最佳虚拟容器LXC
最佳虚拟容器LXC
和"真正的虚拟机环境"不同， "容器"(container)只能在Linux上虚拟Linux， 不能虚拟WIndows， 因为它不能虚拟硬件. 但是基于容器的虚拟机占用的资源很小－－在一台中等的Linux服务器上， 创建几百个虚拟机是轻而易举的事情. 这种"容器"虚拟化技术， 又称为OS-Level虚拟化，也就是"操作系统级虚拟化"．
LXC(ontainer)是Linux内核支持的技术, 这个好处就会安全性． 管理LXC容器的方式又两种:一种是使用Libvirt工具来管理，一种是使用lxc本身提供的工具管理. 两者各有优劣: 前者使用方便， 但是缺乏Apparmor保护，不安全； 后者使用性不够友好, 但是默认带了Apparmor规则，可以保证安全性．
安装LXC
使用apt命令就可以安装lxc
# sudo apt install lxc
基本用法
LXC可以创建两种不同的容器：
- 特权模式－－以root身份运行各种lxc命令，创建特权容器；
- 普通模式－－以普通用户身份运行各种lxc命令，创建非特权容器
普通容器又很多限制(比如无法创建设备节点)，不过也更安全(不会危害到主机)，因为这种容器的root用户，其实映射到主机上的一个普通用户
特权模式基本用法
创建容器可以使用交互式和非交互式
交互式创建容器
# sudo lxc-create -t download --name ubuntu1
下面是输出信息
Setting up the GPG keyring
Downloading the image index <-下载所有支持的Linux发行版列表
---
DIST RELEASE ARCH VARIANT BUILD
ubuntu xenial amd64 default 20171214_04:09
[...]
alpine 3.4 amd64 default 20171213_17:50
[...]
centos 6 amd64 default 20171214_02:16
[...]
debian buster amd64 default 20171214_04:09
[...]
---
Distribution: ubuntu <- 这里需要输入操作系统(上面列表中的)，我们选择ubuntu
Release: xenial <- 选择操作系统发行版本(上面列表中有的)
Architecture: amd64 <- 选择架构，这里选择64位
Downloading the image index
Downloading the rootfs
Downloading the metadata
The image cache is now ready
Unpacking the rootfs
---
You just created an Ubuntu container (release=xenial, arch=amd64, variant=default)
For security reason, container images ship without user accounts
and without a root password.
Use lxc-attach or chroot directly into the rootfs to set a root password
or create user accounts.
上面就是交互式创建容器的方式，创建出来的容器是没有用户的，需要使用lxc-attach或者chroot命令来设置，这个后面介绍．
非交互式创建
# sudo lxc-create -t download --name ubuntu2 -- \
--dist ubuntu -release xenial --arch amd64
非交互创建其实就是一次性将操作传递给模板而已，下面我们介绍一个各个参数:
- -t 模板: -t 选项后面跟的是模板，模式可以认为是一个原型，用来说明我们需要一个什么样的容器(比如容器里面需不需要有vim, apache等软件)．模板实际上就是一个脚本文件(位于/usr/share/lxc/templates目录)，我们这里指定download模板(lxc-create会调用lxc-download脚本，该脚本位于刚说的模板目录中)是说明我们目前没有自己模板，需要下载官方的模板
- --name 容器名称： 为创建的容器命名
- -- : --用来说明后面的参数是传递给download脚本的，告诉脚本需要下载什么样的模板
- --dist 操作系统名称：指定操作系统
- --release 操作系统: 指定操作系统，可以是各种Linux的变种
- --arch 架构： 指定架构，是x86还是arm，是32位还是64位
列出现有容器
简单列出
# sudo lxc-ls
详细列出
# sudo lxc-ls --fancy
查看容器信息
# sudo lxc-info --name ubuntu1
启动和关闭容器
# sudo lxc-start --name ubuntu1
以服务的形式启动容器
# sudo lxc-start --name ubuntu1 --daemon
# sudo lxc-stop --name ubuntu1
进入容器
进入容器的方式又三种:
- 用lxc-attach命令
- 用lxc-console命令
- 用SSH
进入容器
＃ sudo lxc-attach --name ubuntu1
让容器执行某个命令(重启ssh服务)
# sudo lxc-attach --name ubuntu1 -- restart ssh
提升特权,并指定名字空间,这个命令在测试主机上软件时很有用
# sudo lxc-attach -name ubuntu1 -e -s 'NETWORK|UTSNAME'
登录容器,需要输入用户名和密码
# sodu lxc-consloe --name ubuntu1
使用SSH登录
# ssh 用户名@IP
容器的删除
先停掉容器然后进行删除
# sudo lxc-stop --name ubuntu1
# sudo lxc-destroy --name ubuntu1
非特权模式
通过非特权模式，普通用户也可以创建和管理容器，而不需要root用户权限．
用户命名空间
这种非特权模式的实现使用了一种叫做"用户命名空间(user namespace)"的特性．用户命名空间是Linux下众多命名空间(Linux namespace)之一．Linux下一个用户本来有且只有一个uid和gid(可以通过id命令查看用户的id)．这个用户命名空间特性可以允许一个普通用户使用多个从属uid和gid(用户编号和组编号)．拥有多个从属uid和gid的意义在于做id映射，即将容器里面的用户映射到外部的普通用户上来．可以通过查看/ect/subuid和/etc/subgid来查看每个用户的可以使用的从属ID范围．
从图1可以看出用户hdy的id为1000，其从属id为图二所示，每个用户名后面就是该用户可以使用的id范围(起始id和可用id个数，中间用冒号隔开)
默认情况下，主机上的每个任务都是运行在初始用户命名空间里面的．在初始用户命名空间里，所有的id都是映射到整个id范围的(也就是没有做id映射)．可以通过查看/proc/self/uid_map和/proc/self/uid_map查看映射信息．
在非特权容器中，lxc会使用uidmap软件包提供的newuidmap和newgidmap程序来进行id映射．登入容器后，查看上面的两个文件可以映射情况．
创建默认的配置文件
在允许普通普通用户创建普通容器之前，需要做一些配置设置．
要让普通用户hdy能够创建容器
# mkdir -p ~/.config/lxc
# touch .config/lxc/default.conf
执行完上面命令后，需要在default.conf文件中添加以下内容
# uid映射, 填写用户hdy的从属id(/etc/subuid)
lxc.id_map = u 0 10000 65536
# gid映射, 填写用户hdy的从属id(/etc/subgid)
lxc.id_map = g 0 10000 65536
# 定义网络类型
lxc.network.type = veth
＃ 定义网络接口,lxcbr0是lxc包虚拟出的网卡，可以通过ifconfig查看
lxc.network.link = lxcbr0
在/etc/lxc/lxc-usernet文件中添加以下内容：
# 用户名 网络类型 桥接到的网络接口 允许普通用户创建的网络接口数量
hdy vneth lxcbr0 2
该文件是lxc用来管理非特权用户网络的．当普通用户创建网络接口时，lxc使用该文件的配置进行管理和控制．
创建非特权容器
前面配置完成后可以用普通用户hdy创建容器了
创建容器
hdy@hdy-pc:~$ lxc-create -t download -name ubuntu2 -- -dist ubuntu -release xenial -arch amd64
开放权限,不然无法启动容器
hdy@hdy-pc: chmod o+x -R ~/.local
启动，进入，停止和删除容器都不需要sudo
全局配置文件
- 对于特权容器，配置文件位于/etc/lxc
- 对于普通容器而言，配置文件位于~/.config/lxc下
- 以root身份创建的特权容器都位于/var/lbi/lxc下
- 普通用户创建的容器在~/.local/share/lxc目录下
克隆LXC容器
在大规模部署的情况下，我们一般不会逐个去手动的创建容器，而是搞好一个后直接克隆．
拷贝和快照
"克隆"要么是其他容器的一份拷贝，要么是其他容器的一份快照
拷贝：完整的复制原来的容器，所占的空间和原来的容器一样大
快照：利用后台文件系统的快照功能，创建一个很小的新容器，在发生写操作时才进行复制
要想使快照拥有这个写时复制的特性，需要一个特殊存储系统，支持快照的存储方式有：aufs，btrfs，LVM，overlayfs，zfs等．每种存储方式各有自己特点，这里不进一步说明
创建拷贝和快照
同过lxc-clone命令可以创建拷贝和快照，在创建之前需要停止容器
$ sudo lxc-stop --name ubuntu1
创建一个名为clone_ubuntu1的克隆
$ sudo lxc-copy -n ubuntu1 -N clone_ubuntu1
创建一个名为snapshot_ubuntu1的快照
$ sudo lxc-clone -s -n ubuntu1 -N snapshot_ubuntu1
lxc专门创建快照的快捷命令lxc-snapshot
该命令创建的快照位于/var/lib/lxc/容器名(如果是为普通容器创建快照，则位于~/.local/share/lxc/容器名)目录下，快照名字为snap0，snap1...依次编号
创建快照，实际上是克隆
$ sudo lxc-snapshot -n ubuntu1
创建快照
$ sudo lxc-copy -s -n ubuntu1 -N snapshot_ubuntu1
$ sudo lxc-snapshot -n snapshot_ubuntu1
使用lxc-snapshot创建快照时需要创建aufs/overlayfs文件系统，所以先通过lxc-copy命令创建一个快照，同时会自动为该快照创建文件系统overlayfs．然后我们给新创建的快照snapshot_ubuntu1(容器)创建快照．也就是说现在有三个容器－－ubuntu1，snapshot_ubuntu1，snap0．而容器snapshot_ubuntu1是ubunt1的快照，容器snap0是snapshot_ubuntu1的快照．snap0是lxc_snapshot创建的．snapshot_ubuntu1位于/var/lib/lxc目录下，snap0位于/var/lib/lxc/snapshot_ubuntu1/snaps目录下
假如我们在ubuntu1上做了一些误操作，这时想通过快照将ubuntu1恢复过来，可以这样实现．首先恢复一个容器的操作实际上是先将这个容器删除掉，然后根据快照创建一个同名的容器．但是在打快照的时候会依赖于overlayfs文件系统的，而overlayfs会依赖于原始容器(ubuntu1)的rootfs．如果将ubuntu1删除掉，那么rootfs将会被删除，进而overlayfs会被破快掉，导致无法通过快照创建创建容器．这里只能采用迂回的方式，通过快照创建一个新的容器．
通过快照创建一个新的容器ubuntu2
$ sudo lxc-snapshot -r snap0 -n ubunt1 -N ubuntu2
LXC网络
在默认的情况下，LXC会为每个容器创建一个专用的网络命名空间，包括一个二层的网络协议栈．LXC启动的时候会创建一个叫做lxcbr0的桥接设备，使用默认设置创建的容器都会有一个vethxxx虚拟网卡(每个容器都有一个虚拟网卡与之绑定)，这个网卡会被桥接lxcbr0上．
使用固定IP
默认情况下，容器的IP地址是动态分配的．如果要给容器设置固定IP地址，可以修改容器的配置文件．这里以修改普通容器的配置文件为例．
编辑文件
$ vim ~/.local/share/lxc/ubuntu1/config
添加固定ip
...
lxc.network.type = veth
lxc.network.link = lxcbr0
lxc.network.ipv4 = 10.0.3.102
...
让外界可以访问容器
在默认情况下，容器只能被宿主主机访问，外界是访问不到容器的(默认NAT方式)．如果想让容器像普通服务器被外界访问到，就需要使用桥接宿主主机eth0(或其他物理网卡)的设备
注意：只有特权容器才能被外界访问，普通容器是无法被外界访问的
创建桥接设备br0
在宿主主机上安装桥接工具包
$ sudo apt install bridge-utils
在宿主服务器上，修改/etc/network/interfaces，创建br0桥设备
[...]
auto enp4s0f2 物理网卡
iface enp4s0f2 inet manual
auto br0
iface br0 inet dhcp
address 192.168.1.10 网桥IP地址
netmask 255.255.255.0 掩码
gateway 192.168.1.1
dns-nameserver 114.114.114.114 8.8.8.8
bridge_ports enp4s0f2 #将物理网卡添加到虚拟网桥中
bridge_stp off
bridge_maxwait 0
bridge_fd 0
[...]
上面的配置主要是创建了一个网桥，而物理网卡enp4s0f2可以看做网桥的一个端口，然后关闭网卡，启动网桥
$ sudo ifdown enp4s0f2 && sudo ifup br0
接下来停掉容器(这里以ubuntu1为列)，修改其配置文件
$ sudo lxc-stop -n ubuntu1
$ vim /var/lib/lxc/ubuntu1/config
修改以下内容，容器桥接到br0上
lxc.network.link = br0
然后为容器配置固定IP
$ vim /var/lib/lxc/ubuntu1/rootfs/etc/network/interfaces
...
auto eth0
iface eth0 inet static
address 192.168.1.239
netmask 255.255.255.0
gateway 192.168.1.1
dns-nameserver 8.8.8.8 如果无法解析域名，则需要设置下
