DMZ na Proxmoxe

[Ħαℓ₸℮ℵ ␏⫢ ⦚]

zkratka netns mi docvakla ihned, ale ne co jsem se chtěl zeptat,je jestli v jednom pc  běžícím pičítači/OS je možné mít víc sad iptables pravidel a jak spolu koexistují . je to stejnym mechhanismem jako netNS? ... Našeptávate dřív než seceptàm

Netns si představuju že je jako argument předám  příkazu  ~lxc-start nebo /init , /systemd a od něj všechny podprocesy dědí.(ostatně tak to vidim v htop, který hraje všemi barvami než kdy jindy dřív nebo na "plain single user", "singleCT" distribuci) Nebo jenom jednoràzově pro nějaký mnou vybraný proces typu wget,quagga,tayga,bird,knotD.

[Reklama]

[František Ryšánek]

Ujasnění pojmu "sada iptables pravidel":
netfilter2/IPtables má tyto dimenze, navzájem cca kolmé:
1) chainy: zabudované PREROUTING / FORWARD / POSTROUTING / INPUT / OUTPUT
2) tables: defaultní zvaná tuším "filter", dále "nat" a ještě navrch "mangle"
3) a volitelně ještě "policy routing tables", které se věší na "značkování paketů": target "iptables -j MARK --set-mark <číslo>", a následně navazuje "ip rule add fwmark <číslo> table <moje.tabule>" do které se pak naházejí nějaké routy pomocí "ip route add ... table <moje.tabule>"  . Tenhle mechanismus se dá použít např. na source routing nebo obecně "výhybku do jedné z několika alternativních routovacích tabulek".

Toto všechno se odehrává v rámci jednoho network namespace.

Když si vytvoříte více network namespaces, patrně toto všechno můžete mít N-krát :-) v nezávislých instancích.

Jestli se namespace dědí na potomky procesu, který jste do konkrétního namespace explicitně poslal, to je dobrá otázka.
Nemám čas to teď zkoumat, ale navrhuji jednoduchý test: zkuste něco pustit uvnitř network namespace napřed explicitně, a následně to zabalte do shellového skriptu, a dejte network namespace tomu obalu.
Viz též: jak vypsat procesy, které žijí v konkrétním namespace
Pokud správně chápu tuto zmínku, tak se network namespace nedědí? V tom případě by mě zajímalo, jak to svému dítěti předá "ip netns exec" :-)

Téma šířeji souvisí s Control Groups - těch různých izolovaných namespaces je více druhů, network namespace je pouze jedním z nich.