sirmax Опубликовано 24 июля, 2013 Доброго дня! Кто то использует в продакшене контейнеры? Как отзывы? Девайсы внутрь отдаете какие? винты по iSCSI/ATAoE ? Ну и вообще как оно , если у кого статистика есть. (мое впечатление: хорошо для тестов, но как жестко лимитировать по ресурсам пока не ясно, надо смотреть глубже) Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
alex_001 Опубликовано 24 июля, 2013 Смотря для чего. Из минусов - меньшая степень изоляции от host системы (в контейнере видны mounts из host системы , все cpu (даже если ограничивать через cpuset будут видны)). Без снятия cap_sys_admin юзать стремно , если снимать - надо немного допиливать контейнер (зависит от OS гостевого контейнера). Впрочем проблема рута в контейнере должна решаться через USER_NAMESPACE , оно в ядре давно , но до сих пор не совместимо с некоторыми вещами (например XFS, поэтому не пробовал). Лимиты по ресурсам - особых проблем не встречал , cgroup хватает пока.. Лимитировать дисковое пространство можно через LVM+FS на контейнер (и еще в этом случае bandwidth для disk io) , можно (как в моем случае) через project quota на xfs (такая штука есть вроде еще на btrfs). Удобная штука для массового хостинга - http://www.docker.io . Если нужна связность по IP между виртуалками - не юзать напрямую macvlan на eth , а поднимаем бридж (обычный или openvswitch) , и уже его юзаем как внешн. интерфейс для контейнеров. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
bos9 Опубликовано 24 июля, 2013 а для аналога vrf это нельзя результативно использовать? Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
vitalyb Опубликовано 24 июля, 2013 bos9 есть способ проще - ip netns, в ряде случаев на-амного удобней, чем городить на одном хосте pbr и прочие костыли. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
bos9 Опубликовано 24 июля, 2013 есть способ проще - ip netns, в ряде случаев на-амного удобней, чем городить на одном хосте pbr и прочие костыли. спасибо, не знал о таком, а несколько копий квагги в разных неймспейсах запустить позволяет? Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
vitalyb Опубликовано 24 июля, 2013 а несколько копий квагги в разных неймспейсах запустить позволяет? не пробовал, если сделаете так, что файлы у квагги будут разные использоваться - или чрутом или другими путями, должно работать. С bird'ом должно быть проще, там путей меньше и они явно указываются. У меня на хосте запускается openvpn и его tap перекидывается в отдельный неймспейс, там свои виланы, свой фаервол, свой роутинг. Если надо сделать p2p линк между неймспейсами или хостом, есть veth. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
sirmax Опубликовано 25 июля, 2013 есть способ проще - ip netns, в ряде случаев на-амного удобней, чем городить на одном хосте pbr и прочие костыли. спасибо, не знал о таком, а несколько копий квагги в разных неймспейсах запустить позволяет? Я делал в виде презентации http://wiki.sirmax.noname.com.ua/index.php/NetworkNamespaces Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
sirmax Опубликовано 25 июля, 2013 собственно вопрос - а как заставить контейнер подключать внешний диск по iscsi ? Что то не выходит каменный цветок =) PS пример лимитирования ресурсов тоже не помешал бы PPS Да, я хочу запустить опенстек внутри контейнеров =) Потому что нужно много копий для тестов и быстро разворачивать полноценную лабу на одной физической ноде Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
^rage^ Опубликовано 25 июля, 2013 есть способ проще - ip netns, в ряде случаев на-амного удобней, чем городить на одном хосте pbr и прочие костыли. спасибо, не знал о таком, а несколько копий квагги в разных неймспейсах запустить позволяет? позволяет. считайте, что вы можете распилить роутер на много мелких кусочков со своей таблицой роутинга, интерфейсами, arp и conntrack. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
alex_001 Опубликовано 27 июля, 2013 Кстати , возможно ли засунуть несколько контейнеров в 1 network namespace (не совпадающий с хост системой , тут то просто)... Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
Ilya Evseev Опубликовано 29 июля, 2013 Я использую как замену для OpenVZ там, где не (хочется) поставить OpenVZ. Без особых изысков (прокидывание железок, лимитирование всего и вся, ...). С костылем собственного авторства: https://code.google.com/p/lxc-loader/wiki/QuickStart Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...