Alexander
Да
hostmit
я юзаю. в купе с WSL + zsh - комфортно
hostmit
а что с маунтом разбираться? его нет
hostmit
Тулбокс под виндой - виртуалка в hyper-v, к ней прокинут докер клиент.
Eugene
Всем привет. Нужна помощь разобраться с сетью. В докере через docker-compose подняты Drone + Harbor и Drone не может из контейнера достучаться до собственного сервака снаружи контейнера. Пробовал прокинуть статический адрес внутри, но он все равно пытается постучаться на исходный.
The push refers to repository [harbor.domain.example/dev-images/test-build]
Get https://harbor.domain.example/v2/: dial tcp 37.46.134.103:443: connect: no route to host
Anton
Anton, [08.01.20 16:31]
docker exec -t gitlab gitlab-backup create
OCI runtime exec failed: exec failed: container_linux.go:346: starting container process caused "exec: \"gitlab-backup\": executable file not found in $PATH": unknown16:25
Anton, [08.01.20 16:31]
что не так?
Anton, [08.01.20 16:31]
bash добавить в конце команды?
George
Пацаны мне не верят, но на центос такое сплошь и рядом
Eugene
@gecube dcoker0 открыта сеть
George
Anton, [08.01.20 16:31]
docker exec -t gitlab gitlab-backup create
OCI runtime exec failed: exec failed: container_linux.go:346: starting container process caused "exec: \"gitlab-backup\": executable file not found in $PATH": unknown16:25
Anton, [08.01.20 16:31]
что не так?
Anton, [08.01.20 16:31]
bash добавить в конце команды?
Попробуй действительно зайти в терминал
docker exec -it ... bash
И оттуда вызвать гитлаб бекап. Дальше будем думать
Eugene
я не слишком хорошо в этом разбираюсь, если точней напишите, я может смогу ответить, что я делал.
Eugene
Вот такую настройку делал с нуля
firewall-cmd --permanent --zone=trusted --add-interface=docker0
firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 3 -i docker0 -j ACCEPT
firewall-cmd --reload
systemctl restart docker
George
Ок. Предлагаю попробовать так - вообще отключить файрволл, перезапустить докер. Проверить - заработало или нет
Eugene
сейчас попробую
George
Фишка в том, что я так понял, что контейнер в контейнер не по docker0, а по внешнему айпи проваливается
И там магия с файрволлом и его цепочками начинается
Eugene
да, drone внутри еще кажись создает контейнеры, я точно понять не могу и вот тут мои полномочия все, я понять не могу как действовать.
Eugene
Сейчас сделаю, то что предложили, посмотрим как поведет себя. Я просто никогда не администрировал такое, для меня первый опыт вообще.
Eugene
@gecube Прогресс, есть! Увидел сервак, но все равно наверное с отключенным сидеть не гуд
Eugene
?
Eugene
Буду копать в этом направлении. Спс!
Anton
George
@gecube Прогресс, есть! Увидел сервак, но все равно наверное с отключенным сидеть не гуд
Да, не гуд, но ясно что делать - надо в цепочке input создать правило на allow доступ к какому там... 443, кажется, порту
Anonymous
Ребят
Всем привет
Кто знает гайды как работает селениум в докере?))
Anonymous
Welcom!
Alexander
Подскажите, могу ли я безопасно запускать пользовательские скрипты в докере и быть уверенным, что они не выберутся за пределы контейнера? Докер так работает?
Alexander
php, js, python скрипты например. Лезут куда угодно. Докер позволяет запереть выполнение внутри контейнера, чтобы в хостовую ось ничего не вылезло?
Anonymous
@agent_gosdepa, если ты собрал контейнер и запихал вовнутрь скрипты, то за пределы контейнера они не вылезут.
Anonymous
@agent_gosdepa, в случае, если ты скрипты монтируешь к контейнеру, то трудно сказать, вероятно они полезут куда не следует.
Alexander
Ок спасибо
Alexander
если будешь тестировать второй вариант, дай фидбек пж, самому стало интересно.
У меня задача - позволить пользователям сайта запускать собственные скрипты на моём серваке. Меня интересует безопасность, создание неких песочниц. Мне подсказали, что докер может помочь. Поэтому зашёл сюда поинтересоваться.
....
@agent_gosdepa, в случае, если ты скрипты монтируешь к контейнеру, то трудно сказать, вероятно они полезут куда не следует.
Не должны
Скрипт монтируется внутрь корня контейнера и пляшет уже оттуда
Anonymous
У меня задача - позволить пользователям сайта запускать собственные скрипты на моём серваке. Меня интересует безопасность, создание неких песочниц. Мне подсказали, что докер может помочь. Поэтому зашёл сюда поинтересоваться.
Ну в принципе логично, для каждой открытой сессии подымается контейнер с каким-то предустановленным ПО. После завершения сессии контейнер умирает. Тогда скрипты будут только в окружении только одного контейнера и безопасности ничего не грозит.
George
George
в принципе, т.к. он ядро шарит с хостовой системой - есть уязвимости, которые позволяют сбежать из контейнера
George
но это не на уровне пыхыпы - питона, а ниже (хотя на них заэксплойтить тоже будет возможно)
Alexander
Мм ок спасибо за инфу 🤔
George
ну, понятно, что такой эксплойт заюзать - нужна квалификация )
Anonymous
Контейнеризация изолирована на уровне cgroups, единственное что может поставить под вопрос твою безопасность - не обновление секьюр пакетов.
Alexander
👍
Anonymous
вернее не сам докер, а контейнеризация
Anonymous
или же Виртуализация на уровне ОС
George
там помимо cgroups+namespaces есть сам докер с его ... особенностями
George
ну, по мне - просто cgroups + namespaces более железобетонные, чем докер )
George
меньше деталей - надежнее система
Anonymous
Добрый день, кто может поделиться советом, каким образом можно решить траблу:
ERROR: for db-connector Cannot start service db-connector: OCI runtime create failed: container with id exists: f02152faaa001a52a5f54e652a8e860a05af7eda0e08f5d1d1fe7ff74c43169d: unknown
пишу
docker rm f02152faaa001a52a5f54e652a8e860a05af7eda0e08f5d1d1fe7ff74c43169d
Error: No such container: f02152faaa001a52a5f54e652a8e860a05af7eda0e08f5d1d1fe7ff74c43169d:
hostmit
docker swarm?
hostmit
ну и что говорит docker ps -a?
Anonymous
1223def04b13
gitlab.private.com:4567/project/db-connector-v2:0.1.0
"./db-connector-v2"
About a minute ago
Up About a minute
0.0.0.0:3005->3005/tcp
db-connector-v2_db-connector_1
hostmit
ну этот тебе мешает? docker rm -f 1223def04b13?
Anonymous
не мешает, просто интересно, почему так)
docker говорит, что контейнер уже есть, а при попытке удаления говорит no such ...
hostmit
Товарищи, у меня 50 контейнеров, все юзают один имедж. Но почему для каждого создан полный леер данных?
http://h.pi.hostmit.net/i/MobaXterm_wd1Fj2xFYR.png
hostmit
причем докер PS показывает все правильно. virtual 247MB, данных 6Б
hostmit
Похоже что-то связано с С++ и inotify
George
hostmit
Они не должны шарить один RO Леер имеджа?
George
короче
George
смотри
George
у тебя для каждого контейнера создается СВОЙ маунт
George
но базовый имидж - да, RO, они все шарят
George
а теперь фокус
George
смотри
George
положим у тебя там пихтон внутри
George
он компилируется в pyc
George
внутри КАЖДОГО контейнера
George
и поэтому у тебя файловая система будет у каждого контейнера со своей версией этих скомпиленных файлов, без дедупликации
hostmit
Там должны быть файлы отличные между контейнерами нет? Если я компилю питон внутри, то этот новый файл не должен вытягиваться на новый Леер?
George
все зависит от того - идет ли запись поверх RO слоя
hostmit
И попасть в папку diff overlay2
George
пока на твой вопрос ответить низзя - дай полную структуру каталогов
George
и еще - у тебя же выхлоп mount все показывает 😱
hostmit
да, идет. там еще и socket файлы внутри файловой системы :(