virli/slides/slides.pdfpc

[file]
slides.pdf
[duration]
180
[notes]
### 1
Bjr! Aujd nous allons parler virli. C'est un domaine assez ancien, comme nous le verrons un peu plus tard, mais depuis 2 ans, tout le monde essaye de faire tout et surtout n'importe quoi avec. J'imagine que vous avez déjà entendu parler des containers, de jails, de LXC ou de Docker ; mais c'est pas forcément toujours clair. On va débrouisailler tout ça ensemble et voir comment ça marche, pourquoi c'est bien, comment c'est sécurisé. Je vais m'appuyer sur des notions que vous ne connaissez peut-être pas ou que vous avez oublié. Si c'est le cas, n'hésitez surtout pas à me couper la parole et à me poser vos questions.
### 2
Commençons par parler de quelqu'un d'important...
à qui l'on doit l'architecture VN // Harvard... ~1950
Pourquoi aurait-on besoin de gaspiller du temps de calcul scientifique si précieux pour générer du code binaire ? => bien sûr ça fait sourire, lang haut niveau, mais on peut croire parfois des évolutions sont inutiles.
- 1 machine = 1 programme => perte de temps de calcul pendant les I/O
=> Ordonnanceur rudimentaires : partager le temps de calcul entre les bloquages d'I/O
=> pb: ex : partage de l'espace d'adressage (=> MMU)
### 3
Interface entre le système et le matériel.
- Gestion de la concurrence d'accès au matériel
- Répartition du temps CPU entre les tâches
- Gestion du contexte des tâches (mémoire, registres, context switch, ...)
- Gestion des erreurs (division par 0)
- Diverses couches d'abstraction :
  - matériel : clavier/souris/...
  - FS
Mais pourquoi ça prend autant de temps ?
Windows promet un boot instanné depuis 10 ans...
### 4
- bootloader: charge le noyau en mem et jump
- détection du matériel
- mise en place des interfaces : réseau, FS, nom de machine, utilisateurs, droits, permissions, ...
LIEN si intéressé
- montage de la racine
- /sbin/init

Sans tous les services autour du noyau, on booterait en un rien de temps. Mais c'est cool aussi d'avoir une UI, un pare-feu, etc.
### 5
Le noyau seul ne fait rien, il lui faut des programmes et des données.

Tous les programmes n'ont pas besoin de toutes les données.
Mais certains programmes échangent des données entre-eux (IPC, socket, ...)
Et s'il y a une vulnérabilité ?
pourquoi partager les données de services qui ne communiquent pas entre eux ?
### 6
- sécu : droits root, exploit, ...
- limitation quantité de RAM, BP réseau
- DOS locaux => machine à genoux
- allocation du temps de calcul par groupe (1 serveur peut avoir plusieurs process qui sont schedulés indépendamment = triche !)
- plusieurs serveur web/ssh
### 7
DEMO chroot
- complexe à mettre en œuvre
on peut pas avoir 2 serveurs web/ssh
- faible sécurité (grsec) + DEMO escape
- si un process tombe, on peut lui voler son port et hop
- arbre de process partagé
- pas de limitation des ressources
- coût : maj pas simples, monitoring peu précis (limitation des ports)
=> ok pour de la défense en profondeur
Exemple : ING1 exams machine
### 8
- accès concurent au matos : périphériques émulés
- VT-x/AMD-v
- plusieurs serveurs sur le même port
- limitation des ressources
- on peut lancer différents OS/version
- similaire dupliqué : autant de noyaux lancés que de services, FS non partagés, MAJ
### 9
- partager le même noyau, avec KVM : tout existe déjà : ordonanceur
- les FS identiques (on met à jour le système de base une seule)

* 1998 : Jails BSD
* 2005 : Zones Solaris
* 2005 : patch Linux OpenVZ
* 2008 : début du projet Linux Container (LXC)
* 2015 : Windows 10

On appel ça des conteneurs !
PAUSE ?
### 10
- matos : non, le noyau l'abstrait déjà (ex webcam/group video) mais limitation des ressources
- processus, interfaces réseau et liste de partitions montées pour éviter l'espionnage et l'accès à des données sensibles
- réseau : iface, table de routage, ports, etc.
- users, groups, nom de machine et IPC : pas de raison qu'ils soient partagés
- horloge : non, la timezone est un fichier
DEMO strace date => /etc/timezone
- logs kernel prévu dans une prochaine version
### 11
Que doit-on implémenter concrétement ?
- KVM fourni déjà plein de trucs
- ordonanceur VM/process => groupe
+ statistiques diverses pour limitation
+ mécanisme pour avoir plusieurs structures similaires (point de montage, user, iface réseau)
+ problématique de root : si on peut tout faire, on peut se balader partout...
### 12
- isoler plein de choses : Namespace
DEMO make menuconfig
DEMO namespace UTS, PID, (user?)
- limiter les ressources : cgroups
DEMO make menuconfig
DEMO limitation CPU
DEMO limitation mémoire
DEMO statistiques réseau
- capabilities : ~40 : CAP_KILL, CAP_SYS_TIME
DEMO capabilities
### 13
- recopie de la structure du parent (UTS, mount)
- création d'une nouvelle struct (network, PID, users, IPC)
- réseau : 1 iface = 1 ns
- processus : premier lancé PID 1 (2 PID : in/out NS)
- chaque process est lié à des namespace /proc/PID/ns/*
DEMO sudo ls -l /proc/1/ns/*
+ ouvrir ces fichiers : récupérer fd sur NS
### 14
utilise 3 syscalls pour gérer les NS :
- clone(2): nouveau process fils avec création de nouveau namespace en fonction des flags
- unshare(2): nouveau namespace pour le process courant
- setns(2): rejoindre un namespace existant
+ second argument pour filtrer le type de namespace, 0 accepte tout
### 15
- sous-arbre de la racine
### 16
- pivot_root: initramfs, racine d'une partition, pas d'autre FS monté sur celui qui va disparaître
- UnionFS: peut avoir plusieurs couches
+ cache les fichiers d'une même couche
+ récemment intégré dans le kernel 3.18 (décembre)
- Thin provisioning: allocation dynamique de l'espace disque
### 18
- Réseau : pas évident :
* 1 carte réseau = 1 seule IP
* promiscuité
* routage
### 19
- iface physique : Ok
- MAC-VLAN : chaque machine a une MAC différente (promiscuité filtrée par le noyau)
2 modes : VEPA : tous les paquets sortent, le switch doit les renvoyer vers la même machine
Bridge : le noyau analyse les paquets sortant avant transmission
- veth : on partage une interface virtuelle entre l'hôte et l'invité et on relie le tout à un bridge.
DEMO network namespace
### 20
LXC stable depuis le 20 février 2014
Capabilities moyennement propres (CAP_SYS_ADMIN lol)
DEMO LXC VPS: lxc-start -n virli-vps

Gagné : bootloader + noyau...
Doit-on tout virtualiser ? avoir toutes les bibliothèques et fichiers de base (init, syslog, cron, sshd, ...) juste pour un programme ?
!!! QUESTIONS + PAUSE !!!
### 21
- embarque le strict minimum
- lance le strict minimum : pas d'init, pas de cron, pas de ssh, juste l'appli
DEMO lxc busybox httpd : lxc-start -n virli-httpd
- ldd apache, bon c'est encore pas super pratique
=> image minimaliste (juste gestion. de paquet) puis install
=> mais on lance que le prog, pas init et tout
#### 22
- dépôt d'images
- fichiers de recette (Dockerfile)
DEMO Dockerfile nginx
- rajout PHP-FPM?
=> classique, on ajoute PHP-FPM dans le conteneur
=> soit on le place dans un conteneur différent
#### 23
- Partage d'un volume de données
- Liaison entre conteneur
=> On orchestre tout ça avec Docker compose
Hyper pratique en dev, comme en prod !
#### 24
noMAJ: cela casserait le principe de conteneur identique partout où on le crée
=> préférer remonter au mainteneur
Couches propre pour contenir le poids des images
DataOnlyCntr: MAJ du soft sans toucher aux données
Config: seul moyen de passer des args
- généralement par script shell
- penser à faire des applis qui comprennent les SIGTERM, ...
DEMO Dockerfile FIC
syslog: beurk
MySQL/DB/... contient déjà des mécanismes d'isolation, il ne faut pas avoir un serveur par service/serveur, préférer une solution globale.