ALT Linux Team development discussions
 help / color / mirror / Atom feed
From: Anton Farygin <rider@altlinux.com>
To: devel@lists.altlinux.org
Subject: Re: [devel] VZ vs LXC
Date: Thu, 01 May 2014 09:39:19 +0400
Message-ID: <5361DE07.8060104@altlinux.com> (raw)
In-Reply-To: <877g66dg5f.fsf_-_@asia.home.dd>

On 30.04.2014 18:51, Dmitry Derjavin wrote:
> Ср, 30 апр 2014, 13:06, Anton Farygin:
>
>> А не выгоднее ли изолировать процессы другими способами ? Сейчас же
>> есть как минимум два инструмента, позволяющих очень жёстко изолировать
>> процессы от хост системы. SELinux и механизмы LXC (которыми, кстати,
>> частично пользуется systemd)
>
> «Механизмы LXC» — это ведь те же самые механизмы, которые использует
> OpenVZ. Кстати, vzctl у нас давно уже работает на свежих ядрах. Но в
> режиме ограниченной функциональности, конечно. И эти же механизмы
> использует docker-io. И ip netns, кстати, тоже.
>
> Причём, ip netns из коробки умеет не только сетевые namespace-ы, но и
> монтирует /etc/netns/<ns>/resolv.conf в /etc/resolv.conf в отдельном
> mount namespace! Очень рекомендую.
>
> Предлагаю с этим в sysadmins@.

Дима, а расскажи здесь, пожалуйста. Чрут то всё равно ведь нужен ?

Как бы сделать так, что бы не нужно было бы загонять приложение в чрут, 
а просто ограничить его доступ к системному окружению и сети.

Тем для всё-таки не для sysadmins@. docker - это насколько я понял, 
несколько иное решение - он делает чруты на основе... ну на какой-то основе.

ip netns вообще для другого - изоляция сети дело хорошее, но это лишь 
малая часть того, что нужно для полного счастья.

Было бы здорово описывать в конфиге необходимость изоляции сервиса и 
сети, а дальше всё на себя берёт initscript (или systemd, кому как 
удобнее ;) )



  reply	other threads:[~2014-05-01  5:39 UTC|newest]

Thread overview: 82+ messages / expand[flat|nested]  mbox.gz  Atom feed  top
2009-10-03 23:50 [devel] Минимальный VE огромен -- много мусора Денис Смирнов
2009-10-04 19:49 ` Michael Shigorin
2009-10-04 23:39   ` Денис Смирнов
2009-10-04 23:50     ` Led
2009-10-05  5:17       ` Денис Смирнов
2009-10-05  4:11 ` Alexey Tourbin
2009-10-05  5:14   ` Денис Смирнов
2009-10-05  6:57 ` Stanislav Ievlev
2009-10-05  7:53   ` Денис Смирнов
2009-10-05 11:42   ` Денис Смирнов
2014-04-23 17:13 ` Michael Shigorin
2014-04-24 18:55   ` Денис Смирнов
2014-04-24 20:01     ` Michael Shigorin
2014-04-26 22:41       ` Денис Смирнов
2014-04-26 22:41       ` Денис Смирнов
2014-04-27  5:18         ` Anton Farygin
2014-04-27  7:34           ` Денис Смирнов
2014-04-27  7:47             ` Anton Gorlov
2014-04-27  9:33               ` Денис Смирнов
2014-04-27  9:42                 ` Anton Gorlov
2014-04-27 23:03                   ` Денис Смирнов
2014-04-30 19:23                       ` Anton Gorlov
2014-04-30 20:45                         ` Денис Смирнов
2014-05-01  8:20                           ` Anton Gorlov
2014-04-27 11:38             ` Anton Farygin
2014-04-27 22:55               ` Денис Смирнов
2014-04-28  5:57                 ` Anton Farygin
2014-04-28 18:24                   ` Денис Смирнов
2014-04-28 18:56                     ` Dmitry V. Levin
2014-04-28 18:59                       ` Michael Shigorin
2014-04-28 19:30                       ` Денис Смирнов
2014-04-28 19:42                         ` Dmitry V. Levin
2014-04-28 20:35                           ` Michael Shigorin
2014-04-28 20:50                             ` Led
2014-04-28 20:57                               ` Денис Смирнов
2014-04-28 21:10                                 ` Led
2014-04-28 21:17                                   ` Dmitry V. Levin
2014-04-28 21:32                                     ` Led
2014-04-28 23:23                                       ` Денис Смирнов
2014-04-28 23:39                                         ` Led
2014-04-29 13:40                                           ` Денис Смирнов
2014-04-29 15:46                                             ` Michael Shigorin
2014-04-29 16:58                                               ` Денис Смирнов
2014-04-29 16:17                                             ` Led
2014-04-29 16:57                                               ` Денис Смирнов
2014-04-29 17:57                                                 ` Anton Farygin
2014-04-29 19:39                                                   ` Денис Смирнов
2014-04-29 20:25                                                     ` Anton Farygin
2014-04-29 23:40                                                       ` Денис Смирнов
2014-04-30  9:00                                                         ` Anton Farygin
2014-04-30  9:06                                                           ` [devel] VZ vs LXC Anton Farygin
2014-04-30 14:51                                                             ` Dmitry Derjavin
2014-05-01  5:39                                                               ` Anton Farygin [this message]
2014-05-01 23:51                                                               ` Dmitry V. Levin
2014-05-05  8:16                                                                 ` Dmitry Derjavin
2014-04-30 20:57                                                             ` Денис Смирнов
2014-05-01  5:27                                                               ` Anton Farygin
2014-05-01  8:23                                                                 ` Anton Gorlov
2014-05-05  9:42                                                                   ` [devel] docker-io: посмотреть (was: Re: VZ vs LXC) Gleb Fotengauer-Malinovskiy
2014-05-05 16:52                                                                       ` [devel] docker-io: посмотреть Gleb Fotengauer-Malinovskiy
2014-05-05 22:21                                                                         ` Igor Zubkov
2014-05-01 17:32                                                                 ` [devel] VZ vs LXC Денис Смирнов
2014-04-30  9:33                                                           ` [devel] Минимальный VE огромен -- много мусора Led
2014-04-30 11:13                                                             ` Anton Gorlov
2014-04-30 13:01                                                               ` Anton Farygin
2014-04-30 19:22                                                                 ` Anton Gorlov
2014-04-30 20:54                                                           ` Денис Смирнов
2014-05-01  5:46                                                             ` Anton Farygin
2014-05-01 19:57                                                               ` Денис Смирнов
2014-05-02  6:46                                                               ` Michael Shigorin
2014-05-02  6:56                                                             ` [devel] KVM "vs" OpenVZ (was: Минимальный VE огромен -- много мусора) Michael Shigorin
2014-04-29 20:03                                                 ` [devel] Минимальный VE огромен -- много мусора Michael Shigorin
2014-04-29 23:42                                                   ` Денис Смирнов
2014-04-30  5:54                                                 ` Led
2014-04-30 20:48                                                   ` Денис Смирнов
2014-05-02  7:03                                                     ` Michael Shigorin
2014-04-29  0:21                                       ` Dmitry V. Levin
2014-04-29  0:30                                         ` Led
2014-04-28 20:52                           ` Денис Смирнов
2014-04-28 18:44               ` Michael Shigorin
2014-08-30 18:08 ` Michael Shigorin
2014-08-30 21:23   ` Денис Смирнов

Reply instructions:

You may reply publicly to this message via plain-text email
using any one of the following methods:

* Save the following mbox file, import it into your mail client,
  and reply-to-all from there: mbox

  Avoid top-posting and favor interleaved quoting:
  https://en.wikipedia.org/wiki/Posting_style#Interleaved_style

* Reply using the --to, --cc, and --in-reply-to
  switches of git-send-email(1):

  git send-email \
    --in-reply-to=5361DE07.8060104@altlinux.com \
    --to=rider@altlinux.com \
    --cc=devel@lists.altlinux.org \
    /path/to/YOUR_REPLY

  https://kernel.org/pub/software/scm/git/docs/git-send-email.html

* If your mail client supports setting the In-Reply-To header
  via mailto: links, try the mailto: link

ALT Linux Team development discussions

This inbox may be cloned and mirrored by anyone:

	git clone --mirror http://lore.altlinux.org/devel/0 devel/git/0.git

	# If you have public-inbox 1.1+ installed, you may
	# initialize and index your mirror using the following commands:
	public-inbox-init -V2 devel devel/ http://lore.altlinux.org/devel \
		devel@altlinux.org devel@altlinux.ru devel@lists.altlinux.org devel@lists.altlinux.ru devel@linux.iplabs.ru mandrake-russian@linuxteam.iplabs.ru sisyphus@linuxteam.iplabs.ru
	public-inbox-index devel

Example config snippet for mirrors.
Newsgroup available over NNTP:
	nntp://lore.altlinux.org/org.altlinux.lists.devel


AGPL code for this site: git clone https://public-inbox.org/public-inbox.git