Який сценарій може дозволити звичайним користувачам використовувати простори мережних імен?

У мене є архітектура, що використовує мережеві простори імен (netns). Я хотів би дозволити звичайним користувачам робити деякі операції в цих мережах.

Я міг би написати сценарій netns-exec.sh, натхненний цією публікацією , виконаний sudo, що містить:

ip netns exec $1 su $USER -c "$2"

і додати до мого файлу sudoer:

user ALL=(ALL) /path/to/netns-exec.sh

Але я вважаю це таким некрасивим, що я можу повністю мати кошмари з цього приводу. Чи є краще рішення, щоб дозволити постійним користувачам використовувати простори імен? Чи можна віднести користувачів до якихось корисних груп? Я про це шукав, але нічого не знайшов.

Рішення 1

Просто додайте групу під назвою "netns", додайте до неї всіх бажаних користувачів. Потім наділіть право власності на root: netns та надайте групі чи / exec можливості групи.

Іншими словами:

# New group netns
sudo groupadd --system netns

# Add root to "netns", not sure if needed
sudo usermod -aG netns root

# Do this for every needed user
sudo usermod -aG netns $UserName

# Change ownership to root, grant rw acces to group netns
sudo chown root:netns /path/to/netns-exec.sh
sudo chmod 633 /path/to/netns-exec.sh

Рішення 2

Це рішення простіше, ви повинні відредагувати файл sudoers, як показано в цьому прикладі .

user ALL=(ALL) /bin/ip netns

Особисто я не знаю, чи є можливість дозволити звичайним користувачам запускати команди в різних просторах мереж імен, але цей анотований сценарій оболонки може краще відповідати вашим потребам:

#!/bin/bash
# ip netns wrapper script, nns.
# Usage: nns nsname cmdline

case "${1}" in
    do)
        shift # remove "do"
        NSNAME="${1}" # remember nsname
        shift # remove nsname to get argument list for su -c
        [ -z "${NSNAME}" -o -z "${1}" ] && exit 1 # if either nsname or arglist is empty - error out
        echo ip netns exec "${NSNAME}" su "${SUDO_USER}" -c "${*}" # execute, ${*} merges separate arguments into single word for su/sh -c parsing. See with strace.
    ;;
    *)
        SCRIPTNAME="${0}" # remember script full path
        exec sudo "${SCRIPTNAME}" do "${@}" # run it through sudo with elevated privileges
    ;;
esac

Встановіть його десь /usr/binі дозвольте користувачам виконувати його.

Firejail може виконати роботу

firejail --noprofile --netns=nameOfNetSpace command

Крім того, Netns-Exec , Nsutils та Netns не потребують root