{"id":19762,"date":"2020-11-17T07:29:16","date_gmt":"2020-11-17T06:29:16","guid":{"rendered":"https:\/\/www.thomas-krenn.com\/de\/tkmag\/?p=19762"},"modified":"2022-03-09T13:55:46","modified_gmt":"2022-03-09T12:55:46","slug":"container-virtualisierung-mit-proxmox","status":"publish","type":"post","link":"https:\/\/www.thomas-krenn.com\/de\/tkmag\/expertentipps\/container-virtualisierung-mit-proxmox\/","title":{"rendered":"Container-Virtualisierung mit Proxmox"},"content":{"rendered":"\n

Je nach Einsatzgebiet eignet sich entweder\nContainer-Virtualisierung oder der Einsatz von virtuellen Maschinen (VMs) ist\nsinnvoller. Im Bereich Container l\u00e4sst sich neben Docker bspw. Proxmox auf\nLinux Container Basis nutzen, mit dem sich komplette Applikationen\nbereitstellen lassen. In diesem Artikel erfahren Sie, welche Vor- und Nachteile\ndie Container-Virtualisierung mit Proxmox LXC Container bietet.<\/strong><\/p>\n\n\n\n

Container vs. VMs<\/strong><\/h2>\n\n\n\n

Container sind eine leichtgewichtige Art der Virtualisierung, die bei Cloud-Anbietern und auch bei der Entwicklung moderner modularer Software wie Microservices \u00e4u\u00dferst beliebt ist. Der Erfolg etwa von Docker und darauf aufsetzender Frameworks wie Kubernetes sind der beste Beweis daf\u00fcr. Im Gegensatz zu virtuellen Maschinen werden Container nativ auf dem Host-Betriebssystem eingesetzt. Dieses sorgt daf\u00fcr, dass f\u00fcr jeden Container eine isolierte Umgebung zur Verf\u00fcgung steht, es sperrt also die Prozesse ein. Da dabei so gut wie kein Overhead durch separate Gast-Kernel oder Hardware-Emulation entsteht, sind problemlos hunderte Container auf einem Host m\u00f6glich. Die Isolation der Gastsysteme ist jedoch nicht so vollst\u00e4ndig wie bei virtuellen Maschinen, denn alle Gastsysteme nutzen den Betriebssystem-Kern des Hosts. Das hei\u00dft, Container-Virtualisierung ist immer ein gr\u00f6\u00dferes Sicherheitsrisiko als Hardware-Virtualisierung mit VMs.<\/p>\n\n\n\n

Unterscheidung Docker und Container<\/strong><\/h2>\n\n\n\n

Obwohl Docker\nfast zum Synonym f\u00fcr Container geworden ist, gibt es auch andere Technologien,\ndie sich f\u00fcr bestimmte Zwecke sogar besser eignen. Docker ist eher auf sehr\nleichtgewichtige Container ausgelegt, die jeweils nur einen einzigen Dienst zur\nVerf\u00fcgung stellen. F\u00fcr komplexe Anwendungen braucht man also sehr viele\nContainer und deshalb wiederum Orchestrierungs-Plattformen wie Kubernetes, um\ndie Menge und Vielfalt der Container zu b\u00e4ndigen.<\/p>\n\n\n\n

Proxmox auf Linux Container Basis (LXC)<\/strong><\/h2>\n\n\n\n

Bei der Container-Virtualisierung geht Proxmox VE einen anderen Weg und stellt das Schwergewicht unter den Leichtgewichten dar. Seine Container basieren auf LXC (Linux C<\/em>ontainer), einer Container-Technologie, die bereits in jeder Linux-Distribution vorhanden ist. Proxmox LXC Container sind eher „schwergewichtig“, also daf\u00fcr ausgelegt, mehrere Dienste oder komplette Applikationen bereitzustellen. Die Proxmox-Entwickler bezeichnen sie als „System Container“, im Gegensatz zu „Micro Containern“ wie bei Docker. Bei Proxmox lassen sich Container sehr \u00e4hnlich zu virtuellen Maschinen (VMs) verwalten. Netzwerk- und vor allem Storage-Anbindung ist flexibler und mittels der Proxmox-Tools weitaus einfacher zu konfigurieren als bei LXC-Containern in „normalen“ Distributionen. Nat\u00fcrlich ist es auch m\u00f6glich, in Proxmox eine virtuelle Maschine (VM) einzurichten und dort Docker inklusive Kubernetes oder einer andere Container-Management-Plattform zu installieren. Dann lassen sich die Vorteile von Proxmox wie skalierbares Storage und Hochverf\u00fcgbarkeit auch f\u00fcr andere Container-Plattformen nutzen. <\/p>\n\n\n\n

F\u00fcr die Verwaltung der nativen Proxmox-Container ist das Proxmox Container Toolkit (pct) verantwortlich. Wie immer bei Proxmox VE sind dessen grundlegende Funktionen auch \u00fcber das Web Interface erreichbar. F\u00fcr komplexere Management-Aufgaben kann der Administrator auf gut dokumentierte Kommandozeilenwerkzeuge zur\u00fcckgreifen.<\/p>\n\n\n\n
\n\n\n\n\n\n

Mehr Sicherheit durch weniger Privilegien<\/strong><\/h2>\n\n\n\n

Proxmox bietet eine Reihe von M\u00f6glichkeiten, die\nSicherheit der Gastsysteme zu erh\u00f6hen. So k\u00f6nnen LXC-Container wahlweise im\nprivilegierten oder unprivilegierten Modus angelegt werden. Bei letzterem sorgt\ndas Betriebssystem daf\u00fcr, dass alle Prozesse des Gastes mit weniger Rechten als\ndenen des Host-Systems ausgef\u00fchrt werden. Daf\u00fcr werden User Namespaces genutzt.\nDas ist ein Feature des Linux-Kernels, das privilegierte User IDs innerhalb<\/em> des Containers auf\nunprivilegierte User IDs au\u00dferhalb<\/em>\nabbildet. Damit lassen sich „Ausbruchsversuche“ b\u00f6sartiger Software\nverhindern. Zus\u00e4tzlich sorgt das standardm\u00e4\u00dfig aktivierte\nKernel-Sicherheitsmodul AppArmor mit sinnvollen Voreinstellungen daf\u00fcr, dass\nauch in privilegierten Containern die Ausf\u00fchrungsrechte beschr\u00e4nkt werden, ohne\ndie Funktionalit\u00e4t allzu zu stark einzuschr\u00e4nken.<\/p>\n\n\n\n

Container erlauben immer nur Gastsysteme vom gleichen Typ wie das Hostsystem, bei Proxmox VE also Linux. Jedoch sind sie nicht auf die jeweilige Linux-Distribution des Host-Systems beschr\u00e4nkt. Au\u00dfer Debian-Varianten und Ubuntu k\u00f6nnen also auch Red-Hat-, SUSE- oder Archlinux-basierte Systeme betrieben werden.<\/p>\n\n\n \"Die<\/a>
Die Zuweisung von Hardware-Ressourcen an Container orientiert sich bei Proxmox VE an virtuellen Maschinen.<\/span><\/span>\n\n\n

Flexibles Storage-Konzept auch f\u00fcr Container<\/strong><\/h2>\n\n\n\n

Das Storage-Konzept der Proxmox-Container macht es\nbesonders einfach, all die verschiedenen Storage-Arten zu nutzen, die Proxmox\nVE bietet. Jeder Container kann mehrere Mount Points haben \u2013 anwendungss<\/ins>pezifisch\nlassen sich damit je nach Bedarf lokaler Speicher, Shared Storage wie iSCSI\noder NFS und auch verteilte Systeme mit Ceph einbinden. Bei den eher\nminimalistischen Container-Ans\u00e4tzen a la Docker ist das oft nur mit gro\u00dfem\nAufwand m\u00f6glich. Wie bei virtuellen Maschinen (VMs) sind auch bei Containern\nSnapshots mit einer breiten Palette von Optionen sowie Migrationen auf andere\nphysische Hosts innerhalb eines Clusters m\u00f6glich. Im Gegensatz zu VMs m\u00fcssen\nsie daf\u00fcr aber kurz heruntergefahren werden. Live-Migrationen von Containern\nunterst\u00fctzt Proxmox nicht.<\/p>\n\n\n\n

Templates f\u00fcr schnelles Deployment<\/strong><\/h2>\n\n\n\n

Um Container schnell zu installieren, stehen zwei\nArten von Images zur Verf\u00fcgung: Die vom Proxmox-Team selbst gepflegten\nTemplates f\u00fcr alle g\u00e4ngigen Linux-Distributionen und die Templates vom Turnkey\nLinux Projekt, das Linux-Images f\u00fcr \u00fcber 100 vorkonfigurierten Stacks und\nWeb-Applikationen zur Verf\u00fcgung stellt. Letztere sind vor allem interessant, um\nin wenigen Schritten eine komplexe, mehrstufige Anwendung bereitzustellen und\nsich die Details der Datenbank- und Webserverkonfiguration zu ersparen. Einige\nBeispiele f\u00fcr Turnkey-Templates:<\/p>\n\n\n\n