LXC

Тело топика должно выглядеть так:

LXC?

Initial release: August 6, 2008; 7 years ago
есть в debian oldoldstable
Как оно? Стабильно?

Сыряк. Еще лет 10 подожди — и можно выкидывать.

Systemd-nspawn — как бы это страшно ни звучало — подойдёт лучше. LXC, к сожалению, для прода не очень готов. А если тебе хочется запускать контейнеры из-под непривелигованного пользователя, то этого нет пока нигде, кроме как руками.

Сыряк. Еще лет 10 подожди — и можно выкидывать.

10 нет, но годика через два может и допилят.

LXC, к сожалению, для прода не очень готов

А шо не так?

Стабильно оно.

А почему, кстати, docker не хочешь?

А шо не так?

Запусти мне им произвольный линукс из произвольной директории.

А почему, кстати, docker не хочешь?

А вдруг он не в стартапе работает и ему убунту из публичных реп не надо разворачивать? Кстати, как там с IPv6 в Докере? ND уже починили или всё так же надо ручками адреса раздавать?

Это свойство необходимое для продакшена? Скорее полезно в тестах на десктопчике, в продакшене не стоит разбрасывать контейнеры абы-где.
Собственно у меня такой задачи никогда не стояло, так-что не копался. Возможно утилитам LXC нужна какая-то определённая структура контейнера (определённое имя конфига и директории с рутом).
С произвольным линухом вроде проблем быть не должно, разве-что что-то в юзерспейсе будет иметь какие-то специфические требования к ядру, или попытается создать контейнер внутри контейнера (при запрещённой вложенности контейнеров).

Это свойство необходимое для продакшена?

Это чтобы долго не объяснять суть проблемы.

Возможно утилитам LXC нужна какая-то определённая структура контейнера (определённое имя конфига и директории с рутом).

LXC требуется определённый темплейт.

С произвольным линухом вроде проблем быть не должно, разве-что что-то в юзерспейсе будет иметь какие-то специфические требования к ядру, или попытается создать контейнер внутри контейнера (при запрещённой вложенности контейнеров).

В частности, с systemd оно до сих пор не до конца сдружилось. При чём проблема не в systemd или lxc, а в том, что ни то, ни другое просто-напросто ещё не дописано.

Докер не хочу, потому что не хочу разбивать сеовисы по контейнерам, а также потому что мне надо будет давать доступ внутрь этой системы сторонним людям.

Думал, lxc + iptables решат эту проблему, но немного стремно, так как никогда с ним не работал.

Сначала проверю на тестовой машине, конечно, но хотелось бы отловить грабли еще до этого этапа, если они есть.

Спасибо за ответы!

Пользовался. Стабильно. Засовывай.

А твой первый ответ так:

LXC!

Кстати, как там с IPv6 в Докере?

Вроде, нормально, судя по документации.

ND уже починили или всё так же надо ручками адреса раздавать?

Не знаю, что такое ND, но никогда «ручками» адреса не раздавал.

Вроде, нормально, судя по документации.

По документации там вообще рай. А на практике почему-то не очень. ND == neighbor discovery.

Вообще, развивается он активно последнее время. Вот здесь краткий обзор изменений.

смотря как ты это его использовать. У меня и OpenVZ неплохо пахал когда машину было выделять слишком жирно. если ты админ и никто кроме тебя лазить в виртуалку не должен в этом плане - то вполне стабильно все

Вообще, развивается он активно последнее время. Вот здесь краткий обзор изменений.

Ты в этом клауде работаешь что ли? :) Статья — джинса запредельная.

Ты в этом клауде работаешь что ли? :)

Не, Аллах миловал.

Статья — джинса запредельная.

Да брось. Джинса джинсой, но по сути адекватно написано всё. Ты слишком предвзят :)

Мы используем в продакшене. Стабильно. Только у нас вокруг lxc построена собственная высокоуровневая обвязка.