एक माउंट नेमस्पेस एक लिनक्स कर्नेल फीचर है जो प्रक्रियाओं के एक समूह द्वारा देखे जाने वाले फ़ाइल प्रणाली माउंट बिंदुओं का पृथक्करण प्रदान करता है। प्रत्येक माउंट नेमस्पेस के पास अपने स्वयं के फ़ाइल प्रणाली माउंट बिंदुओं का सेट होता है, और एक नेमस्पेस में माउंट बिंदुओं में परिवर्तन अन्य नेमस्पेस को प्रभावित नहीं करते। इसका मतलब है कि विभिन्न माउंट नेमस्पेस में चलने वाली प्रक्रियाएँ फ़ाइल प्रणाली पदानुक्रम का अलग-अलग दृश्य रख सकती हैं।
माउंट नेमस्पेस विशेष रूप से कंटेनराइजेशन में उपयोगी होते हैं, जहाँ प्रत्येक कंटेनर को अन्य कंटेनरों और होस्ट सिस्टम से पृथक अपने स्वयं के फ़ाइल प्रणाली और कॉन्फ़िगरेशन होना चाहिए।
How it works:
जब एक नया माउंट नेमस्पेस बनाया जाता है, तो इसे अपने माता-पिता के नेमस्पेस से माउंट बिंदुओं की एक प्रति के साथ प्रारंभ किया जाता है। इसका मतलब है कि, निर्माण के समय, नया नेमस्पेस अपने माता-पिता के समान फ़ाइल प्रणाली का दृश्य साझा करता है। हालाँकि, नेमस्पेस के भीतर माउंट बिंदुओं में किसी भी बाद के परिवर्तन का माता-पिता या अन्य नेमस्पेस पर कोई प्रभाव नहीं पड़ेगा।
जब एक प्रक्रिया अपने नेमस्पेस के भीतर एक माउंट बिंदु को संशोधित करती है, जैसे कि फ़ाइल प्रणाली को माउंट या अनमाउंट करना, तो परिवर्तन उस नेमस्पेस के लिए स्थानीय होता है और अन्य नेमस्पेस को प्रभावित नहीं करता। यह प्रत्येक नेमस्पेस को अपनी स्वतंत्र फ़ाइल प्रणाली पदानुक्रम रखने की अनुमति देता है।
प्रक्रियाएँ setns() सिस्टम कॉल का उपयोग करके नेमस्पेस के बीच स्थानांतरित हो सकती हैं, या CLONE_NEWNS ध्वज के साथ unshare() या clone() सिस्टम कॉल का उपयोग करके नए नेमस्पेस बना सकती हैं। जब एक प्रक्रिया एक नए नेमस्पेस में जाती है या एक बनाती है, तो यह उस नेमस्पेस से जुड़े माउंट बिंदुओं का उपयोग करना शुरू कर देगी।
फ़ाइल डिस्क्रिप्टर्स और इनोड्स नेमस्पेस के बीच साझा किए जाते हैं, जिसका अर्थ है कि यदि एक नेमस्पेस में एक प्रक्रिया के पास एक फ़ाइल की ओर इशारा करने वाला एक खुला फ़ाइल डिस्क्रिप्टर है, तो यह उस फ़ाइल डिस्क्रिप्टर को दूसरे नेमस्पेस में एक प्रक्रिया को दे सकती है, और दोनों प्रक्रियाएँ उसी फ़ाइल तक पहुँचेंगी। हालाँकि, फ़ाइल का पथ दोनों नेमस्पेस में माउंट बिंदुओं में भिन्नता के कारण समान नहीं हो सकता है।
Lab:
Create different Namespaces
CLI
sudounshare-m [--mount-proc] /bin/bash
By mounting a new instance of the /proc filesystem if you use the param --mount-proc, you ensure that the new mount namespace has an सटीक और अलग दृष्टिकोण उस namespace के लिए विशिष्ट प्रक्रिया जानकारी.
त्रुटि: bash: fork: मेमोरी आवंटित नहीं कर सकता
When unshare is executed without the -f option, an error is encountered due to the way Linux handles new PID (Process ID) namespaces. The key details and the solution are outlined below:
समस्या का विवरण:
The Linux kernel allows a process to create new namespaces using the unshare system call. However, the process that initiates the creation of a new PID namespace (referred to as the "unshare" process) does not enter the new namespace; only its child processes do.
Running %unshare -p /bin/bash% starts /bin/bash in the same process as unshare. Consequently, /bin/bash and its child processes are in the original PID namespace.
The first child process of /bin/bash in the new namespace becomes PID 1. When this process exits, it triggers the cleanup of the namespace if there are no other processes, as PID 1 has the special role of adopting orphan processes. The Linux kernel will then disable PID allocation in that namespace.
परिणाम:
The exit of PID 1 in a new namespace leads to the cleaning of the PIDNS_HASH_ADDING flag. This results in the alloc_pid function failing to allocate a new PID when creating a new process, producing the "Cannot allocate memory" error.
समाधान:
The issue can be resolved by using the -f option with unshare. This option makes unshare fork a new process after creating the new PID namespace.
Executing %unshare -fp /bin/bash% ensures that the unshare command itself becomes PID 1 in the new namespace. /bin/bash and its child processes are then safely contained within this new namespace, preventing the premature exit of PID 1 and allowing normal PID allocation.
By ensuring that unshare runs with the -f flag, the new PID namespace is correctly maintained, allowing /bin/bash and its sub-processes to operate without encountering the memory allocation error.
sudofind/proc-maxdepth3-typel-namemnt-execreadlink{} \; 2>/dev/null|sort-u# Find the processes with an specific namespacesudofind/proc-maxdepth3-typel-namemnt-execls-l{} \; 2>/dev/null|grep<ns-number>
findmnt
एक माउंट नेमस्पेस के अंदर प्रवेश करें
nsenter-mTARGET_PID--pid/bin/bash
आप केवल दूसरे प्रक्रिया नामस्थान में प्रवेश कर सकते हैं यदि आप रूट हैं। और आप दूसरे नामस्थान में प्रवेश नहीं कर सकतेबिना एक वर्णनकर्ता जो इसे इंगित करता है (जैसे /proc/self/ns/mnt)।
क्योंकि नए माउंट केवल नामस्थान के भीतर ही सुलभ होते हैं, यह संभव है कि एक नामस्थान में संवेदनशील जानकारी हो जो केवल उसी से सुलभ हो।
कुछ माउंट करें
# Generate new mount nsunshare-m/bin/bashmkdir/tmp/mount_ns_examplemount-ttmpfstmpfs/tmp/mount_ns_examplemount|greptmpfs# "tmpfs on /tmp/mount_ns_example"echotest>/tmp/mount_ns_example/testls/tmp/mount_ns_example/test# Exists# From the hostmount|greptmpfs# Cannot see "tmpfs on /tmp/mount_ns_example"ls/tmp/mount_ns_example/test# Doesn't exist
# findmnt # List existing mounts
TARGET SOURCE FSTYPE OPTIONS
/ /dev/mapper/web05--vg-root
# unshare --mount # run a shell in a new mount namespace
# mount --bind /usr/bin/ /mnt/
# ls /mnt/cp
/mnt/cp
# exit # exit the shell, and hence the mount namespace
# ls /mnt/cp
ls: cannot access '/mnt/cp': No such file or directory
## Notice there's different files in /tmp
# ls /tmp
revshell.elf
# ls /mnt/tmp
krb5cc_75401103_X5yEyy
systemd-private-3d87c249e8a84451994ad692609cd4b6-apache2.service-77w9dT
systemd-private-3d87c249e8a84451994ad692609cd4b6-systemd-resolved.service-RnMUhT
systemd-private-3d87c249e8a84451994ad692609cd4b6-systemd-timesyncd.service-FAnDql
vmware-root_662-2689143848
