Re: Запуск гуевых прило жений в контейнере

Dmitry Alexandrov <[email protected]> Sat, 06 Jun 2020 19:14:14 +0300
Newsgroups	gmane.linux.debian.user.russian
Message-ID	<[email protected]>
Stanislav Vlasov <[email protected]> wrote:
> 03.06.2020, Dmitry Alexandrov<[email protected]> написал(а):
>>> Честно говоря, не в курсе, можно ли в контейнерах штатным образом запускать гуёвый софт с отображением его окон на локальных иксах без всяких ssh -X в контейнер
>>
>> Да, естественно, ибо с каких это пор Иксам стали требоваться всякие костыли типа ssh для отрисовки окон на другой машине?
>
> Ключевые слова - авторизация и шифрование.

Шифрование трафика виртуальной сети на локалхосте?  А авторизация в Иксах есть, вы же сами про нее ниже пишете.

> Ну и меньше геморроя - сравните манипуляции с опциями запуска иксов, потенциально открывающие дыру для всех + xhost и простой запуск ssh -X

Да оно понятно.  Но раз уж спросили про штатные средства...

>> 2. разрешить к нужной инстанции доступ для нужного контейнера:
>>
>> 	$ xhost +inet:192.168.122.11 $ xhost +inet6:fd34:fe56:7891:2f3a::11
>
> Сразу нет, я как-то не готов давать доступ любому приложению без хотя бы XAUTH.

Я вам, как бы, и не предлагаю. ;-) Мы обсуждали случай, когда у колоименного товарища вся настольная система в контейнере будет.

>> Единственное, я как-то так и не понял, работает ли это с link-local адресами, которые fe80::/10.  Кто понял, подскажите.
>
> А чем этот адрес от других ipv6 так сильно отличается

Тем, что он обязан быть уникальным только в пределах сети второго уровня.  А отсюда какой-нибудь fe80::5054:ff:fed1:a17d — он по-хорошему fe80::5054:ff:fed1:a17d%virbr0.

> в этом месте?

А конкретно в этом месте оно у меня в свое время просто не заработало.  А не-link-local — заработал.  Возможно, это связано, возможно — нет.

>> Другое дело, что толку-то?  Одних Иксов далеко не всякому гую достаточно.  Доступа к отрисовке на GPU Иксы же сами по себе не дают.
>
> Это совершенно другой вопрос - игры и игроподобные вещи

Да что там игры!  У нас даже GTK не прочь отрисовку на GPU заиметь.  Хотя GTK-то, конечно, без него обойдется, а вот, например, видеоплэйер уже нет.

> Скорее, поставить права на .Xauthority (вероятно, через setfacl) + пробрасывать данный файл тоже

Да по-хорошему токен не должен меняться против вашей воли, так можно его просто и скопировать.
signature.asc (application/pgp-signature, 511 B)