Re: [vpsFree.cz: community-list] Docker na CentOS 7?

On 04/28/2017 11:01 PM, Jan Dvořák wrote: Otazka je, jestli vubec bude jadro 3.10+, jak to presne bude vypadat. Ve hre je nekolik variant, jedna "lepsi" nez druha: Upstream Linux (4.8+ cca) ========================= + moderni upstream linux featury, co ocekava vetsina soucasnych hype-driven developeru + moderni distributed storage technologie + kernel zacina byt dostatecne instrumentovatelny na honeni vykonu (a hledani zdroju problemu s vykonem) - nevyhovujici storage subsystem (nutnost lepit do nej ZFS) - user namespace: neni mesic, aby nebylo aspon jedno privilege escalation CVE spojene s user namespace => SHOW STOPPER. Pres toto nejde vlak, my nemuzeme riskovat provoz neceho tak nebezpecne navrzeneho, jako userns, ve skale, v jake kontejnery pouzivame (stovky lidi, kteri pozaduji root + ruzne capabilities kernelu) - nedodelany kernel-level resource accounting Virtuozzo 7 (komercni) ====================== + Live patching (workaround pro userns problem), timely security patche + Technologicky nejpokrocilejsi kontejnerizace na Linuxu - user namespace (viz 1.) - placene - ma uzavrene casti - kompletni supportovana distribuce, nemoznost vetsi customizace (liveOS smerem uz vubec...) OpenVZ 7 ("opensource") ======================= - chybi dokumentace k cemukoliv (natoz jak to vybuildit vubec, nebyl by ale problem, mame uz :D) - naprosto nevstricny pristup vyvojaru ke komunite - user ns - stable verze vydavana jednou za uhersky rok, mezi tim je dostupny akorat git HEAD => nutnost pickovani patchu + custom QA OpenVZ 6 ======== - podpora konci cca za rok Illumos ======= https://en.wikipedia.org/wiki/Illumos + nativni ZFS + stabilni a robustni design jadra napric + kontejnery nativne od roku 2005 (ie. kde mohl byt Linux, kdyby Linus nemel osobni problem s vyvojari puvodniho OpenVZ....) + robustnejsi izolace (OpenVZ 6 bylo v tomhle velmi podobne), zranitelnosti se casto daji zneuzit na ziskani roota na masine, jenom pokud jsou pustene v global zone (hardware node, tj. primo, pod nepreviligovanym userem, ale uz ne v kontejneru). + podporuje KVM/QEMU inside container + ma DTrace, ktery nam umozni realne zacit resit performance problemy -> seriozne zvazujeme variantu opustit Linux a prejit na Illumos -> Joyent implementoval Linux branded zones, co je asi nejpokrocilejsi prekladova vrstva pro Linuxove ABI, ktera existuje aktualne -> dokaze pustit moderni linuxova distra -> nema iptables, pouziva se BSD pf na hostovi, kteremu se pravidla zadavaji pres side channel -> zatim nepodporuje cgroups+namespaces ABI, tj. pod LX branded zone nejde spustit dalsi kontejnery (ale je to work in progress, nicmene tezko rict, jestli/kdy bude nejaky vysledek venku) -> tj. pokud neprejdeme na fullvirt (vysoce nepravdepodobne) nebo komercni Virtuozzo 7, ceka nas kernel development -> rosteme a kernel development prestava byt problem -> pokud mame delat kernel development, je lepsi pracovat s komunitou, se kterou se da dohodnout - Illumos je v tomhle mnohem pristupnejsi ekosystem pro mensi hrace + je nuti k uzsi spolupraci. -> pokud bychom nasadili Illumos, pravdepodobne nasadime i upstream Linux a clenove dostanou na vyber: - upstream Linux kontejner (se vsi jeho bezpecnosti, stabilitou, atd., ale taky s featurami nutnymi pro hype-driven developery) na HW s upstream linux kernelem a potom pojedeme na HW s Illumosem, ktery by mel byt stabilnejsi a bezpecnejsi + s vyladenejsim vykonem: - nativni Illumos kontejnery se SmartOSem (ma NetBSD package management, kde je toho zabalene fakt hodne a tak.. na co Linux)... - LX Branded zones - kde se da pustit stable Linuxova distra, ale bez cgroups/namespaces, tj. na beh Linux-only binarnich aplikaci vetsinou bez problemu (muzu zajemcum poskytnout Ubuntu 16.04 nad LX zonou uz ted na vyzkouseni) - QEMU/KVM zone - kdo potrebuje Linux/Windows, pusti si to holt v QEMU, na ktere bychom meli poskytnout zdokumentovany template s postupem, jak v nem rozjet spravne nastavenou plnou virtualizaci s forwardoanim trafficu ven. Takze cca tak se veci maji. /snajpa