Come creare un dispositivo / dev / tun all'interno di un contenitore LXC senza privilegi?

Questa domanda è simile a Nessun dispositivo tun in lxc guest per openvpn . L'LXC si è evoluto e recentemente sono stati introdotti i contenitori LXC non privilegiati che offrono un altro livello di sicurezza contro la rottura del carcere.

Devo creare un server OpenVPN all'interno di uno dei container non privilegiati. Non so come consentire al contenitore di creare un dispositivo di rete tun privato.

Ho aggiunto lxc.cgroup.devices.allow = c 10:200 rwmal ~/.local/share/lxc/mylxc/config.

Dopo aver avviato il contenitore, mknod /dev/net/tun c 10 200ritorna mknod: '/dev/net/tun': Operation not permittedall'interno del contenitore.

Uso un Ubuntu 14.04 64 bit vaniglia come host e un contenitore creato con

lxc-create -t download -n mylxc  -- -d ubuntu -r trusty -a amd64

Qualcuno è riuscito a far /dev/tunfunzionare il dispositivo con LXC senza privilegi?

Devi aggiungere esplicitamente la capacità CAP_MKNOD al tuo contenitore .

  lxc.cap.keep
          Specify the capability to be kept in the container. All other
          capabilities will be dropped. When a special value of "none"
          is encountered, lxc will clear any keep capabilities specified
          up to this point. A value of "none" alone can be used to drop
          all capabilities.

Potresti anche provare ad automatizzare questo (se ti capita di usare systemdall'interno del contenitore) usando:

  lxc.hook.autodev
          A hook to be run in the container's namespace after mounting
          has been done and after any mount hooks have run, but before
          the pivot_root, if lxc.autodev == 1.  The purpose of this hook
          is to assist in populating the /dev directory of the container
          when using the autodev option for systemd based containers.
          The container's /dev directory is relative to the
          ${LXC_ROOTFS_MOUNT} environment variable available when the
          hook is run.

che può puntare a uno script in esecuzione mknod.

L'utilizzo di dockerquesto è molto facile da realizzare. Per impostazione predefinita, i contenitori non sono privilegiati .

In questo esempio, sto estraendo un trustycontenitore dal registro:

sudo -r sysadm_r docker pull corbinu/docker-trusty
Pulling repository corbinu/docker-trusty
...
Status: Downloaded newer image for corbinu/docker-trusty:latest

E lo sto avviando in modalità interattiva informando sulle capacità di cui ho bisogno all'interno:

sudo -r sysadm_r docker run --cap-drop ALL --cap-add MKNOD \
  -i -t corbinu/docker-trusty bash
root@46bbb43095ec:/# ls /dev/
console  fd/      full     fuse     kcore    mqueue/  null     ptmx     pts/     random   shm/     stderr   stdin    stdout   tty      urandom  zero
root@46bbb43095ec:/# mkdir /dev/net
root@46bbb43095ec:/# mknod /dev/net/tun c 10 200
root@46bbb43095ec:/# ls -lrt /dev/net/tun
crw-r--r--. 1 root root 10, 200 Apr  6 16:52 /dev/net/tun

Al contrario di:

sudo -r sysadm_r docker run --cap-drop ALL \
  -i -t corbinu/docker-trusty bash
root@9a4cdc75a5ec:/# mkdir /dev/net
root@9a4cdc75a5ec:/# mknod /dev/net/tun c 10 200
mknod: ‘/dev/net/tun’: Operation not permitted