A jail never has a lower securelevel than its parent system

[Mardor]

Hi,

laut man page für jail.conf heisst es:

A jail never has a lower securelevel than its parent system, but by setting this parameter it may have a higher one. If the system securelevel is changed, any jail securelevels willbe at least as secure.

Wenn ich mir aber meinen secure level aber anschaue sehe ich folgendes:

root@testhost ~: sysrc -n kern_securelevel
2

root@testhost ~: sysrc -j testjail kern_securelevel
kern_securelevel: -1

Meine jail.conf sieht jedoch wie folgt aus:

...
testjail {
        host.hostname = "testjail";
        path = "/usr/jails/testjail";
        ip4.addr = "10.49.100.1";
        exec.consolelog = "/var/log/jail_testjail_console.log";
        mount.fstab = "/etc/fstab.testjail";
        securelevel = "2";
}
...

Hätte jemand von euch hierzu eine Idee ?

Gruß Mardor

 

[gadean]

Ich rate einfach mal, weil ich nichts weiter dazu finden kann:
Hast du mal "securelevel = 2;" probiert (die Zahl ohne Quotes geschrieben)?

 

[Andy_m4]

root@testhost ~: sysrc -j testjail kern_securelevel

Wieso sysrc?
Wenn, dann müsstest du doch eher mit
sysctl kern.securelevel
checken was tatsächlich gesetzt ist.

 

[KobRheTilla]

Wieso sysrc?

Man kann dieses sysctl auch indirekt in der rc.conf setzen. Wenn man es über die jail.conf setzt, ergibt die Benutzung von sysrc natürlich keinen Sinn. Letztendlich sollte man, wie @Andy_m4 hervorhebt, immer die ursprünglichste Quelle testen, den Wert eines sysctls testet man daher immer mit dem Kommando sysctl.

Rob

 

[Mardor]

Hallo,

danke für den Tipp. Ich hatte den Befehl falsch im Gedächtnis.
Ich habe jetzt weitere Tests durchgeführt. Kann es sein dass wenn ich den host secure-level auf 0 setzte, der host direkt beim Booten auf 1 gesetzt wird. Ändere ich den secure-level auf -1 bleibt er auf -1. Auch alle anderen secure-level bleiben. Nur 0 geht automatisiert bei mir auf 1.

Folgendes habe ich hierzu gefunden:
https://forums.freebsd.org/threads/setting-kern-securelevel-in-rc-conf-doesnt-work.41082/post-356014

Gruß Mardor