[Beantwortet] [V3.5.1] Ubuntu-Container via Portainer installieren und per ssh zugreifen?

[starwarsfan]

Hallo Rolf

Nur um das abzuschliessen:

Ich habe das Standard-Debian-Paket genommen, konnte aber keine Pakete nachinstallieren ("apt" bricht da ab).

Das passt irgendwie nicht so recht zusammen. Was genau soll denn das "Standard-Debian-Paket" sein?

[rowitech]

Das hier: https://hub.docker.com/_/debian

"Docker pull debian". Gibt es noch ein anderes Debian-Paket?

[Chris M.]

Mit ist durchaus bewusst, wie Docker an sich funktioniert und dass ein volständiges Linux da gern als Overkill bezeichnet wird. Andererseits ist es "um mal eben eine Maschine hochzufahren und eben mal was zu testen, ohne die eigene große Maschine zu verbasteln" durchaus angenehm und ich dachte, das wäre hier auch möglich.

Ich glaube Du suchst nach einer Virtuellen Maschine - die dann auch besser lokal bei dir läuft. In der kannst Du dann installieren und interaktiv agieren wie Du willst.

Bei Docker hat man (der Philosophie nach) pro Container nur genau einen Prozess. Und den "installiert" man per Docker-File das dann das Image baut.

[starwarsfan]

Hi

Das hier: https://hub.docker.com/_/debian

"Docker pull debian". Gibt es noch ein anderes Debian-Paket?

Wir sprechen bei Docker nicht von Paketen sondern von Images und welche es da noch so gibt, siehst Du direkt auf der verlinkten Seite.

Mit einem "docker pull debian" bekommst Du einfach die Latest-Version und das ist Debian Bookworm. Was da nun aber genau drin steckt bzw. nicht drin steckt, kann ich nicht sagen. Da müsste ich auch erst ins Dockerfile schauen.

Aber jetzt kommen wir zum eigentlichen Problem. Mir war es unerklärlich, warum dort kein apt funktionieren sollte, also habe ich es direkt selber ausprobiert. Und was soll ich sagen, weder auf dem 3500er (AARCH64) noch auf dem 2500er (X86_64) funktioniert das. Allerdings ist es nicht so, dass es gar nicht funktioniert sondern es gibt einen Zertifikatsfehler:

Code: Alles auswählen

root@02ea715e9ac2:/# apt update
Get:1 http://deb.debian.org/debian bookworm InRelease [151 kB]
Get:2 http://deb.debian.org/debian bookworm-updates InRelease [52.1 kB]
Get:3 http://deb.debian.org/debian-security bookworm-security InRelease [48.0 kB]
Err:1 http://deb.debian.org/debian bookworm InRelease
  The following signatures couldn't be verified because the public key is not available: NO_PUBKEY 0E98404D386FA1D9 NO_PUBKEY 6ED0E7B82643E131 NO_PUBKEY F8D2585B8783D481
Err:2 http://deb.debian.org/debian bookworm-updates InRelease
  The following signatures couldn't be verified because the public key is not available: NO_PUBKEY 0E98404D386FA1D9 NO_PUBKEY 6ED0E7B82643E131
Err:3 http://deb.debian.org/debian-security bookworm-security InRelease
  The following signatures couldn't be verified because the public key is not available: NO_PUBKEY 54404762BBB6E853 NO_PUBKEY BDE6D2B9216EC7A8
Reading package lists... Done
W: GPG error: http://deb.debian.org/debian bookworm InRelease: The following signatures couldn't be verified because the public key is not available: NO_PUBKEY 0E98404D386FA1D9 NO_PUBKEY 6ED0E7B82643E131 NO_PUBKEY F8D2585B8783D481
E: The repository 'http://deb.debian.org/debian bookworm InRelease' is not signed.
N: Updating from such a repository can't be done securely, and is therefore disabled by default.
N: See apt-secure(8) manpage for repository creation and user configuration details.
W: GPG error: http://deb.debian.org/debian bookworm-updates InRelease: The following signatures couldn't be verified because the public key is not available: NO_PUBKEY 0E98404D386FA1D9 NO_PUBKEY 6ED0E7B82643E131
E: The repository 'http://deb.debian.org/debian bookworm-updates InRelease' is not signed.
N: Updating from such a repository can't be done securely, and is therefore disabled by default.
N: See apt-secure(8) manpage for repository creation and user configuration details.
W: GPG error: http://deb.debian.org/debian-security bookworm-security InRelease: The following signatures couldn't be verified because the public key is not available: NO_PUBKEY54404762BBB6E853 NO_PUBKEY BDE6D2B9216EC7A8
E: The repository 'http://deb.debian.org/debian-security bookworm-security InRelease' is not signed.
N: Updating from such a repository can't be done securely, and is therefore disabled by default.
N: See apt-secure(8) manpage for repository creation and user configuration details.
root@02ea715e9ac2:/#

Interessant ist nun aber, dass das problemlos geht, wenn ich das auf einer anderen Maschine hier im Netz mache:

Code: Alles auswählen

❯ docker run --rm -it debian:latest bash
root@898091e6135c:/# apt update && apt upgrade && apt autoremove
Get:1 http://deb.debian.org/debian bookworm InRelease [151 kB]
Get:2 http://deb.debian.org/debian bookworm-updates InRelease [52.1 kB]
Get:3 http://deb.debian.org/debian-security bookworm-security InRelease [48.0 kB]
Get:4 http://deb.debian.org/debian bookworm/main amd64 Packages [8786 kB]
Get:5 http://deb.debian.org/debian bookworm-updates/main amd64 Packages [12.7 kB]
Get:6 http://deb.debian.org/debian-security bookworm-security/main amd64 Packages [137 kB]
Fetched 9187 kB in 3s (2965 kB/s)
Reading package lists... Done
Building dependency tree... Done
Reading state information... Done
7 packages can be upgraded. Run 'apt list --upgradable' to see them.
Reading package lists... Done
Building dependency tree... Done
Reading state information... Done
Calculating upgrade... Done
The following packages will be upgraded:
  base-files libgnutls30 libsystemd0 libudev1 tar tzdata usr-is-merged
7 upgraded, 0 newly installed, 0 to remove and 0 not upgraded.
Need to get 3053 kB of archives.
After this operation, 6144 B of additional disk space will be used.
Do you want to continue? [Y/n] y
Get:1 http://deb.debian.org/debian bookworm/main amd64 base-files amd64 12.4+deb12u5 [70.8 kB]
Get:2 http://deb.debian.org/debian bookworm/main amd64 tar amd64 1.34+dfsg-1.2+deb12u1 [836 kB]
Get:3 http://deb.debian.org/debian bookworm/main amd64 libgnutls30 amd64 3.7.9-2+deb12u2 [1404 kB]
Get:4 http://deb.debian.org/debian bookworm/main amd64 libsystemd0 amd64 252.22-1~deb12u1 [331 kB]
Get:5 http://deb.debian.org/debian bookworm/main amd64 libudev1 amd64 252.22-1~deb12u1 [108 kB]
Get:6 http://deb.debian.org/debian bookworm/main amd64 usr-is-merged all 37~deb12u1 [5616 B]
Get:7 http://deb.debian.org/debian bookworm/main amd64 tzdata all 2024a-0+deb12u1 [297 kB]
Fetched 3053 kB in 2s (1819 kB/s)
debconf: delaying package configuration, since apt-utils is not installed
(Reading database ... 6098 files and directories currently installed.)
Preparing to unpack .../base-files_12.4+deb12u5_amd64.deb ...
Unpacking base-files (12.4+deb12u5) over (12.4+deb12u4) ...
Setting up base-files (12.4+deb12u5) ...
Installing new version of config file /etc/debian_version ...
(Reading database ... 6098 files and directories currently installed.)
Preparing to unpack .../tar_1.34+dfsg-1.2+deb12u1_amd64.deb ...
Unpacking tar (1.34+dfsg-1.2+deb12u1) over (1.34+dfsg-1.2) ...
Setting up tar (1.34+dfsg-1.2+deb12u1) ...
(Reading database ... 6098 files and directories currently installed.)
Preparing to unpack .../libgnutls30_3.7.9-2+deb12u2_amd64.deb ...
Unpacking libgnutls30:amd64 (3.7.9-2+deb12u2) over (3.7.9-2+deb12u1) ...
Setting up libgnutls30:amd64 (3.7.9-2+deb12u2) ...
(Reading database ... 6098 files and directories currently installed.)
Preparing to unpack .../libsystemd0_252.22-1~deb12u1_amd64.deb ...
Unpacking libsystemd0:amd64 (252.22-1~deb12u1) over (252.19-1~deb12u1) ...
Setting up libsystemd0:amd64 (252.22-1~deb12u1) ...
(Reading database ... 6098 files and directories currently installed.)
Preparing to unpack .../libudev1_252.22-1~deb12u1_amd64.deb ...
Unpacking libudev1:amd64 (252.22-1~deb12u1) over (252.19-1~deb12u1) ...
Setting up libudev1:amd64 (252.22-1~deb12u1) ...
(Reading database ... 6098 files and directories currently installed.)
Preparing to unpack .../usr-is-merged_37~deb12u1_all.deb ...
Unpacking usr-is-merged (37~deb12u1) over (35) ...
Setting up usr-is-merged (37~deb12u1) ...
removed '/lib32'
rmdir: removing directory, '/usr/lib32'
removed '/libx32'
rmdir: removing directory, '/usr/libx32'
(Reading database ... 6098 files and directories currently installed.)
Preparing to unpack .../tzdata_2024a-0+deb12u1_all.deb ...
Unpacking tzdata (2024a-0+deb12u1) over (2023c-5+deb12u1) ...
Setting up tzdata (2024a-0+deb12u1) ...
debconf: unable to initialize frontend: Dialog
debconf: (No usable dialog-like program is installed, so the dialog based frontend cannot be used. at /usr/share/perl5/Debconf/FrontEnd/Dialog.pm line 78.)
debconf: falling back to frontend: Readline
debconf: unable to initialize frontend: Readline
debconf: (Can't locate Term/ReadLine.pm in @INC (you may need to install the Term::ReadLine module) (@INC contains: /etc/perl /usr/local/lib/x86_64-linux-gnu/perl/5.36.0 /usr/local/share/perl/5.36.0 /usr/lib/x86_64-linux-gnu/perl5/5.36 /usr/share/perl5 /usr/lib/x86_64-linux-gnu/perl-base /usr/lib/x86_64-linux-gnu/perl/5.36 /usr/share/perl/5.36 /usr/local/lib/site_perl) at /usr/share/perl5/Debconf/FrontEnd/Readline.pm line 7.)
debconf: falling back to frontend: Teletype

Current default time zone: 'Etc/UTC'
Local time is now:      Mon Feb 12 21:00:39 UTC 2024.
Universal Time is now:  Mon Feb 12 21:00:39 UTC 2024.
Run 'dpkg-reconfigure tzdata' if you wish to change it.

Processing triggers for libc-bin (2.36-9+deb12u4) ...
Reading package lists... Done
Building dependency tree... Done
Reading state information... Done
0 upgraded, 0 newly installed, 0 to remove and 0 not upgraded.
root@898091e6135c:/#

@ms20de Hast Du eine Idee, ob der TW hier irgendwie beim https dazwischen funkt und mglw. ein Zertifikat-Store abgelaufen ist? Der Image-Hash ist der gleiche auf dem 2500er und auf meiner anderen Maschine, somit ist es exakt die gleiche Image-Version. Ich hab's dann auch noch mit Ubuntu versucht und kann dort ebenfalls kein apt update machen.

[rowitech]

Danke Yves,

und so wie ich gelesen habe, führt der Zertifikatsfehler in die Irre, denn es soll sich wohl nicht ursächlich um einen Zertifikatsfehler handeln (den ich beheben wollte, aber es nicht schaffte, auch ein --ignore brachte keine Besserung), sondern es soll sich um Zugriffsrechtefehler (von wem auf was auch immer) handeln aufgrund von verschärften Sicherheitsmaßnahmen, die dann wiederum "alte Portainer" nicht verwerten können.

Nun ist der Portainer auf dem TWS wohl nicht primär dafür gedacht, ganze Linuxe laufen zu lassen (ja, das geht auch im Container, auch wenn die Ideologie eine andere ist), das ist völlig ok. Es war nur ein "ist halt schon da, kannste dann auch eben dafür nutzen"-Gedanke.

Grüße,
Rolf

[ms20de]

@ms20de Hast Du eine Idee, ob der TW hier irgendwie beim https dazwischen funkt und mglw. ein Zertifikat-Store abgelaufen ist? Der Image-Hash ist der gleiche auf dem 2500er und auf meiner anderen Maschine, somit ist es exakt die gleiche Image-Version. Ich hab's dann auch noch mit Ubuntu versucht und kann dort ebenfalls kein apt update machen.

Ich kann leider gerade nicht das komplette Problem analysieren, wir sind gerade in der SW-Entwicklung sehr ausgelastet, aber ein paar Infos die vielleicht weiterhelfen:

Ich glaube es handelt sich um kein Problem, was direkt durch den Timberwolf ausgelöst wird.
Wie in dem Output zu sehen, werden die Daten von apt per http ohne s im Klartext geladen.
Die Zertifikate die hier angezeigt werden sind dafür da den Inhalt des Paket Repositories, also das war heruntergeladen wurde zu validieren, damit nicht ein externer Angreifer den Code bei der Übertragung modifizieren kann.

Wenn ich die Fehlermeldung lese, dann würde ich als erstes darauf Tippen dass die Zertifikate nicht im Container Image vorhanden sind. Wenn es aber mit dem selben Image auf einen anderen PC geht, dann hat wahrscheinlich APT selbst ein Problem. Aus Erfahrung weiß ich dass es einige Ressourcen benötigt die nicht immer offensichtlich sind und vielleicht am Timberwolf nicht zu Verfügung oder in einer älteren Version vorhanden sind. Vielleicht wäre es einen Versuch wert eine Image von einer älteren Debian Version zu testen.

Grundsätzlich wäre das Vorgehen direkt den Container upzudaten und Pakete zu installieren nicht das ideale Vorgehen bei Containern.
Das Container-Image sollte schon alle Programme enthalten die benötigt werden und darin sollten keine Änderungen vorgenommen werden, wo es schlecht wäre wenn die Änderung weg wäre. D.h. man sollte ein Image des Containers z.B auf einem PC bauen, dabei wird APT aufgerufen und danach das Image zu Docker HUB hochladen. Bei der Ausführung auf den TWS wird das Image nicht verändert und wenn es einen neuen TWS gibt oder andere Nutzer das Image nutzen wollen dann ist es nicht "gefangen" auf dem TWS.

Viele Grüße,
Matthias