Как я могу без интерактивного вмешательства заменить iptables на iptables-nft в Arch Linux?

Содержание

Вопрос или проблема
Ответ или решение
Шаг 1: Использование pacman для удаления iptables
Шаг 2: Подготовка Dockerfile
Объяснение команд
Возможные проблемы и их решение
Заключение

Вопрос или проблема

Я пытаюсь создать Dockerfile для образа Arch Linux с установленным iptables-nft. Если я запускаю Docker-образ archlinux в интерактивном режиме, а затем выполняю pacman -Syu iptables-nft, мне задают вопрос iptables-nft-1:1.8.10-2 и iptables-1:1.8.10-2 конфликтуют. Удалить iptables? [y/N] и Продолжить установку? [Y/n]. Ответив «да» на оба этих вопроса, я получаю желаемый результат.

Проблема возникает, когда я пытаюсь сделать это в скрипте Dockerfile, где я не могу интерактивно ответить на эти вопросы. Моя первая попытка была RUN pacman --noconfirm -Syu iptables-nft, но это не работает, потому что --noconfirm означает принять ответ по умолчанию, а ответ по умолчанию на первый вопрос — «нет». Затем я попробовал сначала удалить iptables, прежде чем установить iptables-nft, но iproute2 зависит либо от iptables, либо от iptables-nft, а base зависит от iproute2.

Это оставляет мне несколько подходов, которые технически работают, но все они вызывают у меня беспокойство:

RUN yes | pacman -Syu iptables-nft работает, но слепое подтверждение y на любой вопрос, который когда-либо задаст pacman, может привести к проблемам, если он когда-либо задаст вопрос, не относящийся к «да» или «нет», и если он когда-либо задаст вопросы по умолчанию, на которые ответ — «нет», кроме «Удалить iptables?», будет, вероятно, неправильно слепо отвечать «да» и на них.
RUN pacman --noconfirm -Rdd iptables && pacman --noconfirm -Syu iptables-nft работает, но если iptables когда-либо получит зависимости, которые iptables-nft не удовлетворяет, это оставит мне сломанную систему, и если есть какие-либо пакеты, которые были установлены только потому, что старый iptables нуждался в них, они останутся навсегда.
RUN pacman --noconfirm -Rsdd iptables && pacman --noconfirm -Syu iptables-nft работает, но имеет тот же риск сломанной системы, что и #2, и также удаляет кучу других пакетов только для того, чтобы сразу их переустановить.

Существует ли лучшее решение, чем любое из вышеперечисленных? В идеале мне нужен эквивалент pacman для dnf swap, но я не могу найти ничего подобного.

Ответ или решение

Чтобы неинтерактивно заменить iptables на iptables-nft в образе Arch Linux с использованием Docker, вам понадобится сделать несколько шагов. К сожалению, в пакетном менеджере pacman нет прямого аналога команды dnf swap, что несколько усложняет процесс. Ниже приведены рекомендации по выполнению вашей задачи с учетом всех нюансов, упомянутых в вашем запросе.

Шаг 1: Использование `pacman` для удаления iptables

Для безопасного удаления iptables и установки iptables-nft мы можем использовать параметр --noconfirm, чтобы избежать интерактивных вопросов. Однако, прежде чем выполнять установку, очень важно учесть зависимости. Вам нужно будет удалить iptables, а затем установить iptables-nft, не нарушая работу системы. Вы можете использовать команду pacman -Rns для удаления пакетов вместе с их зависимостями.

Шаг 2: Подготовка Dockerfile

Вот как можно подготовить ваш Dockerfile для выполнения этой задачи:

FROM archlinux

# Установите необходимые для работы пакеты
RUN pacman -Sy --noconfirm base-devel

# Удалите iptables и установите iptables-nft
RUN pacman -Rns --noconfirm iptables && \
    pacman -S --noconfirm iptables-nft

# Установите другие необходимые пакеты
RUN pacman -Syu --noconfirm

Объяснение команд

pacman -Rns --noconfirm iptables: Эта команда удаляет iptables, а также пакеты, которые были установлены в качестве зависимостей iptables и больше не используются. Это безопасно, так как --noconfirm позволяет избежать интерактивных вопросов.
pacman -S --noconfirm iptables-nft: Устанавливает iptables-nft без дополнительных подтверждений.

Возможные проблемы и их решение

Зависимости: Если в будущем у пакета iptables появятся дополнительные зависимости, которые не будет иметь iptables-nft, это может привести к поломке системы. Чтобы избежать этого, периодически проверяйте зависимости пакетов и обновление системы.
Оставшиеся пакеты: Следует произвести проверку на предмет зависимостей, которые могут быть удалены вместе с iptables. Рекомендуется использовать pacman -Qdtq для поиска неиспользуемых пакетов и их удаления по мере необходимости.

Заключение

Следуя вышеприведенным шагам, вы сможете без проблем заменить iptables на iptables-nft в Arch Linux. Важно тестировать ваш образ после построения, чтобы убедиться, что все зависимости соблюдены и системы функционируют корректно. В случае появления новых зависимостей или изменений в структуре пакетов Arch Linux, возможно, потребуется адаптировать ваши команды для сохранения стабильности системы.