Создание полностью изолированных контейнеров в Termux через proot-dист и rootless-docker

Termux на Android — удобная среда для разработки, но по умолчанию она не является полноценным «контейнерным» решением уровня серверной инфраструктуры. Для повышения безопасности и повторяемости окружений часто требуется изоляция: отдельные корни файловой системы, ограничение видимости ресурсов, воспроизводимые зависимости.

В этом материале мы рассмотрим два подхода, которые корректно вписываются в реальность Termux и законодательства РФ: proot-dist (пользовательская песочница без root) и rootless-docker (контейнеры без привилегий root в пользовательском пространстве). Оба метода позволяют добиться сильной изоляции, не прибегая к установке привилегированных компонентов и не нарушая требования по безопасности и использованию ПО.

Важно: любые инструменты контейнеризации работают в рамках возможностей ядра устройства и ограничений Android. Успех зависит от версии Android, поддержки user namespaces и доступности ресурсов.

Что именно мы называем «полностью изолированным контейнером»

Под «полной изоляцией» в контексте Termux обычно понимают набор практических свойств:

Изолированная файловая система (свой rootfs для контейнера).
Изолированное окружение (отдельные переменные, пользователи, зависимости).
Разделение процессов (контейнер не должен «видеть» лишние процессы и файлы хоста Termux).
Минимальные привилегии (без root в системе Termux).

Ограничение: это не «железный» уровень виртуализации. На Android фактическая защита зависит от механизмов ядра и способа изоляции. Поэтому правильная цель — обеспечить строгую практическую изоляцию на уровне, доступном без привилегий.

Вариант 1: proot-dist (sandbox без root)

proot-dист — практичный способ запускать полноценные дистрибутивы в «пользовательском корне» без реального root-доступа. В результате вы получаете изолированную корневую файловую систему и возможность запускать команды так, будто вы в другом Linux-окружении.

Подготовка Termux

Начнем с обновления базовых пакетов и установки необходимых инструментов.

pkg update -y
pkg upgrade -y
pkg install -y proot tar wget ca-certificates

Создание корневой файловой системы (rootfs)

Рекомендуемый подход — выделить отдельную директорию под rootfs и хранить её внутри файловой системы Termux. Далее скачиваем архив корневой системы или собираем rootfs из подходящего источника.

Ниже пример для условного Debian/Ubuntu-совместимого rootfs (замените URL на актуальный источник вашей rootfs-архивной сборки):

mkdir -p ~/containers/proot-debian/rootfs
cd ~/containers/proot-debian/rootfs

wget -O rootfs.tar.gz "https://example.com/path/to/rootfs.tar.gz"
tar -xzf rootfs.tar.gz
rm -f rootfs.tar.gz

Если rootfs содержит уже настроенные пользователи/пакеты — отлично. Если нет — после входа в среду выполните базовую настройку.

Вход в изолированное окружение proot

Запускаем shell «внутри» rootfs. Ключевая идея: proot подменяет корень и монтирования таким образом, чтобы процессы внутри считали себя находящимися в отдельной системе.

cd ~/containers/proot-debian
proot -0 -r rootfs 
  -w /root 
  -b /dev 
  -b /proc 
  -b /sys 
  /bin/bash

Практические меры усиления изоляции в proot

Не бинди́те лишние директории Termux внутрь rootfs (меньше «утечек»).
Создайте отдельного пользователя внутри rootfs вместо работы от root (если вы контролируете конфигурацию образа).
Ограничивайте сетевые доступы на уровне приложений (например, не запускать внутри контейнера лишние сервисы без необходимости).

Для минимизации внешних связей чаще достаточно биндинга /dev, /proc, /sys. Остальные каталоги старайтесь оставлять вне контейнера.

Вариант 2: rootless-docker в Termux

Docker в классическом виде требует привилегий и конкретных возможностей ядра. Но rootless-docker позволяет запускать контейнеры с пользовательскими правами, что соответствует цели «изоляции без root» в Termux.

Важно: на некоторых устройствах rootless-docker может требовать дополнительных условий (например, support user namespaces). В случае несовместимости подхода лучше использовать proot-dист для изоляции.

Установка окружения

Ниже — общий сценарий. Точные названия пакетов могут отличаться в зависимости от репозиториев Termux и архитектуры.

pkg update -y
pkg install -y build-essential git wget tar ca-certificates

Дальше нужно установить Docker rootless-компоненты. На практике чаще всего используют официальные сборки rootlesskit и dockerd из проекта Docker Rootless, но процесс установки может зависеть от источников.

Если вы используете заранее подготовленный вариант (например, через community-репозитории Termux), следуйте инструкциям источника. Ниже приведем концептуальный шаблон настройки.

Подготовка пользовательской конфигурации

Обычно создают переменные окружения для rootless docker и директории runtime.

mkdir -p ~/.config/docker
mkdir -p ~/.local/share/docker
mkdir -p ~/.local/bin

Запуск dockerd в rootless-режиме (концепт)

Точный набор команд зависят от того, как именно вы установили dockerd/rootlesskit. Общий смысл:

dockerd запускается как пользователь.
используется rootlesskit или аналогичный слой для маппинга namespaces.
сокет докера указывается на пользовательский путь.

Шаблон окружения:

export DOCKER_HOST="unix://$HOME/.local/share/docker/run/docker.sock"

Далее запускается демон docker. В зависимости от конкретной сборки может быть команда вида:

dockerd-rootless.sh --experimental

Если утилиты с таким именем нет — значит, у вас другой вариант установки. В таком случае используйте команды запуска, предусмотренные вашим способом установки, но придерживайтесь идеи rootless.

Проверка, что контейнеры доступны

docker version
docker info

Если команды возвращают ошибку, чаще всего причина в отсутствии support user namespaces или в ограниченияx ядра/устройства. Тогда стоит переключиться на proot-dист как на более совместимый вариант для Termux.

Запуск контейнера с минимальными связями

Рассмотрим пример запуска контейнера на базе lightweight-образа.

docker pull alpine:latest
docker run --rm -it alpine:latest sh

Чтобы лучше сохранить изоляцию, избегайте монтирования посторонних директорий Termux внутрь контейнера. По умолчанию контейнер видит лишь свой слой образа и (при наличии) явно добавленные монтирования.

Управление изоляцией через флаги docker (без «взлома» модели безопасности)

Ниже — типовые параметры, которые помогают держать границы:

Ограничение прав: не запускать контейнер от root без необходимости (при наличии возможностей в образе).
Ограничение монтирования: не пробрасывать чувствительные каталоги Termux.
Разделение сети: используйте настройки сети, необходимые именно вам.

Пример запуска без привилегий:

docker run --rm -it --user 1000:1000 alpine:latest sh

Сеть и локальная защищенная работа

Если вам требуется локальная изоляция трафика (например, для тестов сервисов, доступных только в рамках устройства/локальной сети), допустимо использовать VPN исключительно для создания локальной сети и тестовых сценариев. Это не предназначено для обхода блокировок или иных нарушений. Конкретные шаги зависят от выбранного VPN-клиента и сценария.

Сравнение подходов: proot-dist vs rootless-docker

Критерий	proot-dist	rootless-docker
Требования к ядру	Обычно проще и совместимее	Чаще требует поддержки user namespaces
Изоляция	Изолированный rootfs и процессы	Контейнерная модель + привычные механизмы docker
Воспроизводимость	Зависит от подготовленных rootfs	Сильнее за счет образов и стандартных слоев
Сложность настройки	Ниже	Выше (зависит от сборки и устройства)

Заключение

Создание изолированных «контейнеров» в Termux возможно без нарушения базовых требований безопасности и без необходимости получать root-доступ в системе пользователя. Подход proot-dist дает быстрый и совместимый sandbox через пользовательский root. Подход rootless-docker обеспечивает более «каноничную» контейнерную модель, но требует совместимости с возможностями ядра Android и корректной настройки rootless-слоя.

Если вам нужна помощь в подборе метода под ваше устройство, настройке изоляции под конкретный кейс (учебный проект, лабораторная среда, тестовый стенд) или аудит безопасности окружений Termux — обращайтесь в РыбинскЛАБ. Мы поможем построить надежную среду под ваши задачи.