Runit уже много лет пленяет пылкие сердца и умы любителей прекрасного и если вас тоже подташнивает от коричневых оттенков мэйнстримных облаков, то слушайте. Я расскажу о своём опыте использования runit в режиме native boot, который делает lightweight контейнеры по-настоящему lightweight.

Ведь как я делал раньше? Деплоил контейнер debian, отключал мерзкий бинарный лог в /etc/systemd/journald.conf, потом ставил вменяемый rsyslog, который тянул logrotate и cron, а потом выискивал свои крошечные поделки в списке процессов среди всех этих systemd, cron, rsyslogd, agetty - вот этот agetty я вообще победить не мог.

Вас бы не задолбало такое безобразие? Я-то терпеливый, но и меня тоже достало.

Devuan. Только Devuan.

А про native boot в runit вообще ни один из известных мне поисковиков ничего не может сказать, и никаких упоминаний нет на wiki всех этих gentoo, void, artix, где runit активно используется. И даже на этом сайте ни слова, хотя поиск по runit весьма познавателен, если отфильтровать весь спам про лошадиный спорт.

Увы, у всяких медалей есть обратная сторона. В данных мне ощущениях реальности, Devuan вообще забил на шаблоны LXC для себя любимого. Но не беда. Как говорится, даже если вас съели, то всё равно есть два выхода: 1) шаблон можно нарыть в интернетах, например:

• https://github.com/arteteco/devuan-lxc-template/blob/master/lxc-devuan

• https://github.com/gregoryolsen/lxc-devuan/blob/master/templates/lxc-devuan

и 2) у нас есть божественный debootstrap. Этот вариант мне больше нравится - всё в моих руках и под полным контролем. Если коротко, то бутстрапим систему в например /var/lib/lxc/devuan/rootfs, потом создаём config, потом запускаем контейнер - и вуаля - радуемся. Только перед вуаля надо чуточку поколдовать. С этого и начнём, а если кто про debootstrap слышит первый раз - тогда читайте эту заметку с конца.

Системы инициализации кроме мэйнстримной, с контейнерами не дружат совсем, поэтому приходится прибивать кучку ненужных сервисов. Вы это можете наблюдать в шаблонах, что я привёл выше (кстати, они удивительно похожи, где первоисточник?) Но даже то, как делают там, - недостаточно. Более того, sysvinit вообще для контейнеров не годится без серьёзных доработок. Runit - да, но она запускает скрипты из /etc/rcS.d и /etc/rc2.d на старте и из /etc/rc6.d при завершении работы. Гадят, в основном, вот эти:

• hwclock.sh: на старте ничего не делает - там рулит udev, но при завершении работы пытается прописать время в hardware clock

• bootlogs: пытается писать /var/log/dmesg, от которого в контейнерах только вред. Не забывайте прописывать на хосте kernel.dmesg_restrict = 1 в /etc/sysctl.conf.

• umountfs: как вы видели, в шаблонах контейнеров этот сервис безуспешно пытаются прибить, я бы добавил umountroot, поскольку верю, что всем этим рулит LXC. Если, конечно, ничего не упускаю.

• sendsigs: безуспешно пытается прибить процессы, чем вешает остановку контейнера на некоторое время.

Но, собственно, зачем нам весь этот хлам? Для контейнера он вообще не нужен. Да-да. Всё и так работает - LXC рулит. Но прибивать сервисы - занятие неблагодарное, и вот тут-то и выручает native boot. Если заглянуть в файлы /etc/runit/1 и /etc/runit/3, то становится ясно, что наличие файла /etc/runit/native.boot.run меняет всё:

• /etc/runit/1 запускает скрипты *.sh из каталога /etc/runit/boot-run вместо /etc/rcS.d

• /etc/runit/3 запускает скрипты из /etc/runit/shutdown-run вместо /etc/rc6.d, ну или до какого там runlevel-а ваша система дойдёт

Плюс, наличие файла /etc/runit/no.emulate.sysv отменяет запуск скриптов из /etc/rc2.d -- см. /etc/runit/2

Пробуем:

touch /etc/runit/native.boot.run
touch /etc/runit/no.emulate.sysv
mkdir /etc/runit/boot-run
mkdir /etc/runit/shutdown-run

Перезапускаем контейнер. У меня работает. А у вас?

Некоторые плюшки всё-же не помешают. Для себя я использую такие:

• /etc/runit/boot-run/10-sysctl.sh

sysctl --system

• /etc/runit/boot-run/20-mount-run.sh

# Mount tmpfs on /run and/or /run/lock

do_mount_run()
{
    . /lib/init/vars.sh
    . /lib/init/tmpfs.sh
    . /lib/init/mount-functions.sh

    mode=mount_noupdate

    mount_run $mode
    mount_lock $mode
}

do_mount_run

• /etc/runit/boot-run/30-hostname.sh -- в обычных применениях не нужен, но вдруг вам надо? Мне, например, - да.

hostname `cat /etc/hostname`

• /etc/runit/boot-run/40-nftables.sh

/etc/nftables.conf

Насчёт самого runit - там есть лишнее, от чего можно избавиться:

for f in /etc/service/getty* ; do unlink $f ; done
for f in /etc/service/.getty* ; do unlink $f ; done
unlink /etc/service/default-syslog
rm -rf /etc/sv/default-syslog

Да, если используете sshd, но auditd не установлен, надо закомментировать строчку

sv start auditd  || sv check auditd || true

в файле /etc/service/ssh/run

Обещанный debootstrap, но это мои личные предпочтения. Внимательно проверьте include/exclude перед тем, как копипастить.

debootstrap --variant=minbase \
    --include=runit,runit-init,nano,apt-utils,dialog,procps,libc-l10n,locales,lsb-release,iproute2,netbase,nftables,tzdata,less,bsdextrautils,findutils,iputils-tracepath,iputils-ping,lsof,openssh-server,openssh-sftp-server,psutils,rsync,screen,bash-completion \
    --exclude=sysvinit-core,vim-common,vim-tiny,isc-dhcp-client,isc-dhcp-common,bootlogd,dmidecode \
    daedalus /var/lib/lxc/devuan/rootfs \
    http://us.deb.devuan.org/merged/

Да, ещё: если ваша базовая система не Devuan, то вам нужен правильный debootstrap (в комментариях подсказывают, что можно просто сделать ссылку в /usr/shared/debootstrap/scripts, но я предпочитаю туда не лазить):

git clone https://git.devuan.org/devuan/debootstrap.git
export DEBOOTSTRAP_DIR=`realpath debootstrap`

Плюс, ключи:

gpg --no-default-keyring --keyserver keyring.devuan.org \
    --keyring ./devuan-keyring.gpg \
    --recv-keys 0022D0AB5275F140 94532124541922FB

и добавьте тогда --keyring=./devuan-keyring.gpg к debootstrap

Пример файла конфигурации /var/lib/lxc/devuan/config:

lxc.net.0.type = veth
lxc.net.0.hwaddr = 00:12:34:56:78:9a
lxc.net.0.ipv4.address = 192.168.0.2/24
lxc.net.0.ipv4.gateway = 192.168.0.1
lxc.net.0.link = br0
lxc.net.0.flags = up
lxc.apparmor.profile = unconfined
lxc.apparmor.allow_nesting = 1
lxc.rootfs.path = dir:/var/lib/lxc/devuan/rootfs

# Common configuration
lxc.include = /usr/share/lxc/config/debian.common.conf

# lxcfs
lxc.mount.auto = cgroup:mixed
lxc.autodev = 1
lxc.include = /usr/share/lxc/config/common.conf.d/00-lxcfs.conf

# Container specific configuration
lxc.tty.max = 4
lxc.uts.name = devuan
lxc.arch = arm64
lxc.pty.max = 1024

# Map user and group ids
lxc.include = /usr/share/lxc/config/debian.userns.conf
lxc.idmap = u 0 900000 65536
lxc.idmap = g 0 900000 65536

lxc.start.auto = 1

И последнее: не знаю как у вас, а у меня fuidshift (поделка на go из lxd-tools) нифига не работает. Я пользуюсь более простой и понятной http://bazaar.launchpad.net/~serge-hallyn/+junk/nsexec/view/head:/uidmapshift.c