first commit
This commit is contained in:
duffyduck
@@ -0,0 +1,295 @@
|
|||||||
|
# svc-proxy – Proxy für systemd-Dienste
|
||||||
|
|
||||||
|
`svc-proxy` legt fest, über welchen Proxy ein systemd-Dienst seine Verbindungen
|
||||||
|
aufbaut. Bedienen lässt es sich auf zwei Wegen:
|
||||||
|
|
||||||
|
- **ncurses-Menü**: listet alle Dienste auf. Man wählt einen aus und trägt die Daten bequem ein.
|
||||||
|
- **Kommandozeile**: für Skripte, Ansible, Provisionierung usw.
|
||||||
|
|
||||||
|
Es gibt einen **globalen Proxy**. Alle Felder, die man bei einem Dienst leer lässt,
|
||||||
|
übernehmen den globalen Wert. Explizit gesetzte Werte beim Dienst gelten vorrangig.
|
||||||
|
Benutzername und Kennwort sind optional; ohne sie wird der Proxy ohne Anmeldung genutzt.
|
||||||
|
|
||||||
|
Abhängigkeiten: nur `python3` (≥ 3.6) mit den Standardmodulen. `curses` ist bei
|
||||||
|
Debian/Ubuntu/RHEL im Python-Paket enthalten.
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## Installation
|
||||||
|
|
||||||
|
```bash
|
||||||
|
sudo install -m 0755 svc-proxy /usr/local/sbin/svc-proxy
|
||||||
|
```
|
||||||
|
|
||||||
|
Danach `sudo svc-proxy` (Menü) oder `svc-proxy --help` (Hilfe).
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## Funktionsweise
|
||||||
|
|
||||||
|
Für jeden konfigurierten Dienst werden zwei Dateien erzeugt:
|
||||||
|
|
||||||
|
| Datei | Inhalt | Rechte |
|
||||||
|
|-------|--------|--------|
|
||||||
|
| `/etc/systemd/system/<dienst>.d/50-svc-proxy.conf` | Drop-in mit `EnvironmentFile=` | 0644 |
|
||||||
|
| `/etc/svc-proxy/env/<dienst>.env` | die eigentlichen Proxy-Variablen | 0600 |
|
||||||
|
|
||||||
|
Die Konfiguration selbst (global + alle Dienste) liegt in
|
||||||
|
`/etc/svc-proxy/config.json` (0600). Die Drop-ins und Env-Dateien werden daraus
|
||||||
|
generiert und sollten nicht von Hand bearbeitet werden.
|
||||||
|
|
||||||
|
Gesetzt werden die Variablen
|
||||||
|
|
||||||
|
```
|
||||||
|
http_proxy https_proxy ftp_proxy all_proxy no_proxy
|
||||||
|
HTTP_PROXY HTTPS_PROXY FTP_PROXY ALL_PROXY NO_PROXY
|
||||||
|
```
|
||||||
|
|
||||||
|
> **Warum `EnvironmentFile=` und nicht `Environment=`?**
|
||||||
|
> Werte aus `Environment=` kann jeder Benutzer mit `systemctl show <dienst>`
|
||||||
|
> auslesen, also auch ein Proxy-Kennwort. Die Env-Datei ist nur für root lesbar.
|
||||||
|
|
||||||
|
Sonderzeichen in Benutzername/Kennwort (z.B. `@`, `:`, `/`) werden automatisch
|
||||||
|
URL-kodiert.
|
||||||
|
|
||||||
|
### Wichtige Einschränkung
|
||||||
|
|
||||||
|
Der Proxy wirkt nur bei Programmen, die die Proxy-Umgebungsvariablen auswerten.
|
||||||
|
Das tun die meisten (curl, wget, apt, pip, Python `requests`/`urllib`, Go, Node
|
||||||
|
mit passenden Libs, Docker-Daemon, containerd, Git, ...). Programme, die die
|
||||||
|
Variablen ignorieren (z.B. viele Java-Anwendungen ohne `-Dhttp.proxyHost`),
|
||||||
|
müssen anders konfiguriert werden. Eine Netzwerk-Sperre ist das nicht: Ein
|
||||||
|
Programm *kann* den Proxy umgehen.
|
||||||
|
|
||||||
|
SOCKS-Proxys (`socks5://`, `socks5h://`) werden ebenfalls in alle Variablen
|
||||||
|
geschrieben. Das funktioniert z.B. mit curl und Go. Manche Programme verstehen in
|
||||||
|
`http_proxy` aber nur `http://`.
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## Vererbung: Dienst ↔ global
|
||||||
|
|
||||||
|
Felder: **Typ, Host, Port, Benutzer, Kennwort, No-Proxy**
|
||||||
|
|
||||||
|
| Feld beim Dienst | Ergebnis |
|
||||||
|
|---|---|
|
||||||
|
| Typ / Host / Port / No-Proxy leer | globaler Wert |
|
||||||
|
| Typ / Host / Port / No-Proxy gesetzt | Wert des Dienstes |
|
||||||
|
| Benutzer leer **und** Host leer | globale Zugangsdaten |
|
||||||
|
| Benutzer leer, **eigener Host** | Proxy **ohne** Anmeldung |
|
||||||
|
| Benutzer gesetzt | Benutzer + Kennwort des Dienstes |
|
||||||
|
|
||||||
|
Die Sonderregel für Benutzer/Kennwort verhindert, dass globale Zugangsdaten an
|
||||||
|
einen fremden Proxy geschickt werden.
|
||||||
|
|
||||||
|
Ändert man den globalen Proxy, werden alle Dienste, die ihn ganz oder teilweise
|
||||||
|
erben, automatisch neu geschrieben. Wird der globale Proxy gelöscht, verlieren
|
||||||
|
Dienste ohne eigenen Host ihren Proxy. Ihre Konfiguration bleibt aber gespeichert
|
||||||
|
und wird wieder aktiv, sobald ein globaler Proxy gesetzt ist.
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## ncurses-Menü
|
||||||
|
|
||||||
|
```bash
|
||||||
|
sudo svc-proxy
|
||||||
|
```
|
||||||
|
|
||||||
|
```
|
||||||
|
svc-proxy 1.0.0 – Proxy für systemd-Dienste
|
||||||
|
Global: http://max:****@proxy.firma.local:3128 No-Proxy: localhost,127.0.0.1,::1
|
||||||
|
220 Dienste
|
||||||
|
Dienst Status Proxy
|
||||||
|
G cron.service active global → http://max:****@proxy.firma.local:3128
|
||||||
|
E* docker.service active eigen → socks5h://10.1.1.1:1080
|
||||||
|
nginx.service inactive
|
||||||
|
...
|
||||||
|
↑↓ Wählen Enter Bearbeiten g Global Entf Proxy entfernen / Filter c Nur konfigurierte ...
|
||||||
|
```
|
||||||
|
|
||||||
|
Markierungen: **G** = nutzt globalen Proxy, **E** = eigene Werte,
|
||||||
|
**\*** = in dieser Sitzung geändert (Neustart noch offen).
|
||||||
|
|
||||||
|
### Tasten in der Liste
|
||||||
|
|
||||||
|
| Taste | Funktion |
|
||||||
|
|---|---|
|
||||||
|
| ↑ ↓ / Bild↑ Bild↓ / Pos1 Ende | Dienst wählen |
|
||||||
|
| Enter | Proxy des Dienstes bearbeiten |
|
||||||
|
| g | globalen Proxy bearbeiten |
|
||||||
|
| Entf / d | Proxy vom Dienst entfernen |
|
||||||
|
| / | Filter (Name oder Beschreibung), Esc löscht den Filter |
|
||||||
|
| c | nur konfigurierte Dienste anzeigen (an/aus) |
|
||||||
|
| r | gewählten Dienst sofort neu starten |
|
||||||
|
| F5 | Dienstliste neu einlesen |
|
||||||
|
| F1 / ? | Hilfe |
|
||||||
|
| q / F10 | Beenden |
|
||||||
|
|
||||||
|
### Tasten im Formular
|
||||||
|
|
||||||
|
| Taste | Funktion |
|
||||||
|
|---|---|
|
||||||
|
| Tab / ↑ ↓ | Feld wechseln |
|
||||||
|
| ← → / Leertaste | Proxy-Typ wählen (beim Dienst gibt es zusätzlich „global“) |
|
||||||
|
| Enter | nächstes Feld bzw. Schaltfläche auslösen |
|
||||||
|
| F2 | Speichern |
|
||||||
|
| Strg+U | Feld leeren |
|
||||||
|
| Esc | Abbrechen |
|
||||||
|
|
||||||
|
Leere Felder zeigen grau den globalen Wert an. Unter dem Formular steht live die
|
||||||
|
Proxy-URL, die sich ergibt. Ungültige Eingaben werden nicht gespeichert.
|
||||||
|
|
||||||
|
Nach jedem Speichern läuft `systemctl daemon-reload`. Beim Beenden erscheint eine
|
||||||
|
Liste der geänderten Dienste: Diese kann man an- und abwählen und neu starten lassen.
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## Kommandozeile
|
||||||
|
|
||||||
|
```
|
||||||
|
svc-proxy [BEFEHL] [OPTIONEN]
|
||||||
|
```
|
||||||
|
|
||||||
|
| Befehl | Beschreibung |
|
||||||
|
|---|---|
|
||||||
|
| *(keiner)* / `tui` | Menü starten |
|
||||||
|
| `list [--all]` | konfigurierte Dienste (mit `--all`: alle Dienste) |
|
||||||
|
| `show [DIENST]` | effektive Werte eines Dienstes inkl. Herkunft; ohne DIENST: global |
|
||||||
|
| `global [FELDER]` | globalen Proxy setzen/ändern; ohne FELDER: anzeigen |
|
||||||
|
| `global --clear` | globalen Proxy löschen |
|
||||||
|
| `set DIENST... [FELDER] [--reset]` | Proxy für Dienst(e) setzen/ändern |
|
||||||
|
| `unset DIENST...` / `unset --all` | Proxy entfernen |
|
||||||
|
| `apply` | alle Drop-ins aus der Konfiguration neu erzeugen |
|
||||||
|
| `help`, `-h`, `--help` | Hilfe mit Beispielen |
|
||||||
|
|
||||||
|
### Felder
|
||||||
|
|
||||||
|
| Option | Bedeutung |
|
||||||
|
|---|---|
|
||||||
|
| `--proxy URL` | komplette URL, z.B. `http://user:pass@proxy:3128`; setzt Typ, Host, Port, Benutzer, Kennwort |
|
||||||
|
| `--type TYP` | `http`, `https`, `socks5`, `socks5h`, `socks4` |
|
||||||
|
| `--host HOST` | Hostname / IP |
|
||||||
|
| `--port PORT` | 1–65535 |
|
||||||
|
| `--user NAME` | Benutzername |
|
||||||
|
| `--password PW` | Kennwort (in `ps` sichtbar!) |
|
||||||
|
| `--password-stdin` | Kennwort aus der Standardeingabe lesen (empfohlen) |
|
||||||
|
| `--no-proxy LISTE` | Ausnahmen, kommagetrennt |
|
||||||
|
|
||||||
|
- Bei `set` und `global` werden **nur die angegebenen Felder** geändert, der Rest bleibt.
|
||||||
|
- Leerer Wert leert ein Feld: `--user ""`.
|
||||||
|
- `set DIENST --reset` leert vorher alle Felder, der Dienst nutzt danach komplett den globalen Proxy.
|
||||||
|
- Ein neuer Dienst ohne Felder (`set DIENST`) nutzt den globalen Proxy.
|
||||||
|
- Dienstnamen ohne Endung bekommen automatisch `.service` angehängt.
|
||||||
|
- Beim ersten Setzen des globalen Proxys ist No-Proxy standardmäßig `localhost,127.0.0.1,::1`.
|
||||||
|
|
||||||
|
### Neustart und Reload
|
||||||
|
|
||||||
|
| Option | Wirkung |
|
||||||
|
|---|---|
|
||||||
|
| *(nichts)* | im Terminal Nachfrage `[j/N]`; ohne Terminal (Cron, Skript) kein Neustart |
|
||||||
|
| `--restart` | geänderte Dienste ohne Nachfrage neu starten |
|
||||||
|
| `--no-restart` | nicht neu starten, nicht fragen |
|
||||||
|
| `--no-reload` | kein `systemctl daemon-reload` |
|
||||||
|
|
||||||
|
Neu gestartet wird mit `systemctl try-restart`, also nur Dienste, die gerade laufen.
|
||||||
|
Gestoppte Dienste werden nicht gestartet.
|
||||||
|
|
||||||
|
### Weitere Optionen
|
||||||
|
|
||||||
|
| Option | Bedeutung |
|
||||||
|
|---|---|
|
||||||
|
| `--config-dir DIR` | anderes Konfigurationsverzeichnis (Standard `/etc/svc-proxy`) |
|
||||||
|
| `--systemd-dir DIR` | anderes Ziel für Drop-ins (Standard `/etc/systemd/system`) |
|
||||||
|
| `-V`, `--version` | Version |
|
||||||
|
|
||||||
|
Mit `--config-dir`/`--systemd-dir` läuft das Skript auch ohne root. Das ist
|
||||||
|
praktisch zum Testen, z.B. zusammen mit `--no-reload`.
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## Beispiele
|
||||||
|
|
||||||
|
```bash
|
||||||
|
# Menü
|
||||||
|
sudo svc-proxy
|
||||||
|
|
||||||
|
# Globaler Proxy ohne Anmeldung
|
||||||
|
sudo svc-proxy global --proxy http://proxy.firma.local:3128
|
||||||
|
|
||||||
|
# Globaler Proxy mit Anmeldung, Kennwort nicht in der Prozessliste
|
||||||
|
echo 'geheim' | sudo svc-proxy global --proxy http://proxy:3128 --user max --password-stdin
|
||||||
|
# oder aus einer Datei / einem Secret-Store
|
||||||
|
sudo svc-proxy global --user max --password-stdin < /root/proxy.pw
|
||||||
|
|
||||||
|
# Ausnahmen für den globalen Proxy
|
||||||
|
sudo svc-proxy global --no-proxy localhost,127.0.0.1,::1,.firma.local,10.0.0.0/8
|
||||||
|
|
||||||
|
# Mehrere Dienste nutzen den globalen Proxy, sofort neu starten
|
||||||
|
sudo svc-proxy set docker containerd nginx --restart
|
||||||
|
|
||||||
|
# Eigener SOCKS-Proxy ohne Anmeldung für einen Dienst
|
||||||
|
sudo svc-proxy set myapp --proxy socks5h://10.1.1.1:1080
|
||||||
|
|
||||||
|
# Nur anderer Host, Port/Typ/No-Proxy kommen vom globalen Proxy,
|
||||||
|
# keine Anmeldung (eigener Host ohne Benutzer)
|
||||||
|
sudo svc-proxy set backup --host proxy2.firma.local
|
||||||
|
|
||||||
|
# Nur den Port ändern
|
||||||
|
sudo svc-proxy set myapp --port 1081 --no-restart
|
||||||
|
|
||||||
|
# Zurück auf den globalen Proxy
|
||||||
|
sudo svc-proxy set myapp --reset
|
||||||
|
|
||||||
|
# Entfernen
|
||||||
|
sudo svc-proxy unset myapp --restart
|
||||||
|
sudo svc-proxy unset --all --no-restart
|
||||||
|
|
||||||
|
# Anzeigen
|
||||||
|
sudo svc-proxy list
|
||||||
|
sudo svc-proxy list --all
|
||||||
|
sudo svc-proxy show docker
|
||||||
|
sudo svc-proxy show # globaler Proxy
|
||||||
|
```
|
||||||
|
|
||||||
|
Beispielausgabe von `show`:
|
||||||
|
|
||||||
|
```
|
||||||
|
Dienst: ssh.service
|
||||||
|
Status: active
|
||||||
|
Modus: eigene Werte (leere Felder = global)
|
||||||
|
Proxy-Typ http (global)
|
||||||
|
Host other.proxy (dienst)
|
||||||
|
Port 3128 (global)
|
||||||
|
Benutzer - (dienst)
|
||||||
|
Kennwort - (dienst)
|
||||||
|
No-Proxy localhost,127.0.0.1,::1 (global)
|
||||||
|
Proxy-URL: http://other.proxy:3128
|
||||||
|
```
|
||||||
|
|
||||||
|
### Automatisierung (z.B. Ansible)
|
||||||
|
|
||||||
|
```yaml
|
||||||
|
- name: Proxy für Docker setzen
|
||||||
|
ansible.builtin.shell: >
|
||||||
|
svc-proxy global --proxy http://proxy.firma.local:3128 --no-restart &&
|
||||||
|
svc-proxy set docker.service --restart
|
||||||
|
```
|
||||||
|
|
||||||
|
Rückgabewert: `0` bei Erfolg, `1` bei Fehler (ungültige Eingabe, fehlende Rechte,
|
||||||
|
fehlgeschlagener Neustart).
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## Prüfen, ob es wirkt
|
||||||
|
|
||||||
|
```bash
|
||||||
|
systemctl cat docker.service # zeigt das Drop-in
|
||||||
|
sudo cat /proc/$(systemctl show -p MainPID --value docker)/environ | tr '\0' '\n' | grep -i proxy
|
||||||
|
```
|
||||||
|
|
||||||
|
## Deinstallation
|
||||||
|
|
||||||
|
```bash
|
||||||
|
sudo svc-proxy unset --all --restart
|
||||||
|
sudo rm -rf /etc/svc-proxy /usr/local/sbin/svc-proxy
|
||||||
|
```
|
||||||
Binary file not shown.
Reference in New Issue
Block a user