LXC è abbastanza sicuro per l'hosting VPS?

8

In questo momento sto usando Linux VServer per l'hosting VPS. Ma manca alcune funzionalità di cui ho bisogno (es. Virtualizzazione dell'utilizzo della CPU, supporto delle quote per gli ospiti, ecc.) Quindi sto pensando di passare a OpenVZ o direttamente a LXC. Ho letto da qualche parte che LXC non è ancora considerato sicuro (ex http://it.gentoo-wiki.com/wiki/LXC#MAJOR_Temporary_Problems_with_LXC_-_READ_THIS ) - è ancora vero? Dato che non conosco le persone che gestiscono gli ospiti, devo davvero prendermi cura della sicurezza.

— Gucki
fonte

ci sono stati (sono?) anche problemi con il filtro / proc - vedi bugs.launchpad.net/ubuntu/+source/lxc/+bug/645625 "Il contenitore lxc può spegnere la macchina host"

— sendmoreinfo

non esattamente una risposta alla tua domanda, ma hai preso in considerazione l'utilizzo di un hypervisor? per esempio. Xen o KVM

— Luke404

Xen e kvm hanno un overhead molto più elevato e quindi prestazioni inferiori. Utilizzerei un hypervisor solo quando ho bisogno di un kernel personalizzato in un guest, di diversi host host / guest o di altri "requisiti speciali".

— Gucki,

4

Per quanto a conoscenza al momento della stesura di questo articolo, c'erano ancora problemi critici con il filtro / proc . Dovrebbero essere affrontati nel kernel Linux 3.6 o successivo.

Dato che sto affrontando lo stesso problema con te ho fatto qualche indagine e non sono ancora convinto che LXC sia un'alternativa al VServer Linux .

Se decidi di non passare a LXC dai un'occhiata al supporto cgroup di Linux Vserver che si basa sullo stesso codice di LXC e potrebbe essere un'opzione per la tua configurazione.

— tex
fonte

1

+1 con cgroups, + selinux. Comunque KVM è un'alternativa migliore.

— GioMac,

1

LXC ha aggiunto il supporto di contenitori senza privilegi dalla versione 1.0 e Ubuntu ha aggiunto più regole di apparmor dalla versione 14.04 LTS (5 anni) che usano il kernel 3.13 (LTS aggiungerà il supporto per i kernel da utopic ora, vivido in alcuni mesi, ecc.)

molte cose sulla sicurezza con LXC ora sono VECCHI (lo stesso vale per Docker, che si basa sulla tecnologia dei container linux basata su cgroups), almeno per me sembra che lxc sotto Ubuntu sia ora una buona alternativa. Immagino che lo stesso valga per Debian.

— Yonsy Solis
fonte