LXC-Container

Anlegen

Distribution, Ausgabe und Architektur kommen aus den Vorlagen, die schon im Zwischenspeicher liegen; weitere werden unter Abbilder & ISOs geholt. Die Grenzen für CPU und Speicher werden gleich mitgesetzt statt hinterher, ebenso das Netz — auf Wunsch mit fester Adresse statt DHCP —, das root-Kennwort und ein SSH-Schlüssel.

Weil ein Container keine Firmware und keinen Bootloader hat, wird danach nicht gefragt. Zeit kostet das Auspacken des Wurzeldateisystems, und das läuft als Hintergrundaufgabe mit Protokoll.

Ein echtes Terminal, kein Formular

Die Konsole eines Containers ist eine Shell. Phillux startet lxc-attach auf einem Pseudoterminal und schiebt die Bytes in beide Richtungen; im Browser zeichnet xterm.js sie. Zeilenbearbeitung, Farben, curses-Programme — es verhält sich wie das Terminal, das es ist.

Derselbe Weg hinein dient den Fragen, die ohne Netz beantwortet werden müssen: eine Laborprüfung, die Prüfung einer Sicherung, ein Assistent, der nachsieht, ob der eben installierte Dienst wirklich läuft.

Grenzen, die halten

CPU-Anteile und eine Speichergrenze hängen am Container selbst. Es sind cgroup-Einstellungen, sie wirken also am laufenden Container, ohne ihn neu zu starten.

Live-Diagramme und Ressourcengrenzen sind auch für Container gebaut, nicht nur für VMs. Wo eine Funktion für beide Sinn ergibt, gibt es sie für beide — das war eine bewusste Regel und kein Zufall der Reihenfolge.

Snapshots sind hier teurer — das gehört gesagt

Ein Container-Snapshot ist eine Vollkopie. lxc-snapshot klont bei einem verzeichnisgestützten Container das gesamte Wurzeldateisystem: Ein halbes Gigabyte Container ist ein halbes Gigabyte je Snapshot, jedes Mal. Das ist keine Fußnote fürs Handbuch — es ist die Zahl, die entscheidet, ob ein nächtlicher Snapshot eine gute Idee ist.

Die Kosten stehen da, bevor jemand ihn anlegt, und dieselbe Aufräumregel, die VM-Snapshots begrenzt, begrenzt diese, mit derselben Ausnahme für Laborstufen.

Anhalten, ohne anzuhalten

Ein Container lässt sich einfrieren statt herunterfahren. Einfrieren ist ein Schreibvorgang in eine cgroup-Datei: Es dauert keine messbare Zeit, braucht von innen keine Mitwirkung und ist vollständig umkehrbar.

Genauso hält die Notbremse einen Container an, von dem sie annimmt, dass er sich selbst verschlüsselt — siehe Notbremse.

Die Firewall, anders gebunden

Ein Container ist keine libvirt-Domain, es gibt also nichts, worin ein Filterverweis stehen könnte. Stattdessen wird der Filter direkt an das veth-Gerät auf der Hostseite gebunden. Eine solche Bindung lebt nur so lange wie das Gerät — sie verschwindet beim Stoppen und wird beim Starten neu gesetzt.

Die Regeln selbst sind dieselben wie bei einer VM, und sie hängen am Gerät des Gastes, nie am Host.