+7 (495) 320-70-49
- Назад
- Телефоны
- +7 (495) 320-70-49
- Заказать звонок
info@proxmox.su
Москва, Бакунинская улица, 69с1
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Возможно ли запустить NFS-сервер внутри LXC?, Proxmox Виртуальная Среда

luckyspiff

Guest

10.11.2015 09:46:00

Моя попытка запустить NFS-сервер в LXC-контейнере на базе Linux провалилась. Я использовал шаблон файлового сервера TurnKey Linux на базе Debian и попытался активировать NFS-ядро сервера внутри его LXC (/etc/exports уже были настроены): Код: # /etc/init.d/nfs-kernel-server start
mount: nfsd защищён от записи, монтирование только для чтения
mount: невозможно смонтировать nfsd только для чтения
Экспортируем каталоги для NFS-ядренного демона...
Запуск NFS-ядренного демона: nfsdrpc.nfsd: Невозможно получить доступ к /proc/fs/nfsd errno 2 (Нет такого файла или каталога).
Пожалуйста, попробуйте, как root, 'mount -t nfsd nfsd /proc/fs/nfsd' и затем перезапустите rpc.nfsd, чтобы исправить проблему
не удалось!

# mount -t nfsd nfsd /proc/fs/nfsd
mount: nfsd защищён от записи, монтирование только для чтения
mount: невозможно смонтировать nfsd только для чтения Есть ли какой-то способ включить это внутри LXC или это в принципе невозможно, потому что nfs-kernel-server не может быть использован с контейнерами? Я предпочёл бы настроить NFS-сервер внутри LXC, а не включать его в proxmox. Спасибо!

gosha Guest	#2 0 09.08.2017 13:12:00 Пожалуйста, предоставьте текст для перевода.

t_b Guest	#3 0 26.11.2015 22:25:00 Привет, я пытаюсь сделать то же самое, что и ты. Если я не ошибаюсь, ты создаешь монтирование из контейнера в Proxmox? Ты знаешь, возможно ли монтирование из lxc в lxc и как это должно выглядеть?

luckyspiff

Guest

26.11.2015 23:17:00

Или наоборот: строка "lxc.mount.entry: /tank/data srv/data none bind,create=dir,optional 0 0" монтирует директорию из файловой системы узла (/tank/data) в директорию контейнера (/srv/data в файловой системе контейнера). Я полагаю, монтирование из контейнера в контейнер невозможно (без NFS или SMB/CIFS), если директория не является частью файловой системы узла. Вот почему я не использовал FreeNAS внутри виртуальной машины, а вместо этого настроил пул ZFS на узле Proxmox.

t_b

Guest

28.11.2015 10:48:00

Я просто должен был создать каталог на узле и добавить две строки в конфигурацию контейнера, чтобы смонтировать каталог из директории в контейнер? Контейнеры делят приватную сеть, не включая узел Proxmox, так что "классическая NFS-расшаренная папка" невозможна.

luckyspiff

Guest

28.11.2015 11:20:00

Немного запутано, когда смешиваются темы "подключение файловых систем между контейнерами и/или узлом" и "сетевой доступ к директории". Что касается монтирования файловой системы, насколько я знаю, *невозможно* монтировать директорию из одного контейнера в другой. Для этого директория должна быть частью файловой системы узла, тогда вы можете смонтировать её в обоих контейнерах, добавив строку "lxc.mount.entry". Но когда ваша файловая система существует только в контейнере/виртуальной машине, доступно только экспортирование хранилища через сетевой протокол, такой как NFS/SMB или в виде блочного устройства iSCSI. Сетевое подключение контейнеров можно организовать несколькими способами (описано на этой странице вики). По умолчанию в Proxmox основное сетевое устройство настроено в режиме моста. Это похоже на виртуальный коммутатор в ядре узла, к которому подключены все контейнеры и/или виртуальные машины (и сам узел) через свои виртуальные сетевые устройства. Обычно это означает, что у контейнера есть свой собственный IP-адрес в одной сети. Таким образом, "классический NFS-расшаренный каталог" возможен так же, как и на машинах с отдельными аппаратными средствами: настраиваете NFS-сервер в одном контейнере и экспортируете путь, затем вы можете смонтировать этот экспорт в другом контейнере (NFS). Поскольку монтирование NFS не является монтированием файловой системы, это также работает на совершенно отдельных файловых системах в контейнерах, и нет необходимости в строке "lxc.mount.entry". Но поскольку сервер Linux-NFS реализован в ядре, которое общее для всех контейнеров, чтобы запустить nfs-kernel-server, вам нужно добавить "lxc.aa_profile: unconfined", чтобы сообщить AppArmor, что это разрешено (AppArmor — это уровень безопасности, который запрещает контейнерам выполнять некоторые потенциально опасные действия).

dlasher Guest	#7 0 12.10.2016 23:20:00 +1 - это сработало для меня. Было бы неплохо добавить несколько подобных элементов в настройки интерфейса.

fabian

Guest

13.10.2016 08:36:00

это будет серьезной проблемой безопасности и никогда не произойдет. вы должны устанавливать эту опцию только если осознаете последствия - вы фактически убираете большинство ограничений, налагаемых на контейнер, что значит, что root внутри может захватить ваш хост.

wbumiller Guest	#9 0 13.10.2016 08:38:00 Этот конкретный вариант (особенно при установке значения `unconfined`) в любом случае должен быть ограничен для root@pam, поэтому мы не спешим добавлять его в графический интерфейс.

tdonkers

Guest

#10

23.10.2016 02:15:00

Если вы не хотите идти на компромисс в вопросах безопасности, вы можете создать новый профиль apparmor и применить его к контейнеру, на котором хотите разместить NFS-шары. Создайте новый файл "/etc/apparmor.d/lxc/lxc-default-with-nfsd" и вставьте следующее: Код: # Не загружайте этот файл. Вместо этого загрузите /etc/apparmor.d/lxc-containers, который
# загрузит все профили из /etc/apparmor.d/lxc

профиль lxc-container-default-with-nfsd флаги=(attach_disconnected,mediate_deleted) {
#включите <абстракции/lxc/container-base>

# контейнеру никогда не может быть разрешено монтировать devpts. Если это произойдет,
# он смонтирует devpts хоста. Мы могли бы разрешить это с помощью
# опции newinstance (но прямо сейчас мы этого не делаем).
запретить монтирование fstype=devpts,
монтирование fstype=nfsd,
монтирование fstype=rpc_pipefs,
монтирование fstype=cgroup -> /sys/fs/cgroup/**,
} Затем выполните эту команду, чтобы перезагрузить профили Код: apparmor_parser -r /etc/apparmor.d/lxc-containers Наконец, добавьте эту строку в ваш /etc/pve/lxc/CTID.conf Код: lxc.aa_profile = lxc-container-default-with-nfsd

dlasher Guest	#11 0 02.11.2016 18:59:00 Сработало как по волшебству, спасибо @tdonkers

Datenfalke

Guest

#12

09.08.2017 11:38:00

Я пробовал этот дополнительный aa_profile на свежем установленном узле 5.0 безуспешно. Также "lxc.aa_profile: unconfined" в конфигурации CT не работает - хотя на моем другом узле 4.4 это срабатывало. Какое правильное решение для NFS-сервера внутри контейнера LXC на узле proxmox 5.0?

gosha

Guest

#13

09.08.2017 12:13:00

Привет! Код: # cat /etc/pve/lxc/100.conf arch: amd64 cores: 2 hostname: barc memory: 2048 mp0: local-zfs:subvol-100-disk-2,mp=/var/barc,replicate=0,size=5000G nameserver: 192.168.0.201 8.8.8.8 net0: name=eth0,bridge=vmbr0,gw=192.168.0.254,hwaddr=EA:7A:87:D7:3D:D4,ip=192.168.0.222/24,type=veth net1: name=eth1,bridge=vmbr2,hwaddr=EA:C0:34:25:B3:AA,ip=192.168.110.61/27,type=veth onboot: 1 ostype: debian rootfs: local-zfs:subvol-100-disk-1,size=8G searchdomain: mfczgo.ru swap: 512 lxc.aa_profile: unconfined # pveversion pve-manager/5.0-29/6f01516 (running kernel: 4.10.17-1-pve) У меня всё работает. на CT: Код: # systemctl status nfs-kernel-server.service * nfs-server.service - NFS сервер и сервисы Загружен: загружен (/lib/systemd/system/nfs-server.service; включен; предустановлено: включено) Активен: активен (вышел) с Ср 2017-08-09 10:09:49 UTC; 7 минут назад Процесс: 10679 ExecStopPost=/usr/sbin/exportfs -f (код=вышел, статус=0/УСПЕХ) Процесс: 10678 ExecStopPost=/usr/sbin/exportfs -au (код=вышел, статус=0/УСПЕХ) Процесс: 10677 ExecStop=/usr/sbin/rpc.nfsd 0 (код=вышел, статус=0/УСПЕХ) Процесс: 10687 ExecStart=/usr/sbin/rpc.nfsd $RPCNFSDARGS (код=вышел, статус=0/УСПЕХ) Процесс: 10686 ExecStartPre=/usr/sbin/exportfs -r (код=вышел, статус=0/УСПЕХ) Главный PID: 10687 (код=вышел, статус=0/УСПЕХ) Задачи: 0 (лимит: 4915) CGroup: /system.slice/nfs-server.service

09 авг 10:09:49 barc systemd[1]: Запуск NFS сервера и сервисов... 09 авг 10:09:49 barc systemd[1]: NFS сервер и сервисы запущены.

# showmount Хосты на barc: 192.168.110.17 192.168.110.18 192.168.110.19 192.168.110.41 192.168.110.42 192.168.110.43 192.168.110.44 С наилучшими пожеланиями, Гоша

Datenfalke

Guest

#14

09.08.2017 12:31:00

Спасибо за быстрый ответ! Я добавил строку "lxc.aa_profile: unconfined" и обновил Debian внутри контейнера с jessie до stretch. Я выключил контейнер, снова запустил его, и всё равно получаю ошибку: Код: Linux nas003 4.10.17-1-pve #1 SMP PVE 4.10.17-18 (Пт, 28 Июл 2017 14:09:00 +0200) x86_64

root@nas003:~# service nfs-kernel-server restart
[ ok ] Остановка ядра NFS: mountd nfsd.
[ ok ] Расэкспортирование директорий для ядра NFS....
[warn] Ядро NFS не запущено: нет поддержки в текущем ядре. ... (предупреждение). Код: # cat /etc/pve/lxc/116.conf
#Debian с NFS Share
arch: amd64
cores: 2
cpulimit: 2
hostname: nas003
memory: 256
net0: name=eth0,bridge=vmbr0,gw=xxxxxxxx,hwaddr=xxxxxxx:6E,ip=xxxxxxxx,type=veth
onboot: 1
ostype: debian
rootfs: local-lvm:vm-116-disk-1,size=300G
swap: 256
lxc.aa_profile: unconfined Код: # pveversion
pve-manager/5.0-30/5ab26bc (работающее ядро: 4.10.17-1-pve)

Datenfalke

Guest

#15

09.08.2017 12:53:00

Я снова попробовал на узле 5.0: я создал новый контейнер с шаблоном Debian Jessie. Я добавил "lxc.aa_profile: unconfined". Я запустил контейнер. Установил "nfs-kernel-server" + создал /etc/exports, в результате получил ту же ошибку # service nfs-kernel-server start [warn] Не запускается NFS-демон ядра: нет поддержки в текущем ядре... (предупреждение). Спасибо за любые советы! Falco

gosha Guest	#16 0 09.08.2017 12:59:00 Я установил CT по этому шаблону: С наилучшими пожеланиями, Гоша

Datenfalke Guest	#17 0 09.08.2017 13:11:00 Успех с использованием этого шаблона! СПАСИБО, Гоша! Ты сделал мой день.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры