11.4. 容器设置

11.4.1 通用设置

容器通用设置项如下：

  • Node：容器所处的物理服务器

  • CT ID：Proxmox VE用于标识容器的唯一序号。

  • Hostname：容器的主机名。

  • Resource Pool：逻辑上划分的一组容器和虚拟机。

  • Password：容器的root口令。

  • SSH Public Key：用于SSH连接登录root用户的公钥。

  • Unprivileged container：该项目用于在容器创建阶段设置创建特权容器或非特权容器。

非特权容器

非特权容器采用了名为用户命名空间usernamespaces的内核新特性。容器内UID为0的root用户被影射至外部的一个非特权用户。也就是说，在非特权容器中常见的安全问题（容器逃逸，资源滥用等）最终只能影响到外部的一个随机的非特权用户，并最终归结为一个一般的内核安全缺陷，而非LXC容器安全性问题。LXC工作组认为非特权容器的设计是安全的。

注意： 如果容器使用 systemd 作为 init 系统，请注意，在容器内运行的 systemd 版本应等于或大于 220。

特权容器

容器中的安全性是通过使用强制访问控制（AppArmor）、seccomp 筛选器和 Linux 内核namespace来实现的。LXC团队认为特权容器技术是不安全的，并且不打算为新发现的容器逃逸漏洞申报CVE编号和发布快速修复补丁。。这就是为什么特权容器应仅在受信任的环境中使用的原因。

11.4.2 CPU

你可以通过cores参数项设置容器内可见的CPU数量。

该参数项基于Linux的cpuset cgroup（控制group）实现。

在pvestatd服务内有一个任务专门用于在CPU之间平衡容器工作负载。你可以用如下命令查看CPU分配情况：

pct cpusets
---------------------
102: 6 7
105: 2 3 4 5
108: 0 1
---------------------

容器能够直接调用主机内核，所以容器内的所有任务进程都由主机的CPU调度器直接管理。Proxmox VE默认使用Linux CFS（完全公平调度器），并提供以下参数项可以进一步控制CPU分配。

  • cpulimit：

    你可以设置该参数项进一步控制分配的CPU时间片。需要注意，该参数项类型为浮点数，因此你可以完美地实现这样的配置效果，即给容器分配2个CPU核心，同时限制容器总的CPU占用为0.5个CPU核心。具体如下：

    cores: 2
cpulimit: 0.5

  • cpuunits：

    该参数项是传递给内核调度器的一个相对权重值。参数值越大，容器得到的CPU时间越多。

    具体得到的CPU时间片由当前容器权重占全部容器权重总和的比重决定。该参数默认值为1024，可以调大该参数以提高容器的优先权。

11.4.3 内存

容器内存由cgroup内存控制器管理。

  • memory：容器的内存总占用量上限。对应于cgroup的memory.limit_in_bytes参数项。

  • swap： 用于设置允许容器使用主机swap空间的大小。对应于cgroup的memory.memsw.limit_in_bytes参数项，cgroup的参数实际上是内存和交换分区容量之和（memory+swap）。

11.4.4 挂载点

容器的根挂载点通过rootfs属性配置。除此之外，你还可以再配置256个挂载点，分别对应于参数mp0到mp255。具体设置项目如下：

  • rootfs: [volume=]<volume> [,acl=<1|0>] [,mountoptions=<opt[;opt...]>] [,quota=<1|0>] [,replicate=<1|0>] [,ro=<1|0>] [,shared=<1|0>] [,size=<DiskSize>]

    配置容器根文件系统存储卷。全部配置参数见后续内容。

  • mp[n]: [volume=]<volume> ,mp=<Path> [,acl=<1|0>] [,backup=<1|0>] [,mountoptions=<opt[;opt...]>] [,quota=<1|0>] [,replicate=<1|0>] [,ro=<1|0>] [,shared=<1|0>] [,size=<DiskSize>]

    配置容器附加挂载点存储卷。使用STORAGE_ID:SIZE_IN_GiB语法分配新的存储卷。

    • acl=<boolean>

      启用/禁用acl。

    • backup=<boolean>

      用于配置在备份容器时是否将挂载点纳入备份范围。（仅限于附加挂载点）

    • [,mountoptions=<opt[;opt...]>]

      rootfs/mps挂载点的附加参数

    • mp=<Path>

      存储卷在容器内部的挂载点路径。

      • 注意: 出于安全性考虑，禁止含有文件链接。

    • quota=<boolean>

      在容器内启用用户空间配额（对基于zfs子卷的存储卷无效）。

    • replicate=<boolean> (default = 1)

      卷是否被可以被调度任务复制。

    • ro=<boolean>

      用于标识只读挂载点。

    • shared=<boolean> (default = 0)

      用于标识当前存储卷挂载点对所有节点可见。

      • 警告：设置该参数不等于自动共享挂载点，而仅仅表示当前挂载点被假定已经共享。

    • size=<DiskSize>

      存储卷容量（参数值只读）。

    • volume=<volume>

      存储卷命令，即挂载到容器的设备或文件系统路径。

目前主要有3类不同的挂载：基于存储服务的挂载，绑定挂载，设备挂载。

容器rootfs典型配置示例

rootfs: thin1:base-100-disk-1,size=8G

基于存储服务的挂载

基于存储服务的挂载由Proxmox VE的存储子系统管理，一共有3种不同方式：

  • 硬盘镜像：也就是内建了ext4文件系统的硬盘镜像。

  • ZFS存储卷：技术上类似于绑定挂载，但通过Proxmox VE存储子系统管理，并且支持容量扩充和快照功能。

  • 目录：可以设置size=0禁止创建硬盘镜像，直接创建目录存储。

注意：可以STORAGE_ID:SIZE_IN_GB的形式在指定存储上创建指定大小的卷。例如，执行

pct set 100 –mp0 thin1:10,mp=/path/in/container

将在存储thin1上创建10GB大小的卷，并将卷ID替换为分配卷ID，同时在容器内的=/path/in/container创建挂载点。

绑定挂载

绑定挂载可以将Proxmox VE主机上的任意目录挂载到容器使用。可行的使用方法有：

  • 在容器中访问主机目录

  • 在容器中访问主机挂载的USB设备

  • 在容器中访问主机挂载的NFS存储

绑定挂载并不由Proxmox VE存储子系统管理，因此你不能创建快照或在容器内启用配额管理。在非特权容器内，你可能会因为用户映射关系和不能配置ACL而遇到权限问题。

  • 注意:

    vzdump将不会备份绑定挂载设备上的数据。

  • 警告:

    出于安全性考虑，最好为绑定挂载创建专门的源目录路径，例如在/mnt/bindmounts下创建的目录。永远不要将/，/var或/etc等系统目录直接绑定挂载给容器使用，否则将可能带来极大的安全风险。

  • 注意:

    绑定挂载的源路径必须没有任何链接文件。

例如，要将主机目录/mnt/bindmounts/shared挂载到ID为100的容器中的/shared下，可在配置文件/etc/pve/lxc/100.conf中增加一行配置信息mp0:/mnt/bindmounts/shared, mp=/shared。或者运行命令pct set 100 -mp0 /mnt/bindmounts/shared,mp=/shared也可以达到同样效果。

设备挂载

设备挂载可以将Proxmox VE上的块存储设备直接挂载到容器中使用。和绑定挂载类似，设备挂载也不由Proxmox VE存储子系统管理，但用户仍然可以配置使用quota和acl等功能。

  • 注意:

    设备挂载仅在非常特殊的场景下才值得使用，大部分情况下，基于存储服务的挂载能提供和设备挂载几乎一样的功能和性能，同时还提供更多的功能特性。

  • 注意:

    vzdump将不会备份设备挂载上的数据。

11.4.5 网络

单个容器最多支持配置10个虚拟网卡设备，其名称分别为net0到net9，并支持以下配置参数项：

  • net[n]: name=<string> [,bridge=<bridge>] [,firewall=<1|0>] [,gw=<GatewayIPv4>] [,gw6=<GatewayIPv6>] [,hwaddr=<XX:XX:XX:XX:XX:XX>][,ip=<(IPv4/CIDR|dhcp|manual)>] [,ip6=<(IPv6/CIDR|auto|dhcp|manual)>] [,mtu=<integer>] [,rate=<mbps>] [,tag=<integer>] [,trunks=<vlanid;vlanid...]>] [,type=<veth>]

    为容器配置虚拟网卡设备。

    • bridge=<bridge>

    虚拟网卡设备连接的虚拟交换机。

    • firewall=<boolean>

    设置是否在虚拟网卡上启用防火墙策略。

    • gw=<GatewayIPv4>

      IPv4通信协议的默认网关。

    • gw6=<GatewayIPv6>

      IPv6通信协议的默认网关。

    • hwaddr=<XX:XX:XX:XX:XX:XX>

      虚拟网卡的MAC地址。

    • ip=<(IPv4/CIDR|dhcp|manual)>

      IPv4地址，以CIDR格式表示。

    • ip6=<(IPv6/CIDR|auto|dhcp|manual)>

      IPv6地址，以CIDR格式表示。

    • mtu=<integer> (64 -N)

      虚拟网卡的最大传输单元。（lxc.network.mtu）

    • name=<string>

      容器内可见的虚拟网卡名称。（lxc.network.name）

    • rate=<mbps>

      虚拟网卡的最大传输速度。

    • tag=<integer> (1 -4094)

      虚拟网卡的VLAN标签。

    • trunks=<vlanid[;vlanid...]>

      虚拟网卡允许通过的VLAN号。

    • type=<veth>

      虚拟网卡类型。

11.4.6容器的自启动和自关闭

创建容器后，你也许会希望容器能够随主机自行启动。为此，你可以在Web界面的容器Options选项卡上选择Start at boot，或用如下命令设置：

pct set <ctid> -onboot 1

启动和关闭顺序

如果要精细调整容器的启动顺序，可以使用以下参数：

  • Start/Shutdown order：

    用于设置启动优先级。例如，设为1表示你希望容器第1个被启动。（我们采用了和启动顺序相反的关闭顺序，所以Start order设置为1的容器将最后被关闭）

  • Startup delay：

    用于设置当前容器启动和继续启动下一个容器之间的时间间隔。例如，设置为240表示你希望当前容器启动240秒后再继续启动下一个容器。

  • Shutdown timeout： 用于设置发出关闭命令后Proxmox VE等待容器执行关闭操作的时间，单位为秒。该参数默认值为60，也就是说Proxmox VE在发出关闭容器命令后，会等待60秒钟，如果容器不能在60秒内完成关机离线操作，Proxmox VE将通知用户容器关闭操作失败。

请注意，未设置Start/Shutdown order参数的容器将始终在设置了这些参数的容器之后启动。并且这些参数仅能影响同一Proxmox VE主机上的容器启动顺序，其作用范围局限在单一服务器内部，而不是整个集群。