User hat kein Zugriff auf Netzwerkressourcen - root schon.

Erdie · Last edited by Erdie on Thu Mar 24, 2022 7:06 am; edited 1 time in total

Ich habe mein altes Lenovo Laptop mit Gentoo ausgerüstet. Jetzt läuft alles. Allerdings kann der angelegte user keine Netzwerkaufrufe machen. Der User kann auch nicht den DNS, geschweige denn andere IP Adressen, pingen. Der user hat folgende Gruppen:

schmidicom · Veteran Joined: 09 Mar 2006 Posts: 1931 Location: Schweiz

Vielleicht ein Problem mit den Linux-Capabilities...
Hat dein ping das folgende CAP-Flag?

Erdie · Posted: Wed Mar 23, 2022 12:10 pm Post subject:

schmidicom · Veteran Joined: 09 Mar 2006 Posts: 1931 Location: Schweiz

mike155 · Posted: Wed Mar 23, 2022 1:31 pm Post subject:

Da Ping mit ICMP arbeitet, braucht es erweiterte Rechte. Also muss es entweder als set-uid root installiert werden - oder es braucht die CAP_NET_RAW capability.

Früher wurde ping mit set-uid root installiert. Heutzutage verwendet man lieber die CAP_NET_RAW capability, weil Ping damit weniger Berechtigungen erhält. Allerdings muss das Dateisystem capabilities unterstützen. Außerdem muss man beim Kopieren aufpassen, weil die capabilities dabei schnell verloren gehen:

Erdie · Posted: Wed Mar 23, 2022 1:31 pm Post subject:

Ich hatte mich bisher nie um das flag gekümmert, alles lief immer out of the box. Und jetzt plötzlich braucht man das, komisch ..

Nach einem Worldupdate kann der user jetzt pingen aber im Browser kann keine Verbindung aufgebaut werden. Ich habe Falkon / quwebengine instlaliert. Ich hoffe jetzt mal nicht, dass ich die neu bauen muß, das hatte 30 Stunden gedauert.

Jetzt baue ich erstmal den Kernel neu, da die ext3 ext4 Optionen für das caps flag nicht aktiviert waren und schaue dann nochmal.
_________________
Desktop AMD Ryzen 9 5900X 32GB RAM, Asus GF GTX 1060.
Notebook Tuxedo Pulse 15 Gen1 AMD Ryzen 7 4800H mit Radeon Vega 7
Raspberry Pi 1 + 2 + 3B+ + Zero W

Erdie · Posted: Wed Mar 23, 2022 1:35 pm Post subject:

mike155 · Posted: Wed Mar 23, 2022 1:45 pm Post subject:

Nach https://wiki.gentoo.org/wiki/Ext4 muss CONFIG_EXT4_FS_SECURITY aktiviert sein, damit Capabilities funktionieren. Falls diese Option bei Dir deaktiviert ist, ist das vermutlich der Grund.

In diesem Fall:

Kompiliere den Kernel neu und reboote.
Emerge danach net-misc/iputils. Dieses Paket enthält ping.
Prüfe, ob die capabilities angezeigt werden und ob Ping auch von einem normalen Benutzer aus funktioniert.

Code:

# cd /bin
# getcap ping
ping cap_net_raw=ep
Wenn Ping wieder funktioniert, kann ich eine Liste der Pakete posten, die Du neu installieren musst. Es sind nicht viele. qtwebengine musst Du vermutlich NICHT neu bauen.

Erdie · Posted: Wed Mar 23, 2022 1:55 pm Post subject:

Ping funktioniert inzwischen obwohl die capabilities noch nicht angezeigt werden. Nur die Webbrowser Verbindung funktioniert noch nicht. Der Kernel ist noch am bauen, ich melde mich nach dem Reboot. Und vielen DANK!
_________________
Desktop AMD Ryzen 9 5900X 32GB RAM, Asus GF GTX 1060.
Notebook Tuxedo Pulse 15 Gen1 AMD Ryzen 7 4800H mit Radeon Vega 7
Raspberry Pi 1 + 2 + 3B+ + Zero W

Erdie · Posted: Wed Mar 23, 2022 2:27 pm Post subject:

So ist nun gebaut und ping hat das caps flag. Maschine rebootet.

Ich vermute ich bauche glibc nochmal denn nach dem setzen von caps hatte ich die beim worldupdate auch in der Liste aber das Filesystem hatte keine Unterstützung, daher funzt ein Woldupdate jetzt wohl nicht mehr.
_________________
Desktop AMD Ryzen 9 5900X 32GB RAM, Asus GF GTX 1060.
Notebook Tuxedo Pulse 15 Gen1 AMD Ryzen 7 4800H mit Radeon Vega 7
Raspberry Pi 1 + 2 + 3B+ + Zero W

mike155 · Posted: Wed Mar 23, 2022 2:33 pm Post subject:

Hier die Dateien, bei denen bei mir Capabilities gesetzt sind:

Erdie · Posted: Wed Mar 23, 2022 3:02 pm Post subject:

Ausser iputils und unix_chkpwd habe ich bei mir nichts gefunden aus deiner Liste. Glibc habe ich vorsichtshalber nochmal gebaut aber das Problem mit dem Webbrowser ist leider noch geblieben. Der hängt im Request. Ich schau mir die List aller caps relevanten Pakte mal auf gpo.zugaina.org an und guck ob da was dabei ist was bei mir auf den Platte liegt.

EDIT: Ich habe eine Idee, wie ich das herausfinde: Ich entferne das USE flag und starte ein -p world, das gibt mir die Liste und dann füge ich das flag wieder hinzu und baue genau die Liste - dem, was ich jetzt schon gebaut habe. Das müßte funktionieren.

Folgende Liste ist dabei rausgekommen:

Erdie · Posted: Wed Mar 23, 2022 3:50 pm Post subject:

Es ist was schief gegangen. Die flags wurden nicht gesetzt. Browser funktioniert immer noch nicht.

mike155 · Posted: Wed Mar 23, 2022 5:47 pm Post subject:

firefly · Watchman Joined: 31 Oct 2002 Posts: 5219

Was für einen browser verwendest du genau und hat dieser ähnlich wie firefox/chrome "developer tools"?
Wenn ja dann öffne diese tools mal und versuche dann eine seite zu laden.
In den "developer tools" von firefox/chrome gibt es einen Tab "Network" in dem werden alle requests aufgelistet welche der browser beim laden einer webseite ausführt aufgelistet.
Dadurch sollte man eventuell herausfinden können wo genau der browser in einen timeout rennt.
Mögliche Stellen während eines requests wo so ein timeout auftreten könnte:
1. DNS Abfrage
2. Verbindungsaufbau zum Server
3. Beim laden der Daten an sich.

Spontan würde mir folgendes Problem einfallen.
Der Browser ist konfiguriert DoH (DNS over HTTPS) zu verwenden, statt den resolver des systems, nur die konfigurierte gegenstelle reagiert überhaupt nicht.

Ach ja ich funktioniert für den user auch kein nslookup/wget? Sorry wenn du das schon geschrieben hast, ich habe dann wohl übersehen.
_________________
Ein Ring, sie zu knechten, sie alle zu finden,
Ins Dunkel zu treiben und ewig zu binden
Im Lande Mordor, wo die Schatten drohn.

Erdie · Posted: Thu Mar 24, 2022 4:26 am Post subject:

firefly · Watchman Joined: 31 Oct 2002 Posts: 5219

ich hab testweise falkon installiert (3.1.0-r1).
Mit F12 kannst du die "developer tools" öffnen für den aktuellen tab.

Dort gibt es auf der rechten seite eine Ansicht mit buttons oben "Elements, Console, Source, Network,..."
Dort auf Network clicken und dann die seite im tab neu laden bzw. eine neue seite laden zu lassen.
In der Network ansicht werden, wie schon gesagt, alle requests aufgelistet, welche der browser macht.
Da wäre es gut zu wissen bei welchen request er hängen bleibt.

Ansonsten schonmal probiert mit einem frischen profil/settings zu starten? Nicht das irgendwelche Einstellungen da was kaputt gemacht haben
_________________
Ein Ring, sie zu knechten, sie alle zu finden,
Ins Dunkel zu treiben und ewig zu binden
Im Lande Mordor, wo die Schatten drohn.

Erdie · Posted: Thu Mar 24, 2022 7:02 am Post subject:

1. Löschen der Konfiguration bringt keine Änderung.

2. Browser reagiert nicht auf F12. Wenn man den Load Prozess stoppen möchte, wird er instantan wieder gestartet.

3. Allerdings habe ich folgendes entdeckt:

Syslog meldet einen segfault in der qtwebengine, und zwar stakkato - mäßig ständig immer wieder wenn der Browser versucht etwas zu laden. Von daher denke ich mal es könnte sich lohnen die qtwebengine neu zu bauen - auch wenn es weh tut und fast 2 Tage dauert.

Hier ein Ausschnitt des Syslogs:

mike155 · Posted: Thu Mar 24, 2022 10:53 am Post subject:

Wenn man bei Google nach "QtWebEngineProc segfault" sucht, findet man ein paar Ergebnisse. Beispielsweise: https://forums.gentoo.org/viewtopic-t-1101840.html. Ich habe kurz über die Ergebnisliste drübergeschaut. Einfache Lösungen habe ich nicht gesehen.

An dieser Stelle würde ich qtwenengine auch neu bauen.

Kannst Du qtwenengine auf Deinem schnellen Desktop-PC bauen und dann als binary package auf Dein Notebook übertragen? Beispielsweise mit quickpkg? Bei größeren Paketen (GCC, LibreOffice, Firefox, usw.) mache ich das regelmäßig. Ich will mein armes Notebook ja nicht zu Tode quälen. Viele Notebooks sind für solche Dauerlasten nicht gebaut.

Alternativ könntest Du den Browser wechseln. 'emerge firefox' benötigt bei mir beispielsweise nur 30% der Zeit, die alleine 'emerge qtwebengine' benötigt. Oder Du verwendest Firefox-bin oder Google Chrome.

Erdie · Posted: Thu Mar 24, 2022 12:36 pm Post subject:

Ich lass das jetzt einfach durchrattern, das alte Lenovo T60 ist so einiges gewohnt ..

_________________
Desktop AMD Ryzen 9 5900X 32GB RAM, Asus GF GTX 1060.
Notebook Tuxedo Pulse 15 Gen1 AMD Ryzen 7 4800H mit Radeon Vega 7
Raspberry Pi 1 + 2 + 3B+ + Zero W

mike155 · Posted: Thu Mar 24, 2022 12:46 pm Post subject:

Erdie · Posted: Sat Mar 26, 2022 4:28 am Post subject:

Ich bin jetzt etwas geschockt. Selbst ein -e @world hat nichts an dem Problem geändert. Das log sieht zeimlich gleich aus:

Erdie · Posted: Sat Mar 26, 2022 2:24 pm Post subject:

Hat irgendjemand noch eine Idee, wo man jetzt noch nachschauen könnte?

EDIT: Firefox abgeschlossen, funktioniert. Den wollte ich eigentlich nicht, da man mit einem 1024x768er Display mit Tab-Bar kaum noch surfen kann und der Falkon in der Lage ist, diese verschwinden zu lassen. Leider ist mir das nicht vergönnt. Möglicherwiese hat die qtwebengine einen Bug und der ganze Stress ist gar nicht meine Schuld. Aber ich gehe davon aus, irgendwo noch einen Fehler gemacht zu haben - irgend sowas blödes wir mit den CAPS.
_________________
Desktop AMD Ryzen 9 5900X 32GB RAM, Asus GF GTX 1060.
Notebook Tuxedo Pulse 15 Gen1 AMD Ryzen 7 4800H mit Radeon Vega 7
Raspberry Pi 1 + 2 + 3B+ + Zero W

firefly · Watchman Joined: 31 Oct 2002 Posts: 5219

Eventuell gibt es auch Probleme mit dem RAM.
Es könnte nicht schaden den ram zu prüfen mit memtest86/memtest86+
_________________
Ein Ring, sie zu knechten, sie alle zu finden,
Ins Dunkel zu treiben und ewig zu binden
Im Lande Mordor, wo die Schatten drohn.

Erdie · Posted: Sun Mar 27, 2022 6:58 pm Post subject: