Linux-VServer. Sebastian Harl 19. Mai 2006

Transkript

1 Linux-VServer Sebastian Harl Konzepte und Techniken virtueller Maschinen und Emulatoren (virme) Friedrich-Alexander-Universität Erlangen-Nürnberg 19. Mai 2006

2 Einführung Was ist Linux-VServer Das Projekt Implementierung Bestehende Infrastruktur Benötigte Änderungen Kontext Trennung Prozess Kontexte Netzwerk Kontexte Chroot Barrier CPU Isolation Netzwerk Isolation Linux-VServer Management (Überblick) Erzeugen eines Linux-VServers Verwalten eines Linux-VServers Ähnliche Projekte

3 Einführung Was ist Linux-VServer Allgemeines keine Emulation Virtual Private Servers (VPS) die alle auf dem gleichen Kernel laufen als Gastsysteme nur Linux möglich Security Contexts Architektur Kernel Patch Userspace Tools (util-vserver)

4 Einführung Was ist Linux-VServer Allgemeines keine Emulation Virtual Private Servers (VPS) die alle auf dem gleichen Kernel laufen als Gastsysteme nur Linux möglich Security Contexts Architektur Kernel Patch Userspace Tools (util-vserver)

5 Einführung Das Projekt Homepage Community #vserver auf irc.oftc.net Wiki auf der Homepage

6 Einführung Das Projekt Homepage Community #vserver auf irc.oftc.net Wiki auf der Homepage

7 Einführung Das Projekt Geschichte Erste Implementierung ca. 2. Hälfte November 2003: Version 1.0 Aktuell: Version 2.0.x/2.1.x 1

8 Implementierung Bestehende Infrastruktur Linux capabilities 3 Bitmaps für inheritable, permitted und effective capabilities /usr/include/linux/capability.h capabilities(7) Resource Limits Hard- und Soft-Limits für Prozesse ulimit(3) help ulimit (in der Bash)

9 Implementierung Bestehende Infrastruktur Linux capabilities 3 Bitmaps für inheritable, permitted und effective capabilities /usr/include/linux/capability.h capabilities(7) Resource Limits Hard- und Soft-Limits für Prozesse ulimit(3) help ulimit (in der Bash)

10 Implementierung Bestehende Infrastruktur Datei Attribute Ursprünglich nur ext2, mittlerweile aber von den meisten Dateisystemen unterstützt chattr(1), lsattr(1) chroot Ändern des Root-Dateisystems chroot(2), chroot(8)

11 Implementierung Bestehende Infrastruktur Datei Attribute Ursprünglich nur ext2, mittlerweile aber von den meisten Dateisystemen unterstützt chattr(1), lsattr(1) chroot Ändern des Root-Dateisystems chroot(2), chroot(8)

12 Implementierung Benötigte Änderungen Security Isolation Prozess Kontexte Netzwerk Kontexte Chroot Barrier Resource Isolation CPU Netzwerk

13 Implementierung Benötigte Änderungen Security Isolation Prozess Kontexte Netzwerk Kontexte Chroot Barrier Resource Isolation CPU Netzwerk

14 Implementierung Kontext Trennung Linux VServer Architecture context 1 (spectator) context 0 context 1000 context 1001 /, /bin, /home,... /, /bin, /home,... /, /bin, /home,... eth0 procfs IPC, SHM,... eth0 procfs IPC, SHM,... eth0 procfs IPC, SHM,... kernel hardware (C) 2006 Sebastian Harl <sh@tokkee.org>

15 Implementierung Prozess Kontexte Verstecke alle Prozesse ausserhalb des eigenen Kontexts Standard Virtuelle Maschine beim Booten (XID 0) fakeinit Spectator kann alle Prozesse sehen (XID 1)

16 Implementierung Prozess Kontexte s t r u c t v x i n f o { s t r u c t l i s t h e a d v x l i s t ; / l i n k e d l i s t o f c o n t e x t s / x i d t vx id ; / c o n t e x t i d / atomic t vx refcount ; / r e f c o u n t / s t r u c t v x i n f o v x p a r e n t ; / p a r e n t c o n t e x t / s t r u c t namespace vx namespace ; / p r i v a t e namespace / s t r u c t f s s t r u c t v x f s ; / p r i v a t e namespace f s / u i n t 6 4 t v x f l a g s ; / c o n t e x t f l a g s / u i n t 6 4 t vx bcaps ; / bounding caps ( system ) / u i n t 6 4 t v x c c a p s ; / c o n t e x t caps ( v s e r v e r ) / p i d t v x i n i t p i d ; / PID o f f a k e i n i t p r o c e s s / s t r u c t v x l i m i t l i m i t ; / v s e r v e r l i m i t s / s t r u c t v x s c h e d sched ; / v s e r v e r s c h e d u l e r / s t r u c t v x c v i r t c v i r t ; / v i r t u a l / b i a s s t u f f / st r uc t vx cacct cacct ; / c o n t e x t a c c o u n t i n g / }; char vx name [ 6 5 ] ; / v s e r v e r name / (Aus include/linux/vserver/context.h)

17 Implementierung Netzwerk Kontexte Prozesse innerhalb eines Kontextes werden auf bestimmte Netzwerk-Adressen beschränkt IPADDR ANY muss speziell behandelt werden Momentan (?) keine virtuellen Devices

18 Implementierung Chroot Barrier Standard Linux chroot() ist nicht sicher Markieren eines Verzeichnisses mit einem Flag Verhindern, dass diese Markierung überschritten wird setattr barrier <vserver-base-directory>

19 Implementierung Chroot Barrier i f ( IS BARRIER ( inode ) &&! v x c h eck ( 0, VX ADMIN) ) { v x w p r i n t k ( 1, x i d=%d d i d h i t t h e b a r r i e r., v x c u r r e n t x i d ( ) ) ; r e t u r n EACCES ; } (Aus xid permission() in fs/namei.c)

20 Implementierung CPU Isolation Token Bucket Filter über dem Standard O(1) Linux CPU Scheduler reservations und shares

21 Implementierung Netzwerk Isolation Hierarchical Token Bucket Jede Virtuelle Maschine hat ein Token Bucket mit einer reserved rate und einem share Pakete werden im Kernel mit der XID getagged

22 Linux-VServer Management (Überblick) Erzeugen eines Linux-VServers Debian Guest v s e r v e r t e s t 1 b u i l d m d e b o o t s t r a p hostname t e s t 1. domain. t l d \ i n t e r f a c e eth0 : / 2 4 c o n t e x t 42 d s a r g e Redhat Guest v s e r v e r t e s t 2 b u i l d m apt rpm hostname t e s t 2. domain. t l d \ i n t e r f a c e eth0 : / 2 4 c o n t e x t 43 d f c 1 Skeleton (nur Konfiguration) v s e r v e r t e s t 3 b u i l d m s k e l e t o n hostname t e s t 3. domain. t l d \ i n t e r f a c e eth0 : / 2 4 c o n t e x t 44 Mehr Infos v s e r v e r b u i l d h e l p

23 Linux-VServer Management (Überblick) Erzeugen eines Linux-VServers Debian Guest v s e r v e r t e s t 1 b u i l d m d e b o o t s t r a p hostname t e s t 1. domain. t l d \ i n t e r f a c e eth0 : / 2 4 c o n t e x t 42 d s a r g e Redhat Guest v s e r v e r t e s t 2 b u i l d m apt rpm hostname t e s t 2. domain. t l d \ i n t e r f a c e eth0 : / 2 4 c o n t e x t 43 d f c 1 Skeleton (nur Konfiguration) v s e r v e r t e s t 3 b u i l d m s k e l e t o n hostname t e s t 3. domain. t l d \ i n t e r f a c e eth0 : / 2 4 c o n t e x t 44 Mehr Infos v s e r v e r b u i l d h e l p

24 Linux-VServer Management (Überblick) Erzeugen eines Linux-VServers Debian Guest v s e r v e r t e s t 1 b u i l d m d e b o o t s t r a p hostname t e s t 1. domain. t l d \ i n t e r f a c e eth0 : / 2 4 c o n t e x t 42 d s a r g e Redhat Guest v s e r v e r t e s t 2 b u i l d m apt rpm hostname t e s t 2. domain. t l d \ i n t e r f a c e eth0 : / 2 4 c o n t e x t 43 d f c 1 Skeleton (nur Konfiguration) v s e r v e r t e s t 3 b u i l d m s k e l e t o n hostname t e s t 3. domain. t l d \ i n t e r f a c e eth0 : / 2 4 c o n t e x t 44 Mehr Infos v s e r v e r b u i l d h e l p

25 Linux-VServer Management (Überblick) Erzeugen eines Linux-VServers Debian Guest v s e r v e r t e s t 1 b u i l d m d e b o o t s t r a p hostname t e s t 1. domain. t l d \ i n t e r f a c e eth0 : / 2 4 c o n t e x t 42 d s a r g e Redhat Guest v s e r v e r t e s t 2 b u i l d m apt rpm hostname t e s t 2. domain. t l d \ i n t e r f a c e eth0 : / 2 4 c o n t e x t 43 d f c 1 Skeleton (nur Konfiguration) v s e r v e r t e s t 3 b u i l d m s k e l e t o n hostname t e s t 3. domain. t l d \ i n t e r f a c e eth0 : / 2 4 c o n t e x t 44 Mehr Infos v s e r v e r b u i l d h e l p

26 Linux-VServer Management (Überblick) Verwalten eines Linux-VServers Starten eines Guests v s e r v e r <name> s t a r t Stoppen eines Guests v s e r v e r <name> s t o p Betreten eines Guests v s e r v e r <name> e n t e r exec

27 Linux-VServer Management (Überblick) Verwalten eines Linux-VServers Starten eines Guests v s e r v e r <name> s t a r t Stoppen eines Guests v s e r v e r <name> s t o p Betreten eines Guests v s e r v e r <name> e n t e r exec

28 Linux-VServer Management (Überblick) Verwalten eines Linux-VServers Starten eines Guests v s e r v e r <name> s t a r t Stoppen eines Guests v s e r v e r <name> s t o p Betreten eines Guests v s e r v e r <name> e n t e r exec

29 Ähnliche Projekte OpenVZ (Teilmenge von Virtuozzo) - FreeVPS (Fork von Linux-VServer) - FreeBSD Jails - Solaris Zones - OpenVPS (erweitert Linux-VServer) - Skripte zum Managen und Überwachen von Linux-VServern Interface für Benutzer und Administratoren

30 Noch Fragen? Download der Folien und Ausarbeitung: