相当于* BSD的CAP_NET_ADMIN

Question

我正在为路由守护程序做出贡献，并研究安全措施。守护程序在运行时会与内核对话并安装路由。在Linux上，作为一种好的做法，如果守护程序以root身份启动（并正确配置），它将迅速放弃特权并切换到非特权用户/组，但保留CAP_NET_ADMIN capability。

我正在寻找在流行的BSD（FreeBSD，OpenBSD，macOS）上使用的类似机制。

[至少在FreeBSD上看来Mandatory Access Control可能是要走的路；但我不确定。我很感谢指向代码或文档的指针。

谢谢！

Answer 1

在NetBSD中，可以在内核中安装一个新的安全模型，该模型可以更改此规则，但是我不知道专门为路由表设计的安全模型。 （OpenBSD不使用NetBSD kauth子系统。）