네임스페이스 격리

# 현재 프로세스의 pid echo $$ # 현재 프로세스의 네임스페이스 조회 ls -al /proc/$$/ns # 심볼릭 링크 조회 readlink /proc/$$/ns/<type> # https://man7.org/linux/man-pages/man8/lsns.8.html # pid와 타입으로 네임스페이스 목록 조회 lsns -t <type> -p <pid>

# 마운트 네임스페이스 격리 unshare -m # 컨테이너 환경의 네임스페이스 확인 lsns -p $$ # 격리 환경 종료 exit # 호스트 환경의 네임스페이스 확인 lsns -p $$

# uts 네임스페이스 격리 unshare -u # 컨테이너 환경의 네임스페이스 확인 lsns -p $$ # 격리 환경 종료 exit # 호스트 환경의 네임스페이스 확인 lsns -p $$

# ipc 네임스페이스 격리 unshare -i # 컨테이너 환경의 네임스페이스 확인 lsns -p $$ # 격리 환경 종료 exit # 호스트 환경의 네임스페이스 확인 lsns -p $$

# pid 격리 # -f는 fork # -p는 pid # --mount-proc은 proc 파일 시스템을 마운트 unshare -fp --mount-proc /bin/sh # 컨테이너 내외부에서 확인 ps -ef | grep /bin/sh # 컨테이너 내부에서의 네임스페이스 확인 lsns -t pid -p 1 # 호스트에서의 네임스페이스 확인 lsns -t pid -p <container-pid> # 호스트에서 container를 죽이면, 격리 공간이 사라짐 kill -9 <container-pid>

# veth0, veth1을 양 끝으로 갖는 veth 생성 ip link add veth0 type veth peer name veth1 # ip link로 생성된 veth 인터페이스를 확인 (veth1@veth0 / veth0@veth1) ip link # RED, BLUE 네임스페이스 생성 ip netns add RED ip netns add BLUE # RED-veth0 / BLUE-veth1 연결 ip link set veth0 netns RED ip link set veth1 netns BLUE # RED, BLUE 네임스페이스의 장치 활성화 ip netns exec RED ip link set veth0 up ip netns exec BLUE ip link set veth1 up # RED, BLUE 네임스페이스의 IP 주소 추가 ip netns exec RED ip addr add 11.11.11.2/24 dev veth0 ip netns exec BLUE ip addr add 11.11.11.3/24 dev veth1

tree /var/run/netns

# 각각의 터미널에서 네트워크 네임스페이스 접속 nsenter --net=/var/run/netns/<namespace> # 네트워크 inode 값 상이함을 확인 lsns -t net -p $$ # 각각의 IP 주소 및 인터페이스 확인 ip a # 라우팅 테이블을 확인하여 각자의 IP 주소로부터 디폴트로 나가는 것을 확인 ip route # 다른 네임스페이스로 핑을 확인 ping <other-namespace-ip-address>

# 네임스페이스 삭제 ip netns del RED ip netns del BLUE # netns 삭제 확인 tree /var/run/netns # 링크 삭제 확인 (네임스페이스 삭제 시 자동 정리) ip link del veth0

# for docker) 실행 중인 프로세스 목록에서 /bin/sh가 존재하지 않음 확인 ps -ef | grep /bin/sh # for docker) ubuntu 사용자로 ubuntu 컨테이너 생성 및 접속 docker run -it ubuntu /bin/sh # for docker) 컨테이너에서 사용자 확인, root id # for ubuntu) 호스트에서 사용자 확인, ubuntu id # for ubuntu) 실행 중인 프로세스 목록에서 호스트와 컨테이너 각각의 /bin/sh 존재 확인 # 같은 프로세스지만 격리되어 2개로 표시 # 각 프로세스의 사용자가 다른데 컨테이너에서 실행된 root가 시스템의 루트인지 확인 필요 ps -ef | grep /bin/sh # for docker) 네임스페이스의 심볼릭 링크를 통해 네임스페이스 inode 확인 readlink /proc/$$/ns/user # for ubuntu) 네임스페이스의 심볼릭 링크를 통해 네임스페이스 inode 확인 readlink /proc/$$/ns/user

# for unshare) 실행 중인 프로세스 목록에서 /bin/sh가 존재하지 않음 확인 ps -ef | grep /bin/sh # for unshare) 사용자 격리 # --map-root-user는 --map-user=0 --map-group=0와 동일 unshare -U --map-root-user /bin/sh # for unshare) 컨테이너에서 사용자 확인, root id # for ubuntu) 호스트에서 사용자 확인, ubuntu id # for ubuntu) 실행 중인 프로세스 목록에서 /bin/sh 존재 확인 # docker와 달리 pid 격리되지 않아 1개로 보임 ps -ef | grep /bin/sh # for unshare) 네임스페이스의 심볼릭 링크를 통해 네임스페이스 inode 확인 readlink /proc/$$/ns/user # for ubuntu) 네임스페이스의 심볼릭 링크를 통해 네임스페이스 inode 확인 readlink /proc/$$/ns/user

# 루트 사용자 전환 sudo -i # cgroup 관련 도구와 스트레스 도구 설치 apt install -y cgroup-tools stress

# https://linux.die.net/man/1/cgcreate # https://docs.redhat.com/ko/documentation/red_hat_enterprise_linux/6/html/resource_management_guide/sec-creating_cgroups#sec-Creating_Cgroups # cgcreate -a <owner> -g <subsystem>:<path> cgcreate -a root -g cpu:jseo # 컨트롤 그룹 조회 tree /sys/fs/cgroup/jseo

# https://linux.die.net/man/1/cgset # cpu 사용률 42% 제한 cgset -r cpu.max=42000 jseo # https://linux.die.net/man/1/cgexec # 컨트롤 그룩으로 stress 실행 cgexec -g cpu:jseo stress -c 1 # 다른 터미널에서 cpu 부하 확인 htop