
<html>

<head>

<meta http-equiv="Content-Type" content="text/html; charset=us-ascii">

</head>

<body>

<div dir="auto">

<div><br>

<div class="gmail_extra"><br>

<div class="gmail_quote">17 &#1103;&#1085;&#1074;. 2017 &#1075;. 9:05 PM &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; Andrey Vagin &lt;avagin@virtuozzo.com&gt; &#1085;&#1072;&#1087;&#1080;&#1089;&#1072;&#1083;:<br type="attribution">

<blockquote class="quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">

<div><font size="2"><span style="font-size:10pt"></span></font>

<div>On Mon, Jan 16, 2017 at 07:04:50PM &#43;0300, Stanislav Kinsburskiy wrote:<br>

&gt; The intention of commit 61b8fc264f55e15dea90350834a50d551d33bffa was to drop<br>

&gt; local traffic only.<br>

&gt; But there was a side effect: iptables rules were blocking all the traffic<br>

&gt; including external communication.<br>

&gt; While it's not a big problem by itself, it significantly complicates external<br>

&gt; communication when needed (say, in case of NFS files), because forces one to<br>

&gt; unmask NFS routes within container.<br>

&gt; Let's get rid of this side effect by limiting rules to loopback interface.<br>

&gt; External traffic blocking is controlled outside containers anyway.<br>

<br>

* Does it controlled for venet?<br>

</div>

</div>

</blockquote>

</div>

</div>

</div>

<div dir="auto"><br>

</div>

<div dir="auto">Sorry, I don't understand the question.</div>

<div dir="auto"><br>

</div>

<div dir="auto">

<div class="gmail_extra">

<div class="gmail_quote">

<blockquote class="quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">

<div>

<div>* Both ends of a local tcp connection can be bond to an ip address<br>

&nbsp; (which is set to any interface). I am not sure that this hack will<br>

&nbsp; work for this case.<br>

</div>

</div>

</blockquote>

</div>

</div>

</div>

<div dir="auto"><br>

</div>

<div dir="auto">Well, I was assured, that even it this case traffic is considered as local, and transfered via loopback.</div>

<div dir="auto"><br>

</div>

<div dir="auto">

<div class="gmail_extra">

<div class="gmail_quote">

<blockquote class="quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">

<div>

<div><br>

&gt; <br>

&gt; Signed-off-by: Stanislav Kinsburskiy &lt;skinsbursky@virtuozzo.com&gt;<br>

&gt; ---<br>

&gt;&nbsp; criu/net.c |&nbsp;&nbsp;&nbsp; 8 &#43;&#43;&#43;&#43;----<br>

&gt;&nbsp; 1 file changed, 4 insertions(&#43;), 4 deletions(-)<br>

&gt; <br>

&gt; diff --git a/criu/net.c b/criu/net.c<br>

&gt; index 080c617..d75c9fa 100644<br>

&gt; --- a/criu/net.c<br>

&gt; &#43;&#43;&#43; b/criu/net.c<br>

&gt; @@ -1547,8 &#43;1547,8 @@ static int network_lock_internal()<br>

&gt;&nbsp; {<!-- --><br>

&gt;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; char conf[] =&nbsp;&nbsp; &quot;*filter\n&quot;<br>

&gt;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &quot;:CRIU - [0:0]\n&quot;<br>

&gt; -&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &quot;-I INPUT -j CRIU\n&quot;<br>

&gt; -&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &quot;-I OUTPUT -j CRIU\n&quot;<br>

&gt; &#43;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &quot;-I INPUT -i lo -j CRIU\n&quot;<br>

&gt; &#43;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &quot;-I OUTPUT -o lo -j CRIU\n&quot;<br>

&gt;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &quot;-A CRIU -j DROP\n&quot;<br>

&gt;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &quot;COMMIT\n&quot;;<br>

&gt;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; int ret = 0, nsret;<br>

&gt; @@ -1571,8 &#43;1571,8 @@ static int network_unlock_internal()<br>

&gt;&nbsp; {<!-- --><br>

&gt;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; char conf[] =&nbsp;&nbsp; &quot;*filter\n&quot;<br>

&gt;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &quot;:CRIU - [0:0]\n&quot;<br>

&gt; -&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &quot;-D INPUT -j CRIU\n&quot;<br>

&gt; -&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &quot;-D OUTPUT -j CRIU\n&quot;<br>

&gt; &#43;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &quot;-D INPUT -i lo -j CRIU\n&quot;<br>

&gt; &#43;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &quot;-D OUTPUT -o lo -j CRIU\n&quot;<br>

&gt;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &quot;-X CRIU\n&quot;<br>

&gt;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &quot;COMMIT\n&quot;;<br>

&gt;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; int ret = 0, nsret;<br>

&gt; <br>

</div>

</div>

</blockquote>

</div>

<br>

</div>

</div>

</div>

</body>

</html>