Podman - użycie portu 53

[Pawel]

Czy da się jakoś użyć portu 53 przez kontenery uruchamiane przez podmana?
Znalazlem sugestie, zeby uzyc
sudo sysctl net.ipv4.ip_unprivileged_port_start=0
ale z tego co zrozumialem, to umozliwia uzycie portow uprzywilejowanych
przez wszystkie aplikacje i wszystkich uzytkownikow, co jest kiepskim
rozwiazaniem.

Druga sprawa, to jak ogarnac problem uzycia portu 53 przez systemd?
Jak uzyje netstat, to pokazuje mi, ze port 53 jest uzyty przez systemd.

[Dominik Ałaszewski]

Post by Pawel
Czy da się jakoś użyć portu 53 przez kontenery uruchamiane przez podmana?

Oczywiście, i to zapewne na kilka sposobów. CAP_NET_BIND_SERVICE,
authbind, lokalny port forwarding i pewnie jeszcze kilka.

Post by Pawel
Druga sprawa, to jak ogarnac problem uzycia portu 53 przez systemd?
Jak uzyje netstat, to pokazuje mi, ze port 53 jest uzyty przez systemd.

Zastanów się, _do czego_ go używa. I jeśli nie potrzebujesz tej
usługi systemd to ją wyłącz :-)

[Pawel]

Post by Dominik Ałaszewski

Post by Pawel
Czy da się jakoś użyć portu 53 przez kontenery uruchamiane przez podmana?

Oczywiście, i to zapewne na kilka sposobów. CAP_NET_BIND_SERVICE,
authbind, lokalny port forwarding i pewnie jeszcze kilka.

Ale czy te sposoby udostępniają port z kontenera w sieci fizycznej?

Znalazłem także taką komendę
sudo setcap 'CAP_NET_BIND_SERVICE=+eip CAP_NET_RAW=+eip' ./AdGuardHome
która jak rozumiem, byłaby chyba bezpieczniejsza, ale te uprawnienia
przyznawane są dla binarki AdGuarda, a w przypadku kontenera, to mam te
uprawnienia nadac binarce podmana? Nadal nie ogarniam jak to jest
dokładnie zrobione.

Post by Dominik Ałaszewski

Post by Pawel
Druga sprawa, to jak ogarnac problem uzycia portu 53 przez systemd?
Jak uzyje netstat, to pokazuje mi, ze port 53 jest uzyty przez systemd.

Zastanów się, _do czego_ go używa. I jeśli nie potrzebujesz tej
usługi systemd to ją wyłącz :-)

Znalazłem info, że ten systemd-resolv, to pełni rolę cache dla zapytań
DNS. Probówałem to zrobić lokalnie na laptopie, ale nie wychodziło mi,
bo DNS nie działał. Niby ten AdGuard był uruchomiony, a ten systemd
wyłączony, a i tak nie działało. Dopiero jak zrobiłem to na czystym
Ubuntu 20.04 server na wirtualce , to wszystko zaczęło działać. Tylko
mam dziwne wrażenie, że strony się wolniej otwierają jak używam tego
Adguarda. Ciekawe, czy na fizycznym sprzęcie ten kontener będzie lepiej
działać.

Z tego co pamiętam, to wykorzystałem Solution 2 ze strony
https://9to5answer.com/how-to-disable-systemd-resolved-in-ubuntu, tylko
nie usuwałem pliku /etc/resolv.conf

[Dominik Ałaszewski]

Post by Pawel
Ale czy te sposoby udostępniają port z kontenera w sieci fizycznej?

Podkręć jasność wypowiedzi. Podałem sposoby na to, żeby program
uruchamiany jako "nie root" mógł słuchać na "uprzywilejowanym"
(<1024) porcie. Swoją drogą, wyłączenie "uprzywilejowania"
portów wcale nie jest IMO głupim pomysłem. Jedyne wytłumaczenie
tego "zabezpieczenia" jakie udało mi się znaleźć, rzecze iż:

"This is a security feaure, in that if you connect to a service
on one of these ports you can be fairly sure that you have the
real thing, and not a fake which some hacker has put up for you."
https://www.w3.org/Daemon/User/Installation/PrivilegedPorts.html

Może to miało sens w sieci uczelnianej w latach osiemdziesiątych,
gdzie student podłączając się do jakiejś usługi na niskim porcie
miał "pewność",że skonfigurował ją admin serwera a nie inny
studenciak. Ale teraz, w czasach internetu? (choć oczywiście
jeśli ktoś ma inne zdanie chętnie się zapoznam, może jestem w błędzie).

Więcej, pozostawanie przy "uprzywilejowaniu" portów może
prowadzić do problemów z bezpieczeństwem, bo prościej zawsze
uruchomić coś jako root. Zrzucanie przywilejów, czy jak to
zgrabnie po polsku ująć, też może czasem się nie udać.
Prościej jest nie używać uprawnień root do otwierania
niskich portów.

https://ar.al/2022/08/30/dear-linux-privileged-ports-must-die/

Post by Pawel
Znalazłem także taką komendę

Zamiast "znajdować komendę" proponowałbym spróbować zrozumieć,
jak to działa :-)

Post by Pawel
Znalazłem info, że ten systemd-resolv, to pełni rolę cache dla zapytań
DNS. Probówałem to zrobić lokalnie na laptopie, ale nie wychodziło mi,
bo DNS nie działał. Niby ten AdGuard był uruchomiony, a ten systemd

No a ten cały AdGuard to czasem nie też DNS, podobny do pi hole? :-)
Dwie usługi nie mogą działać na tym samym porcie.
I jak diagnozowałeś nie działanie DNS?

Jeśli chcesz zastąpić serwer DNS tym całym AdGuardem
DNS od systemd musi być wyłączony. Aczkolwiek IMHO
dla kogoś zielonego najprościej IMO użyć pihole,
tutorial "za rączkę" po polsku:

https://sekurak.pl/zabezpieczamy-domowa-siec-przed-stronami-wyludzajacymi-od-nas-dane-konfiguracja-pi-hole/

Ma to np. tę zaletę, że może sobie automagicznie aktualizować
listę przestępczych domen.

A do nauki/zabawy kontenerami wybrać inną usługę.
Choć oczywiście to tylko delikatna sugestia.