Shiki: Я слышал несколько независимых мнений о том, что VirtualBox проще в использовании, чем VMWare. Я использовал VirtualBox, и настройка простой сети (один интерфейс NAT плюс один интерфейс только для хоста) была простой. У меня нет опыта общения на KVM. Gilles 14 лет назад 0
Хм .. VirtualBox .. неплохая идея. Я попробую это. Спасибо! Shiki 14 лет назад 0