Ders 2.64: Kapsayıcılar süreçtir: ad alanları

Bir kapsayıcı küçük bir sanal makine değildir. Çekirdeğin ağın, dosya sisteminin, makine adının ve süreç listesinin kendilerine ait bir görünümünü (ad alanları) verdiği, kendi cgroup'larındaki sıradan makine süreçleridir. Bu yüzden makinedeki ss bir kapsayıcının dinlediği bir portu kaçırabilir; lsof ve ps ise süreci yine görür. Laboratuvarda bir ağ algılayıcısı Northwind'in mağaza API sunucusunda 4444 numaralı portu işaretledi. Makinenin ss'inin göremediği dinleyiciyi buluyor, nsenter ile kapsayıcının ad alanlarına giriyor, dosyalarını /proc üzerinden okuyor ve onu soruşturmacılar için donduruyorsun.

18 dk

Bu derste öğreneceklerin

Ad alanlarını ve kapsayıcıların onları nasıl kullandığını açıklamak
Ad alanlarını lsns ve /proc/PID/ns ile listelemek
nsenter ile bir sürecin ad alanlarında komut çalıştırmak
Bir kapsayıcının dosyalarını /proc/PID/root üzerinden okumak
Bir kapsayıcının cgroup'unu koruma için dondurmak

Temel terimler

Ad alanı: Bir süreç grubuna bir kaynağın kendine ait görünümünü veren çekirdek özelliği.
Ağ ad alanı: Kendine ait arayüzler, adresler, rotalar, güvenlik duvarı kuralları ve soketler.
Bağlama ad alanı: Kendine ait bağlı dosya sistemleri; böylece bir kapsayıcı imajını / olarak görür.
lsns: Ad alanlarını her birindeki süreç sayısı ve ilkinin komutuyla listeler.
nsenter: Bir programı başka bir sürecin ad alanlarında çalıştırır.
cgroup dondurucu: cgroup.freeze bir gruptaki her süreci öldürmeden durdurur.

← Zaman eşitleme ve saat dilimleri · Tüm dersler · Asıl kim yaptı: sudo boyunca kimlik izi →