Сборка NanoBSD внутри тюрьмы

2024-6-22 • tag-icon

Я пытаюсь настроить джейл, чтобы включить сборку образа NanoBSD. На самом деле это джейл поверх установки NanoBSD.

Проблема в том, что я не могу смонтировать устройство md, чтобы выполнить часть 'build image'. Это просто невозможно смонтировать устройство mdвнутри jail, или есть какие-тодругойручку, которую мне нужно покрутить?

На хосте

/etc/rc.conf.local

jail_enable="YES"
jail_mount_enable="YES"
jail_list="build"
jail_set_hostname_allow="NO"
jail_build_hostname="build.vm"
jail_build_ip="192.168.0.100"
jail_build_rootdir="/mnt/zpool0/jails/build/home"
jail_build_devfs_enable="YES"
jail_build_devfs_ruleset="devfsrules_jail_build"

/etc/devfs.rules

[devfsrules_jail_build=5]
# nothing

Внутри тюрьмы

[root@build /usr/obj/nanobsd.PROLIANT_MICROSERVER]# sysctl security.jail
security.jail.param.cpuset.id: 0
security.jail.param.host.hostid: 0
security.jail.param.host.hostuuid: 64
security.jail.param.host.domainname: 256
security.jail.param.host.hostname: 256
security.jail.param.children.max: 0
security.jail.param.children.cur: 0
security.jail.param.enforce_statfs: 0
security.jail.param.securelevel: 0
security.jail.param.path: 1024
security.jail.param.name: 256
security.jail.param.parent: 0
security.jail.param.jid: 0
security.jail.enforce_statfs: 1
security.jail.mount_allowed: 1
security.jail.chflags_allowed: 1
security.jail.allow_raw_sockets: 0
security.jail.sysvipc_allowed: 0
security.jail.socket_unixiproute_only: 1
security.jail.set_hostname_allowed: 0
security.jail.jail_max_af_ips: 255
security.jail.jailed: 1

[root@build /usr/obj/nanobsd.PROLIANT_MICROSERVER]# mdconfig -l
md2 md0 md1

md0и md1являются виртуальными дисками хоста.

bsdlabelвыглядит разумно

[root@build /usr/obj/nanobsd.PROLIANT_MICROSERVER]# bsdlabel /dev/md2s1
# /dev/md2s1:
8 partitions:
#        size   offset    fstype   [fsize bsize bps/cpg]
  a:  1012016       16    4.2BSD        0     0     0 
  c:  1012032        0    unused        0     0         # "raw" part, don't edit

newfsработает нормально

[root@build /usr/obj/nanobsd.PROLIANT_MICROSERVER]# newfs -U /dev/md2s1a
/dev/md2s1a: 494.1MB (1012016 sectors) block size 16384, fragment size 2048
    using 4 cylinder groups of 123.55MB, 7907 blks, 15872 inodes.
    with soft updates
super-block backups (for fsck -b #) at:
 160, 253184, 506208, 759232

mountтерпит неудачу

[root@build /usr/obj/nanobsd.PROLIANT_MICROSERVER]# mount /dev/md2s1a _.mnt/
mount: /dev/md2s1a : Operation not permitted

ОБНОВЛЯТЬ:

Один из моих коллег отметил,

Существуют некоторые типы файловых систем, которые невозможно безопасно смонтировать в джейле, например, UFS, MSDOFS, EXTFS, XFS, REISERFS, NTFS и т. д., поскольку пользователь, монтирующий их, имеет доступ к необработанному хранилищу и может повредить его таким образом, что это приведет к сбою всей системы.

Отhttp://www.mail-archive.com/[email protected]/msg160389.html

Так что, похоже, стандартный nanobsd.sh не будет работать внутри jail, пока он использует mdустройство для сборки образа. Одно из возможных решений, которое я попробую, — это chrootиз хоста в build jail, а не jexecв оболочку.

решение1

Как вы сказали, chroot — это выход.

Вам не нужна безопасность, просто соберите и измените root, чтобы ваши установочные скрипты работали правильно. Для этого и нужен chroot.

В некоторых системах нет двоичного файла chroot, но довольно легко написать простой скрипт, который выполнит все, что вам нужно (и, эй, вы сможете использовать его повторно позже!).

решение1

Связанный контент