🚀 go-pugleaf

Dnia 29.03.2023 Pawel <ppf9@USUN_TOpoczta.fm> napisał/a:
> Czy da się jakoś użyć portu 53 przez kontenery uruchamiane przez podmana?

Oczywiście, i to zapewne na kilka sposobów. CAP_NET_BIND_SERVICE,
authbind, lokalny port forwarding i pewnie jeszcze kilka.

> Druga sprawa, to jak ogarnac problem uzycia portu 53 przez systemd?
> Jak uzyje netstat, to pokazuje mi, ze port 53 jest uzyty przez systemd.

Zastanów się, _do czego_ go używa. I jeśli nie potrzebujesz tej
usługi systemd to ją wyłącz :-)

-- 
Dominik Ałaszewski (via raspbianowy slrn)
"W życiu piękne są tylko chwile…" (Ryszard Riedel)
Wyrażam wyłącznie prywatne poglądy zgodnie z Art. 54 Konstytucji RP 
Pisząc na priv zmień domenę na gmail.

W dniu 30.03.2023 o 10:06, Dominik Ałaszewski pisze:
> Dnia 29.03.2023 Pawel <ppf9@USUN_TOpoczta.fm> napisał/a:
>> Czy da się jakoś użyć portu 53 przez kontenery uruchamiane przez podmana?
> 
> Oczywiście, i to zapewne na kilka sposobów. CAP_NET_BIND_SERVICE,
> authbind, lokalny port forwarding i pewnie jeszcze kilka.
> 
Ale czy te sposoby udostępniają port z kontenera w sieci fizycznej?

Znalazłem także taką komendę
sudo setcap 'CAP_NET_BIND_SERVICE=+eip CAP_NET_RAW=+eip' ./AdGuardHome
która jak rozumiem, byłaby chyba bezpieczniejsza, ale te uprawnienia 
przyznawane są dla binarki AdGuarda, a w przypadku kontenera, to mam te 
uprawnienia nadac binarce podmana? Nadal nie ogarniam jak to jest 
dokładnie zrobione.

>> Druga sprawa, to jak ogarnac problem uzycia portu 53 przez systemd?
>> Jak uzyje netstat, to pokazuje mi, ze port 53 jest uzyty przez systemd.
> 
> Zastanów się, _do czego_ go używa. I jeśli nie potrzebujesz tej
> usługi systemd to ją wyłącz :-)
> 
Znalazłem info, że ten systemd-resolv, to pełni rolę cache dla zapytań 
DNS. Probówałem to zrobić lokalnie na laptopie, ale nie wychodziło mi, 
bo DNS nie działał. Niby ten AdGuard był uruchomiony, a ten systemd 
wyłączony, a i tak nie działało. Dopiero jak zrobiłem to na czystym 
Ubuntu 20.04 server na wirtualce , to wszystko zaczęło działać. Tylko 
mam dziwne wrażenie, że strony się wolniej otwierają jak używam tego 
Adguarda. Ciekawe, czy na fizycznym sprzęcie ten kontener będzie lepiej 
działać.

Z tego co pamiętam, to wykorzystałem Solution 2 ze strony 
https://9to5answer.com/how-to-disable-systemd-resolved-in-ubuntu, tylko 
nie usuwałem pliku /etc/resolv.conf

Dnia 30.03.2023 Pawel <ppf9@USUN_TOpoczta.fm> napisał/a:

> Ale czy te sposoby udostępniają port z kontenera w sieci fizycznej?

Podkręć jasność wypowiedzi. Podałem sposoby na to, żeby program
uruchamiany jako "nie root" mógł słuchać na "uprzywilejowanym"
(<1024) porcie. Swoją drogą, wyłączenie "uprzywilejowania"
portów wcale nie jest IMO głupim pomysłem. Jedyne wytłumaczenie
tego "zabezpieczenia" jakie udało mi się znaleźć, rzecze iż:

"This is a security feaure, in that if you connect to a service 
on one of these ports you can be fairly sure that you have the 
real thing, and not a fake which some hacker has put up for you."
https://www.w3.org/Daemon/User/Installation/PrivilegedPorts.html

Może to miało sens w sieci uczelnianej w latach osiemdziesiątych,
gdzie student podłączając się do jakiejś usługi na niskim porcie
miał "pewność",że skonfigurował ją admin serwera a nie inny
studenciak. Ale teraz, w czasach internetu? (choć oczywiście 
jeśli ktoś ma inne zdanie chętnie się zapoznam, może jestem w błędzie).

Więcej, pozostawanie przy "uprzywilejowaniu" portów może
prowadzić do problemów z bezpieczeństwem, bo prościej zawsze
uruchomić coś jako root. Zrzucanie przywilejów, czy jak to
zgrabnie po polsku ująć, też może czasem się nie udać.
Prościej jest nie używać uprawnień root do otwierania
niskich portów.

https://ar.al/2022/08/30/dear-linux-privileged-ports-must-die/

> Znalazłem także taką komendę

Zamiast "znajdować komendę" proponowałbym spróbować zrozumieć,
jak to działa :-)

> Znalazłem info, że ten systemd-resolv, to pełni rolę cache dla zapytań 
> DNS. Probówałem to zrobić lokalnie na laptopie, ale nie wychodziło mi, 
> bo DNS nie działał. Niby ten AdGuard był uruchomiony, a ten systemd 

No a ten cały AdGuard to czasem nie też DNS, podobny do pi hole? :-)
Dwie usługi nie mogą działać na tym samym porcie. 
I jak diagnozowałeś nie działanie DNS?

Jeśli chcesz zastąpić serwer DNS tym całym AdGuardem
DNS od systemd musi być wyłączony. Aczkolwiek IMHO
dla kogoś zielonego najprościej IMO użyć pihole,
tutorial "za rączkę" po polsku:

https://sekurak.pl/zabezpieczamy-domowa-siec-przed-stronami-wyludzajacymi-od-nas-dane-konfiguracja-pi-hole/

Ma to np. tę zaletę, że może sobie automagicznie aktualizować
listę przestępczych domen.

A do nauki/zabawy kontenerami wybrać inną usługę.
Choć oczywiście to tylko delikatna sugestia.

-- 
Dominik Ałaszewski (via raspbianowy slrn)
"W życiu piękne są tylko chwile…" (Ryszard Riedel)
Wyrażam wyłącznie prywatne poglądy zgodnie z Art. 54 Konstytucji RP 
Pisząc na priv zmień domenę na gmail.