Поведение Linux ACL: настройки маски изменяют вывод ls, но не фактические разрешения

Возможно, сейчас время ночи, но меня это озадачивает. Представьте себе следующее.

[root@node1 acltest]# getfacl foo/
# file: foo
# owner: root
# group: testuser
user::rwx
group::r-x
other::---

[root@node1 acltest]# ls -la .
total 24
drwxr-xr-x  3 root root     4096 Feb  9 21:53 .
drwxr-xr-x 25 root root     4096 Feb  9 21:54 ..
drwxr-x---  2 root testuser 4096 Feb  9 21:53 foo
[root@node1 acltest]# setfacl -m m::rwx foo
[root@node1 acltest]# getfacl foo/
# file: foo
# owner: root
# group: testuser
user::rwx
group::r-x
mask::rwx
other::---

[root@node1 acltest]# ls -la .
total 24
drwxr-xr-x   3 root root     4096 Feb  9 21:53 .
drwxr-xr-x  25 root root     4096 Feb  9 21:54 ..
drwxrwx---+  2 root testuser 4096 Feb  9 21:53 foo
[root@node1 acltest]# su - testuser
[testuser@node1 ~]$ cd /acltest/foo/
[testuser@node1 foo]$ ls -la .
total 16
drwxrwx---+ 2 root testuser 4096 Feb  9 21:53 .
drwxr-xr-x  3 root root     4096 Feb  9 21:53 ..
[testuser@node1 foo]$ touch bar
touch: cannot touch `bar': Permission denied

На словах: создаю каталог foo, с режимом 0750, root как владелец и testuser как группа. (testuser это частная группа testuser, но это не имеет значения.)

В getfacl команда правильно не показывает ACL в этом каталоге и еще нет маски. Маска будет установлена ​​в соответствии с разрешениями группы, если я сейчас добавлю именованную группу или пользователя.

Если я явно установил маску на rwx теперь разрешения группы, как показано ls тоже измениться. Я знаю, что бывает наоборот (маска меняется при изменении разрешений группы), но это кажется загадочным.

Тем более загадочно, потому что getfacl вывод делает не показать разрешения группы как rwx но - как сказано - ls делает.

Какой из них правильный? Судя по всему, на выходе getfacl правильно, потому что testuser не могу написать foo. Как и ожидалось, кстати, потому что я не предоставил testuser сгруппируйте любые разрешения для этого.

Это продолжается. Я не могу допустить testuser права записи группы на foo просто используя chmod. Я должен явно установить ACL, используя setfacl -m g:testuser:rwx foo позволять testuser наконец прикоснуться foo/bar.

Может ли кто-нибудь объяснить причину разницы в результатах getfacl и ls? Я знаю, что может быть сложно совместить обычные разрешения с ACL, но это кажется совершенно неправильным. (Хотя я ожидаю, что упущу что-то очевидное;))

Я уже видел Почему chmod (1) в группе влияет на маску ACL?