Запуск вещей (веб-сервисов) в изолированной среде

Question

Прежде всего, я прочитал все вопросы о chroot, которые я мог найти в сети и на Superuser. По сути, все они охватывают запуск 32-битного приложения на 64-битном хосте и так далее.

Я хочу иметь изолированную систему в полном chroot (запуск Lighttpd, MySQL, SSH и т.д. Оттуда). (Из соображений безопасности я должен изолировать разработчика от живого.) Итак, я установил среду chroot, смонтировал все необходимые вещи и включил chroot. Все прошло нормально. Отредактировал /etc/ssh/sshd_config для использования порта 22222 вместо 22. Подержанный service ssh start потом. Там написано, что служба запущена, но если я попробую это: ssh -p 22222 localhost я получу "Соединение отказано". Система chrooted является очень минимальной, поэтому нет брандмауэра, hosts.allow/deny или чего-либо еще.

ЛЮБАЯ идея приветствуется.

PS. Среда chroot будет областью разработки, как я уже упоминал. Я думал, что chroot - это самый простой способ, но если вы скажете, что KVM лучше или что-то еще, я могу пойти на это. Машина легко может работать даже на 10 ВМ.

Использованные howtos:
http://www.gentoo.org/doc/en/handbook/handbook-x86.xml?part=1&chap=6
https://help.ubuntu.com/community/BasicChroot
http://www.gentoo.org/proj/en/base/amd64/howtos/index.xml?part=1&chap=2
http://ubuntuforums.org/showthread.php?t=248724

Answer 1

Запуск среды разработки в chroot на реальной среде - ужасная идея. Это не отвечает вашим требованиям по изоляции среды разработки от реальной среды. Все, что для этого нужно - это маленькая ошибка, чтобы убить работающий серверный процесс вместо сервера разработки или заставить сервер разработки прослушивать порт 22 или 80.

Вы можете запустить среду разработки как chroot на компьютере разработчика, но это сложнее, чем настроить виртуальную машину. Единственная причина, по которой я могу не использовать виртуальную машину, заключается в том, что ваше оборудование слишком старое, чтобы комфортно работать с виртуальной машиной, что, как вы говорите, не так. Виртуальная машина предоставляет вам автономную сетевую среду (так что вы можете тестировать сервисы на их реальных портах, с их настоящим межсетевым экраном), автономную среду процессов (чтобы вы знали, сколько памяти вам действительно нужно, и сколько ЦП вам действительно нужно) и т.д. ,

В идеале, если это позволяет производительность, как виртуальная среда, так и среда разработки будут работать внутри виртуальных машин с использованием одной и той же технологии виртуальных машин. Это сделает развертывание настолько рискованным, насколько это возможно.