Наш опыт тестирования LXC (Linux Containers) на примере Debian Wheezy

[AnViar]

У вас в ряде тестов виртуализация показывает большую производительность, чем чистое железо. Прокомментируете?

[shuttie]

Полагаю, это забавные погрешности измерения. Надо было бы PTS раз 50-100 прогнать, а результаты обработать (ну хотя бы усреднить).

[1it]

50-100 пожалуй многовато, боюсь не будет возможности так долго сервер мучить, но постараюсь хотя бы 3-5 прогонов сделать.

[shuttie]

Вообще, логично было бы ожидать, что контейнерная виртуализация будет идти вровень с чистым железом (или будет на долю процента медленнее за счет оверхеда от работы с namespace'ами)

[1it]

Да, согласен. Но возможно, стоит еще учитывать что в контейнере CentOS, а на железе Debian.
Стоит провести тест с одинаковыми ОС в контейнере и на железке.

[1it]

Не виртуализация, а контейнерная (нативная) виртуализация.
Да я и сам был немного удивлен такому результату. Пока я не готов дать точного ответа почему так вышло, не было времени разбираться. Возможно это погрешность в тестировании.
В любом случае я буду проводить повторное тестирование. Также, постараюсь провести как можно больше тестов и возможно скоро это выльется в отдельный большой пост.

[6opoga]

echo “post-up iptables-restore < /etc/network/iptables.up.rules” > /etc/network/interfaces

И весь тщательно прописанный конфиг насмарку :)
Да и нельзя так бездумно добавлять строки к /etc/network/interfaces, это же структурированный файл, мало ли что у меня там еще прописано.

[1it]

Хорошо что вы сделали замечание, я только что увидел что стрелочка одна была. :)

Я думаю не стоит бездумно следовать мануалам.

А то что эта строка будет ровненько лежать в конце файла, думаю не страшно.

[antage]

Да и по хорошему, брандмауэр надо включать до поднятия интерфейса, а не после. Так что pre-up, а не post-up.

[6opoga]

(зануда mode on)
Будет лежать в конце — применится к последнему описанному в файле интерфейсу. То есть будет срабатывать после его подъема. А там может оказаться, например, VPN, поднимаемый по требованию.
В данном случае, конечно, применится к внутреннему мосту, нет проблем, кроме некрасивого форматирования :)

[iavael]

Да и зачем вообще совать iptables-restore в interfaces, если уже есть инит-скрипты /etc/init.d/ip6?tables, забирающие конфигурацию из стандартных мест /etc/sysconfig/ip6?tables.
К чему все эти велосипеды?

[6opoga]

В дебиане он выпилен еще в Sarge. Мейнтейнеры считают, что

# A: I was pretty much hounded into providing it. I do not like it.
# Don't use it. Use /etc/network/interfaces, use /etc/network/*.d/
# scripts use /etc/ppp/ip-*.d/ script. Create your own custom
# init.d script — no need to even name it iptables. Use ferm,
# ipmasq, ipmenu, guarddog, firestarter, or one of the many other
# firewall configuration tools available. Do not use the init.d
# script.

[1it]

Не хватает кармы плюс поставить.

[iavael]

Не знаю насчет sarge, но в wheezy пакет iptables-persistent есть.

[sn00p]

Что-нибудь из веб-морд появилось удобное? Полгода назад ничего не нашли вменяемого ((

[1it]

Я видел только это.

[erthad]

На базе docker.io веб-морды последнее время плодятся как грибы.

[dsx]

> LXC это логическое продолжение двух предыдущих технологий Vserver и OpenVZ

Апельсин это логическое продолжение предыдущих ягод клубники и деревянной палочки.

[pavelodintsov]

«LXC это логическое продолжение двух предыдущих технологий Vserver и OpenVZ» — после этого читать перехотелось =)

[vasilisc]

Стефан Грабер (Stéphane Graber), в предверии выхода 20 февраля 2014 года релиза LXC 1.0, опубликовал цикл статей о Linux Containers.
Рассмотрены:
* Первый Ubuntu контейнер.
* Второй контейнер.
* Продвинутое использование контейнера.
* Более углублённое использование контейнера.
* Хранилище контейнеров.
* Безопасность.
* Непривилегированные контейнеры.
* Скрипты и API.
* GUI в контейнере.
* Решение проблем и отладка.
Оригинал www.stgraber.org/2013/12/20/lxc-1-0-blog-post-series/
Перевод vasilisc.com/lxc-1-0-blog-post-series