Greg0ry's questions

Estou tentando executar o servidor openvpn dentro do contêiner podman sem privilégios.

O Openvpn precisa ser capaz de gerenciar interfaces de rede (ou seja, criar uma interface tun, atribuir um endereço IP a ela, criá-la). No meu sistema (arch linux) dentro openvpn-server.serviceeu notei CapabilityBoundingSete isso me fez experimentar e criar meu próprio serviço que ao invés de rodar o openvpn vai rodar podman run.

Primeiro criei meu container openvpn, abaixo está o Dockerfile (usei archlinux como base por conveniência):

FROM archlinux
RUN pacman -Sy --noconfirm openvpn

Eu então construo este contêiner (sendo logado como my_unprivileged_user)

podman build \
--force-rm \
--no-cache \
--rm \
--device=/dev/net/tun \
-t openvpn .

Então eu criei my_custom_openvpn.service:

Description=OpenVPN in Podman container
After=syslog.target network-online.target
Wants=network-online.target

[Service]
User=my_unprivileged_user
Group=my_unprivileged_group
WorkingDirectory=/etc/openvpn
ExecStart=/usr/bin/podman run --rm --name openvpn -v ./server:/server --device /dev/net/tun --network "host" --cap-add CAP_IPC_LOCK,CAP_NET_ADMIN,CAP_NET_BIND_SERVICE,CAP_NET_RAW,CAP_SETGID,CAP_SETUID,CAP_SYS_CHROOT,CAP_DAC_OVERRIDE,CAP_AUDIT_WRITE localhost/openvpn:latest /usr/bin/openvpn --config /server/my_config.conf
ExecStop=/usr/bin/podman stop -t 0 openvpn
Capabilities=CAP_IPC_LOCK CAP_NET_ADMIN CAP_NET_BIND_SERVICE CAP_NET_RAW CAP_SETGID CAP_SETUID CAP_SYS_CHROOT CAP_DAC_OVERRIDE CAP_AUDIT_WRITE
DeviceAllow=/dev/null rw
DeviceAllow=/dev/net/tun rw
#ProtectSystem=true
#ProtectHome=true
RestartSec=5s
Restart=on-failure
TimeoutSec=5s

[Install]
WantedBy=multi-user.target

Então, pensei que o systemd passaria os recursos para o podman, que por sua vez os passaria para o openvpn.

Mas o openvpn falha ao começar a reclamar que não pode criar a interface tun0. Mesmo se eu mesmo criar o tun0 assim openvpn --mktun --dev tun0, recebo outro erro de que o openvpn não pode configurar esta interface tun0.

Achei que talvez precisasse fazer setcapdentro do container, então entrei podman execnele e executei abaixo:

setcap CAP_IPC_LOCK,CAP_NET_ADMIN,CAP_NET_BIND_SERVICE,CAP_NET_RAW,CAP_SETGID,CAP_SETUID,CAP_SYS_CHROOT,CAP_DAC_OVERRIDE,CAP_AUDIT_WRITE=+ep /usr/bin/openvpn

Mas isso não ajudou. Eu continuo recebendo esse erro:

Tue Jan 28 13:34:31 2020 /usr/bin/ip link set dev tun0 up mtu 1500
RTNETLINK answers: Operation not permitted

Talvez tentar usar recursos como esse não faça sentido?

Eu configurei o Apache como proxy reverso para meu serviço PostGraphile. Minha ideia é usar o Apache para fazer autenticação Kerberos e então disponibilizar o serviço PostGraphile para usuários autenticados.

Também preciso passar alguns cabeçalhos personalizados para esse serviço.

Neste momento, posso ativar a autenticação Kerberos ou passar os cabeçalhos. Assim que eu ligo a autenticação, os cabeçalhos não aparecem no lado do serviço.

Esta é a minha configuração vhost:

<VirtualHost *:80>
  <Location />
    AuthType Kerberos
    AuthName "Kerberos Authentication"
    KrbAuthRealsm MY.REALM
    KrbServiceName HTTP

    BrowseMatch Windows gssapi-no-negotiate
    KrbMethodNegotiate on

    KrbMethodK5Passwd off

    Krb5Keytab /path/to/keytab.keytab

    # require valid-user # with this line uncomented headers defined later do not appear on service side
    require all granted # with this line uncommented headers defined later do appear on service side however any user can access the service

    ProxyPass 'http://my.service:5000'
    ProxyPassReverse 'http://my.service:5000'
  </Location>
  <Proxy *>
    Order Deny,Allow
    Deny from all
    Allow from local.ip.range
  </Proxy>

  RequestHeader set MYCUSTOMHEADER foo
</VirtualHost>

Estou sem ideias.

Tenho lido a documentação do Apache, documentação auth_mode_kerb, tópicos de pilha e blogs, mas parece que estou encontrando algum bug estranho aqui ou faltando algo fundamental ...

Qualquer dica será muito bem vinda