Графическое приложение в контейнере, какой выбрать?

man bwrap

firejail не требует AppArmor, но он всё равно говно.

Есть необходимость иметь графическое не полностью доверенное приложение

Виртуалка.

Запускать ещё одну машину только для одного приложения, кажется неразумным расходом ресурсов и времени.

А что поделать, ИМХО, виртуалка это старое проверенное решение.

Какой способ будет наименее требователен к ресурсам (т.к. запускается уже на виртуалке) и оптимальным решением?

Неужели у такого крутого пацана проблемы с ресурсами?

Неужели у такого крутого пацана проблемы с ресурсами?

Время и удобство - это тоже ресурс, правда? Понятно, что я могу поставить в отдельную машину только хоть голые иксы, и не выделить ей вообще почти ничего, но мне придётся ждать полной загрузки системы. Да, у меня ssd, но ведь это всё равно дольше.

Кроме того, я упомянул, что не хочу давать доступ к реальному ip. Это если нужно приложение в двух экземплярах, на каждом хосте пришлось бы запускать впн отдельно, но оно всё равно имело доступ к моему реальному ip. Поднимать впн снаружи, для всей системы и включать мост для виртуалки, мне не представляется необходимым, или разумным.

мне придётся ждать полной загрузки системы

Даже виртуалбокс умеет сохранять состояние памяти и клонировать машины.

Даже виртуалбокс умеет сохранять состояние памяти и клонировать машины.

Окей, вот ладно, дополнительная виртуалка. А как быть с этим?

Кроме того, я упомянул, что не хочу давать доступ к реальному ip. Это если нужно приложение в двух экземплярах, на каждом хосте пришлось бы запускать впн отдельно, но оно всё равно имело доступ к моему реальному ip. Поднимать впн снаружи, для всей системы и включать мост для виртуалки, мне не представляется необходимым, или разумным.

не хочу давать доступ к реальному ip.

Машину через прокси. Тор там например.

Нашёл разные инструкции для запуска из контейнера Docker с расшариванием X11 сокета хоста

Я так делал. Гемор полнейший. На некоторых дистрибутивах работает, на других нет - появляется прозрачное окно с рамкой и всё. Причём может перестать работать после обновления библиотек. Так и не понял в чём дело.

Тебе наверное нужно смотреть в сторону flatpack.

https://github.com/mviereck/x11docker

если, судя по тегам, предполагается запускать это в арче, то вероятно получится обойтись юнитами systemd без всяких докеров.

https://www.freedesktop.org/software/systemd/man/systemd.exec.html#Sandboxing - там явно перечислены опции для защиты хомяка и сетевых интерфейсов. А иксовый сокет можно и прокинуть.