Thomas.will: Neue Seite: Baustein Container (nspawn, machinectl, portable)

2026-10-17T15:47:30Z

Neue Seite: Baustein Container (nspawn, machinectl, portable)

Neue Seite

[[Kategorie:systemd]]
{| class="wikitable"
! Baustein !! ab Stufe !! Lernpfad
|-
| '''Container''' || [[Systemd Stufe 2 Fortgeschritten|Stufe 2]] bis [[Systemd Stufe 3 Security|Stufe 3]] || [[Systemd Lernpfad|Übersicht]]
|}

=Einfach erklärt=
*systemd bringt mit '''systemd-nspawn''' einen eigenen, einfachen Container mit.
*Ein nspawn-Container ist ein Verzeichnis mit einem kompletten Linux darin. Gestartet läuft es mit eigenem systemd, eigenen Prozessen und eigenem Hostnamen, aber mit dem '''Kernel des Hosts'''.
*Das ist wie ein sehr starkes chroot, ähnlich wie LXC, aber ohne zusätzliche Software.
*'''machinectl''' verwaltet die Container wie Dienste: starten, stoppen, anmelden, beim Booten mitstarten.
*'''Portable Services''' gehen einen Schritt weiter: Ein Dienst bringt sein eigenes Dateisystem mit und wird trotzdem wie ein normaler Dienst des Hosts gestartet.

=Einordnung=
{| class="wikitable"
! !! systemd-nspawn !! LXC !! Docker !! VM (KVM)
|-
| Was läuft darin || ein ganzes System || ein ganzes System || meist ein einzelner Prozess || ein ganzes System
|-
| Kernel || der des Hosts || der des Hosts || der des Hosts || ein eigener
|-
| Verwaltung || machinectl, systemctl || lxc-*, Proxmox || docker || virsh, Proxmox
|-
| Typisch für || Tests, Build-Umgebungen, kleine Dienste || Systemcontainer in Proxmox || Anwendungen || alles mit eigenem Kernel
|}

=Einen Container anlegen=
<pre>
apt install systemd-container debootstrap
debootstrap --include=systemd,dbus trixie /var/lib/machines/debian
</pre>
*Alle Container liegen unter '''/var/lib/machines/'''. Der Verzeichnisname ist der Name des Containers.

==root-Passwort setzen==
*Einmal ohne Boot hineinwechseln, wie bei chroot:
<pre>
systemd-nspawn -D /var/lib/machines/debian
passwd
exit
</pre>

==Booten==
*systemd-nspawn -b -D /var/lib/machines/debian
*'''-b''' startet systemd im Container. Man sieht den Start und bekommt ein Login.
*Beenden: im Container '''poweroff''', oder dreimal schnell '''Strg+]'''.

=Verwalten mit machinectl=
{| class="wikitable"
! Befehl !! Wirkung
|-
| machinectl list-images || alle Container unter /var/lib/machines
|-
| machinectl start debian || im Hintergrund starten
|-
| machinectl list || laufende Container
|-
| machinectl login debian || an der Konsole des Containers anmelden
|-
| machinectl shell debian || direkt eine root-Shell, ohne Passwort
|-
| machinectl status debian || Prozesse, Adresse, Dienst
|-
| machinectl poweroff debian || sauber herunterfahren
|-
| machinectl enable debian || beim Start des Hosts mitstarten
|}
*Hinter machinectl start steckt ein normaler Dienst: '''systemd-nspawn@debian.service'''
*journalctl -M debian zeigt das Journal '''im''' Container.

=Konfiguration pro Container=
*/etc/systemd/nspawn/debian.nspawn
<pre>
[Exec]
PrivateUsers=pick

[Network]
VirtualEthernet=yes
</pre>
{| class="wikitable"
! Option !! Wirkung
|-
| PrivateUsers=pick || root im Container ist auf dem Host ein unprivilegierter Benutzer
|-
| VirtualEthernet=yes || eigene Netzwerkkarte host0 im Container, Gegenstück ve-debian auf dem Host
|-
| Bridge=br0 || die Karte des Containers an eine Bridge des Hosts hängen
|-
| Bind=/srv/daten || ein Verzeichnis des Hosts im Container einhängen
|-
| Bind-ReadOnly=/srv/daten || dasselbe, nur lesbar
|}
*Netzwerk im Container: Wenn systemd-networkd im Container und auf dem Host läuft, bekommt host0 die Adresse automatisch per DHCP und NAT vom Host. Siehe [[Systemd Baustein Netzwerk]].

=Portable Services=
*Ein Image mit einem Dienst darin wird an den Host '''angehängt'''. Danach ist es ein ganz normaler Dienst, nur mit eigenem Dateisystem.
{| class="wikitable"
! Befehl !! Wirkung
|-
| portablectl list || angehängte und verfügbare Images
|-
| portablectl attach ./dienst.raw || Image anhängen, die Units werden sichtbar
|-
| systemctl start dienst || wie jeder andere Dienst
|-
| portablectl detach dienst || wieder entfernen
|}
*Die Images liegen meist unter /var/lib/portables/.
*Genauer: [[Systemd-portabled]]

=Sicherheit=
*Container teilen sich den Kernel mit dem Host. Eine Lücke im Kernel kann aus dem Container herausführen. Siehe [https://labs.xinux.net/container-vs-vm.html Container vs. VM].
*Ohne '''PrivateUsers=''' ist root im Container auch root auf dem Host, wenn er ausbricht.
*'''machinectl shell''' braucht kein Passwort, nur root auf dem Host. Wer root auf dem Host ist, hat alle Container.
*Für Analysen: Ein verdächtiges System als Abbild in einen nspawn-Container legen und dort mit '''--read-only''' untersuchen, ohne es zu booten.

=Stolperfallen=
*'''Kein Login möglich:''' root-Passwort vergessen. Ohne -b hineinwechseln und passwd setzen.
*'''Kein Netz im Container:''' networkd läuft nicht, im Container oder auf dem Host.
*'''Dateirechte seltsam:''' Mit PrivateUsers=pick gehören die Dateien auf dem Host hohen UIDs wie 1234567. Das ist so gewollt.
*'''Strg+C beendet nicht:''' Aus einem gebooteten Container kommt man mit poweroff oder dreimal Strg+].

=Aufgaben=
==Grundaufgaben==
#Legen Sie einen Debian-Container mit debootstrap an.
#Setzen Sie das root-Passwort und booten Sie den Container.
#Starten Sie ihn mit machinectl im Hintergrund und melden Sie sich mit machinectl login an.
#Lassen Sie sich mit machinectl status die Prozesse anzeigen. Wie sehen sie auf dem Host mit ps aus?
#Lassen Sie den Container beim Start des Hosts mitstarten.
==Für Schnelle==
#Geben Sie dem Container mit VirtualEthernet=yes eine eigene Netzwerkkarte und installieren Sie darin einen Webserver.
#Schalten Sie PrivateUsers=pick ein. Mit welcher UID läuft root aus dem Container auf dem Host?
#Hängen Sie ein Verzeichnis des Hosts nur lesbar in den Container.

=Weiter=
*[[Systemd Lernpfad|Übersicht: Lernpfad systemd]]
*Alte Seiten: [[Systemd-nspawnd]] · [[Systemd-nspawnd-beschreibung]] · [[Systemd-portabled]]

Systemd Baustein Container - Versionsgeschichte

Thomas.will: Neue Seite: Baustein Container (nspawn, machinectl, portable)