एक सामान्य फ़ाइल बेस के साथ LXC कंटेनरों का निर्माण

हल्के एलएक्ससी कंटेनरों का उपयोग वर्तमान में काफी सीमित है, मुख्य रूप से उनके "नमी" के कारण। उन्हें उत्पादन के लिए लागू करना वास्तविक जेडी की नियति है। इस मामले में, उत्पादन का अर्थ है ग्राहकों को सेवाओं का प्रत्यक्ष प्रावधान।

हालांकि, सेवाओं और संसाधन नियंत्रण के सरल पृथक्करण के लिए, ऐसे कंटेनर कुछ मान्यताओं के साथ काफी उपयुक्त हैं। उदाहरण के लिए, हम मानते हैं कि कंटेनर में रूट लक्ष्य प्रणाली में रूट के बराबर है।

लेख दिखाएगा कि LVM स्नैपशॉट का उपयोग किए बिना साझा फ़ाइलों के साथ स्थानीय डिस्क पर हल्के कंटेनर को जल्दी से कैसे बनाया जाए।

संक्षेप में एलएक्ससी कंटेनरों के सार के बारे में

एलएक्ससी लिनक्स कर्नेल में आभासी कंटेनरों को लागू करने के लिए एक उपकरण है। इसके मूल में, LXC केवल उपयोक्ता उपयोगिताओं का एक संग्रह है जो कर्नेल में लागू क्षमताओं का शोषण करता है। जैसे, लिनक्स कर्नेल में LXC की अवधारणा गायब है।

कंटेनर के दो मुख्य घटक नामस्थान और नियंत्रण समूह (cgroups) हैं। पूर्व एक दूसरे से कंटेनर प्रक्रियाओं का अलगाव प्रदान करते हैं, जबकि बाद वाले कंटेनर को आवंटित संसाधनों को सीमित करने के लिए जिम्मेदार होते हैं।

वर्तमान में, मान्य नामस्थान हैं:

• pid - प्रक्रिया पहचानकर्ता नामस्थान
• माउंट - माउंटेड फ़ाइल सिस्टम के नाम स्थान
• नेटवर्क - आपको कंटेनरों के अंदर पृथक नेटवर्क स्टैक बनाने की अनुमति देता है
• utsname - utsname संरचना का अलगाव प्रदान करता है। मुख्य रूप से विभिन्न होस्टनाम सेट करने के लिए उपयोग किया जाता है
• ipc SysV IPC नाम स्थान है। साझा की गई मेमोरी, सेमाफोर और संदेश कतार में अलग-अलग आईडी होगी।
• उपयोगकर्ता - नेमस्पेस uid / gid

वैसे, अंतिम नामस्थान को कर्नेल संस्करण 3.9 में अंतिम रूप देने का वादा किया गया है

ये स्थान कंटेनर को स्वतंत्र महसूस करने के लिए पर्याप्त हैं।

प्रारंभ में, सिस्टम की सभी प्रक्रियाएं सामान्य नेमस्पेस का उपयोग करती हैं। एक नई प्रक्रिया बनाते समय, हम इस प्रक्रिया के लिए आवश्यक नामस्थानों को क्लोन करने के लिए कर्नेल को बता सकते हैं। यह CLONE_NEW * विशेष झंडे को क्लोन () कहकर निर्दिष्ट किया जाता है। एक प्रक्रिया बनाते समय एक विशिष्ट नामस्थान के लिए इस ध्वज को निर्दिष्ट करके, हम यह सुनिश्चित करते हैं कि प्रक्रिया अपने स्वयं के नामस्थान में बनाई गई है। यह कैसे LXC उपयोगिताओं का काम करता है, एक नया कंटेनर बनाता है।

आप किसी मौजूदा प्रक्रिया के नामस्थान को अनशेयर () कहकर अलग कर सकते हैं। आप सेट्स () का उपयोग करके एक प्रक्रिया नाम स्थान को दूसरे के साथ पूरी तरह से बदल सकते हैं, लेकिन इस कॉल के लिए नए कर्नेल (> 3.0) के लिए समर्थन की आवश्यकता होती है।

यह सेट () है जो कंटेनर में कूदने के लिए उपयोग किया जाता है।

नियंत्रण समूह, साथ ही नेमस्पेस, कर्नेल में कार्यान्वित किए जाते हैं। उपयोगकर्ता अंतरिक्ष में, उनका उपयोग विशेष cgroup फ़ाइल सिस्टम के इंटरफ़ेस का उपयोग करके LXC के लिए उपलब्ध है। एलएक्ससी यूटिलिटीज कंटेनर के नाम के साथ इस फाइल सिस्टम पर एक निर्देशिका बनाते हैं, और फिर नियंत्रण समूह की फाइलों के लिए प्रक्रियाओं की पिड लिखते हैं। इसलिए, कंटेनर का नाम अनिवार्य रूप से नियंत्रण समूह का नाम है।

एलएक्ससी कंटेनर बनाने के लिए सिस्टम तैयार करना

हम इस कदम को छोड़ देते हैं, क्योंकि इसके बारे में बहुत कुछ कहा गया है। उदाहरण के लिए, यहाँ । कॉन्फ़िगरेशन का सार आवश्यक विकल्पों के साथ कर्नेल का निर्माण करना और उपयोगकर्तास्पेस उपयोगिताओं को स्थापित करना है।

सौभाग्य से, आधुनिक वितरण के कई कर्नेल पहले से ही इन विकल्पों के साथ संकलित किए जाते हैं, इसलिए पुनर्निर्माण की सबसे अधिक संभावना है।

यदि आप वर्चुअलाइजेशन को प्रबंधित करने के लिए libvirt का उपयोग करने के लिए उपयोग किए जाते हैं, तो अच्छी खबर यह है कि libvirt LXC का पूर्ण समर्थन करता है। उसके बारे में लेख को "शरीर के करीब" नहीं बताया जाएगा।

कंटेनरों के लिए फ़ाइल सिस्टम का आधार बनाएं

आमतौर पर वे ऐसा करते हैं: वे कुछ बुनियादी एलवीएम डिवाइस बनाते हैं, और इसके आधार पर वे प्रत्येक कंटेनर के फाइल सिस्टम के लिए अलग स्नैपशॉट बनाते हैं। इस प्रकार, यह डिस्क स्थान को इस तथ्य के कारण बचाता है कि स्नैपशॉट केवल परिवर्तित ब्लॉकों के आकार से अंतरिक्ष लेता है।
एक विकल्प के रूप में lvm के बजाय, फ़ाइल सिस्टम का उपयोग करना संभव है जो स्नैपशॉट का समर्थन करता है, उदाहरण के लिए btrfs।

लेकिन इस पद्धति में एक महत्वपूर्ण खामी है: lvm स्नैपशॉट के साथ डिस्क लेखन कार्य बेहद धीमा है।

इसलिए, कुछ कार्यों के लिए, आप निम्न विधि का उपयोग कर सकते हैं:

• एक मूल कंटेनर छवि बनाएं
• इसे सामान्य अपरिवर्तित भाग से आवंटित करें
• छवि से प्रतीकात्मक लिंक इस भाग में बनाएँ
• कंटेनर बनाते समय इस हिस्से को कंटेनर के अंदर रखें

चलिए शुरू करते हैं। हम आधार कंटेनर के रूप में एक ही LVM का उपयोग करेंगे (हालाँकि यह पूरी तरह से वैकल्पिक है):

$ mkdir -p /lxc/base $ mount /dev/mapper/lxc /lxc/base $ cat /.exclude /dev/* /mnt/* /tmp/* /proc/* /sys/* /usr/src/* /lxc $ rsync --exclude-from=/.exclude -avz / /lxc/base/ $ DEV="/lxc/base/dev" $ mknod -m 666 ${DEV}/null c 1 3 $ mknod -m 666 ${DEV}/zero c 1 5 $ mknod -m 666 ${DEV}/random c 1 8 $ mknod -m 666 ${DEV}/urandom c 1 9 $ mkdir -m 755 ${DEV}/pts $ mkdir -m 1777 ${DEV}/shm $ mknod -m 666 ${DEV}/tty c 5 0 $ mknod -m 600 ${DEV}/console c 5 1 $ mknod -m 666 ${DEV}/full c 1 7 $ mknod -m 600 ${DEV}/initctl p $ mknod -m 666 ${DEV}/ptmx c 5 2 

नकल पूरी होने के बाद, हम अपरिवर्तनीय भाग बनाने के लिए आगे बढ़ते हैं। आइए इसे आम कहते हैं:

 $ cd /lxc/base $ mkdir common $ mv bin lib lib64 sbin usr common/ $ ln -s common/bin $ ln -s common/sbin $ ln -s common/lib $ ln -s common/lib64 $ ln -s common/usr $ chroot /lxc/base $ > /etc/fstab 

उसके बाद, start_udev को /etc/rc.sysinit से हटाएं, अनावश्यक सेवाओं को अक्षम करें, और अपने विवेक पर हम अतिरिक्त सेटिंग्स करें। हम कॉन्फ़िगरेशन फ़ाइलों से होस्टनाम हटा देते हैं ताकि कंटेनर शुरू होने पर इसे फिर से परिभाषित न किया जाए।

हम cgroup फ़ाइल सिस्टम को माउंट करते हैं, जिसकी मदद से कंटेनर संसाधन सीमित होंगे। यह प्रक्रिया फ़ाइल सिस्टम के अंदर कंटेनर के नाम के साथ एक निर्देशिका बनाकर होगी। LXC उपयोगिताओं द्वारा निर्देशिका बनाई जाएगी (और हटा दी जाएगी)।

 $ mount -t cgroup -o cpuset,memory,cpu,devices,net_cls none /cgroup 

हम स्पष्ट रूप से उन नियंत्रकों को निर्दिष्ट करते हैं जिन्हें हम माउंट करना चाहते हैं, क्योंकि सेंटोस 6 / आरएचईएल 6 वितरण में डिफ़ॉल्ट रूप से, ब्लकिओ नियंत्रक को माउंट किया जाता है, जो काम करने के लिए एलएक्ससी के लिए आवश्यक नेस्टेड पदानुक्रमों का समर्थन नहीं करता है। उबंटू / डेबियन को इससे कोई समस्या नहीं है।

उपयोगी भी हो सकता है ccclear उपयोगिता libcgroup से हो, जो न केवल नियंत्रण समूहों को अनमाउंट करता है, बल्कि कर्नेल स्तर पर उन्हें नष्ट भी करता है। व्यक्तिगत नियंत्रकों को पुन: बढ़ते समय -EBUSY त्रुटि को रोकने में मदद करेगा।

अब एक नेटवर्क ब्रिज बनाएं जिसमें सभी कंटेनर जुड़ेंगे। सावधान रहें, ऑपरेशन के दौरान नेटवर्क खो गया है।

 $ brctl addbr br0 $ brctl addif br0 eth0 $ ifconfig eth0 0.0.0.0 $ ifconfig br0 10.0.0.15 netmask 255.255.255.0 $ route add default gw 10.0.0.1 

इस नए पुल में सभी नए वर्चुअल कंटेनर इंटरफेस शामिल किए जाएंगे।

वितरण की स्टार्टअप कॉन्फ़िगरेशन फ़ाइलों में सभी परिवर्तनों को प्रतिबिंबित करने के लिए मत भूलना।

एक LXC कंटेनर बनाएँ

सिस्टम की मूल छवि तैयार करने के बाद, हम सिस्टम में पहला कंटेनर बनाने के लिए सीधे आगे बढ़ सकते हैं। चलो बस इसे lxc- कंटेनर कहते हैं।

कंटेनर बनाने की प्रक्रिया में तीन सरल चरण शामिल हैं:

• कंटेनर fstab फ़ाइल बनाना
• कंटेनर फ़ाइल सिस्टम तैयार करना
• कंटेनर कॉन्फ़िगरेशन फ़ाइल बनाना

हमारे कंटेनर के लिए fstab सेट करें:

 $ cat > /lxc/lxc-container.fstab << EOF devpts /lxc/lxc-container/dev/pts devpts defaults 0 0 proc /lxc/lxc-container/proc proc defaults 0 0 sysfs /lxc/lxc-container/sys sysfs defaults 0 0 EOF 

अब बेस इमेज के पूर्व निर्मित अपरिवर्तनीय भाग का उपयोग करके, हमारे पहले lxc-कंटेनर के लिए फाइल सिस्टम तैयार करें।

 $ mkdir /lxc/lxc-container && cd /lxc/lxc-container $ rsync --exclude=/dev/* --exclude=/common/* -avz /lxc/base/ . $ mount --bind /lxc/base/dev /lxc/lxc-container/dev $ mount --bind /lxc/base/common /lxc/lxc-container/common $ mount -o remount,ro /lxc/lxc-container/common 

अंतिम दो पंक्तियों को एक में नहीं जोड़ा जा सकता है। अच्छा, ठीक है।
जैसा कि आप देख सकते हैं, वर्णित विधि का मुख्य दोष (या मुख्य लाभ) यहां प्रकट होता है। कंटेनर के अंदर फ़ाइल सिस्टम का मूल भाग केवल-पढ़ने के लिए है।

और अंत में, सबसे महत्वपूर्ण बात कंटेनर कॉन्फ़िगरेशन फ़ाइल है। इस उदाहरण में, हम मानते हैं कि सिस्टम की जड़ में lxc यूटिलिटीज स्थापित हैं

 $ mkdir -p /var/lib/lxc/lxc-container $ cat > /var/lib/lxc/lxc-container/config << EOF # hostname   lxc.utsname = lxc-name0 #   tty lxc.tty = 2 #      fstab lxc.rootfs = /lxc/lxc-container lxc.rootfs.mount = /lxc/lxc-container lxc.mount = /lxc/lxc-container.fstab #    lxc.network.type = veth lxc.network.name = eth0 lxc.network.link = br0 lxc.network.flags = up lxc.network.mtu = 1500 lxc.network.ipv4 = 10.0.0.16/24 #       /dev lxc.cgroup.memory.limit_in_bytes = 128M lxc.cgroup.memory.memsw.limit_in_bytes = 256M lxc.cgroup.cpuset.cpus = lxc.cgroup.devices.deny = a lxc.cgroup.devices.allow = c 1:3 rwm lxc.cgroup.devices.allow = c 1:5 rwm lxc.cgroup.devices.allow = c 5:1 rwm lxc.cgroup.devices.allow = c 5:0 rwm lxc.cgroup.devices.allow = c 4:0 rwm lxc.cgroup.devices.allow = c 4:1 rwm lxc.cgroup.devices.allow = c 1:9 rwm lxc.cgroup.devices.allow = c 1:8 rwm lxc.cgroup.devices.allow = c 136:* rwm lxc.cgroup.devices.allow = c 5:2 rwm lxc.cgroup.devices.allow = c 254:0 rwm EOF 

कृपया ध्यान दें कि हमने स्पष्ट रूप से इंगित किए गए और स्मृति और स्वैप को छोड़कर सभी उपकरणों तक पहुंच से इनकार कर दिया है। मुक्त उपयोगिता की इस वर्तमान सीमा के बावजूद, कंटेनर के अंदर शीर्ष पूर्ण भौतिक मेमोरी दिखाएगा।

वितरण की स्टार्टअप कॉन्फ़िगरेशन फ़ाइलों में सभी परिवर्तनों को प्रतिबिंबित करने के लिए मत भूलना, अन्यथा वे सभी रिबूट के बाद खो जाएंगे!

LXC कंटेनर लॉन्च करें

यह हमारे हौसले से बनाए गए कंटेनर को लॉन्च करने का समय है। ऐसा करने के लिए, हम lxc-start उपयोगिता का उपयोग करेंगे, इसे एक तर्क के रूप में हमारे कंटेनर के नाम से गुजारें:

 $ lxc-start --name lxc-container 

LXC कंटेनर से कनेक्ट करें

LXC में फिजिकल सर्वर से कंटेनर में कूदने में समस्या है।

इसके लिए डिज़ाइन किया गया lxc-संलग्न, केवल पैच वाले कर्नेल के साथ काम करता है। पैच विशिष्ट नामस्थानों (जैसे माउंट-नेमस्पेस और पिड-नेमस्पेस) के लिए कार्यक्षमता को लागू करते हैं। पैच खुद यहां डाउनलोड किए जा सकते हैं।

जंप कार्यक्षमता एक विशेष सिस्टम कॉल सेट () द्वारा कार्यान्वित की जाती है, जो मौजूदा नाम स्थान पर एक तृतीय-पक्ष प्रक्रिया को बांधती है।

कंटेनर में कूदने की जगह lxc- कंसोल ले सकते हैं, जो कंटेनर के वर्चुअल कंसोल में से एक से जुड़ता है

 $ lxc-console --name lxc-container -t 2 

और हमारे सामने कंटेनर / देव / tty2 का कंसोल है

 CentOS release 6.3 (Final) Kernel 2.6.32 on an x86_64 lxc-container login: root Password: Last login: Fri Nov 23 14:28:43 on tty2 $ hostname lxc-container $ tty /dev/tty2 $ ls -l /dev/tty2 crw--w---- 1 root tty 136, 3 Nov 26 14:25 /dev/tty2 

डिवाइस / dev / tty2 की प्रमुख संख्या 136 है, और यह "सच tty" नहीं है। इस उपकरण को छद्म टर्मिनल चालक द्वारा परोसा जाता है, जिसका मास्टर भौतिक सर्वर पर पढ़ा जाता है, और दास कंटेनर पर पढ़ा जाता है। अर्थात्, हमारा / dev / tty2 एक नियमित उपकरण / dev / pts / 3 है

और, ज़ाहिर है, आप ssh के माध्यम से कनेक्ट कर सकते हैं:

 $ ssh root@lxc-container 

एलएक्ससी ऑपरेशन

यह बहुत ही रोचक, लेकिन चर्चा का अलग विषय है। यहां यह ध्यान दिया जा सकता है कि कंटेनरों के प्रशासन के लिए कुछ कार्य एलएक्ससी उपयोगिताओं द्वारा किए जाते हैं, लेकिन आप उनके बिना पूरी तरह से कर सकते हैं। इसलिए, उदाहरण के लिए, आप सिस्टम में उन प्रक्रियाओं की सूची देख सकते हैं जिनमें विभाजन के साथ कंटेनर में हैं:

 $ ps ax -o pid,command,cgroup 

इस मामले में cgroup कंटेनर के नाम से मेल खाता है