파일 시스템이 마운트 해제되었지만 여전히 사용 중인 이유는 무엇입니까?

Question

면책조항: 부분적인 커널 오류가 발생하는 이유를 이 답변에서 설명할 수 없으며 설명하지 않겠습니다. 이는 커널 버그처럼 보이며 I/O 오류 조건으로 인해 발생할 수 있습니다.

긴 이야기 짧게

새 마운트 네임스페이스가 원래 마운트 네임스페이스에서 마운트된 파일 시스템을 상속하는 경우 파일 시스템이 여전히 사용 중일 수 있지만 둘 사이의 전파 설정으로 인해 원래 네임스페이스에서 마운트 해제가 활성화되지 않습니다. 새로운 네임스페이스. 이 명령은 findmnt -A -o +PROPAGATION출력에 표시되는 각 마운트 지점의 전파 상태도 표시합니다.

일반적으로 이런 일이 발생해서는 안 됩니다.체계환경 때문에체계/공유 마운트는 커널 기본값이 아닌 초기에 이루어지므로 private마운트 해제가 공유 그룹 내에서 전파될 수 있습니다. 따라서 시스템화되지 않은 환경이나 도구가 --make-private일부 설치에서 명시적으로 사용되는 경우에는 이런 일이 더 쉽게 발생할 것으로 예상됩니다 . --make-private특히 가상 의사 파일 시스템에 대한 용도는 여전히 있습니다.

이러한 일이 발생하는 것을 방지하는 한 가지 방법은 다음과 같습니다.새 마운트 네임스페이스를 생성하기 전공유로 마운트 지점을 변경하십시오 mount --make-shared ....

공유 마운트와 비공유 마운트에서 어떤 일이 발생하는지 설명하기 위해 실험을 수행했습니다. 나는 시스템화된 환경이나 비시스템화된 환경에서 실험이 동일하게 잘 작동하는지 확인하려고 노력하고 있습니다.

실험

이는 아래와 같이 복제할 수 있습니다(일부 값을 /dev/loop0조정해야 함).

# truncate -s $((2**20)) /tmp/test.raw
# mkfs.ext4 -Elazy_itable_init=0,lazy_journal_init=0 -L test /tmp/test.raw
mke2fs 1.47.0 (5-Feb-2023)

Filesystem too small for a journal
Discarding device blocks: done                            
Creating filesystem with 1024 1k blocks and 128 inodes

Allocating group tables: done                            
Writing inode tables: done                            
Writing superblocks and filesystem accounting information: done

# losetup -f --show /tmp/test.raw 
/dev/loop0
# mkdir -p /mnt/propagation/test

이렇게 하면 디렉터리를 마운트 지점으로 전환하여 전체 시스템을 변경하지 않고도 나중에 변경 실험을 전파할 수 있습니다.

# mount --bind /mnt/propagation /mnt/propagation

이제 실험에 따라 다른 결과가 나올 수 있습니다.

unshare(1)말하다:

unshareprivateutil-linux 버전 2.27은 새 네임스페이스가 실제로 공유되지 않도록 자동으로 새 마운트 네임스페이스로 전파를 설정하기 때문입니다 . 이 기능은 옵션을 사용하여 비활성화할 수 있습니다 --propagation unchanged. 이것이 private커널 기본값이라는 점에 유의하십시오.

다른 도구도 이 작업을 수행할 수 있습니다. 여기서는 기본 마운트 지점 을 변경 /mnt/propagation하고 항상 .--propagation unchanged//

그리고shared
```
# mount --make-shared /mnt/propagation
# mount /dev/loop0 /mnt/propagation/test
# ls /mnt/propagation/test
lost+found
# cat /proc/self/mountinfo | grep /mnt/propagation/test
862 854 7:0 / /mnt/propagation/test rw,relatime shared:500 - ext4 /dev/loop0 rw
```
두 번째(루트) 셸을 만들고 새 설치 네임스페이스에 대한 공유를 해제합니다(구분하기 위해 프롬프트를 NMNS#으로 변경했습니다).
```
# unshare -m --propagation unchanged --
NMNS# cat /proc/self/mountinfo | grep /mnt/propagation/test
1454 1453 7:0 / /mnt/propagation/test rw,relatime shared:500 - ext4 /dev/loop0 rw
NMNS# cd /mnt/propagation/test
```
또한 shared:500링크는 두 네임스페이스 모두에 마운트됩니다. 한 네임스페이스에서 마운트를 해제하면 다른 네임스페이스에서도 마운트가 해제됩니다.

원래 셸(원래 마운트 네임스페이스)에서 마운트 해제합니다.
```
# umount /mnt/propagation/test
umount: /mnt/propagation/test: target is busy.
```
리소스 사용량 해제:
```
NMNS# cd /
```
```
# umount /mnt/propagation/test
# 
```
이번에는 효과가 있었습니다.

새 마운트 네임스페이스에서도 사라지는 것을 확인하세요.
```
NMNS# cat /proc/self/mountinfo | grep /mnt/propagation/test
NMNS# 
```
커널은 dmesg파일 시스템이 (모든 곳에서) 마운트 해제되었음을 기록합니다. 예를 들면 다음과 같습니다.
```
EXT4-fs (loop0): unmounting filesystem e74e0353-ace0-4eff-86ae-30e288db853e.
```
정리하려면 새로 설치된 네임스페이스에서 셸을 종료하세요.
그리고private
```
# mount --make-private /mnt/propagation
# mount /dev/loop0 /mnt/propagation/test
# cat /proc/self/mountinfo | grep /mnt/propagation/test
857 854 7:0 / /mnt/propagation/test rw,relatime - ext4 /dev/loop0 rw
```
더 이상 공유하지 마세요.

다른 곳:
```
# unshare -m --propagation unchanged --
NMNS# cat /proc/self/mountinfo | grep /mnt/propagation/test
1454 1453 7:0 / /mnt/propagation/test rw,relatime - ext4 /dev/loop0 rw
NMNS# echo $$
232529
```
```
# umount /mnt/propagation/test
# e2fsck /dev/loop0
e2fsck 1.47.0 (5-Feb-2023)
/dev/loop0 is in use.
e2fsck: Cannot continue, aborting.



# 
```
파일 시스템은 새 설치 네임스페이스에 마운트된 상태로 유지됩니다.

원래 네임스페이스에서 이 악성 네임스페이스를 찾으려면 다음 명령을 실행할 수 있습니다.
```
# for pid in $(lsns --noheadings -t mnt -o PID); do nsenter -t "$pid" -m -- findmnt /mnt/propagation/test && echo $pid; done
nsenter: failed to execute findmnt: No such file or directory
TARGET                SOURCE     FSTYPE OPTIONS
/mnt/propagation/test /dev/loop0 ext4   rw,relatime
232529
# 
```
참고: nsenter: failed to execute findmnt: No such file or directory실행 중인 LXC 컨테이너의 마운트 네임스페이스를 findmnt사용할 수 없게 됩니다. 루프는 마운트 지점을 사용하여 새 네임스페이스에서 프로세스의 PID를 찾습니다(참고: 실제 상황에서는 동일한 마운트 네임스페이스에서 다른 PID일 수 있으므로 중요하지 않습니다.). 극단적인 경우에는 마운트 네임스페이스 변경, 마운트 확인, (u)마운트를 모두 한번에 수행할 수 있는 전용 명령이 필요합니다.

이 마운트는 프로세스가 마운트된 파일 시스템을 적극적으로 사용하는 경우(성공 방지) 필요할 수 있는 나머지 보유 리소스(PID 232529)를 제거하거나 umount이 네임스페이스에서 마운트 해제하여 제거할 수 있습니다.
```
# nsenter -t 232529 -m -- umount /mnt/propagation/test
# e2fsck /dev/loop0
e2fsck 1.47.0 (5-Feb-2023)
test: clean, 11/128 files, 58/1024 blocks
```

유용한 참고자료:

Answer 1

면책조항: 부분적인 커널 오류가 발생하는 이유를 이 답변에서 설명할 수 없으며 설명하지 않겠습니다. 이는 커널 버그처럼 보이며 I/O 오류 조건으로 인해 발생할 수 있습니다.

긴 이야기 짧게

새 마운트 네임스페이스가 원래 마운트 네임스페이스에서 마운트된 파일 시스템을 상속하는 경우 파일 시스템이 여전히 사용 중일 수 있지만 둘 사이의 전파 설정으로 인해 원래 네임스페이스에서 마운트 해제가 활성화되지 않습니다. 새로운 네임스페이스. 이 명령은 findmnt -A -o +PROPAGATION출력에 표시되는 각 마운트 지점의 전파 상태도 표시합니다.

일반적으로 이런 일이 발생해서는 안 됩니다.체계환경 때문에체계/공유 마운트는 커널 기본값이 아닌 초기에 이루어지므로 private마운트 해제가 공유 그룹 내에서 전파될 수 있습니다. 따라서 시스템화되지 않은 환경이나 도구가 --make-private일부 설치에서 명시적으로 사용되는 경우에는 이런 일이 더 쉽게 발생할 것으로 예상됩니다 . --make-private특히 가상 의사 파일 시스템에 대한 용도는 여전히 있습니다.

이러한 일이 발생하는 것을 방지하는 한 가지 방법은 다음과 같습니다.새 마운트 네임스페이스를 생성하기 전공유로 마운트 지점을 변경하십시오 mount --make-shared ....

공유 마운트와 비공유 마운트에서 어떤 일이 발생하는지 설명하기 위해 실험을 수행했습니다. 나는 시스템화된 환경이나 비시스템화된 환경에서 실험이 동일하게 잘 작동하는지 확인하려고 노력하고 있습니다.

실험

이는 아래와 같이 복제할 수 있습니다(일부 값을 /dev/loop0조정해야 함).

# truncate -s $((2**20)) /tmp/test.raw
# mkfs.ext4 -Elazy_itable_init=0,lazy_journal_init=0 -L test /tmp/test.raw
mke2fs 1.47.0 (5-Feb-2023)

Filesystem too small for a journal
Discarding device blocks: done                            
Creating filesystem with 1024 1k blocks and 128 inodes

Allocating group tables: done                            
Writing inode tables: done                            
Writing superblocks and filesystem accounting information: done

# losetup -f --show /tmp/test.raw 
/dev/loop0
# mkdir -p /mnt/propagation/test

이렇게 하면 디렉터리를 마운트 지점으로 전환하여 전체 시스템을 변경하지 않고도 나중에 변경 실험을 전파할 수 있습니다.

# mount --bind /mnt/propagation /mnt/propagation

이제 실험에 따라 다른 결과가 나올 수 있습니다.

unshare(1)말하다:

unshareprivateutil-linux 버전 2.27은 새 네임스페이스가 실제로 공유되지 않도록 자동으로 새 마운트 네임스페이스로 전파를 설정하기 때문입니다 . 이 기능은 옵션을 사용하여 비활성화할 수 있습니다 --propagation unchanged. 이것이 private커널 기본값이라는 점에 유의하십시오.

다른 도구도 이 작업을 수행할 수 있습니다. 여기서는 기본 마운트 지점 을 변경 /mnt/propagation하고 항상 .--propagation unchanged//

그리고shared
```
# mount --make-shared /mnt/propagation
# mount /dev/loop0 /mnt/propagation/test
# ls /mnt/propagation/test
lost+found
# cat /proc/self/mountinfo | grep /mnt/propagation/test
862 854 7:0 / /mnt/propagation/test rw,relatime shared:500 - ext4 /dev/loop0 rw
```
두 번째(루트) 셸을 만들고 새 설치 네임스페이스에 대한 공유를 해제합니다(구분하기 위해 프롬프트를 NMNS#으로 변경했습니다).
```
# unshare -m --propagation unchanged --
NMNS# cat /proc/self/mountinfo | grep /mnt/propagation/test
1454 1453 7:0 / /mnt/propagation/test rw,relatime shared:500 - ext4 /dev/loop0 rw
NMNS# cd /mnt/propagation/test
```
또한 shared:500링크는 두 네임스페이스 모두에 마운트됩니다. 한 네임스페이스에서 마운트를 해제하면 다른 네임스페이스에서도 마운트가 해제됩니다.

원래 셸(원래 마운트 네임스페이스)에서 마운트 해제합니다.
```
# umount /mnt/propagation/test
umount: /mnt/propagation/test: target is busy.
```
리소스 사용량 해제:
```
NMNS# cd /
```
```
# umount /mnt/propagation/test
# 
```
이번에는 효과가 있었습니다.

새 마운트 네임스페이스에서도 사라지는 것을 확인하세요.
```
NMNS# cat /proc/self/mountinfo | grep /mnt/propagation/test
NMNS# 
```
커널은 dmesg파일 시스템이 (모든 곳에서) 마운트 해제되었음을 기록합니다. 예를 들면 다음과 같습니다.
```
EXT4-fs (loop0): unmounting filesystem e74e0353-ace0-4eff-86ae-30e288db853e.
```
정리하려면 새로 설치된 네임스페이스에서 셸을 종료하세요.
그리고private
```
# mount --make-private /mnt/propagation
# mount /dev/loop0 /mnt/propagation/test
# cat /proc/self/mountinfo | grep /mnt/propagation/test
857 854 7:0 / /mnt/propagation/test rw,relatime - ext4 /dev/loop0 rw
```
더 이상 공유하지 마세요.

다른 곳:
```
# unshare -m --propagation unchanged --
NMNS# cat /proc/self/mountinfo | grep /mnt/propagation/test
1454 1453 7:0 / /mnt/propagation/test rw,relatime - ext4 /dev/loop0 rw
NMNS# echo $$
232529
```
```
# umount /mnt/propagation/test
# e2fsck /dev/loop0
e2fsck 1.47.0 (5-Feb-2023)
/dev/loop0 is in use.
e2fsck: Cannot continue, aborting.



# 
```
파일 시스템은 새 설치 네임스페이스에 마운트된 상태로 유지됩니다.

원래 네임스페이스에서 이 악성 네임스페이스를 찾으려면 다음 명령을 실행할 수 있습니다.
```
# for pid in $(lsns --noheadings -t mnt -o PID); do nsenter -t "$pid" -m -- findmnt /mnt/propagation/test && echo $pid; done
nsenter: failed to execute findmnt: No such file or directory
TARGET                SOURCE     FSTYPE OPTIONS
/mnt/propagation/test /dev/loop0 ext4   rw,relatime
232529
# 
```
참고: nsenter: failed to execute findmnt: No such file or directory실행 중인 LXC 컨테이너의 마운트 네임스페이스를 findmnt사용할 수 없게 됩니다. 루프는 마운트 지점을 사용하여 새 네임스페이스에서 프로세스의 PID를 찾습니다(참고: 실제 상황에서는 동일한 마운트 네임스페이스에서 다른 PID일 수 있으므로 중요하지 않습니다.). 극단적인 경우에는 마운트 네임스페이스 변경, 마운트 확인, (u)마운트를 모두 한번에 수행할 수 있는 전용 명령이 필요합니다.

이 마운트는 프로세스가 마운트된 파일 시스템을 적극적으로 사용하는 경우(성공 방지) 필요할 수 있는 나머지 보유 리소스(PID 232529)를 제거하거나 umount이 네임스페이스에서 마운트 해제하여 제거할 수 있습니다.
```
# nsenter -t 232529 -m -- umount /mnt/propagation/test
# e2fsck /dev/loop0
e2fsck 1.47.0 (5-Feb-2023)
test: clean, 11/128 files, 58/1024 blocks
```

유용한 참고자료:

파일 시스템이 마운트 해제되었지만 여전히 사용 중인 이유는 무엇입니까?

답변1

긴 이야기 짧게

실험

관련 정보