LXC (Linux Containers) je zástupce kontejnerové virtualizace (Virtualizace na úrovni operačního systému). Je to prostředí pro běh více vzájemně izolovaných linuxových systémů na jednom linuxovém hostiteli. Vytváří prostředí, které má své vlastní procesy a síťové prostředí.

LXC pracuje s originálním linuxovým jádrem (kernelem), čímž se liší od OpenVZ (a podobných) potřebují vlastní upravenou verzi jádra.

LXC začíná být rozumně použitelné od jádra verze 3.8 (vydáno v únoru 2013; lépe však od verze 3.12), protože předtím zde byl velký bezpečnostní nedostatek, kdy root kontejnerovaného systému musel vystupoval jako root systému hostitelského. Od verze jádra 3.8 je už možné vytvářet kontejnery jako „neprivilegované“, tj. root kontejneru běží v hostiteli pod běžným účtem. Přesto stále zůstává potenciální nebezpečí pro ohrožení hostitelského systému ¹⁾, takže při potřebě mít naprosto izolované kontejnery, je lepší použít OpenVZ (které toto díky své modifikaci jádra má vyřešené). Toto riziko je ale stále jen potenciální, takže náklonost OpenVZ platí především pro poskytovatele veřejných kontejnerových VPS. Pokud kontejnerové systémy i hostitele spravuje jeden správce, není v tomto ohledu LXC špatnou volbou.

LXC se ve vezi 1.0 představilo v únoru 2014.

• hostitel (anglicky host)
• host (anglicky guest) = kontejner (container) = VE (virtual enviroment; virtuální prostředí)
• kontejnerová virtualizace = virtualizace na úrovni operačního systému

• jako na normální serverové stroje přes ssh
• případně přes ssh hostitele a lxc-attach (do roota systému) nebo lze sledovat kompletní bootovací proces s lxc-start bez volby -d (–daemon)

• /var/lib/lxc: contains a folder for each VE with a config and fstab file in it.
• /usr/lib/lxc/templates/lxc-*: contains the LXC templates which build the VE contents. (Basically shell scripts.)
• /etc/lxc/auto: When symlinking a VE’s config file here, it will autostart upon boot.
• /var/cache/lxc/download/
• /usr/share/lxc/

apt-get install lxc
# instaluje obslužné ''lxc-*'' nástroje (samotné lxc je součástí jádra)

Nyní je vhodné spustit lxc-checkconfig a zkontrolovat konfiguraci hostitele. Dále by mohl být správný čas nachystat si /etc/lxc/default.conf, kde nastavují hodnoty, které budou mít vytvářené kontejnery (síťování, případně pro unprivileged users).

Příkaz lxc-create nabídne interaktivní prostředí, kde je třeba si vybrat distribuci (a jeho verzi a architekturu). Zde je potřeba si rozmyslet, zda budeme provádět následující pod rootem nebo ne (privileged vs. unprivileged²⁾). Vytvoří kořenový file systém (rootfs) kontejneru a provede template skript.:

lxc-create -t download -n server4

Pro lxc do verze 4 včetně je potřeba předefinovat GPG keyserver (původní není dostupný kvůli GDPR problémům). Náhradní server keyserver.ubuntu.com byl dočasně používán a později bylo GPG ověřování vyřazeno.

lxc-create -t download -n server4 -- --keyserver hkp://keyserver.ubuntu.com

Nastavuji hostitelskou síťovku jako brigde³⁾ (možností je více⁴⁾). Kontejner tedy bude na stejné síti jako hostitel. Hostitel bude potřebovat balík bridge-utils.

Nastavení hostitele:

# /etc/network/interfaces (na hostiteli)
auto lo
iface l0 inet loopback

auto br0 # name of the device
iface br0 inet static # or dhcp
    # bridge information
    bridge_ports eth0 # interface to use
    bridge_stp off
    bridge_fd 0
    bridge_maxwait 0
    # staticka IP hostitele a nastaveni site
    address 192.168.0.200
    netmask 255.255.255.0
    gateway 192.168.0.1
    dns-nameservers 8.8.8.8

# /var/lib/lxc/ct/config (na hostiteli)

lxc.net.0.type = veth
lxc.net.0.link = virbr0 # bridge name
lxc.net.0.flags = up
lxc.net.0.hwaddr = 00:16:3e:1e:9e:2a # lepe nastavit jinak bude se pri kazdem startu znovu vygeneruje jina
lxc.net.0.ipv4.address = 192.168.0.201/24
lxc.net.0.ipv4.gateway = 192.168.0.1

# /var/lib/lxc/server4/rootfs/etc/network/interfaces (na hostiteli)
auto lo
iface lo inet loopback

auto eth0
iface eth0 inet manual

# /var/lib/lxc/server4/rootfs/etc/resolv.conf (na hostiteli)
nameserver 192.168.0.1

ubuntu kontejner ma nainstalován resolvconf, se kterým se pracuje trochu jinak. Místo definování DNS resolveru v resolv.conf je potřeba jej dfinovat v interfaces, protom tedy to vypadá takto nějak:

auto eth0
iface eth0 inet manual
  dns-nameservers 192.168.2.1

# /etc/lxc/default.conf - podle tohoto souboru se vytvori kontejner


# pro neprivilegovany kontejner:
#lxc.id_map = u 0 100000 10000
#lxc.id_map = g 0 100000 10000
# za lxc.id_map nasleduji ctyri parametry:
#   u = uid, g = gid
#   0 = v kontejneru  se bude mapovat od tohoto uid/gid
#   100000 = odtud se bude mapovat v hostiteli
#   10000 = tolik uid/gid je možné mapovat
# tedy v kontejneru se bude mapovat 0 až 9999 na 100000 až 109999
# cislo 100000 je tedy pro jednoho hostitelskeho uzivatele, jini by meli mit 
# jine, aby to nekolidovalo (vice kontejneru muze mit stejne?)

# pro sit
lxc.net.0.type = veth
lxc.net.0.link = virbr0 # bridge name
lxc.net.0.flags = up
lxc.net.0.hwaddr = 00:16:3e:1e:9e:2a # lepe nastavit jinak bude se pri kazdem startu znovu vygeneruje jina
lxc.net.0.ipv4.address = 192.168.0.201/24
lxc.net.0.ipv4.gateway = 192.168.0.1

# autostart
lxc.start.auto = 1
lxc.start.delay = 2

V první řadě se vypořádat s uživateli. Nastavit rootu heslo, případně vytvořit uživatele, doinstalovat sudo atp.

passwd

Dále doinstaluji co jsem shledal, že mi chybí v základním kontejnerovém systému

apt-get update && apt-get upgrade
apt-get install apt-listchanges apt-utils aptitude aptitude-common bash-completion cpio cron iputils-ping less nano openssh-server tasksel traceroute whiptail wget htop ntp rsync

LXC umí pracovat s LVM. Logický svazek (LV) si umí vytvořit sám během lxc-create. Určíme na kterém VG, jak veliký LV bude a jaký filesystém bude vytvořený. (default LV: dle názvu, VG:lxc, velikost:1G, fs:ext4).

Pře klonováním (vytvořením kopie) je potřeba kopírovaný kontejner zastavit.

lxc-stop -n p1
lxc-clone -o p1 -n p2

S volbou overlayfs se nebude vytvářet plný klon, ale budou se u něj zaznamenávat jen přírůstky.

Kontejner může být vytvořený a spouštěný v hostiteli uživatelem root (kontejner je privilegovaný), nebo jinak, tedy že kontejner bude spouštěný pod jiným uživatelem (kontejner je neprivilegovaný). Rozdíl spočívá v potenciálním nebezpečí, že kontejnerový dokáže uniknout z kontejneru, jako root v hostiteli může napáchat fatální škody. Pokud by byl neprivilegovaný a podařilo se mu nějak z kontejneru uniknout (je to teoretická možnost a možná se to nikomu nikdy nepovede), mohl by páchat škody jen zcela omezeně (jako běžný uživatel serveru).

Neprivilegovaný konterner vytváříme upravením /etc/lxc/default.conf, kde se přidají řády lxc.id_map

lxc-ls --fancy 
lxc-start --name u1 --daemon
lxc-attach --name u1
lxc-info --name u1
lxc-stop --name u1
lxc-destroy --name u1
lxc-clone <source> <target>
lxc-destroy
lxc-execute -n <name> -- <command>  # Run command in new container
lxc-attach  -n <name> -- <command>  # Run command in running container
lxc-monitor    # Monitor containers for state changes
lxc-wait       # Wait for a state change
lxc-info       # Give details on a container
lxc-freeze
lxc-unfreeze
lxc-netstat
lxc-ps
lxc-create -t download -n server4 -- --dist debian --release jessie --arch amd64

UPDATE: Debian 11 v LXC

Nepoužívá networking.service, ale systemd-networkd, takže konfigurace IP probíhá na jiném místě. V config souboru kontejneru nemá význam, je potřeba nastavif konfiguraci v souboru /var/lib/lxc/kontejner/rootfs/etc/systemd/network/eth0.network (nebo podobný název souboru)

[Match]
Name=eth0
[Network]
Address=10.0.0.2/24
Gateway=10.0.0.1
DNS=10.0.0.1  

• Oficiální web: https://linuxcontainers.org/lxc/introduction/
• Srovnání s OpenVZ http://www.janoszen.com/2013/01/22/lxc-vs-openvz/
• Debian o LXC: https://wiki.debian.org/LXC
• Ubuntu o LXC: https://help.ubuntu.com/lts/serverguide/lxc.html
• Druhy úložišť, klonování, snapshoty: https://www.stgraber.org/2013/12/27/lxc-1-0-container-storage/