Installation¶

Der Kernel von Ubuntu enthält ab Version 2.6.31 (Ubuntu 9.10) bereits alle Voraussetzungen zum Betreiben von LXC. Es müssen nur noch die Programme zur Verwaltung von Containern installiert werden:

• lxc (universe)

Befehl zum Installieren der Pakete:

sudo apt-get install lxc 

Oder mit apturl installieren, Link: apt://lxc

Wer ein komplettes System mittels LXC virtualisieren möchte, der benötigt zusätzlich:

• debootstrap (Ubuntu/Debian-System erzeugen)

• bridge-utils (Programme für die Nutzung von Ethernet Bridge)

Befehl zum Installieren der Pakete:

sudo apt-get install debootstrap bridge-utils 

Oder mit apturl installieren, Link: apt://debootstrap,bridge-utils

Einrichtung¶

Zunächst muss das cgroup-Dateisystem eingehängt werden:

sudo mount cgroup -t cgroup /sys/fs/cgroup 

Damit das beim Starten von Ubuntu automatisch und dauerhaft geschieht, kann man das auch über die /etc/fstab machen:

cgroup /sys/fs/cgroup cgroup defaults 0 0

LXC testen¶

Man kann jetzt bereits LXC ausprobieren, indem man in einem Terminal ^[2] folgenden Befehl eingibt:

sudo lxc-execute -n CONTAINERNAME /bin/bash 

Durch diesen Befehl startet man die Bash in einem Container namens CONTAINERNAME. Der Name kann frei gewählt werden, muss aber einmalig sein.

Lässt man sich jetzt die Prozessliste anzeigen,

ps -e 

kann man nur die Prozesse des Containers sehen:

  PID TTY          TIME CMD
    1 pts/8    00:00:00 lxc-init
    2 pts/8    00:00:00 bash
   86 pts/8    00:00:00 ps

Container¶

Linux-Container bestehen im Allgemeinen aus drei Teilen:

• Eine Konfigurationsdatei mit Informationen über die verwendeten Ressourcen

• Eine Datei im fstab-Format, welche die Einhängepunkte für den Container enthält. Diese Informationen kann man alternativ auch direkt in der Konfigurationsdatei angeben.

• Das Root-Dateisystem des Containers, falls der Container eins benötigt

Soll nur eine einzelne Anwendung in einem Container ausgeführt werden, spricht man von einem Anwendungscontainer. LXC testen ist der einfachste Fall eines solchen Anwendungscontainers. Bei Anwendungscontainern sollte man sich genau überlegen, welche Ressourcen man isolieren will. Man kann zum Beispiel den Rechnernamen (hostname) ändern und das Netzwerk isolieren. Um Konflikte zwischen Dateien zu vermeiden, kann man Teile des Dateisystem neu einhängen, oder man erstellt ein eigenes Root-Dateisystem und kann Teile des Haupt-Dateisystems über Bind-Mounts gemeinsam nutzen. Wenn keine Konfiguration angegeben wird, werden nur Prozessnummern, System V IPC und Einhängepunkte virtualisiert und isoliert.

Wird ein vollständiges System in einem Container eingerichtet, spricht man von einem Systemcontainer. Die Konfiguration eines Systemcontainers ist einfacher, da man sich keine Gedanken über die isolierten Ressourcen machen muss, weil alles isoliert werden muss.

Containerkonfiguration¶

Jede Zeile in einer Konfigurationsdatei steht für eine Einstellung und hat die Form name = wert:

Weitere Einstellungen und Hinweise findet man in der Manpage zu lxc.conf und in den Beispielen unter /usr/share/doc/lxc/examples/.

Container erstellen¶

Einen Container erstellt man mit:

sudo lxc-create -n Containername -f Konfigurationsdatei 

Der Befehl erzeugt im Verzeichnis /var/lib/lxc ein Unterverzeichnis Containername, in dem die Konfigurationsinformationen gespeichert werden.

Einen Container entfernen kann man mit:

sudo lxc-destroy -n Containername 

Um eine Containerkonfiguration zu ändern, kann man die Konfigurationsdatei im Containerverzeichnis direkt bearbeiten oder man löscht mit lxc-destroy den Container und erstellt ihn dann wieder neu mit lxc-create.

Es ist nicht unbedingt erforderlich, Container vor der Benutzung zur Erstellen. Man kann auch beim Starten des Containers die Konfiguration als Parameter übergeben.

sudo lxc-create -n Containername -f Konfiguration -t Vorlagenname 

sudo lxc-create -n Containername -f Konfiguration -t Vorlagenname -- Vorlagenoptionen 

lxc-create -t Vorlagenname -h 

sudo /usr/lib/lxc/templates/lxc-Vorlagenname -n CONTAINERNAME -p /Pfad/zum/Root-Dateisystem 

lxc.network.type = veth
lxc.network.flags = up
lxc.network.link = br-lxc

chroot /var/lib/lxc/CONTAINERNAME/rootfs /bin/bash 

passwd root 

exit 

sudo MIRROR=http://localhost:3142/de.archive.ubuntu.com/ubuntu/ lxc-create -n lucid -t lucid 

Container starten und beenden¶

sudo lxc-execute -n CONTAINERNAME Befehl 

sudo lxc-start -n Containername 

sudo lxc-start -n CONTAINERNAME -d 

sudo lxc-console -n CONTAINERNAME 

shutdown -h now 

halt 

sudo lxc-stop -n Containername 

Weitere Befehle zum Verwalten von Containern¶

Weitere Informationen liefern die Manpages der einzelnen Befehle.

Hinweise¶

LXC hat noch einige Einschränkungen im Vergleich mit anderen vergleichbaren Lösungen:

• Nicht alle Resourcen können vollständig isoliert werden. Das /proc/-Dateisystem des Host-Systems zum Beispiel muss in einem Container eingebunden werden. Das kann ein Sicherheitsproblem darstellen, denn dadurch können Programme, die im Container mit Root-Rechten ausgeführt werden, das Host-System beeinflussen. Deshalb sollten nicht vertrauenswürdige Benutzer oder Programme in einem Container niemals Root-Rechte erhalten. Seit Ubuntu 12.04 wird ein Container zwar durch AppArmor geschützt, aber das Ziel ist dabei, das Host-System vor versehentlichem Schaden durch den Container zu schützen und nicht vor bösartigen Aktionen.

• LXC enthält noch keine Möglichkeit zur Live-Migration. Der dazu nötige Befehl lxc-checkpoint ist zwar schon vorhanden, aber noch nicht funktionsfähig.

• systemd funktioniert nicht in einem Container.

• Es ist zwar möglich, einem Container eine eigene IP-Adresse zuzuweisen, aber es ist nicht möglich zu verhindern, dass eine Anwendung im Container diese dann ändert.

• Es fehlen verschiedene Einstellungsmöglichkeiten, wie das Festlegen eines garantierten Speichers oder einer maximalen Prozessanzahl.

Ein großer Vorteil von LXC ist die Integration in den Kernel. Durch die starke Modularisierung ist LXC auch sehr gut zur Anwendungsvirtualisierung geeignet.

LXC und Hyper-V¶

Wird LXC in einem Hyper-V virtualisierten System eingesetzt, kann es zu Problemen bei der Verwendung einer Netzwerkbrücke kommen. Konkret kann es passieren, dass sich die virtuelle NIC nicht in den promiscous-Modus umschalten lässt (https://support.microsoft.com/kb/302348 🇩🇪).

Links¶

• LXC 1.0: Blog post series 🇬🇧 - Stéphane Graber, 12/2013 ff.

• LXD 2.0: Blog post series 🇬🇧 - Stéphane Graber, 03/2016 ff.

• Trying out LXD containers on our Ubuntu 🇬🇧 - Blogbeitrag, 06/2016

• Gute Anleitung für openSUSE 🇬🇧