Linux VServer
linux-vserver.org

Martin Děcký

21. 3. 2005

Úvod

Soft-partitioning s využitím bezpečnostních kontextů

Jeden hardware, více nezávislých systémů

Efektivní využití zdrojů

Hosting

Výuka

Vývoj

Bezpečnost

Hierarchie

Emulace: Bochs, QEMU

Virtualizace:

Independent: VMWare (GSX)

In-kernel: XEN, UML

Soft-partitioning: Linux VServer

Overhead kolem 2 %

Off-the-wall: FreeBSD Jails, Solaris Zones

Součásti

Kernelová část

vserver patch

1.9.4 (vývojová, pro kernel 2.6.x)

1.2.10 (stabilní, pro kernel 2.4.x)

Implementuje

Soft-partitioning

Kontrolní API

Uživatelská část

util-vserver (0.30)

Používá kontrolní API k řízení kontextů

Hardware

Podporovaný hardware

alpha

ia32

ia64

xbox

amd64

mips, mips64

ppc, ppc64

sparc, sparc64

s390

uml

Historie

Jacques Gélinas

Původní autor

Kernelový patch a utility v C++

Herbert Potzl

Od 2003 nový maintainer

Enrico Scholz

Utility v C

Kontexty

Kontext = virtuální privátní server

Po nabootování kontext 0 (host context)

Ekvivalentní s ostatními kontexty

Speciální kontext 1 (spectator context)

Jako jediný má přehled o všech ostatních kontextech

Může se do něj dostat jen root z kontextu 0

Soft-partitioning

Izolace procesů

Vzájemně se nevidí

Trik s procesem init

chroot

Ireversibilní (chroot barrier)

Omezení IP adres

Izolace IPC objektů, pty, socketů, uptime, ...

Omezení uživatele root (capability ceiling)

Vytváření uzlů zařízení

Přístup na bloková zařízení

Připojování souborových systémů

Změna síťových a jiných parametrů

Reboot

Unifikace

Úspora diskového prostoru

Sdílení shodných souborů mezi kontexty

Příznak immutable-linkage-invert

Lze nastavit, ale nelze shodit

Zabraňuje změnám v souboru

Umožňuje smazat link na soubor

ext2, ext3, reiserfs

XID

Přiřazení souboru do kontextu

Bezpečnost

Sdílený filesystém

Limit využití disku, per-kontext diskové kvóty

Nová položka v i-nodu (plný rozsah UID, GID, XID)

ext2, ext3 (XFS, reiserfs, JFS)

Využití horních bitů UID/GID

UID32/GID16

UID16/GID32

UID24/GID24

Parametr tagxid při připojování

Další možnosti

Privátní jmenné prostory

Kontexty nad sdíleným souborovým systémem

Různé pohledy na tentýž strom souborů

V budoucnu by mělo nahradit chroot

Kernel helper

Skript, který v kontextu 0 emuluje některé syscally jiných kontextů

Globální limity

Paměť

Počet procesů

Počet otevřených souborů

2004-11-09T19:35:39