تعاریف (اصطلاحات کلیدی)

🔹 Jailshell (شل زندانی یا محدود‌شده): یک محیط خط فرمان امن که دسترسی کاربر را فقط به دایرکتوری‌های مشخص محدود می‌کند. این باعث می‌شود کاربر نتواند به فایل‌های سیستمی خارج از محدوده خودش دسترسی داشته باشد.

🔹 Virtuozzo / OpenVZ VPS: پلتفرم‌های مجازی‌سازی سرور هستند که امکان ایجاد چندین سرور مجازی (VPS) روی یک سرور فیزیکی را فراهم می‌کنند.

🔹 /proc: یک دایرکتوری مجازی در لینوکس که اطلاعات مربوط به پردازش‌ها (Processes) و سیستم را نمایش می‌دهد. در حالت عادی دسترسی کامل به /proc می‌تواند امنیت را کاهش دهد.

🔹 CLONE_NEWPID flag: یک پرچم (flag) در سیستم‌عامل لینوکس برای ایجاد namespace جدید برای شناسه‌های پردازش‌ها (Process IDs). این ویژگی باعث می‌شود کاربران در محیط خودشان فقط پردازش‌های مربوط به خودشان را ببینند.

🔹 sys_admin capability: یک سطح دسترسی خاص در لینوکس که به کاربر یا پردازش اجازه‌ی انجام تغییرات سیستمی و مدیریتی می‌دهد. فعال کردن آن روی VPS می‌تواند مشکلات پایداری (Stability Issues) ایجاد کند.

🔹 nproc limit: محدودیت تعداد پردازش‌هایی که یک کاربر می‌تواند هم‌زمان اجرا کند. این تنظیم در فایل limits.conf قرار دارد.

🔹 mod_ruid2: یک ماژول آپاچی (Apache Module) که به هر پردازش وب‌سرور اجازه می‌دهد با شناسه‌ی کاربری (UID) مربوط به کاربر سایت اجرا شود. این باعث افزایش امنیت می‌شود، اما گاهی در محیط‌های Jailshell مشکلاتی مثل خطای اتصال MySQL ایجاد می‌کند.

🔹 Loop device: یک نوع دستگاه مجازی در لینوکس که امکان استفاده از فایل‌ها به‌عنوان دیسک مجازی (block device) را می‌دهد. محدودیت تعداد loop device در OpenVZ می‌تواند خطاهای MySQL ایجاد کند.

مرور کلی

این مستند به بررسی مشکلات رایج در سیستم‌هایی می‌پردازد که از محیط شل محدود (Jailshell) در سرورهای مجازی (VPS) مبتنی بر Virtuozzo یا OpenVZ استفاده می‌کنند. هدف این است که دلایل اصلی بروز خطاها مشخص شود و راهکارهای پیشنهادی برای رفع آن‌ها ارائه گردد.

۱. محدودیت‌های کاربر و Mount

برخی کاربران گزارش کرده‌اند که هنگام تلاش برای mount کردن بیش از ۴۰۰۰ هدف (targets) در یک محیط Virtuozzo، با مشکلاتی در کارایی (Performance) و اتصال (Connection) روبه‌رو می‌شوند.
اگر به تعداد زیادی کاربر با Jailshell نیاز دارید و با این محدودیت مواجه شدید، بهتر است به فکر استفاده از پلتفرم مجازی‌سازی دیگری باشید که چنین محدودیتی نداشته باشد.

۲. /proc کامل برای کاربران Jailshell

در برخی موارد، کاربران Jailshell به جای یک /proc محدود، به یک /proc کامل دسترسی دارند؛ حتی اگر شما در تنظیمات WHM گزینه‌ی Jailed /proc mount را انتخاب کرده باشید.
این مشکل باعث می‌شود کاربران بتوانند کل لیست پردازش‌های سرور را ببینند، که یک ریسک امنیتی محسوب می‌شود.

روش بررسی مشکل:

۱. با یک کاربر Jailshell از طریق SSH وارد سرور شوید.
2. دستور زیر را اجرا کنید:

ps axu

3. اگر خروجی شامل تمام پردازش‌های سرور بود، پس کاربر دسترسی کامل به /proc دارد.

دلیل بروز مشکل:

این مشکل به خاطر آن است که فراخوانی سیستمی clone() پرچم CLONE_NEWPID را پشتیبانی نمی‌کند. برای رفع آن باید قابلیت sys_admin برای این فراخوانی فعال شود.

راه‌حل:

با دستور زیر قابلیت sys_admin را فعال کنید:

vzctl set CTID –save –capability sys_admin:on

⚠️ هشدار:
پشتیبانی Parallels توصیه نمی‌کند که در سرورهای تولیدی (Production) این قابلیت را فعال کنید، چون ممکن است باعث مشکلات پایداری و حتی Crash شدن Node شود. این راهکار فقط به‌عنوان یک دور زدن (Workaround) مطرح شده است.

۳. خطای “Unable to set uids”

در برخی مواقع، وقتی کاربران می‌خواهند به Jailshell دسترسی پیدا کنند، با خطای زیر مواجه می‌شوند:

Unable to set uids

دلیل بروز مشکل:

این خطا معمولاً به خاطر مقادیر سفارشی سخت nproc در فایل زیر ایجاد می‌شود:

/etc/security/limits.conf

تنظیمات سفارشی در این فایل می‌تواند باعث اختلال در ساخت اکانت‌ها یا اجرای Jailshell شود.

راه‌حل:

مقادیر nproc را به حالت پیش‌فرض برگردانید.

۴. خطاهای اتصال MySQL

در برخی سایت‌ها ممکن است پس از فعال‌سازی گزینه‌ی:
Jail Apache Virtual Hosts using mod_ruid2 and cPanel jailshell
در بخش Tweak Settings (WHM » Home » Server Configuration » Tweak Settings)، خطاهای مربوط به اتصال MySQL نمایش داده شوند.

دلیل بروز مشکل:

این خطا معمولاً به خاطر محدودیت Loop Device در OpenVZ است.

راه‌حل:

برای رفع مشکل باید تعداد loop device را افزایش دهید:

1. در فایل /etc/grub.conf مقدار زیر را به پارامترهای کرنل اضافه کنید: max_loop=256
2. سرور را ریستارت کنید.
3. سپس دستور زیر را اجرا کنید: /sbin/MAKEDEV -v /dev/loop
4. این مراحل باید هم روی Node اصلی VPS و هم روی کانتینر VPS تکرار شود.

✅ با دنبال کردن مراحل بالا می‌توانید مشکلات رایج Jailshell در محیط‌های Virtuozzo و OpenVZ را شناسایی و رفع کنید. با این حال، در برخی موارد به دلیل محدودیت‌های ذاتی این پلتفرم‌ها، توصیه می‌شود از یک فناوری مجازی‌سازی دیگر برای پایداری و امنیت بهتر استفاده کنید.

کیان پور