Question

我已经在线完成了一些研究，而且我并没有真正找到有关如何在两个或更多chroot监狱之间建立通信链接的任何信息。＆＃34;标准＆＃34;似乎只是使用一个chroot监狱沙盒。

为了把事情放到上下文中，我试图执行docker容器的基本功能，但是使用chroot jails。因此，就像两个docker容器可以通过IP相互ping通和/或连接在同一个用户定义的docker网络上一样，这可能存在于两个chroot jail中吗？

我知道容器和chroot监狱是不同的东西，我对两者都很熟悉。我只需要知道是否有办法以类似的方式链接两个chroot jails来链接两个容器，或者如果这是不存在的，我只是在浪费我的时间

Answer 1

Docker没有什么神奇之处：它只是使用Linux内核提供的工具来实现各种隔离。您可以利用相同的功能。

Docker＆＃34;网络＆＃34;只不过是主机上的桥接设备。您可以使用brctl或ip link命令轻松创建这些命令，如：

ip link add mynetwork type bridge

您需要激活界面并分配IP地址：

ip addr add 192.168.23.1/24 dev mynetwork
ip link set mynetwork up

Docker容器与主机具有独立的网络环境。这称为network namespace，您可以通过它来操纵它们使用ip netns命令。

您可以使用ip netns add命令创建网络命名空间。例如，这里我们创建两个名为chroot1和chroot2的名称空间：

ip netns add chroot1
ip netns add chroot2

接下来，您将创建两对veth network interfaces。每对的一端将连接到上述网络命名空间之一，另一端将连接到mynetwork网桥：

# create a veth-pair named chroot1-inside and chroot1-outside
ip link add chroot1-inside type veth peer name chroot1-outside
ip link set master mynetwork dev chroot1-outside
ip link set chroot1-outside up
ip link set netns chroot1 chroot1-inside

# do the same for chroot2
ip link add chroot2-inside type veth peer name chroot2-outside
ip link set netns chroot2 chroot2-inside
ip link set chroot2-outside up
ip link set master mynetwork dev chroot2-outside

现在配置网络命名空间内的接口。我们可以使用导致-n命令的ip选项来执行此操作要在指定的网络命名空间内运行的命令：

ip -n chroot1 addr add 192.168.23.11/24 dev chroot1-inside ip -n chroot1 link set chroot1-inside up ip -n chroot2 addr add 192.168.23.12/24 dev chroot2-inside ip -n chroot2 link set chroot2-inside up

请注意，在上文中，ip -n <namespace>只是以下的快捷方式：

ip netns exec <namespace> ip ...

那样：

ip -n chroot1 link set chroot1-inside up

相当于：

ip netns exec chroot1 ip link set chroot1-inside up

（显然iproute套餐的旧版本不包含 -n选项。）

最后，您可以在这些环境中启动chroot环境两个名称空间。假设您的chroot文件系统已挂载 /mnt，在一个终端中运行：

ip netns exec chroot1 chroot /mnt bash

在另一个终端：

ip netns exec chroot2 chroot /mnt bash

您会发现这两个chroot环境可以相互ping通。例如，在chroot1环境中：

# ip addr show 1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN qlen 1000 link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 36: chroot1-inside@if35: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP qlen 1000 link/ether 12:1c:9c:39:22:fa brd ff:ff:ff:ff:ff:ff link-netnsid 0 inet 192.168.23.11/24 scope global chroot1-inside valid_lft forever preferred_lft forever inet6 fe80::101c:9cff:fe39:22fa/64 scope link valid_lft forever preferred_lft forever # ping -c1 192.168.23.12 PING 192.168.23.12 (192.168.23.12) 56(84) bytes of data. From 192.168.23.1 icmp_seq=1 Destination Host Prohibited --- 192.168.23.12 ping statistics --- 1 packets transmitted, 0 received, +1 errors, 100% packet loss, time 0ms

他们可以ping主持人：

# ping -c1 192.168.23.1 PING 192.168.23.1 (192.168.23.1) 56(84) bytes of data. 64 bytes from 192.168.23.1: icmp_seq=1 ttl=64 time=0.115 ms --- 192.168.23.1 ping statistics --- 1 packets transmitted, 1 received, 0% packet loss, time 0ms rtt min/avg/max/mdev = 0.115/0.115/0.115/0.000 ms

当然，要使这个chroot环境有用，还有很多丢失的东西，例如/proc，/sys上的虚拟文件系统，和/dev。设置所有这些并将其彻底撕下来这就是人们使用Docker或systemd-nspawn等工具的原因手工管理有很多东西。

使用ip link连接多个Chroot Jails

1 个答案: