☰

什么代码可以防止挂载命名空间循环？在涉及挂载传播的更复杂的情况下

tag-icon • tag-icon mount linux-kernel namespace
什么代码可以防止挂载命名空间循环？在涉及挂载传播的更复杂的情况下

背景资料

private假设 /tmp按照内核默认值（但不是 systemd 默认值）通过传播安装，并作为单独的文件系统。如有必要，您可以通过在unshare -m和/或使用内运行命令来确保这一点mount --bind /tmp /tmp。

# findmnt -n -o propagation /tmp
private

请注意，以下命令会返回错误：

# touch /tmp/a
# mount --bind /proc/self/ns/mnt /tmp/a
mount: /tmp/a: wrong fs type, bad option, bad superblock on /proc/self/ns/mnt, missing codepage or helper program, or other error.

这是因为内核代码（请参阅下面的摘录）阻止了简单的安装命名空间循环。代码注释解释了为什么不允许这样做。挂载命名空间的生命周期是通过简单的引用计数来跟踪的。如果您有一个循环，其中挂载命名空间 A 和 B 都引用另一个，那么 A 和 B 将始终具有至少一个引用，并且它们将绝不被释放。分配的内存将会丢失，直到您重新启动整个系统。

为了进行比较，内核允许以下情况，这不是循环：

# unshare -m
# echo $$
8456
# kill -STOP $$
[1]+  Stopped                 unshare -m

# touch /tmp/a
# mount --bind /proc/8456/ns/mnt /tmp/a
#
# umount /tmp/a  # now clean up
# kill %1; echo
#

问题

内核代码在哪里区分以下两种情况？

如果我尝试使用安装传播创建循环，则会失败：

# mount --make-shared /tmp
# unshare -m --propagation shared
# echo $$
8456
# kill -STOP $$
[1]+  Stopped                 unshare -m

# mount --bind /proc/8456/ns/mnt /tmp/a
mount: /tmp/a: wrong fs type, bad option, bad superblock on /proc/9061/ns/mnt, missing codepage or helper program, or other error.

但是如果我删除挂载传播，则不会创建循环，并且它会成功：

# unshare -m --propagation private
# echo $$
8456
# kill -STOP $$
[1]+  Stopped                 unshare -m

# mount --bind /proc/8456/ns/mnt /tmp/a
# 
# umount /tmp/a  # cleanup

处理简单情况的内核代码

https://elixir.bootlin.com/linux/v4.18/source/fs/namespace.c

static bool mnt_ns_loop(struct dentry *dentry)
{
    /* Could bind mounting the mount namespace inode cause a
     * mount namespace loop?
     */
    struct mnt_namespace *mnt_ns;
    if (!is_mnt_ns_file(dentry))
        return false;

    mnt_ns = to_mnt_ns(get_proc_ns(dentry->d_inode));
    return current->nsproxy->mnt_ns->seq >= mnt_ns->seq;
}

...

    err = -EINVAL;
    if (mnt_ns_loop(old_path.dentry))
        goto out;

...

 * Assign a sequence number so we can detect when we attempt to bind
 * mount a reference to an older mount namespace into the current
 * mount namespace, preventing reference counting loops.  A 64bit
 * number incrementing at 10Ghz will take 12,427 years to wrap which
 * is effectively never, so we can ignore the possibility.
 */
static atomic64_t mnt_ns_seq = ATOMIC64_INIT(1);

static struct mnt_namespace *alloc_mnt_ns(struct user_namespace *user_ns)

答案1

请参阅提交 4ce5d2b1a8fd，vfs：不要在/proc/<pid>/ns/mnt命名空间之间复制挂载绑定挂载

propagate_one()调用copy_tree()时不带CL_COPY_MNT_NS_FILE.在这种情况下，如果树根是 NS 文件的挂载，copy_tree()失败并出现错误EINVAL。术语“NS 文件”是指其中一个文件/proc/*/ns/mnt。

进一步阅读，我注意到，如果树根不是 NS 文件，但其中一个子挂载是，则它将被排除在传播之外（与不可绑定挂载的方式相同）。

NS 文件在传播过程中被静默跳过的示例

# mount --make-shared /tmp
# cd /tmp
# mkdir private_mnt
# mount --bind private_mnt private_mnt
# mount --make-private private_mnt
# touch private_mnt/child_ns
# unshare --mount=private_mnt/child_ns --propagation=shared ls -l /proc/self/ns/mnt
lrwxrwxrwx. 1 root root 0 Oct  7 18:25 /proc/self/ns/mnt -> 'mnt:[4026532807]'
# findmnt | grep /tmp
├─/tmp                                tmpfs                             tmpfs           ...
│ ├─/tmp/private_mnt                  tmpfs[/private_mnt]               tmpfs           ...
│ │ └─/tmp/private_mnt/child_ns       nsfs[mnt:[4026532807]]            nsfs            ...

让我们创建一个普通的安装来进行比较

# mkdir private_mnt/child_mnt
# mount --bind private_mnt/child_mnt private_mnt/child_mnt

现在尝试传播一切。 （创建private_mnt内部的递归绑定挂载/tmp。 /tmp是共享挂载）。

# mkdir shared_mnt
# mount --rbind private_mnt shared_mnt
# findmnt | grep /tmp/shared_mnt
│ └─/tmp/shared_mnt                   tmpfs[/private_mnt]               tmpfs           ...
│   ├─/tmp/shared_mnt/child_ns        nsfs[mnt:[4026532809]]            nsfs            ...
│   └─/tmp/shared_mnt/child_mnt       tmpfs[/private_mnt/child_mnt]     tmpfs           ...
# nsenter --mount=/tmp/private_mnt/child_ns findmnt|grep /tmp/shared_mnt
│ └─/tmp/shared_mnt                   tmpfs[/private_mnt]               tmpfs           ...
│   └─/tmp/shared_mnt/child_mnt       tmpfs[/private_mnt/child_mnt]     tmpfs           ...

内核代码

以下是当前版本代码的摘录，该代码已添加到上面链接的提交中。

https://elixir.bootlin.com/linux/v4.18/source/fs/pnode.c#L226

static int propagate_one(struct mount *m)
{
...
    /* Notice when we are propagating across user namespaces */
    if (m->mnt_ns->user_ns != user_ns)
        type |= CL_UNPRIVILEGED;
    child = copy_tree(last_source, last_source->mnt.mnt_root, type);
    if (IS_ERR(child))
        return PTR_ERR(child);

https://elixir.bootlin.com/linux/v4.18/source/fs/namespace.c#L1790

struct mount *copy_tree(struct mount *mnt, struct dentry *dentry,
                    int flag)
{
    struct mount *res, *p, *q, *r, *parent;

    if (!(flag & CL_COPY_UNBINDABLE) && IS_MNT_UNBINDABLE(mnt))
        return ERR_PTR(-EINVAL);

    if (!(flag & CL_COPY_MNT_NS_FILE) && is_mnt_ns_file(dentry))
        return ERR_PTR(-EINVAL);

相关内容