Proxmox: Docker im LXC installieren

[@ChristianDieterle-yr7cq]

Ich bin schon immer ein begeisterter Fan deiner Videos. Die letzten 3 Jahre habe ich eine Anwendungsentwicklungs-Lehre gemacht und habe meinen Fokus rein auf das Programmieren gelegt. Leider habe ich seither kein Video mehr von dir gesehen und da das Thema Docker nie an mich rangetragen wurde, hole ich das gerade nach. Ich freue mich auf deine Videos, bevor ich aber jetzt dieses hier schaue muss ich wahrscheinlich erstmal die Proxmox Serie durchgehen.

[@GothicGame]

Warum nicht als VM - wie es selbst docker empfiehlt? Ich mein, ich finde LXC auch klasse und bevorzugte es so, aber warum wird hier eine VM empfohlen von offizieller Stelle her?

[@luminosmaximus7440]

Gerade zur richtigen Zeit, super Video. Wäre schön wenn du noch die Nextcloud Installation in Portainer zeigen könntest.

[@MrKevinKlatt]

Wenn wir soweit wären, wünsche ich mir noch die Installation von OpenProject und ein Video über die Zusammenarbeit und wie das in dieser Umgebung läuft.

[@asaage]

Funktioniert zwar - aber ich würd' mal aus eigener Erfahrung davon abraten. Im LXC kann Docker nicht mit dem Overlay2 Storagedriver betrieben werden. Der Fallback (vfs) ist von Docker nicht empfohlen, frisst Speicher und lässt deutliche Performanceeinbußen spüren.

[@ALZlper]

Kleine Info aus der Praxis: Nehmt unbedingt lieber VMs für Docker Hosts, sollte die kleinste Chance bestehen, dass es später etwas Komplexer werden soll. Es gibt so viele Bugs die schon seit Ewigkeiten nicht gefixt wurden.

[@GothicGame]

ah, ist das der Grund, warum Docker selbst von offizieller Seite aus, eine VM und kein LXC empfiehlt? Was für Bugs gibt es da denn? Hast du da paar Infos? Und warum machen dann trotzdem alle bekannteren KZbinr (Apfelcast, sempervideo und login blog) es mit einem LXC als Host?

[@ALZlper]

@@GothicGame Bei uns hat es einige Monate gedauert bis die ersten Probleme auftraten, denn diese treten in unvorhersehbarem Konstellation und Anwendungsfällen auf. Das fällt natürlich für ein 10min Video nicht auf. Es gibt leider viele Bugs im Hinblick auf Hibernation, Snapshots und es vertragen sich auch die Dateisysteme nur sehr fraglich. Man baut einen Workaound nach dem anderen. Sowas komuliert sich schnell und ich bin froh dass wir davon, als auch Docker Swarm, jetzt endlich fast weg sind, hin zu Kubernetes auf VMs.

[@m-electronics5977]

@@ALZlperkubernetes ist so ein komplizierter sch*** und die Doku kapier ich vorne und hinten nicht

[@bjornm.3897]

Die Proxmox Mitarbeiter im Support-Forum raten übrigens davon ab Docker im LXC zu betreiben und sagen man solle lieber VMs benutzen. Aber ja, laufen tut es.

[@garcipat]

Danke für das inkludieren von portainer!

[@BenjaminBenStein]

Danke, genau das was ich benötigt habe !

[@ALZlper]

Nutz lieber eine VM, ansonsten alles super.

[@ScharadaLP]

Hey Sempervideo, das was in dem Debian Image fehlt hängt mit dem Storage Driver ab ( wie die docker images gespeichert werden). Der Fallback ist ein copy on change Storage Driver welches nur zu debug sinnvoll ist. aber nicht. LG Scharada

[@nEuDyYT]

Tolles Video und gute Infos 👍 Jedoch habe ich schon oft gelesen, dass man Docker nicht in einem lxc laufen lassen soll, sondern besser in einer eigenen VM Installation (z. B. mit Ubuntu ebenfalls). Jedoch habe ich nie eine gute und logische Erklärung dazu gefunden, weshalb man Docker nicht in einem lxc installieren soll.. Interessant wäre auch ein Performance-Vergleich zwischen Docker im lxc gegenüber Docker in einer VM

[@CC-rk4zx]

Kurze Antwort: Weil man das Nesting nicht braucht. Durch Nesting hat der LXC schreibzugriffe auf bestimmte Ordner des Hosts (also das Proxmos-OS). Und das ist nicht nur unschön, sondern bietet auch Risiken. Ich hab mir einfach Portainer als VM installiert. ;) Edit: ich hab Nesting bei all meinen LXC deaktiviert. Alles wo man das bräuchte, läuft als VM. Demnach würde ich diesmal der Anleitung von Semper keinen Daumen hoch geben. Sorry :)

[@ALZlper]

@@CC-rk4zx Und es gibt Gründe für Nesting, z.B. ein Container mit Chromium und dessen Sicherheitsfunktionen eingeschaltet. Habe quasi den gleichen Kommentar geschrieben .

[@DaHooka]

Hab ich letztens fuer UniFi network gemaacht, war das Video mal ein paar Tage frueher gekommen :) Danke fuer das Video!

[@easypy]

Danke für das tolle Video :)

[@adrianhartwig2646]

Ich verstehe nicht ganz wozu ich ein Containersystem in einen Container packen sollte. Es erhöht doch nur die Komplexität und Menge der möglichen Fehler und des Overheads. Auf einem Pi oder wenn keine volle Hypervisor Suit installiert werden soll kann ich es noch verstehen, obwohl lxc's dann immer noch schneller und Ressourcen schonender wären. Bitte klärt mich über die Vorteile auf die ich nicht auch mit Linux Containern haben könnte.

[@deckardstp]

Es gibt schlicht keine und ist auch keine Best Practice.

[@Nibbler1976]

Vielen Dank für das Video! Wie hast Du das Dark Theme bei Proxmox aktiviert/installiert bekommen?

[@bliblabl8149]

Google ist dein Freund.

[@Kilsko]

Aber was sind denn jetzt die Vorteile Docker in einem LXC Container zu verwenden? Warum nicht einfach direkt die LXC Container für Applikationen verwenden?

[@garcipat]

Die LXC brauchen soweit ich weiss in der regel einen eigenen CPU kern. Docker kann sich den teilen für mehrere Container. Bitte korrigiert mich wenn das nicht stimmt.

[@adrianhartwig2646]

@@garcipat Nope mein Server hat nur 2 Kerne/4 Threads und es laufen über 20 LXCs out of the Box.

[@garcipat]

@@adrianhartwig2646 Gut zu wissen. Hatte bisher nie so viele Container am laufen.

[@bla4224]

@@garcipat Das ist totaler Quark. Prinzipiell ist docker und lxc das gleiche (grob vereinfacht: eine "isolierte Gruppe" nativer Prozesse und Ressourcen - container halt), bloß daß docker bzgl. Aufsetzen/Betrieb/Wartung noch ne Menge mehr Restriktionen (API/CLI) und Unflexibilität/Unfug dazu tut (und täglich grüßt das Gruselkabinet). D.h. bzgl. Systemlast ist völlig Brust, ob die Prozesse direkt im host oder lxc/docker container laufen (der overhead bzgl. Permission/Resourcen check hinsichtlich Isolation ist vernachlässigbar, wenn heutzutage überhaupt noch vorhanden - in the very early days sagte man max. 1-2%). BTW: Meine Meinung: Wer auf docker verzichten kann, sollte das auch tun. LXC ist da IMHO auch langfristig immer die bessere Wahl (ist meine Erfahrung - mache den Murks schon 15+ Jahre). Und 'nen laufendens docker image in 'nen LXC template zu transformieren, kann ja auch nicht der hit sein ;-)

[@garcipat]

@@bla4224 war nur was ich gelesen habe. Hatte mich das selbe gefragt, und das war die Antwort die ich gefunden habe. War wohl nicht korrekt. Danke für die Erläuterung.

[@loschwahn723]

in prox 7.x war im ganzen der wurm drin - in der 8er ist das wieder lauffähig mit debian

[@atakan3245]

Weiß einer, ob der Mountpoint in Backup aufgenommen wird? Bei mir ist kein Backup Button für rootfs erst, wenn ich ein weiteren Mountpoint erstelle, sehe ich den Backupbutton.

[@vergil3656]

ist das dark theme über ein browser addon?

[@SezginRuhi]

Danke

[@deutschland09]

Ich bekomme es bei Proxmox nicht hin, USB-Geräte an den jeweiligen LXC durchzureichen...😞Gibt es da irgendeine Lösung? Einmal den DeCONZ Conbee2-ZigBee-Stick und ein DVB-2-Stick (für ModeS ADS-B). Die jeweiligen (ioBrocker, VirtualRadarServer inkl. Dump1090) Anwendungen selbst, laufen problemlos.

[@rGunti]

Wenn du USB-Geräte brauchst, solltest du auf VMs zurückgreifen.

[@czi2011]

ich kämpfe seit ein paar Tagen mit einem Coral USB Stick, den ich an einen Frigate Docker Container anbinden möchte. Dieses Video kzbin.info/www/bejne/ZnmTkGmPmbt3pKs könnte Ihnen weiterhelfen. Gerade habe ich den Ubuntu LXC Container wieder neu aufgesetzt, ich habe mit der Anleitung meine zuerst vorgenommene Docker Installation vermutlich unbrauchbar gemacht. Mein Verdacht: Docker nützt cgroup in der Version 1, aber die Videoanleitung verwendet in lxc-id.conf cgroup2. Mein Laienwissen: cgroup und cgroup2 können nicht nebeneinander im selben Container benützt werden. Morgen werde ich dann hoffentlich mehr wissen

[@igabrielqbl102]

Ich habe es zwar prinzipiell geschafft, den Conbee-Stick an den LXC-Contsmainer durchzureichen, dieser hat jedoch bei jedem Neustart des Proxmox Servers eine neue USB ID bekommen. Da ich die USB ID allerdings fest hinterlegen musste, musste ich die Config bei jedem Neustart anpassen... Ich habe es irgendwann aufgegeben und Docker nur für diesen einen Container direkt in Proxmox installiert 😅 Sicherheitsrisiko, ich weiß - aber ist ja nur daheim.

[@d4n93r]

Unterstützt Proxmox nativ kein Docker oder warum macht man das?

[@JustForUs]

Da du mit Proxmox eine ganze Reihe an VMs und Containern verwalten kannst ist es aus Gründen der Aufgabentrennung sehr zu empfehlen Docker nicht nativ auf Proxmox laufen zu lassen. Wenn dir da was kaputt geht, kannst du ganz Proxmox neu installieren und alle VMs sind gezwungenermaßen offline. Vom LXC-Container kannst du Snapshots machen, ihn zurücksetzen und basteln wie du willst. Ist viel zeitsparender wenn man etwas ausprobieren möchte. Und LXC hat im Gegensatz zu nativem, bare-metal auf Proxmox noch nicht mal einen nennenswerten Performance-Nachteil, es gibt also nur Vorteile :)

[@d4n93r]

@@JustForUs Aber macht man dann nicht container in container? Oder habe ich LXC falsch verstanden?

[@JustForUs]

​@@d4n93r Das könnte man glaube ich so nennen, ja. Aber ich denke das das kein Problem ist. So wie ich das verstanden habe ist das coole eigentlich, dass die Abstraktionsebenen dazu führen, dass die Sicherheit erhöht wird, ohne dass die Performance leidet. Ich kann vom Docker-Container nicht auf den LXC oder Proxmox zugreifen. Aber wenn ich mir in Proxmox mittels "top" die Prozesse anschaue, dann kann ich z.B. den java Prozess des in Docker laufenden Minecraft Servers sehen, der Prozess läuft also im Endeffekt auf dem Host-OS.

[@GothicGame]

Warum Docker als root installieren und nicht als normaler User mit Root-Rechten oder einer root-befähigten Gruppe?

[@martinprakelt1174]

Portainer lässt sich nicht starten .... ggfs zu schwachbrüstiger Rechner (intel Atom 3000)? Das ist die Meldung im Browser: "Your Portainer instance timed out for security purposes. To re-enable your Portainer instance, you will need to restart Portainer. For further information, view our documentation." EDIT: Ließ sich doch leicht beheben "you will need to restart Portainer" root@Docker:~# docker restart portainer portainer root@Docker:~# docker --version Docker version 23.0.1, build a5ee5b1

[@Mr7of9fan]

Hat bei mir nicht funktioniert 😒. Folgende Fehler: docker: Error response from daemon: failed to create shim: OCI runtime create failed: runc create failed: unable to start container process: error during container init: error mounting "proc" to rootfs at "/proc": mount proc:/proc (via /proc/self/fd/6), flags: 0xe: permission denied: unknown.

[@CC-rk4zx]

Permission denied…. Hast du Nesting nicht aktiviert? Denn für den /proc Ordner brauchst du Schreibrechte. Solltest du dir im übrigen überlegen, ob du das möchtest. Ich würde lieber eine VM nehmen aus bereits genannten Gründen.

[@Kurtea00]

Unter Debian wird docker einfach anders installiert.

[@bsszzt]

Treiber fehlen bei Debian tippe ich :D

[@GothicGame]

Warum nehmen alle ein Ubuntu-Template und z.B. nicht ein Debian-Template? Spricht da was dagegen? Ok, bei dir hat es nicht funktioniert, aber bei mir läuft es?!?

[@PuscH311]

ich verstehe nur "im" und "installieren". das video ist wohl nicht für mich xD

[@hebafilter]

Am besten Docker einfach nicht mehr nutzen, ist ja schlimm

[@DarrolMusambani]

Warum genau?

[@CC-rk4zx]

Zu einem gewissen Maße muss ich beipflichten. Gerade wenn man sich Images bedient, die nicht von großen Software-Unternehmen stammen sind diese meist recht schnell outdatet und werden selten so zeitnah geupdatet wie eine native Software-Lösung. Ich installiere meist lieber selber eine Software. Aber für schnelles Testen oder Software, die nicht öffentlich zugänglich ist, kann man docker ruhig empfehlen. Nicht pauschal nehmen. Manche Entwickler sind wirklich recht schnell. Da kann man ruhigen Gewissens auf docker setzen.

[@steveo6023]

Proxmox ist so eine Qual. Ständige Hänger, ständige Inkonsistenzen...

[@Thomas0918273645]

Aha... Vielleicht muss man es auch bedienen können 😅 Bei mir und vielen anderen läuft es absolut perfekt, ohne jegliche Probleme.

[@steveo6023]

@@Thomas0918273645 Wenn man durch Falschbedienung einer GUI ein System kaputt bekommt, ist das System kaputt.

[@steveo6023]

@@Thomas0918273645 Zwei Cleaninstalls von Proxmox. Eine migrierte VM Crash beim zurückmigirieren das komplette System. Was ist daran falsch bedient?

[@Thomas0918273645]

@@steveo6023 Ich kann dir nicht sagen, was du falsch gemacht hast. Proxmox ist aber eben nicht für absolute Laien vorgesehen und bietet demnach durchaus weitreichende Einstellungsmöglichkeiten über die GUI, wo man halt auch was kaputt machen kann. Da funktioniert das System ganz genau so, wie es soll.

[@steveo6023]

@@Thomas0918273645 wir nutzen es auf 3 Hosts mit knapp 50 VMs und das seit 2 Versionen. Ich hab irgendwann aufgehört Bugreports zu senden, weil ich sonst nichts anderes mehr machen könnte. Gerade beim Thema Hibernate und Migration bekomme ich das System sicher kaputt. Die gui bekomme ich auch recht schnell inkonsistent, einfach mal zwischen mehreren Optionen toggeln und irgendwas hängt sicher

[@michaeluray]

Für Debian haben folgende Einstellungen in "/etc/pve/nodes/pve/lxc/100.conf" am PVE Host geholfen: unprivileged: 0 lxc.cgroup.devices.allow: a Manache Anwendungen benötigen dann auch noch: lxc.apparmor.profile: unconfined

[@mrshahram7]

vielen herzlichen dank für alles. Hattest du beimdebian mit apparmor? root@lxcDocker:~# docker run hello-world Unable to find image 'hello-world:latest' locally latest: Pulling from library/hello-world 2db29710123e: Pull complete Digest: sha256:ffb13da98453e0f04d33a6eee5bb8e46ee50d08ebe17735fc0779d0349e889e9 Status: Downloaded newer image for hello-world:latest docker: Error response from daemon: AppArmor enabled on system but the docker-default profile could not be loaded: running `/usr/sbin/apparmor_parser apparmor_parser -Kr /var/lib/docker/tmp/docker-default2807562597` failed with output: apparmor_parser: Unable to replace "docker-default". Permission denied; attempted to load a profile while confined? error: exit status 243. ERRO[0002] error waiting for container: