HH
Size: a a a
HH
ПС
AP
AS
AS
И
M
VP
VP
chroot(8)
, если нужно изолировать сетевой стек или сделать ограничение по доступу к ресурсам системы, то обойтись unshare(1)
. Это не намного сложнее, чем использовать тот же docker
или podman
, но нужно один раз разобраться в том, из чего построены контейнеры.-cap-add
для docker
, то это оно.mount namespace
- монтирование и размонтирование ФС не будет иметь никакого эффекта на ФС самой системы.UTS namespace
- установка имени машины (hostname) или доменного имени не будет иметь никакого эффекта для основной ОС.IPC namespace
- процесс будет иметь независимые от основной ОС объекты IPC: очереди сообщений, семафоры и разделяемую память.network namespace
- процесс сможет иметь независимые от основной ОС стеки протоколов IPv4 и IPv6, таблицы маршрутизации и др.PID namespace
- процесс будет иметь отдельное представление дерева процессов.user namespace
- процесс с таким пространством имён будет иметь отдельный набор UID, GID. Например суперпользователь в этом пространстве имён не будет иметь ничего общего с суперпользователем из основной ОС.unshare
и nsenter
. Первая позволить из командной строки создавать пространства имен для отдельных процессов, а вторая подключаться к уже созданным пространствам имён.lldpd
с использованием pytest и сетевых пространств имён - https://vincent.bernat.ch/en/blog/2016-testing-pytest-linux-namespaces.AP
chroot(8)
, если нужно изолировать сетевой стек или сделать ограничение по доступу к ресурсам системы, то обойтись unshare(1)
. Это не намного сложнее, чем использовать тот же docker
или podman
, но нужно один раз разобраться в том, из чего построены контейнеры.-cap-add
для docker
, то это оно.mount namespace
- монтирование и размонтирование ФС не будет иметь никакого эффекта на ФС самой системы.UTS namespace
- установка имени машины (hostname) или доменного имени не будет иметь никакого эффекта для основной ОС.IPC namespace
- процесс будет иметь независимые от основной ОС объекты IPC: очереди сообщений, семафоры и разделяемую память.network namespace
- процесс сможет иметь независимые от основной ОС стеки протоколов IPv4 и IPv6, таблицы маршрутизации и др.PID namespace
- процесс будет иметь отдельное представление дерева процессов.user namespace
- процесс с таким пространством имён будет иметь отдельный набор UID, GID. Например суперпользователь в этом пространстве имён не будет иметь ничего общего с суперпользователем из основной ОС.unshare
и nsenter
. Первая позволить из командной строки создавать пространства имен для отдельных процессов, а вторая подключаться к уже созданным пространствам имён.lldpd
с использованием pytest и сетевых пространств имён - https://vincent.bernat.ch/en/blog/2016-testing-pytest-linux-namespaces.