Насколько безопасно использовать LXC контейнеры для разнообразных задач на сервере?

Question

[Алексей Грин]

Доброго времени суток.
Насколько безопасно и целесообразно использование LXC контейнеров для разнообразных задач.
К примеру, если разместить все сервисы по разным контейнерам и пробросить порты через iptables, задав некоторые правила.
Возможно ли каким-то образом получив доступ к консоли контейнера, получить доступ к хост-машине?
Как по мне, можно делать регулярные бэкапы контейнеров и при отклонении в мониторинге или конкретной атаке, просто

Answer 1

[Евгений Вольф]

Насколько безопасно и целесообразно использование LXC контейнеров для разнообразных задач.

Возможно ли каким-то образом получив доступ к консоли контейнера, получить доступ к хост-машине?

Я думаю, что чисто гипотетически - могут существовать подобные баги в системе, но на практике - Вам о них вряд ли кто-то расскажет.

К примеру, если разместить все сервисы по разным контейнерам и пробросить порты через iptables, задав некоторые правила.

Для этого, если мне память не изменяет, есть Docker.

Как по мне, можно делать регулярные бэкапы контейнеров и при отклонении в мониторинге или конкретной атаке, просто

Можно, но с этим не редко возникают проблемы. Например, что бы сделать бэкап БД без контейнера - достаточно запустить утилиту для создания бэкапов БД. Что бы сделать бэкап базы вместе с контейнером - нужно будет остановить контейнер, сделать его полный бэкап и запустить снова... А если у Вас там ещё и ZFS будет - то это ещё целый слой потенциальных проблем.

Comments

[Erelecano Oioraen]

Не советуйте никому докер. И вы дураком выглядеть не будете, и человеку говна жрать не придется. Docker — игрушечная система для быдлокодеров возомнивших себя админами, а не для реального использования.

[Erelecano Oioraen]

А, да, про бэкап вы тоже пишите полную чушь. Использую LVM для хранения контейнеров, прекрасно делаютя снапшоты налету. Я понимаю, что вы таких слов не слышали, но они есть.

[Евгений Вольф]

Erelecano Oioraen: Я не советовал его использовать, я сказал конкретно, что "он существует для этого". К тому же, с учётом финансовых вливаний в него и популярности, возможно эта система не такая игрушечная, как может показаться на первый взгляд. По поводу "снапшотов на лету" - снапшот и бэкап - это как бы разные вещи по природе своей. И весь этот механизм работает далеко не так идеально, как хотелось бы. В т.ч., я пока не встречал "dump for ZFS", а про "снапшоты" речи изначально не было.

[Erelecano Oioraen]

Евгений Вольф: ZFS — маргинальная поделка с кривой лицензией и в приличном обществе о ней говорить вообще не стоит. Если вы жрете дерьмо и используете оракловое поделие, то вас надо ссаными тряпками гнать даже от единственного сервера который вы можете админить, от компа ваших родителей.

[Евгений Вольф]

Erelecano Oioraen: мне кажется, Вам стоит оформить Ваши мысли в отдельный ответ. Тогда, как минимум у других будет возможность раскритиковать Ваши предложения (а не только мои). А в данный момент, это выглядит как "у меня лучше/работает, как - не скажу". Заодно, и расписать лично Ваши претензии к Docker'у, и чем он конкретно плохо. Я например, не очень представляю, как полномасштабно использовать LVM применительно к LXD, и не нажить при этом кучу доп. проблем и геморроя в настройке всего этого добра... Хотелось бы в полной мере выслушать мнение человека, который не жрёт дерьмо, а предпочитает изысканные сорта фекалий. Это очень важно, т.к. подобными выпадами Вы кретикуете не только мой труд (в плане написания ответов), но и работу людей, который портировали ZFS под Linux (т.е. создавали, как минимум, zfs-utils), тем самым выделяя одних open-source разработчиков, над другими.

[Алексей Грин]

Erelecano Oioraen: Вот как раз таки бэкапы делаю без остановки контейнера, а на коннекты по SSH к контейнеру стоит триггер, который отправляет сообщение через бот телеграм. Да мы с контейнера практически все исходящие подключения запрещены в iptables.