Установка и настройка LXC под Ubuntu 18.04

Установка и настройка LXC под Ubuntu 18.04. Непривилегированные контейнеры.

Перед настройкой LXC рекомендуется выполнить базовую настройку Ubuntu.

UID и GID Maping

Убедитесь, что у вас корректно настроены map uig и gid. Mapping нужен для того, чтобы запускать непривелигированные контейнера. Т.е. root в контейнере на хост машине будет работать с ID 100000, а не 0. Соостветственно файлы в контейнеры будут иметь владельца, начиная с 100000.

nano /etc/subuid

lxc:100000:65536
lxd:100000:65536
root:100000:65536

nano /etc/subgid

lxc:100000:65536
lxd:100000:65536
root:100000:65536

Для удобства вы можете добавить пользователя lxc-root, чтобы в htop видеть процессы запущенные в lxc

groupadd -r --gid 100000 lxc-root
useradd -r -M --uid 100000 -g lxc-root lxc-root

Установка LXC

aptitude install lxc

Установите права доступа, чтобы корректно запускались контейнеры:

chown lxc-root:root /var/lib/lxc
chmod 755 /var/lib/lxc

Также вам потребуется настроить UID для LXC. Пропишите в конце файла следующие строки, выполнив команду nano /etc/lxc/default.conf

lxc.idmap = u 0 100000 65536
lxc.idmap = g 0 100000 65536

Настройка сети

Рекомендуется использовать сеть 172.30.0.1/24. Более подробный список указан в списке сетей.

В файле /etc/default/lxc-net пропишите

USE_LXC_BRIDGE="true"
LXC_BRIDGE="lxcbr0"
LXC_ADDR="172.30.0.1"
LXC_NETMASK="255.255.255.0"
LXC_NETWORK="172.30.0.0/24"
LXC_DHCP_RANGE="172.30.0.2,172.30.0.254"
LXC_DHCP_MAX="253"
#LXC_DHCP_CONFILE=/etc/lxc/dnsmasq.conf
#LXC_DOMAIN="lxc"

Перенос папки на другой диск

К примеру, вам нужно перенести папку lxc в /srv. 

Перед переносом папки, остановите все контейнеры.

Создайте папку lxc в srv

mkdir /srv/lxc
chown lxc-root:root /srv/lxc
chmod 755 /srv/lxc

перенесите все содержимое из папки /var/lib/lxc в /srv/lxc

mv -f /var/lib/lxc/* /srv/lxc

Убедитесь что папка /var/lib/lxc пустая

ls -la /var/lib/lxc

 /etc/fstab пропишите строчку в конце

/srv/lxc    /var/lib/lxc    none    bind

Сделайте монтирование папки:

mount -a

По умолчанию при загрузке будет монтироваться папка

Установка контейнера

Установка контейнера LXC Centos 7:

lxc-create -t download -n test-centos -- --dist centos --release 7 --arch amd64

Установка контейнера LXC Ubuntu 18.04:

lxc-create -t download -n test-ubuntu -- --dist ubuntu --release bionic --arch amd64

Установка контейнера LXC Debian Jessie:

lxc-create -t download -n test-debian -- --dist debian --release jessie --arch amd64

Установка контейнера Alpine Linux 3.10:

lxc-create -t download -n test-alpine -- --dist alpine --release 3.10 --arch amd64

Автозапуск контейнера

Чтобы настроить автоматическое включение контейнера, укажите следующие строки для файла /var/lib/lxc/<название контейнера>/config:

lxc.start.auto = 1
lxc.start.delay = 5 # Задержка, когда будет запущен контейнер

Если хотите, чтобы контейнер не запускался при старте, укажите 0

Ограничение ресурсов CPU

Иногда нужно ограничить cpu для контейнера. Чтобы это сделать, пропишите строчку в конфиге контейнера

# CPU Limit
lxc.cgroup.cpuset.cpus = 0,1

0,1 — означает запустить контейнер на 1м и 2м ядре.

Отключение AppArmor в LXC

Иногда AppArmor мешает контейнеру запуститься. Тогда в конце файла настроек контейнера /var/lib/lxc/<название контейнера>/config пропишите следующую строку

Прописывайте, только если контейнер не запускается.

lxc.apparmor.profile = unconfined

Команды для работы с контейнерами

Чтобы запустить контейнер выполните:

lxc-start название контейнера

Чтобы остановить контейнер выполните:

lxc-stop название контейнера

Чтобы подключиться к контейнеру под рутом:

lxc-attach название контейнера

Просмотреть список контейнеров и их IP адреса

lxc-ls -f

Настройка сети контейнера

В конце файла настроек контейнера /var/lib/lxc/<название контейнера>/config укажите слоедующие параметры:

# Network configuration
lxc.net.0.type = veth
lxc.net.0.link = lxcbr0
lxc.net.0.flags = up
lxc.net.0.hwaddr = 00:16:3e:6b:aa:11
lxc.net.0.ipv4.address = 172.30.0.10/24
lxc.net.0.ipv4.gateway = 172.30.0.1

10.0.3.10 — Это IP адрес контейнера
10.0.3.1 — Адрес шлюза
00:16:3e:6b:aa:11 — MAC Адрес должен быть уникальный
lxcbr0 — Имя LXC bridge. Обычно ставится автоматически

Настройка IP адреса для контейнера с Centos и Alpine Linux

Бывает, что первого способа не достаточно чтобы выдать IP адрес. Тогда нужно задать IP адрес в самом контейнере.

Способ для Centos и Alpine Linux:

Подключитесь к контейнеру через команду

lxc-attach название контейнера

Откройте файл /etc/network/interfaces

Вместо iface eth0 inet dhcp Пропишите:

iface eth0 inet static
        address 172.30.0.10
        netmask 255.255.255.0
        gateway 172.30.0.1

Выйдите из контейнера командой:

exit

Перезапустить контейнер:

lxc-stop название контейнера
lxc-start название контейнера

Настройка IP адреса для контейнера с Ubuntu

Подключитесь к контейнеру и откройте файл nano /etc/netplan/10-lxc.yaml и пропишите следующее содержимое

network:
  version: 2
  ethernets:
    dhcp4: no
    dhcp6: no
    addresses: [172.30.0.10/24]
    gateway4: 172.30.0.1
    nameservers:
    addresses: [172.30.0.1]

Перезапустить контейнер:

lxc-stop название контейнера
lxc-start название контейнера

Настройка DNS

Подключитесь к контейнеру и удалите файл resolv

rm -f /etc/resolv.conf

И создайте его заново:

nano /etc/resolv.conf

nameserver 8.8.8.8
nameserver 8.8.4.4

Установка SSH

С хоста. Сгенерируйте ключ ssh, если его у вас нет в домашней папке:

ssh-keygen

Установите ваш публичный сертификат в контейнер:

mkdir -p /var/lib/lxc/test-ubuntu/rootfs/root/.ssh/
cat ~/.ssh/id_rsa.pub >> /var/lib/lxc/test-ubuntu/rootfs/root/.ssh/authorized_keys
chown -R lxc-root:lxc-root /var/lib/lxc/test-ubuntu/rootfs/root/.ssh
chmod 700 /var/lib/lxc/test-ubuntu/rootfs/root/.ssh
chmod 400 /var/lib/lxc/test-ubuntu/rootfs/root/.ssh/authorized_keys

Подключитесь к контейнеру через консоль командой:

lxc-attach test-ubuntu

Установите SSH сервер в контейнере.

Для Ubuntu:

apt install openssh-server -y

Для Centos:

yum install openssh-server -y
systemctl enable sshd

Установите root пароль:

passwd

Завершите текущий сеанс в контейнере:

exit

Теперь вы можете подключиться к контейнеру через SSH:

ssh root@IP-адрес-контейнера

Проброс портов

Проброс портов нужен, чтобы расшарить контейнер в интернет. Иногда этого не требуется, например, если вы проксируете трафик через nginx. Делать нужно на хосте.

Чтобы пробросить порты, нужно установить и настроить iptables-persistent

При работе с iptables будьте осторожны.
Одно неверное движение и доступ к серверу может быть заблокирован !!!

После этого в файле /etc/iptables/rules.v4 и /etc/iptables/rules.v6 в секцию *nat нужно указать строчки

# Проброс SSH на 172.30.0.10
-A PREROUTING ! -i lxcbr0 -p tcp -m tcp --dport 22340 -j DNAT --to-destination 172.30.0.10:22

# Проброс HTTP на 172.30.0.10
-A PREROUTING ! -i lxcbr0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.30.0.10:80
-A PREROUTING ! -i lxcbr0 -p tcp -m tcp --dport 443 -j DNAT --to-destination 172.30.0.10:443

# Проброс FTP на 172.30.0.10
-A PREROUTING ! -i lxcbr0 -p tcp -m tcp --dport 21 -j DNAT --to-destination 172.30.0.10:21
-A PREROUTING ! -i lxcbr0 -p tcp -m tcp --dport 30000:50000 -j DNAT --to-destination 172.30.0.10:30000-50000

и выполнить:

iptables-restore < /etc/iptables/rules.v4
ip6tables-restore < /etc/iptables/rules.v6
systemctl stop lxc
systemctl stop lxc-net
systemctl start lxc-net
systemctl start lxc

Настройка nested контейнера

Nested контейнер — это возможность запустить контейнер в контейнере. Например, если вам нужно будет запустить Docker внутри LXC контейнера, то нужно включить данную опцию.

Опция включается в файле конфига контейнера /var/lib/lxc/<название контейнера>/config

Раскоментируйте строчку:

#lxc.include = /usr/share/lxc/config/nesting.conf

Также может понадобится прописать параметр для монтирования файловой системы cgroup

lxc.mount.auto = cgroup-full:rw

Дополнительно:

  1. Настройка Centos 7 LXC контейнера с поддержкой nginx и php-fpm
  2. Докер в LXC
  3. Непривилегированные контейнеры
  4. Описание файла config
  5. Безопасность в LXC
  6. Список всех образов: https://us.images.linuxcontainers.org/