LXC容器

雨点打透心脏的1/2处 2022-10-28 15:21 331阅读 0赞

和"真正的虚拟机环境"不同， "容器"(container)只能在Linux上虚拟Linux， 不能虚拟WIndows， 因为它不能虚拟硬件. 但是基于容器的虚拟机占用的资源很小－－在一台中等的Linux服务器上， 创建几百个虚拟机是轻而易举的事情. 这种"容器"虚拟化技术， 又称为OS-Level虚拟化，也就是"操作系统级虚拟化"．

LXC(ontainer)是Linux内核支持的技术, 这个好处就会安全性． 管理LXC容器的方式又两种:一种是使用Libvirt工具来管理，一种是使用lxc本身提供的工具管理. 两者各有优劣: 前者使用方便， 但是缺乏Apparmor保护，不安全； 后者使用性不够友好, 但是默认带了Apparmor规则，可以保证安全性．  
安装LXC

# 安装lxc #

sudo apt install lxc

# 基本用法: #

LXC可以创建两种不同的容器：

*  特权模式－－以root身份运行各种lxc命令，创建特权容器；
 *  普通模式－－以普通用户身份运行各种lxc命令，创建非特权容器

普通容器又很多限制(比如无法创建设备节点)，不过也更安全(不会危害到主机)，因为这种容器的root用户，其实映射到主机上的一个普通用户

## 特权模式基本用法 ##

创建容器可以使用交互式和非交互式

### 交互式创建容器 ###

sudo lxc-create -t download --name ubuntu1

下面是输出信息

Setting up the GPG keyring
    Downloading the image index　　　　　　　　　　　　　　<-下载所有支持的Linux发行版列表
    
    ---
    DIST　RELEASE	ARCH	VARIANT	BUILD
    ubuntu	xenial	amd64	default	20171214_04:09
    [...]
    alpine	3.4	amd64	default	20171213_17:50
    [...]
    centos	6	amd64	default	20171214_02:16
    [...]
    debian	buster	amd64	default	20171214_04:09
    [...]
    ---
    
    Distribution: ubuntu       <- 这里需要输入操作系统(上面列表中的)，我们选择ubuntu
    Release: xenial 		　　<- 选择操作系统发行版本(上面列表中有的)
    Architecture: amd64　　　　　<- 选择架构，这里选择64位
    
    Downloading the image index
    Downloading the rootfs
    Downloading the metadata
    The image cache is now ready
    Unpacking the rootfs
    
    ---
    You just created an Ubuntu container (release=xenial, arch=amd64, variant=default)
    For security reason, container images ship without user accounts
    and without a root password.
    
    Use lxc-attach or chroot directly into the rootfs to set a root password
    or create user accounts.

上面就是交互式创建容器的方式，创建出来的容器是没有用户的，需要使用lxc-attach或者chroot命令来设置，这个后面介绍．

### 非交互式创建 ###

sudo lxc-create -t download --name ubuntu2 -- \
    --dist ubuntu -release xenial --arch amd64

非交互创建其实就是一次性将操作传递给模板而已，下面我们介绍一个各个参数:

-t 模板: -t 选项后面跟的是模板，模式可以认为是一个原型，用来说明我们需要一个什么样的容器(比如容器里面需不需要有vim, apache等软件)．模板实际上就是一个脚本文件(位于/usr/share/lxc/templates目录)，我们这里指定download模板(lxc-create会调用lxc-download脚本，该脚本位于刚说的模板目录中)是说明我们目前没有自己模板，需要下载官方的模板
        --name 容器名称： 为创建的容器命名
        -- : --用来说明后面的参数是传递给download脚本的，告诉脚本需要下载什么样的模板
        --dist 操作系统名称：指定操作系统
        --release 操作系统: 指定操作系统，可以是各种Linux的变种
        --arch 架构：　指定架构，是x86还是arm，是32位还是64位

### 列出现有容器 ###

#简单列出
    sudo lxc-ls
    #详细列出
    sudo lxc-ls --fancy

### 查看容器信息 ###

sudo lxc-info --name ubuntu1

### 启动和关闭容器 ###

sudo lxc-start --name ubuntu1
    #以服务的形式启动容器
    sudo lxc-start --name ubuntu1 --daemon
    sudo lxc-stop --name ubuntu1

### 进入容器 ###

进入容器的方式又三种:

*  用lxc-attach命令
 *  用lxc-console命令
 *  用SSH

**lxc-attach**

#进入容器
    sudo lxc-attach --name ubuntu1
    #让容器执行某个命令(重启ssh服务)
    sudo lxc-attach --name ubuntu1 -- restart ssh
    #提升特权,并指定名字空间,这个命令在测试主机上软件时很有用
    sudo lxc-attach -name ubuntu1 -e -s 'NETWORK|UTSNAME'

**lxc-consloe**

sudo lxc-consloe --name ubuntu1

**SSH**

ssh 用户名@IP

### 容器的删除 ###

先停掉容器然后进行删除

sudo lxc-stop --name ubuntu1
    sudo lxc-destroy --name ubuntu1

## 非特权模式 ##

通过非特权模式，普通用户也可以创建和管理容器，而不需要root用户权限．  
用户命名空间

这种非特权模式的实现使用了一种叫做"用户命名空间(user namespace)"的特性．用户命名空间是Linux下众多命名空间(Linux namespace)之一．Linux下一个用户本来有且只有一个uid和gid(可以通过id命令查看用户的id)．这个用户命名空间特性可以允许一个普通用户使用多个从属uid和gid(用户编号和组编号)．拥有多个从属uid和gid的意义在于做id映射，即将容器里面的用户映射到外部的普通用户上来．可以通过查看/ect/subuid和/etc/subgid来查看每个用户的可以使用的从属ID范围．

从图1可以看出用户hdy的id为1000，其从属id为图二所示，每个用户名后面就是该用户可以使用的id范围(起始id和可用id个数，中间用冒号隔开)

默认情况下，主机上的每个任务都是运行在初始用户命名空间里面的．在初始用户命名空间里，所有的id都是映射到整个id范围的(也就是没有做id映射)．可以通过查看/proc/self/uid\_map和/proc/self/uid\_map查看映射信息．

在非特权容器中，lxc会使用uidmap软件包提供的newuidmap和newgidmap程序来进行id映射．登入容器后，查看上面的两个文件可以映射情况．  
创建默认的配置文件

在允许普通普通用户创建普通容器之前，需要做一些配置设置．

要让普通用户hdy能够创建容器

# mkdir -p ~/.config/lxc #

# touch .config/lxc/default.conf #

执行完上面命令后，需要在default.conf文件中添加以下内容

# uid映射, 填写用户hdy的从属id(/etc/subuid) #

lxc.id\_map = u 0 10000 65536

# gid映射, 填写用户hdy的从属id(/etc/subgid) #

lxc.id\_map = g 0 10000 65536

# 定义网络类型 #

lxc.network.type = veth  
＃　定义网络接口,lxcbr0是lxc包虚拟出的网卡，可以通过ifconfig查看  
lxc.network.link = lxcbr0

在/etc/lxc/lxc-usernet文件中添加以下内容：

# 用户名　网络类型　桥接到的网络接口　允许普通用户创建的网络接口数量 #

hdy vneth lxcbr0 2

该文件是lxc用来管理非特权用户网络的．当普通用户创建网络接口时，lxc使用该文件的配置进行管理和控制．  
创建非特权容器

前面配置完成后可以用普通用户hdy创建容器了

创建容器  
hdy@hdy-pc:~$ lxc-create -t download -name ubuntu2 -- -dist ubuntu -release xenial -arch amd64  
开放权限,不然无法启动容器  
hdy@hdy-pc: chmod o+x -R ~/.local

启动，进入，停止和删除容器都不需要sudo  
全局配置文件

对于特权容器，配置文件位于/etc/lxc
    对于普通容器而言，配置文件位于~/.config/lxc下
    以root身份创建的特权容器都位于/var/lbi/lxc下
    普通用户创建的容器在~/.local/share/lxc目录下

克隆LXC容器

在大规模部署的情况下，我们一般不会逐个去手动的创建容器，而是搞好一个后直接克隆．  
拷贝和快照

"克隆"要么是其他容器的一份拷贝，要么是其他容器的一份快照

拷贝：完整的复制原来的容器，所占的空间和原来的容器一样大

快照：利用后台文件系统的快照功能，创建一个很小的新容器，在发生写操作时才进行复制

要想使快照拥有这个写时复制的特性，需要一个特殊存储系统，支持快照的存储方式有：aufs，btrfs，LVM，overlayfs，zfs等．每种存储方式各有自己特点，这里不进一步说明  
创建拷贝和快照

同过lxc-clone命令可以创建拷贝和快照，在创建之前需要停止容器

$ sudo lxc-stop --name ubuntu1  
创建一个名为clone\_ubuntu1的克隆  
$ sudo lxc-copy -n ubuntu1 -N clone\_ubuntu1  
创建一个名为snapshot\_ubuntu1的快照  
$ sudo lxc-clone -s -n ubuntu1 -N snapshot\_ubuntu1

lxc专门创建快照的快捷命令lxc-snapshot

该命令创建的快照位于/var/lib/lxc/容器名(如果是为普通容器创建快照，则位于~/.local/share/lxc/容器名)目录下，快照名字为snap0，snap1...依次编号

创建快照，实际上是克隆  
$ sudo lxc-snapshot -n ubuntu1

创建快照  
$ sudo lxc-copy -s -n ubuntu1 -N snapshot\_ubuntu1  
$ sudo lxc-snapshot -n snapshot\_ubuntu1

使用lxc-snapshot创建快照时需要创建aufs/overlayfs文件系统，所以先通过lxc-copy命令创建一个快照，同时会自动为该快照创建文件系统overlayfs．然后我们给新创建的快照snapshot\_ubuntu1(容器)创建快照．也就是说现在有三个容器－－ubuntu1，snapshot\_ubuntu1，snap0．而容器snapshot\_ubuntu1是ubunt1的快照，容器snap0是snapshot\_ubuntu1的快照．snap0是lxc\_snapshot创建的．snapshot\_ubuntu1位于/var/lib/lxc目录下，snap0位于/var/lib/lxc/snapshot\_ubuntu1/snaps目录下

假如我们在ubuntu1上做了一些误操作，这时想通过快照将ubuntu1恢复过来，可以这样实现．首先恢复一个容器的操作实际上是先将这个容器删除掉，然后根据快照创建一个同名的容器．但是在打快照的时候会依赖于overlayfs文件系统的，而overlayfs会依赖于原始容器(ubuntu1)的rootfs．如果将ubuntu1删除掉，那么rootfs将会被删除，进而overlayfs会被破快掉，导致无法通过快照创建创建容器．这里只能采用迂回的方式，通过快照创建一个新的容器．

通过快照创建一个新的容器ubuntu2  
$ sudo lxc-snapshot -r snap0 -n ubunt1 -N ubuntu2

LXC网络

在默认的情况下，LXC会为每个容器创建一个专用的网络命名空间，包括一个二层的网络协议栈．LXC启动的时候会创建一个叫做lxcbr0的桥接设备，使用默认设置创建的容器都会有一个vethxxx虚拟网卡(每个容器都有一个虚拟网卡与之绑定)，这个网卡会被桥接lxcbr0上．  
使用固定IP

默认情况下，容器的IP地址是动态分配的．如果要给容器设置固定IP地址，可以修改容器的配置文件．这里以修改普通容器的配置文件为例．

编辑文件  
$ vim ~/.local/share/lxc/ubuntu1/config

添加固定ip  
...  
lxc.network.type = veth  
lxc.network.link = lxcbr0  
lxc.network.ipv4 = 10.0.3.102  
...

让外界可以访问容器

在默认情况下，容器只能被宿主主机访问，外界是访问不到容器的(默认NAT方式)．如果想让容器像普通服务器被外界访问到，就需要使用桥接宿主主机eth0(或其他物理网卡)的设备

注意：只有特权容器才能被外界访问，普通容器是无法被外界访问的  
创建桥接设备br0

在宿主主机上安装桥接工具包

$ sudo apt install bridge-utils

在宿主服务器上，修改/etc/network/interfaces，创建br0桥设备

\[...\]  
auto enp4s0f2　　　　　　　　　　　　　　　　物理网卡  
iface enp4s0f2 inet manual

auto br0  
iface br0 inet dhcp  
address 192.168.1.10 网桥IP地址  
netmask 255.255.255.0 掩码  
gateway 192.168.1.1  
dns-nameserver 114.114.114.114 8.8.8.8  
bridge\_ports enp4s0f2 \#将物理网卡添加到虚拟网桥中  
bridge\_stp off  
bridge\_maxwait 0  
bridge\_fd 0  
\[...\]

上面的配置主要是创建了一个网桥，而物理网卡enp4s0f2可以看做网桥的一个端口，然后关闭网卡，启动网桥

$ sudo ifdown enp4s0f2 && sudo ifup br0

接下来停掉容器(这里以ubuntu1为列)，修改其配置文件

$ sudo lxc-stop -n ubuntu1  
$ vim /var/lib/lxc/ubuntu1/config

修改以下内容，容器桥接到br0上  
lxc.network.link = br0

然后为容器配置固定IP

$ vim /var/lib/lxc/ubuntu1/rootfs/etc/network/interfaces  
...  
auto eth0  
iface eth0 inet static  
address 192.168.1.239  
netmask 255.255.255.0  
gateway 192.168.1.1  
dns-nameserver 8.8.8.8 如果无法解析域名，则需要设置下

参考链接：[https://www.cnblogs.com/xidongyu/p/8059781.html][https_www.cnblogs.com_xidongyu_p_8059781.html][https://blog.csdn.net/gzqiang08/article/details/81708656][https_blog.csdn.net_gzqiang08_article_details_81708656]

[https_www.cnblogs.com_xidongyu_p_8059781.html]: https://www.cnblogs.com/xidongyu/p/8059781.html
[https_blog.csdn.net_gzqiang08_article_details_81708656]: https://blog.csdn.net/gzqiang08/article/details/81708656