安科网

Linux容器技术-LXC相关技术知识介绍

weihao

weihao

2012-07-27

关注 关注

1. lxcbr0

    当/etc/default/lxc中的USE_LXC_BRIDGE="true"的时候，桥lxcbr0会在lxc启动的时候自动创建，并且被赋予10.0.3.1的ip地址，使用这个桥的lxc实例可以从10.0.3.0/24中分配ip。一个dnsmasq实例在后台运行用来监听lxcbr0，用来实现dns和dhcp的功能。

2. 使用隔离的文件系统作为lxc实例的存储

    lxc实例的配置信息以及根文件系统都存放在/var/lib/lxc目录下，另外，没创建一个实例也会将其cache到/var/lib/lxc目录下。如果你想使用除/var之外的其他文件系统的话，也可以通过以下两种方式来实现：

  1. sudo mkdir /srv/lxclib /srv/lxccache
  2. sudo rm -rf /var/lib/lxc /var/cache/lxc
  3. sudo ln -s /srv/lxclib /var/lib/lxc
  4. sudo ln -s /srv/lxccache /var/cache/lxc
或者：
  1. sudo mkdir /srv/lxclib /srv/lxccache
  2. sudo sed -i '$a \
  3. /srv/lxclib /var/lib/lxc none defaults,bind 0 0 \
  4. /srv/lxccache /var/cache/lxc none defaults,bind 0 0' /etc/fstab
  5. sudo mount -a
3. LXC的安全性 -- apparmor（应用程序访问控制系统）     AppArmor 是一个类似于selinux 的东东，主要的作用是设置某个可执行程序的访问控制权限，可以限制程序 读/写某个目录/文件，打开/读/写网络端口等等。
    默认情况下AppArmor已安装并载入。它使用每个程序的profiles来确定这个程序需要什么文件和权限。有些包会安装它们自己的profiles，额外的profiles可以在apparmor-profiles包里找到。
    下面简单介绍下AppArmor的使用：
（1）apparmor_status是用来查看AppArmor配置文件的当前状态的

  1. sudo apparmor_status
（2）aa-complain将一个程序置入complain模式。
  1. sudo aa-complain /path/to/bin   //可执行程序的路径
（3）aa-enforce将一个程序置入enforce模式
  1. sudo aa-enforce /path/to/bin    //可执行程序的路径
/etc/apparmor.d目录是AppArmor配置文件的所在之处。可用来操作所有配置文件的模式mode。
（4）要将所有配置文件置入complain模式，输入:
  1. sudo aa-complain /etc/apparmor.d/*
（5）要将所有配置文件置入enforce模式:
  1. sudo aa-enforce /etc/apparmor.d/*
（6）apparmor_parser用来将一个配置文件载入内核。它也可以通过使用-r选项来重新载入当前已载入的配置文件。要载入一个配置文件:
  1. cat /etc/apparmor.d/profile.name | sudo apparmor_parser -a
（7）要重新载入一个配置文件:
  1. cat /etc/apparmor.d/profile.name | sudo apparmor_parser -r
（8）/etc/init.d/apparmor可用来重新载入所有配置文件:
  1. sudo /etc/init.d/apparmor reload
（9）The /etc/apparmor.d/disable目录可以和apparmor_parser -R选项一起使用以禁用一个配置文件。
  1. sudo ln -s /etc/apparmor.d/profile.name /etc/apparmor.d/disable/
  2. sudo apparmor_parser -R /etc/apparmor.d/profile.name
（10）要重新激活 一个已禁用的配置文件，请在 /etc/apparmor.d/disable/里删除到其配置文件的软链接。然后使用选项 -a载入配置文件。
  1. sudo rm /etc/apparmor.d/disable/profile.name
  2. cat /etc/apparmor.d/profile.name | sudo apparmor_parser -a
（11）AppArmor可以被禁用，其内核模块可以通过输入以下命令卸载：

  1. sudo /etc/init.d/apparmor stop
  2. sudo update-rc.d -f apparmor remove
（12）要重新启用AppArmor，输入：

  1. sudo /etc/init.d/apparmor start
  2. sudo update-rc.d apparmor defaults
至于如何编写AppArmor的配置文件，将会在后面的文章中介绍！

言归正传，重新回到lxc中的AppArmor上来。

    LXC利用AppArmor配置文件来保护主机不受容器内实例的恶意行为，比如：容器内的实例对/proc/sysrq-tigger以及/sys目录下的绝大部分文件不具有写权限。另外，usr.bin.lxc-start配置文件用来防止lxc-start挂载除了容器根目录下列出的其他文件。在执行容器实例的init进程之前，还回去/etc/apparmor.d/lxc/lxc-default进行权限的检查，禁止init访问一些危险的资源。


    在接下来的文章中将会重点介绍cgroup机制相关的内容！

lxc 容器技术 padding border line-height margin font-size font-family

weihao

weihao

0 关注 0 粉丝 0 动态

关注 关注

相关推荐

Linux容器技术原理和使用

在一个多员共用的开发环境或者一台服务器运行多个逻辑隔离的服务器进程。谁的运行环境也不希望影响到另一个谁。也就是一个物理机器需要虚拟化出多个环境或者容器。通过提供一种创建和进入容器的方式，操作系统让应用程序就像在独立的机器上运行一样，但又能共享很多底层的资源

xiaoying 2020-09-28

LXC简单介绍与使用

LXCLinux容器，一种操作系统层虚拟化技术，为Linux内核容器功能的一个用户空间接口。在Linux内核中，提供了cgroups功能，来达成资源的隔离。但是cgroups并不一定需要启动任何虚拟机。LXC利用cgroups与名称空间的功能，提供应用软件

JackZhou 2020-08-01

Docker

镜像，是一个只读的模板，类似于安装系统用到的那个iso文件，我们通过镜像来完成各种应用的部署。通过固有“模板”，安装并启动容器。确实，LXC已经很大程度上降低了容器管理的难度，方便我们做容器的生命周期，但是依然使用一些弊端。有些时候可能需要自定制模板，以及

vipiter 2020-06-06

Docker架构原理及简单使用

LXC为Linux Container的简写。可以提供轻量级的虚拟化，以便隔离进程和资源，而且不需要提供指令解释机制以及全虚拟化的其他复杂性。相当于C++中的NameSpace。容器有效地将由单个操作系统管理的资源划分到孤立的组中，以更好地在孤立的组之间平

changecan 2020-05-26

1、Docker部署及基础理论

　　Docker技术类似码头上看到的集装箱，最早集装箱没有出现的时候，码头上有许多搬运的工人在搬运货物，有了集装箱以后，搬运货物变得简单，通过集装箱的搬运模式更加单一、高效，将货物打包在集装箱里面，可以复制货物之间相互影响。　　Docker是一个开源的应用

兰海泽 2020-02-18

快速理解docker

简单的说Docker是一个构建在LXC之上的,基于进程容器的轻量级VM解决方案，Docker container和普通的虚拟机Image相比, 最大的区别是它并不包含操作系统内核。使软件开发、发布，运行变得简单，契合当前时髦的DeveOps的理念。安全问题

dusuanyun 2015-08-15

LXC容器

Linux container是一种资源隔离机制而非虚拟化技术。cgroup就是一个资源限制器，没有提供隔离功能，真正的隔离功能内核使用namespace实现的，这就意味着cgroup资源限制的模块间影响比container要大很多。LXC将Linux进程

CoderBoy 2019-11-03

LXC使用指南

容器有效地将由单个操作系统管理的资源划分到孤立的组中，以更好地在孤立的组之间平衡有冲突的资源使用需求。与虚拟化相比，这样既不需要指令级模拟，也不需要即时编译。容器可以在核心CPU本地运行指令，而不需要任何专门的解释机制。此外，也避免了准虚拟化和系统调用替换

JackZhou 2017-05-04

Linux 容器技术史话：从 chroot 到未来

Linux容器是一个在单一Linux主机上提供多个隔离的Linux环境的操作系统级虚拟技术。容器们共享宿主机的操作系统内核，并使用访客操作系统的系统库来提供所需的功能。由于不需要专用的操作系统，因此容器要比虚拟器启动快得多。容器借助Linux内核的Name

容器技术爱好者 2016-03-01

虚拟化–操作系统级 LXC Linux Containers内核轻量级虚拟化技术

软件平台：Ubuntu14.04容器有效地将由单个操作系统管理的资源划分到孤立的组中，以更好的在孤立的组之间有冲突的资源使用需求。与其他的虚拟化比较，这样既不需要指令级模拟，也不需要即时编译。容器可以在寒心CPU本地运行指令，而不需要任何专门的解释机制。此

jinriit 2015-07-07

腾讯云发布runC容器逃逸漏洞修复公告

近日，腾讯云安全中心监测发现轻量级容器运行环境runc被爆存在容器逃逸漏洞，攻击者可以在利用该漏洞覆盖Host上的runc文件，从而在Host上以root权限执行代码。为避免您的业务受影响，腾讯云安全中心建议您及时开展安全自查，如在受影响范围，请您及时进行

breezegao 2019-06-30

Docker1-安装

docker学习笔记LXC操作系统层虚拟化LXC，其名称来自Linux软件容器的缩写，一种操作系统层虚拟化技术，为Linux内核容器功能的一个用户空间接口。它将应用软件系统打包成一个软件容器，内含应用软件本身的代码，以及所需要的操作系统核心和库。透过统一的

rually 2019-06-30

快速理解docker

技术源头简单的说Docker是一个构建在LXC之上的,基于进程容器的轻量级VM解决方案，Docker container和普通的虚拟机Image相比, 最大的区别是它并不包含操作系统内核。使软件开发、发布，运行变得简单，契合当前时髦的DeveOps的理念。

LucisCaelum 2015-08-15

LXC：Linux 容器工具

容器可以提供轻量级的虚拟化，以便隔离进程和资源，而且不需要提供指令解释机制以及全虚拟化的其他复杂性。本文循序渐进地介绍容器工具 Linux Containers。作者在文中演示如何设置和使用它们。容器有效地将由单个操作系统管理的资源划 分到孤立的组中，以更

有瑕疵的老兵 2015-06-24

Docker入门

简单地说，docker是一个轻量级的虚拟解决方案，或者说它是一个超轻量级的虚拟机（容器）。Docker是一个开源的引擎，可以轻松的为任何应用创建一个轻量级的、可移植的、自给自足的容器。Docker 的理念为“Build, Ship and Run Any

石羊 2019-06-28

Docker入门

简单地说，docker是一个轻量级的虚拟解决方案，或者说它是一个超轻量级的虚拟机（容器）。Docker是一个开源的引擎，可以轻松的为任何应用创建一个轻量级的、可移植的、自给自足的容器。Docker 的理念为“Build, Ship and Run Any

admin 2019-06-28

LXC---Docker的“前身”

相当于C++中的NameSpace。容器有效地将由单个操作系统管理的资源划分到孤立的组中，以更好地在孤立的组之间平衡有冲突的资源使用需求。与宿主机使用同一个内核，性能损耗小；不需要指令级模拟；容器可以在CPU核心的本地运行指令，不需要任何专门的解释机制；

haniux 2018-09-09

LXD 2.15 中的存储管理

长久以来 LXD 已经支持多种存储驱动。用户可以在 zfs、btrfs、lvm 或纯目录存储池之间进行选择，但他们只能使用单个存储池。一个被频繁被提到的需求是不仅支持单个存储池，还支持多个存储池。这样，用户可以维护一个由 SSD 支持的 zfs 存储池用于

PinGoole 2017-08-04

在 Ubuntu 14.04 下使用 cgroups 和 Docker

作为我在ApacheCon工作的一份呈现，我正在Docker内部使用一些cgroups。我发现这方面的文档很少，所以我想把它们合到一块发一篇关于它的博客。启用LXC驱动假设你已经在Ubuntu 14.04上安装了Docker，你仍旧需要启用LXC驱动。正如

shiqiangdexin 2015-04-10

使用 Docker/LXC 迅速启动一个桌面系统

因为使用了容器，所以可以很方便的把生产环境和开发环境分开，互不影响，这是 docker 最普遍的一个玩法。更多的玩法还有大规模 web 应用、数据库部署、持续部署、集群、测试环境、面向服务的云计算、虚拟桌面 VDI 等等。上面说了 Docker 有很多玩法

ifkirin 2014-08-17
weihao

weihao

W3CSchool教程
HTML 教程
CSS 教程
Bootstrap 教程
Javascript 教程
jQuery 教程
后端教程
C 教程
Java 教程
PHP 教程
Python 教程
Go 教程
移动开发
Android 教程
Swift 教程
Kotlin 教程
jQuery Mobile 教程
ionic 教程
关于我们
新闻动态
联系方式
招聘英才
安科实验室
帮助与反馈

安科网(Ancii)，中国第一极客网

Copyright © 2013 - 2019 Ancii.com

京ICP备18063983号 京公网安备11010802014868号