Techyou labs
文章RSS
评论RSS
登录
真正的爱应该超越生命的长度、心灵的宽度、 灵魂的深度
搜索
关于作者
文章分类
Default
Linux/Unix
Database
Cloud
Networking
Security
Programming
最新文章
Pulumi 新一代基础设施管理工具
装机神器-u盘启动手术刀Ventoy
使用 mergefs 创建虚拟挂载点
使用minio存储docker容器数据
Linux Mint 19/Ubuntu18 多点触摸和手势
Mint 19.2升级后若干问题
poetry, python依赖管理新军刀
docker 中运行 openwrt
Inxi:一把获取 Linux 系统信息的军刀
用hugo来写多语言文档
最新评论
renothing: 二次反向代理跟你应用程序得处理时间有关系吧?尤其是...
二次反向代理性能很差,怎么优化的?: 我也用nginx 做了个二次反向代理,但是并发连3...
hostyep: 交换链接么?目前每天保持30个左右对口IP,每月都...
yzhkpli: error while loading share...
美肤宝: 感谢分享。。。
lq: 嗯 喜欢弄得点单点
按月归档
September 2020
May 2020
September 2019
August 2019
July 2019
June 2019
May 2019
January 2019
December 2018
November 2018
October 2018
September 2018
August 2018
July 2018
June 2018
April 2018
March 2018
December 2017
October 2017
September 2017
August 2017
April 2017
March 2017
February 2017
August 2016
July 2015
November 2014
September 2014
August 2014
July 2014
June 2014
July 2013
April 2013
September 2012
July 2012
May 2012
April 2012
February 2012
January 2012
December 2011
November 2011
October 2011
September 2011
August 2011
December 2010
November 2010
October 2010
September 2010
August 2010
July 2010
June 2010
May 2010
April 2010
March 2010
February 2010
January 2010
December 2009
November 2009
October 2009
September 2009
June 2009
May 2009
April 2009
March 2009
February 2009
December 2008
November 2008
September 2008
August 2008
July 2008
June 2008
常用标签
Mysql
nginx
mysql优化
linux
apache
Powered by
Typecho)))
Optimized by
EAimTY
基于LXCFS增强docker容器隔离
April 11, 2018
Docker容器由于Linux内核namespace本身还不够完善的现状(例如,没有cgroup namespace,user namespace也是在kernel高版本才开始支持, /dev设备不隔离等),因此docker容器在隔离性方面也存在一些缺陷。例如,在容器内部proc文件系统中可以看到Host宿主机上的proc信息(如:meminfo, cpuinfo,stat, uptime等)。开源项目LXCFS,尝试通过用户态文件系统实现docker容器内的虚拟proc文件系统,增强docker容器的隔离性,减少给用户带来的不便。 ### LXCFS介绍 LXCFS是一个开源的FUSE用户态文件系统,起初是为了更好的在Ubuntu上使用LXC容器而设计开发。LXCFS基于C语言开发,代码托管在github上,目前较多使用在LXC容器中。主要由Ubuntu的工程师提供维护和开发。 #####LXCFS主要提供两个基本功能点: a cgroupfs compatible view for unprivileged containers a set of cgroup-aware files: ``` ├── cgroup │ ├── blkio │ ├── cpu,cpuacct │ ├── cpuset │ ├── devices │ ├── freezer │ ├── hugetlb │ ├── memory │ ├── name=systemd │ ├── net_cls,net_prio │ ├── perf_event │ ├── pids │ └── rdma └── proc ├── cpuinfo ├── diskstats ├── meminfo ├── stat ├── swaps └── uptime ``` 即在容器内部提供一个虚拟的proc文件系统和容器自身的cgroup的目录树。 ###LXCFS安装 for ubuntu ``` sudo add-apt-repository ppa:ubuntu-lxc/lxcfs-stable -y sudo apt-get update sudo apt-get install lxcfs -y ``` 其他版本请参考管网自行编译安装 ###LXCFS与docker结合 创建LXCFS挂载点(如果apt-get安装,则已自动创建并挂载) ``` sudo mkdir -p /var/lib/lxcfs sudo ./lxcfs -s -f -o allow_other /var/lib/lxcfs/ ``` 启动docker容器,挂载lxcfs ``` root@gz-node1:~# docker run -it --rm --name ubuntu --memory=512m --cpuset-cpus=0,1 -v /var/lib/lxcfs/proc/uptime:/proc/uptime:rw -v /var/lib/lxcfs/proc/cpuinfo:/proc/cpuinfo:rw -v /var/lib/lxcfs/proc/stat:/proc/stat -v /var/lib/lxcfs/proc/meminfo:/proc/meminfo -v /var/lib/lxcfs/cgroup/:/cgroup/:rw ubuntu:16.04 free -m WARNING: Your kernel does not support swap limit capabilities or the cgroup is not mounted. Memory limited without swap. total used free shared buff/cache available Mem: 512 1 510 31 0 510 Swap: 0 0 0 ``` 参考: - https://linuxcontainers.org/lxcfs/introduction/ - https://yq.aliyun.com/articles/566208
暂无评论
添加新评论
称呼
Email
网站
取消回复
内容
发表评论