Per Chroot starten Sie ein weitgehend autonomes Gastsystem auf einem Rechner, ohne dabei die Hardware zu emulieren. Die Containerverwaltung LXC verfeinert diese Technik mit umfangreichen Zusatzfunktionen.

Seit mehreren Jahren ermöglicht LXC (“Linux Containers”) das Anlegen autonomer, vom restlichen System abgeschotteter Verzeichnisteilbäume. Im Gegensatz zu anderen Systemen nutzt LXC [1] dafür jedoch keine virtuellen Maschinen wie etwa Vmware, sondern erzeugt eine virtuelle Umgebung – zwar mit eigenen Prozessen, aber einem gemeinschaftlich genutzten Kernel des Hostsystems.

Erste Schritte

Die folgende Beschreibung bezieht sich auf Debian 8.0 “Jessie” als Wirt, lässt sich aber mit kleineren Änderungen auch auf andere Systeme wie OpenSuse oder Ubuntu übertragen.

Zunächst einmal installieren Sie die Pakete lxc, lxctl und libvirt-bin samt den vom Paketmanagement angeforderten Abhängigkeiten wie debootstrap. Bei eigenen Kernel-Konstrukten müssen Sie die Control Groups (Cgroups) aktivieren – prüfen Sie das gegebenenfalls über einen Aufruf des Kommandos lxc-checkconfig.

Abhängig von der Installationsquelle nimmt das Anlegen des Wurzel-Dateisystems für einen Container einige Zeit in Anspruch. Unter Debian erledigen Sie diese Aufgabe mit dem Befehl aus der ersten Zeile von Listing 1. Der Schalter LANG legt dabei bereits die Spracheinstellungen fest, SUITE definiert die gewünschte Vorlage. Mit der Option -n benennen Sie den Container (Abbildung 1). LXC verwendet für das Anlegen des Subsystems Vorlagen aus dem Verzeichnis /usr/share/lxc/templates/, die Sie hinter dem Schalter -t angeben. Es geht auch kürzer, wie ein alternativer Vorschlag aus dem Debian-Wiki [2] zum Erstellen des Containers zeigt (Zeile 2).

$ LANG=de_DE.UTF-8 SUITE=jessie MIRROR=http://httpredir.debian.org/debian lxc-create -n debian8 -t debian
$ lxc-create -n debian8 -t debian -- -r jessie

Abbildung 1: Beim Anlegen eines neuen Containers lädt LXC sämtliche benötigten Elemente aus dem Internet herunter und richtet ihn quasi schlüsselfertig ein.

Nach erfolgreicher Installation endet die Prozedur mit der Ausgabe eines zufällig generierten Root-Passworts. Notieren Sie es, und vergeben Sie nach dem ersten Anmelden im Container via passwd ein eigenes. Die Eingabe von lxc-ls listet alle vorhandenen Container auf.

Um auf lokaler Ebene auf den soeben angelegten Container zuzugreifen, starten Sie diesen mit dem Kommando lxc-start -n debian8 -d. Wie bei fast allen LXC-Befehlen geben Sie mit der Option -n den Namen des Containers an. Vergessen Sie den Schalter -d nicht – andernfalls erscheint der Anmeldeprompt, der sich im selben Terminal nicht mehr beenden lässt. Fordern Sie danach via lxc-console -n debian8 eine Konsole mit dem Anmeldeprompt an (Abbildung 2).

Abbildung 2: Nach dem Start des Containers melden Sie sich via Terminal an diesem an.

Mit dem Aufruf lxc-info -n Container ermitteln Sie den Status und die Prozess-ID eines laufenden Containers. Das Kommando lxc-stop -n Container stoppt den laufenden Container wieder. Eine Auswahl der wichtigsten Steuerungs- und Kontrollprogramme finden Sie in der Tabelle “Wichtige LXC-Kommandos”.

Netzwerkkonfiguration

Um per Netzwerk auf den Container zuzugreifen, müssen Sie auf Wirt und Gast die Netzwerkeinstellungen anpassen. So gilt es, in beiden Fällen die Datei /etc/network/interfaces zu ändern. Weiterhin benötigen die Netzwerkeinstellungen für den Container unter /var/lib/lxc/Container/config Anpassungen. Um den Container im LAN mit seinem Namen anzusprechen, erweitern Sie die /etc/hosts um einen entsprechenden Eintrag (siehe Kasten “Netzwerkkonfiguration”).

Legen Sie im Container via adduser User einen Benutzer an. Prüfen Sie danach mit der Eingabe von systemctl status sshd.service, ob der SSH-Server im Container läuft (Abbildung 3). Nun führen Sie von einem weiteren Terminal aus einen Login-Versuch mit ssh User@Container durch. Nach der Frage mit dem neuen SSH-Schlüssel sollte der Login auf die Shell nun klappen. Mittels exit melden Sie sich wieder ab.

systemctl den Zustand des SSH-Daemons.” width=”300″ height=”99″ /> Abbildung 3: Innerhalb des Containers prüfen Sie mit dem Kommando systemctl den Zustand des SSH-Daemons.

iface eth0 inet manual
auto br0
iface br0 inet static
  bridge_ports eth0
  bridge_stp off
  bridge_fd 0
  bridge_maxwait 0
  address 192.168.0.37
  netmask 255.255.255.0
  network 192.168.0.1
  broadcast 192.168.0.37
  gateway 192.168.0.1
  dns-nameservers 192.168.0.1

# Netzwerk:
lxc.network.type=veth
lxc.network.link=br0
lxc.network.flags=up
lxc.network.hwaddr=00:16:3e:10:20:30
lxc.network.ipv4=192.168.0.90

auto lo
iface lo inet loopback
auto eth0
iface eth0 inet static
  address 192.168.0.90
  netmask 255.255.255.0
  network 192.168.0.0
  broadcast 192.168.0.90
  gateway 192.168.0.1
  dns-nameservers 192.168.0.1

Container klonen

Um einen Klon des Containers debian8 zu erstellen, genügt der Aufruf lxc-clone -o Original -n Neu. Das funktioniert jedoch nur, wenn Sie zuvor das Gastsystem stoppen. Das Klonen dauerte im Test etwa 20 Sekunden. Danach ändern Sie die IP-Adresse unter /var/lib/lxc/debian_clone/config und /var/lib/lxc/debian_clone/rootfs/etc/network/interfaces Ihren Wünschen entsprechend ab. Zudem müssen Sie die hosts-Dateien um einen entsprechenden Eintrag für den geklonten Container ergänzen. Starten Sie dann den Klon-Container, und nehmen Sie probehalber per SSH Verbindung auf. Die Konfigurationsdatei des Klons weist unter Umständen mehr Einträge auf als jene des Originals – das ist normal.

Programmverwaltung und Updates

Über die Container-Konsole aktualisieren Sie die bereits installierten Pakete wie üblich mit apt-get update gefolgt von apt-get upgrade. Über die Paketverwaltung lassen sich zudem weitere Softwarepakete aus den eingetragenen Bezugsquellen installieren. Um auf eine breitere Programmauswahl zuzugreifen, ergänzen Sie im Container die Datei /etc/apt/sources.list um die gewünschten Repositories (Listing 5).

# /etc/apt/sources.list
deb http://httpredir.debian.org/debian jessie main contrib non-free
deb http://ftp.de.debian.org/debian/ jessie main contrib non-free
deb http://security.debian.org/ jessie/updates main contrib non-free
deb http://ftp.de.debian.org/debian/ jessie-updates main contrib non-free

Sie müssen Updates nicht zwingend aus dem laufenden Container heraus starten: Das klappt mittels lxc-attach auch vom Wirt aus [3].

Es bietet sich an, die Aktualisierungen in einem Rutsch mit dem Hauptsystem vorzunehmen. Das im Listing 6 gezeigte Shell-Skript erledigt das Update des Wirts, beendet alle laufenden Container und startet diese dann einzeln zur Aktualisierung neu.

Der Schalter -qq hinter apt-get unterdrückt alle Ausgaben – verwenden Sie ihn also erst nach einem erfolgreichen Testlauf. Gleiches gilt für -y (“yes”), das den Befehl ohne Rückfragen durchlaufen lässt. Das Kommando lxc-wait in der eigentlichen Update-Schleife stellt sicher, dass der Container betriebsbereit ist.

#! /bin/sh
echo "--- Update des Wirtssystems -----"
apt-get -qq update
apt-get -qq -y upgrade
apt-get -qq -y clean
apt-get -qq -y autoclean
apt-get -qq autoremove
echo "--- Container beenden -----------"
for i in $(lxc-ls --active -1); do
  echo $i
  lxc-stop -n $i
done
echo "--- Container starten/updaten ---"
for n in $(lxc-ls --stopped -1); do
  echo $n
  lxc-start -n $n -d
  lxc-wait -n $n -s 'RUNNING'
  sleep 5
  lxc-attach -n $n -- apt-get -qq update
  lxc-attach -n $n -- apt-get -qq -y upgrade
  lxc-attach -n $n -- apt-get -qq -y clean
  lxc-attach -n $n -- apt-get -qq -y autoclean
  lxc-attach -n $n -- apt-get -qq autoremove
  lxc-stop -n $n
done
echo "--- Aktualisierung ausgeführt ---"

Ausblick

Im Debian-Handbuch [4] finden Sie wertvolle Hinweise bezüglich des Einsatzes mit Debian und der darauf basierenden Distributionen. Daneben finden sich im Netz auch ausführliche Informationen zur Netzwerkkonfiguration von Containern [5] sowie zu Display-Umleitungen für GUI-Anwendungen [6].