Как правильно разрешить прослушивание привилегированного порта Java-приложению?

Question

[izstas]

Имеется сервер с Debian Squeeze, имеется JRE 7 от Oracle, имеется Java-приложение, которому нужно прослушивать несколько привилегированных портов (ниже 1024).


Способы, которые я пробовал:

1. authbind — не поддерживает IPv6 и, что странно, работает только для портов ниже 512.
   
2. Переадресация через iptables — увы, ip6tables его не поддерживает.
   
3. Разрешение CAP_NET_BIND_SERVICE через setcap — JRE начинает выдавать при запуске ошибку
   

   java: error while loading shared libraries: libjli.so: cannot open shared object file: No such file or directory

   
   

Какие пути ещё есть? Проект, конечно, личный и запускать его от root можно (что я и делаю сейчас), но хотелось бы сделать более правильно.

Comments

[YourChief]

а какие именно это порты? нет ли готовых программных балансеров/обратных прокси для них?

Answer 1

[YourChief]

а если rinetd?

Comments

[izstas]

Т.е. вы предлагаете сделать переадресацию на непривилегированный порт и слушать его?
Есть ли поддержка IPv6?

[YourChief]

ага. предлагаю. не знаю, думал вы проверите

[YourChief]

похоже, не поддерживает. у меня в запасе осталось одно решение, которое точно сработает, но оно слишком отчаянное. если ничего не придумаете, загляните под спойлер.

last resort solution

использовать xinetd, нацеленный на прослушивание AF_INET6 порта, который запускал бы nc6 в качестве бакэнда с нужным адресом и портом в аргументе. небольшой плюс заключается в том, что можно тогда слушать джава-приложением только inet4-интерфейс, а вот таким образом собирать и на него inet6-соединения. минусы — их много =)

Answer 2

[hard0ff]

Создайте отдельного системного пользователя: useradd -r

Answer 3

[ivnik]

Можно ещё собрать своё ядро, для этого в файле .../include/net/sock.h заменить PROT_SOCK с 1024 на 0.
Хотя этот вариант не всегда возможен и понижает безопасность системы.

Answer 4

[johndow]

Не знаю насколько это вам подойдёт, но можно сделать с использованием Commons Daemon. Он позволяет запустить и инициализировать приложение (забиндиться на порты меньше 1024 например) от рута, а после сбросить привилегии до уровня необходимого вам юзера.

Comments

[izstas]

Выглядит интересно, почитаю.