[решено]flatpak через iptables

[dr_faust]

Создал системную группу flatpak посредством addgroup --system. Добавил в нее моего непривилегированного пользователя, из-под которого работаю. Присвоил ее(группу) бинарнику

Код Выделить Развернуть

-rwxr-xr-x 1 root flatpak 1,4M апр 20  2024 /usr/bin/flatpak
Для фаерволла прописал

Код Выделить Развернуть

-A OUTPUT -p tcp -m owner --gid-owner <номер группы> -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
-A OUTPUT -p udp -m owner --gid-owner <номер группы> -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
Кроме того общие правила для взодящего трафика

Код Выделить Развернуть

-A INPUT -p tcp -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p udp -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
Локальный трафик разрешен

Код Выделить Развернуть

-A INPUT -i lo  -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
При попытке обновить индексы репозитория, добавлен ранее, flatpak командой

Код Выделить Развернуть

flatpak update --user --appstream
Долго думает, а потом выдает

Код Выделить Развернуть

Ошибка обновления: Error updating appstream2: Ссылки appstream2/x86_64 в удалённом репозитории flathub не существует; Error updating appstream: Ссылки appstream/x86_64 в удалённом репозитории flathub не существует

Т.е. не может соединиться с репозиторием и скачать необходимое. Фаерволл не пускает.

Что делаю не так?

[Лия]

Что делаю не так?

Ещё нужно добавить бит SGID, чтобы /usr/bin/flatpak запускался от группы flatpak

Код Выделить Развернуть

sudo chmod g+s /usr/bin/flatpak


[dr_faust]

Что делаю не так?

Ещё нужно добавить бит SGID, чтобы /usr/bin/flatpak запускался от группы flatpak

Код Выделить Развернуть

sudo chmod g+s /usr/bin/flatpak


Таки да.

[dr_faust]

Вышеописанный способ приводит к неработоспособности flatpak из-за того, что система изоляции отказывается запускать установленые приложения.

Работать через https_proxy с репозиторием flathub тоже не хочет.

Поэтому единственый способ это прописать в фаерволе ip репозитория в качестве разрешенных. Достаточно протокола tcp.

Вылавливать матом, nslookup и netstat(по SYN_SENT, когда загрузка тормозит). Сами ip не привожу: хз меняются они со временем или нет.