Oz 沙盒系统安装与配置指南

Oz 沙盒系统安装与配置指南

oz OZ: a sandboxing system targeting everyday workstation applications 项目地址: https://gitcode.com/gh_mirrors/oz2/oz

1. 项目基础介绍

Oz 是一个针对日常工作站应用程序的沙盒系统。它作为一种包装器，围绕应用程序的可执行文件，实现完全透明的用户操作。通过使用 Linux Namespaces、Seccomp 过滤器、能力（Capabilities）以及 X11 限制技术，Oz 实现了对进程的隔离。此外，它还内置支持自动配置桥接模式网络，以及通过内置的连接转发代理支持在容器化网络环境中工作。

Oz 主要使用 Go 编程语言开发。

2. 关键技术和框架

• Linux Namespaces: 用于创建隔离的进程环境。
• Seccomp 过滤器: 用于限制进程可以执行的系统调用。
• Capabilities: 用于细粒度地控制进程权限。
• Xpra: 一个用于远程桌面和屏幕共享的框架，Oz 使用它来限制 X11 的使用。
• 桥接模式网络: 在 Oz 中自动配置，以实现网络隔离。

3. 准备工作和安装步骤

准备工作

在开始安装 Oz 之前，请确保您的系统满足以下要求：

• 操作系统：推荐的操作系统是 Debian stretch 版本，使用 4.0 或更高版本的 grsecurity 补丁内核。
• 内核版本：至少为 3.17，以支持 seccomp 过滤器。
• 必要的内核模块：需要加载 veth 和 bridge 内核模块以使用桥接网络模式。
• 安装的依赖包：golang、xpra、bridge-utils、ebtables、libacl1 和 libacl1-dev。

使用以下命令安装依赖包：

sudo apt-get install golang xpra bridge-utils ebtables libacl1 libacl1-dev

安装步骤

1. 克隆项目：

git clone https://github.com/subgraph/oz.git
cd oz

2. 编译项目：

go get github.com/tools/godep
godep go install ./...

3. 配置桥接网络和 IP 转发：

请根据您的系统配置以下规则，以设置桥接网络并启用 IP 转发：

sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
sudo iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
sudo ebtables -P FORWARD DROP
sudo ebtables -F FORWARD
sudo ebtables -A FORWARD -i oz0 -j ACCEPT
sudo ebtables -A FORWARD -o oz0 -j ACCEPT
echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward

4. 创建 systemd 服务文件：

将以下内容保存为 /lib/systemd/system/oz-daemon.service：

[Unit]
Description=Oz Daemon
After=network.target

[Service]
ExecStart=/usr/local/bin/oz-daemon
Restart=always

[Install]
WantedBy=multi-user.target

5. 启动并使能 Oz 服务：

sudo systemctl start oz-daemon.service
sudo systemctl enable oz-daemon.service

6. 安装应用程序配置文件：

将配置文件放置到 /var/lib/oz/cells.d/ 目录下。

7. 使用 Oz 运行应用程序：

sudo oz-setup install <application_name>

例如，如果想使用 Oz 运行 Evince 文档查看器：

sudo oz-setup install evince

安装完成后，即可通过常规方式启动 Evince，Oz 将自动为其提供沙盒环境。

请确保遵循项目官方文档的任何最新指南，因为上述步骤可能会随着项目更新而发生变化。

oz OZ: a sandboxing system targeting everyday workstation applications 项目地址: https://gitcode.com/gh_mirrors/oz2/oz