LXC(LinuX Container)之namespaec和cgroup

LXC(LinuX Container)之namespaec和cgroup

namespace概述

• 从操作系统级上实现了资源的隔离，它本质上是宿主机上的进程（容器进程），所以资源隔离主要就是指进程资源的隔离。实现资源隔离的核心技术就是 Linux namespace。这技术和很多语言的命名空间的设计思想是一致的（如 C++ 的 namespace）。
• Linux的命名空间机制提供了一种资源隔离的解决方案。PID,IPC,Network等系统资源不再是全局性的，而是属于特定的Namespace。Linux Namespace机制为实现基于容器的虚拟化技术提供了很好的基础，LXC（Linux containers）就是利用这一特性实现了资源的隔离。不同Container内的进程属于不同的Namespace，彼此透明，互不干扰。

Linux内核支持的namespace类型

• Linux内核里面实现了7种不同类型的namespace。

名称        宏定义             隔离内容
Cgroup      CLONE_NEWCGROUP   Cgroup root directory (since Linux 4.6)
IPC         CLONE_NEWIPC      System V IPC, POSIX message queues (since Linux 2.6.19)
Network     CLONE_NEWNET      Network devices, stacks, ports, etc. (since Linux 2.6.24)
Mount       CLONE_NEWNS       Mount points (since Linux 2.4.19)
PID         CLONE_NEWPID      Process IDs (since Linux 2.6.24)
User        CLONE_NEWUSER     User and group IDs (started in Linux 2.6.23 and completed in Linux 3.8)
UTS         CLONE_NEWUTS      Hostname and NIS domain name (since Linux 2.6.19)

• 下面简要介绍一个以上不同类型的命名空间的作用：
  • IPC：用于隔离进程间通讯所需的资源（ System V IPC, POSIX message queues），PID命名空间和IPC命名空间可以组合起来用，同一个IPC名字空间内的进程可以彼此看见，允许进行交互，不同空间进程无法交互
  • Network：Network Namespace为进程提供了一个完全独立的网络协议栈的视图。包括网络设备接口，IPv4和IPv6协议栈，IP路由表，防火墙规则，sockets等等。一个Network Namespace提供了一份独立的网络环境，就跟一个独立的系统一样。
  • Mount：每个进程都存在于一个mount Namespace里面，mount Namespace为进程提供了一个文件层次视图。如果不设定这个flag，子进程和父进程将共享一个mount Namespace，其后子进程调用mount或umount将会影响到所有该Namespace内的进程。如果子进程在一个独立的mount Namespace里面，就可以调用mount或umount建立一份新的文件层次视图。
  • linux通过命名空间管理进程号，同一个进程，在不同的命名空间进程号不同！进程命名空间是一个父子结构，子空间对于父空间可见。
  • User：用于隔离用户
  • UTS：用于隔离主机名

cgroups 用于控制每个namespace中的资源分配：

blkio           块设备io
cpu             cpu
cpuacct         cpu资源使用报告
cpuset          多处理器平台上的cpu集合
devices         设备访问
freezer         挂起或恢复任务
memory          内存用量及报告
perf_event      对cgroup中的任务进行统一性能测试
net_cls         cgroup中的任务创建的数据报文的类别标识符

命名空间相关的API

• 与命名空间相关的API主要有三个：clone，setns和unshare，这三个API都是针对一个进程来操作的。

• clone方法会创建一个新的子进程，然后让子进程加入新的namespace，而当前进程保持不变。

  • int clone(int (*child_func)(void *), void *child_stac, int flags, void *arg);
  • 关于clone的具体例子请参考文章：http://blog.csdn.net/weifenghai/article/details/52836109

• setns方法用于将当前进程加入到已有的namespace中。

• unshare方法使当前进程退出指定类型的namespace，并加入到新创建的namespace（相当于创建并加入新的namespace）

跟mount namespace相比，chroot有哪些不足之处？

• chroot用于改变应用程序的根目录，也就是通过该命令可将一个子目录设置为该应用程序的“/”，如果要正常执行命令和程序等，必须还将系统中/bin, /usr/bin，/usr/lib等目录拷贝到该“/”下。
• mount namespace可以做到chroot的功能，而且比chroot更灵活。它属于内核名字空间的一部分。 mount namespace可以对系统真正根目录下的子目录做到共享、独享（也就是将拥有一个子目录的副本）等。

lxc

• 有了namespaces和cgroups那么Linux已经拥有了实现容器技术的前提，这时如果想要使用容器技术可以通过写代码调用系统调用实现容器技术。但是有多少用户可以写代码实现容器技术那？ 所以LXC应运而生，他使用户可以通过一组工具完成容器的创建