nechapu proc zbytecne instalovat "cely" system, kdyz >1/2 veci je zbytecna (man, info, share, spousty binarek...) nebylo by lepsi jit cestou nejake minidistribuce (http://neon1.net/misc/minibsd.html)?
Zajimalo by me, kdy se to objevi v linuxu ... grsecurity sice obsahuje nektere podobne vlastnosti, ale likviduje tim obycejny chroot misto vytvoreni noveho syscallu.
Ano, to vypada na rozumny pristup - sice mi chvili trvalo nez jsem to z toho patche vykoukal, ale zda se, ze proces se jako v jailu nastavuje specialne pres /proc a ne automaticky pri kazdem chrootu.
a tu je cely ten problem. dovod, preco je predpisane v mane, ze sa ma pustat /bin/sh /etc/rc je ten, ze takto isto sa pusta jail, ak je definovany v /etc/rc.conf.
pokial nenechame prebehnut cely /etc/rc, ale len prislusny daemon (povedzme jail /testjail testjail 10.0.0.4 /usr/local/sbin/apachectl startssl), cely jail sa nam redukuje na binarky a liby potrebne k spusteniu apaca.
zastavenie jailu potom realizujeme prostym jexec <jail_id> /usr/local/bin/apachectl stop.
no, neviem ako v 4.x, ale v 5.x je minimalne jexec a jls v base. a s prichodom 5.3 (ktora ma mimochodom presne tie vychytavky ohladne jailov, co mi chybali) asi prestava mat zmysel pouzivat 4.x jakozto STABLE.
ČLÁNKY DO MAILU