VServer

используй xen, в нормальных дистрах он из коробки.

xen - это микроядро, позволяющее запускать ядра других ОС, со всеми вытекающими в производительности. мне этого не надо, сойдет и основное. мне нужно просто ограничить рута в правах и изолировать сервер в отдельном контексте.

почему бы еще тогда UML не попробовать?

User Mode Linux -- это запуск собственного ядра, опятьже, со всеми втекающими. В плане безопасности хорошо, конечно, а вот в плане производительности, ИМХО, не очень. К тому же если надо запустить три-пять изолированных сервисов, ставить три-пять ядер? А потом их всех по отдельности обновлять? В VServer используется ядро основной ОС, соответственно обновлять кучу ядер на одном серванте не прийдется.

Ну вообщем это несколько лучше чем просто jail c nosuid/noexec :) Тут можно много чего ограничить, в том числе и процессорное время и выделяемую оперативную память. Можно вообще не дать доступ к сети или дать только к конкретному интерфейсу(можно и с другим адресом) и другие будут не видны, можно запретить создавать raw sockets и тд. У каждого vserver своя цепочка процессов ,он не видит чужие, ядро переключается между этими цепочками и соотв между процессами внутри цепочек. Ребут vserver произойдет за пару секунд без ребута основного ессно.