svc-proxy – Proxy für systemd-Dienste

svc-proxy legt fest, über welchen Proxy ein systemd-Dienst seine Verbindungen aufbaut. Bedienen lässt es sich auf zwei Wegen:

• ncurses-Menü: listet alle Dienste auf. Man wählt einen aus und trägt die Daten bequem ein.
• Kommandozeile: für Skripte, Ansible, Provisionierung usw.

Es gibt einen globalen Proxy. Alle Felder, die man bei einem Dienst leer lässt, übernehmen den globalen Wert. Explizit gesetzte Werte beim Dienst gelten vorrangig. Benutzername und Kennwort sind optional; ohne sie wird der Proxy ohne Anmeldung genutzt.

Abhängigkeiten: nur python3 (≥ 3.6) mit den Standardmodulen. curses ist bei Debian/Ubuntu/RHEL im Python-Paket enthalten.

---

Installation

sudo install -m 0755 svc-proxy /usr/local/sbin/svc-proxy

Danach sudo svc-proxy (Menü) oder svc-proxy --help (Hilfe).

---

Funktionsweise

Für jeden konfigurierten Dienst werden zwei Dateien erzeugt:

Datei	Inhalt	Rechte
/etc/systemd/system/<dienst>.d/50-svc-proxy.conf	Drop-in mit EnvironmentFile=	0644
/etc/svc-proxy/env/<dienst>.env	die eigentlichen Proxy-Variablen	0600

Die Konfiguration selbst (global + alle Dienste) liegt in /etc/svc-proxy/config.json (0600). Die Drop-ins und Env-Dateien werden daraus generiert und sollten nicht von Hand bearbeitet werden.

Gesetzt werden die Variablen

http_proxy  https_proxy  ftp_proxy  all_proxy  no_proxy
HTTP_PROXY  HTTPS_PROXY  FTP_PROXY  ALL_PROXY  NO_PROXY

Warum EnvironmentFile= und nicht Environment=? Werte aus Environment= kann jeder Benutzer mit systemctl show <dienst> auslesen, also auch ein Proxy-Kennwort. Die Env-Datei ist nur für root lesbar.

Sonderzeichen in Benutzername/Kennwort (z.B. @, :, /) werden automatisch URL-kodiert.

Wichtige Einschränkung

Der Proxy wirkt nur bei Programmen, die die Proxy-Umgebungsvariablen auswerten. Das tun die meisten (curl, wget, apt, pip, Python requests/urllib, Go, Node mit passenden Libs, Docker-Daemon, containerd, Git, ...). Programme, die die Variablen ignorieren (z.B. viele Java-Anwendungen ohne -Dhttp.proxyHost), müssen anders konfiguriert werden. Eine Netzwerk-Sperre ist das nicht: Ein Programm kann den Proxy umgehen.

SOCKS-Proxys (socks5://, socks5h://) werden ebenfalls in alle Variablen geschrieben. Das funktioniert z.B. mit curl und Go. Manche Programme verstehen in http_proxy aber nur http://.

---

Vererbung: Dienst ↔ global

Felder: Typ, Host, Port, Benutzer, Kennwort, No-Proxy

Feld beim Dienst	Ergebnis
Typ / Host / Port / No-Proxy leer	globaler Wert
Typ / Host / Port / No-Proxy gesetzt	Wert des Dienstes
Benutzer leer und Host leer	globale Zugangsdaten
Benutzer leer, eigener Host	Proxy ohne Anmeldung
Benutzer gesetzt	Benutzer + Kennwort des Dienstes

Die Sonderregel für Benutzer/Kennwort verhindert, dass globale Zugangsdaten an einen fremden Proxy geschickt werden.

Ändert man den globalen Proxy, werden alle Dienste, die ihn ganz oder teilweise erben, automatisch neu geschrieben. Wird der globale Proxy gelöscht, verlieren Dienste ohne eigenen Host ihren Proxy. Ihre Konfiguration bleibt aber gespeichert und wird wieder aktiv, sobald ein globaler Proxy gesetzt ist.

---

ncurses-Menü

sudo svc-proxy

 svc-proxy 1.0.0 – Proxy für systemd-Dienste
 Global: http://max:****@proxy.firma.local:3128   No-Proxy: localhost,127.0.0.1,::1
 220 Dienste
    Dienst                         Status     Proxy
 G  cron.service                   active     global → http://max:****@proxy.firma.local:3128
 E* docker.service                 active     eigen  → socks5h://10.1.1.1:1080
    nginx.service                  inactive
 ...
 ↑↓ Wählen  Enter Bearbeiten  g Global  Entf Proxy entfernen  / Filter  c Nur konfigurierte ...

Markierungen: G = nutzt globalen Proxy, E = eigene Werte, * = in dieser Sitzung geändert (Neustart noch offen).

Tasten in der Liste

Taste	Funktion
↑ ↓ / Bild↑ Bild↓ / Pos1 Ende	Dienst wählen
Enter	Proxy des Dienstes bearbeiten
g	globalen Proxy bearbeiten
Entf / d	Proxy vom Dienst entfernen
/	Filter (Name oder Beschreibung), Esc löscht den Filter
c	nur konfigurierte Dienste anzeigen (an/aus)
r	gewählten Dienst sofort neu starten
F5	Dienstliste neu einlesen
F1 / ?	Hilfe
q / F10	Beenden

Tasten im Formular

Taste	Funktion
Tab / ↑ ↓	Feld wechseln
← → / Leertaste	Proxy-Typ wählen (beim Dienst gibt es zusätzlich „global“)
Enter	nächstes Feld bzw. Schaltfläche auslösen
F2	Speichern
Strg+U	Feld leeren
Esc	Abbrechen

Leere Felder zeigen grau den globalen Wert an. Unter dem Formular steht live die Proxy-URL, die sich ergibt. Ungültige Eingaben werden nicht gespeichert.

Nach jedem Speichern läuft systemctl daemon-reload. Beim Beenden erscheint eine Liste der geänderten Dienste: Diese kann man an- und abwählen und neu starten lassen.

---

Kommandozeile

svc-proxy [BEFEHL] [OPTIONEN]

Befehl	Beschreibung
(keiner) / tui	Menü starten
list [--all]	konfigurierte Dienste (mit --all: alle Dienste)
show [DIENST]	effektive Werte eines Dienstes inkl. Herkunft; ohne DIENST: global
global [FELDER]	globalen Proxy setzen/ändern; ohne FELDER: anzeigen
global --clear	globalen Proxy löschen
set DIENST... [FELDER] [--reset]	Proxy für Dienst(e) setzen/ändern
unset DIENST... / unset --all	Proxy entfernen
apply	alle Drop-ins aus der Konfiguration neu erzeugen
help, -h, --help	Hilfe mit Beispielen

Felder

Option	Bedeutung
--proxy URL	komplette URL, z.B. http://user:pass@proxy:3128; setzt Typ, Host, Port, Benutzer, Kennwort
--type TYP	http, https, socks5, socks5h, socks4
--host HOST	Hostname / IP
--port PORT	1–65535
--user NAME	Benutzername
--password PW	Kennwort (in ps sichtbar!)
--password-stdin	Kennwort aus der Standardeingabe lesen (empfohlen)
--no-proxy LISTE	Ausnahmen, kommagetrennt

• Bei set und global werden nur die angegebenen Felder geändert, der Rest bleibt.
• Leerer Wert leert ein Feld: --user "".
• set DIENST --reset leert vorher alle Felder, der Dienst nutzt danach komplett den globalen Proxy.
• Ein neuer Dienst ohne Felder (set DIENST) nutzt den globalen Proxy.
• Dienstnamen ohne Endung bekommen automatisch .service angehängt.
• Beim ersten Setzen des globalen Proxys ist No-Proxy standardmäßig localhost,127.0.0.1,::1.

Neustart und Reload

Option	Wirkung
(nichts)	im Terminal Nachfrage [j/N]; ohne Terminal (Cron, Skript) kein Neustart
--restart	geänderte Dienste ohne Nachfrage neu starten
--no-restart	nicht neu starten, nicht fragen
--no-reload	kein systemctl daemon-reload

Neu gestartet wird mit systemctl try-restart, also nur Dienste, die gerade laufen. Gestoppte Dienste werden nicht gestartet.

Weitere Optionen

Option	Bedeutung
--config-dir DIR	anderes Konfigurationsverzeichnis (Standard /etc/svc-proxy)
--systemd-dir DIR	anderes Ziel für Drop-ins (Standard /etc/systemd/system)
-V, --version	Version

Mit --config-dir/--systemd-dir läuft das Skript auch ohne root. Das ist praktisch zum Testen, z.B. zusammen mit --no-reload.

---

Beispiele

# Menü
sudo svc-proxy

# Globaler Proxy ohne Anmeldung
sudo svc-proxy global --proxy http://proxy.firma.local:3128

# Globaler Proxy mit Anmeldung, Kennwort nicht in der Prozessliste
echo 'geheim' | sudo svc-proxy global --proxy http://proxy:3128 --user max --password-stdin
# oder aus einer Datei / einem Secret-Store
sudo svc-proxy global --user max --password-stdin < /root/proxy.pw

# Ausnahmen für den globalen Proxy
sudo svc-proxy global --no-proxy localhost,127.0.0.1,::1,.firma.local,10.0.0.0/8

# Mehrere Dienste nutzen den globalen Proxy, sofort neu starten
sudo svc-proxy set docker containerd nginx --restart

# Eigener SOCKS-Proxy ohne Anmeldung für einen Dienst
sudo svc-proxy set myapp --proxy socks5h://10.1.1.1:1080

# Nur anderer Host, Port/Typ/No-Proxy kommen vom globalen Proxy,
# keine Anmeldung (eigener Host ohne Benutzer)
sudo svc-proxy set backup --host proxy2.firma.local

# Nur den Port ändern
sudo svc-proxy set myapp --port 1081 --no-restart

# Zurück auf den globalen Proxy
sudo svc-proxy set myapp --reset

# Entfernen
sudo svc-proxy unset myapp --restart
sudo svc-proxy unset --all --no-restart

# Anzeigen
sudo svc-proxy list
sudo svc-proxy list --all
sudo svc-proxy show docker
sudo svc-proxy show            # globaler Proxy

Beispielausgabe von show:

Dienst:    ssh.service
Status:    active
Modus:     eigene Werte (leere Felder = global)
  Proxy-Typ  http                                (global)
  Host       other.proxy                         (dienst)
  Port       3128                                (global)
  Benutzer   -                                   (dienst)
  Kennwort   -                                   (dienst)
  No-Proxy   localhost,127.0.0.1,::1             (global)
Proxy-URL: http://other.proxy:3128

Automatisierung (z.B. Ansible)

- name: Proxy für Docker setzen
  ansible.builtin.shell: >
    svc-proxy global --proxy http://proxy.firma.local:3128 --no-restart &&
    svc-proxy set docker.service --restart

Rückgabewert: 0 bei Erfolg, 1 bei Fehler (ungültige Eingabe, fehlende Rechte, fehlgeschlagener Neustart).

---

Prüfen, ob es wirkt

systemctl cat docker.service              # zeigt das Drop-in
sudo cat /proc/$(systemctl show -p MainPID --value docker)/environ | tr '\0' '\n' | grep -i proxy

Deinstallation

sudo svc-proxy unset --all --restart
sudo rm -rf /etc/svc-proxy /usr/local/sbin/svc-proxy