☰

问题

tag-icon • tag-icon mount luks d-bus namespace flatpak
问题

问题

我不能cryptsetup close当任何 flatpak 应用程序在后台运行时，任何 LUKS 音量。是的，Flatpak 应用程序只需要在后台运行，我不想在沙箱或类似的东西中使用 cryptsetup。对，这就是其中一个问题。

重现步骤

mkdir ~/mnt
dd if=/dev/zero of=file.img bs=1MiB count=100
sudo losetup /dev/loop4 file.img
sudo cryptsetup luksFormat /dev/loop4
sudo cryptsetup open /dev/loop4 my_crypt
sudo mkfs.fat  /dev/mapper/my_crypt
sudo mount  /dev/mapper/my_crypt ~/mnt
echo ayylmao | sudo tee ~/mnt/foobar.txt
sync

# <open a flatpak app, such as flatseal, in the background>

sudo umount ~/mnt
sudo cryptsetup close my_crypt

# output:
# device-mapper: remove ioctl on my_crypt  failed: Device or resource busy
# <the above line multiple times>
# Device my_crypt is still in use.

# <now close the flatpak app>

sudo cryptsetup close my_crypt
# Now it runs successfully

sudo losetup -d /dev/loop4

请注意，与循环设备相比，“真正的”LUKS 设备以及墓s。

进一步诊断

似乎在启动 Flatpak 应用程序时，它会生成一个xdg-dbus-proxy在新mnt命名空间中调用的进程，出于某种原因，该进程会保持 LUKS 设备上的文件系统已挂载，即使在“默认”命名空间中卸载之后也是如此。例如，以下是lsns启动 flatseal 之前的输出：

        NS TYPE   NPROCS   PID USER      COMMAND
4026531834 time       40  1452 renzev -bash
4026531835 cgroup     40  1452 renzev -bash
4026531836 pid        40  1452 renzev -bash
4026531837 user       40  1452 renzev -bash
4026531838 uts        40  1452 renzev -bash
4026531839 ipc        40  1452 renzev -bash
4026531840 net        40  1452 renzev -bash
4026531841 mnt        40  1452 renzev -bash

这是启动 Flatseal 后的输出：

        NS TYPE   NPROCS   PID USER      COMMAND
4026531834 time       44  1452 renzev -bash
4026531835 cgroup     44  1452 renzev -bash
4026531836 pid        42  1452 renzev -bash
4026531837 user       41  1452 renzev -bash
4026531838 uts        44  1452 renzev -bash
4026531839 ipc        44  1452 renzev -bash
4026531840 net        42  1452 renzev -bash
4026531841 mnt        41  1452 renzev -bash
4026532233 user        1 11485 renzev xdg-dbus-proxy --args=42
4026532254 mnt         1 11485 renzev xdg-dbus-proxy --args=42
4026532256 mnt         2 11488 renzev bwrap --args 40 com.github.tchx84.
4026532257 pid         2 11488 renzev bwrap --args 40 com.github.tchx84.
4026532258 net         2 11488 renzev bwrap --args 40 com.github.tchx84.
4026532391 user        2 11488 renzev bwrap --args 40 com.github.tchx84.

如果我们跳到命名空间检查已安装的文件系统，我们可以~/mnt看到即使我们在“默认”命名空间中卸载它之后，它仍然挂载:

sudo nsenter -t 11485 -m bash
mount | grep mnt
/dev/mapper/my_crypt on /home/renzev/mnt type vfat (ro,nosuid,nodev,relatime,fmask=0022,dmask=0022,codepage=437,iocharset=iso8859-1,shortname=mixed,utf8,errors=remount-ro)

尝试从命名空间内手动卸载设备会导致一些有趣的输出：

mountpoint /home/renzev/mnt
/home/renzev/mnt is a mountpoint

umount /home/renzev/mnt
umount: /home/renzev/mnt: not mounted.

系统详情

无效的Linux。 cryptsetup 2.6.1 标志：UDEV BLKID KEYRING KERNEL_CAPI。 Flatpak 1.15.6。 Linux 6.3.13_1。

问题

如何在无需关闭每个 Flatpak 应用程序的情况下关闭 LUKS 设备？

答案1

感谢@AB 帮助我解决这个问题！我希望这个答案将来对其他人有用，所以我会尽力给出一个非常彻底的解释。开始！

介绍

命名空间是 Linux 的一项功能，可以实现进程之间的隔离。有不同类型的命名空间用于隔离不同类型的系统资源。我们对此问题感兴趣的一个称为mount namespaces，它可以为不同的进程提供有关安装的块设备（驱动器、加密卷、磁盘映像、CD、DVD 等）的不同视图。 Flatpak 使用挂载命名空间作为其沙箱功能的一部分。

在 Linux 中，挂载有一个称为“传播”的属性，可以是private或shared。我不太明白这两者之间的区别，但重要的是在大多数现代 Linux 发行版中，根文件系统/安装为shared.

问题

在我的系统上，根文件系统安装为private，而不是shared。由于某种原因，这意味着当我尝试卸载加密卷时，卸载事件不会在 flatpak 创建的各种安装命名空间内传播。因此，虽然该卷已在“默认”命名空间中卸载，但它仍会安装在 flatpak 的命名空间内，从而使 LUKS 分区保持繁忙，从而防止对其cryptsetup进行close操作。

解决方案

解决方案是确保/通过传播安装它shared。这可以通过将shared选项添加到根文件系统的条目并重新启动来完成/etc/fstab。例如，在修复之前，我的/etc/fstab看起来像这样：

PARTLABEL=VOID_ROOT / btrfs lazytime,noatime,autodefrag,compress=zstd:3,discard=async,space_cache=v2,ssd 0 1
PARTLABEL=VOID_SWAP none swap sw 0 0
PARTLABEL=VOID_ESP /mnt/esp vfat defaults,noauto 0 0
tmpfs /tmp tmpfs defaults,nosuid,nodev 0 0

修复后，它看起来像这样：

PARTLABEL=VOID_ROOT / btrfs shared,lazytime,noatime,autodefrag,compress=zstd:3,discard=async,space_cache=v2,ssd 0 1
PARTLABEL=VOID_SWAP none swap sw 0 0
PARTLABEL=VOID_ESP /mnt/esp vfat defaults,noauto 0 0
tmpfs /tmp tmpfs defaults,nosuid,nodev 0 0

相关内容