No Debian Stretch você pode configurar o LXC assim:
(É recomendável separar os contêineres da própria rede)
1.
apt install --no-install-recommends lxc libvirt-clients debootstrap libpam-cgfs lxcfs uidmap bridge-utils dnsmasq-base
dnsmasq será usado como DHCP para contêineres / jaulas LXC em 10.0.55.0/24 net
Verifique se tudo está pronto:
lxc-checkconfig
Se alguns registros não aparecerem como "ativados", então reboot
2.
echo 'veth' >> /etc/modules
3.
insmod /lib/modules/$(uname -r)/kernel/drivers/net/veth.ko
4.
echo '
### adjust and apply
echo 'USE_LXC_BRIDGE="true"
LXC_BRIDGE="lxcbr0"
LXC_BRIDGE_MAC="02:01:02:03:04:05"
LXC_ADDR="10.0.55.1"
LXC_NETMASK="255.255.255.0"
LXC_NETWORK="10.0.55.0/24"
LXC_DHCP_RANGE="10.0.55.100,10.0.55.199"
LXC_DHCP_MAX="100"
LXC_DHCP_CONFILE=""
LXC_DOMAIN=""
' >> /etc/default/lxc-net
Com esta configuração, você pode usar o IP estático para prisões de 10.0.55.2-99 outro escolherá IP do DHCP
5.
Permitir encaminhamento:
echo '
# For LXC
net.ipv4.ip_forward=1
' >> /etc/sysctl.conf
sysctl -p
systemctl restart lxc-net.service
6.
##### Add to firewall rules and apply
-A FORWARD -d 10.0.55.0/24 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 10.0.55.0/24 -j ACCEPT
-A INPUT -d 224.0.0.251 -s 10.0.55.1 -j ACCEPT
-A INPUT -d 10.0.10.255 -s 10.0.10.1 -j ACCEPT
-A INPUT -d 10.0.10.1 -s 10.0.10.0/24 -j ACCEPT
7.
Configurar host
echo "kernel.unprivileged_userns_clone=1" > /etc/sysctl.d/80-lxc-userns.conf
sysctl --system
8.
Configurar subuids e amp; subgids para o usuário que executará o LXC
USER=UserThatRunsLXC # <- change
subuids=$(cat /etc/s*id|grep $USER)
[ -z "${subuids}" ] && {
usermod --add-subuids 1258512-1324047 $USER
usermod --add-subgids 1258512-1324047 $USER
}
echo "$USER veth lxcbr0 10"| tee -i /etc/lxc/lxc-usernet
Se você recebeu a mensagem de erro: "Permissão negada - não foi possível acessar /home/$USER/.local"
então setfacl -m u:1258512:x . .local .local/share
9.
Configure o modelo padrão para todos os futuros contêineres não privilegiados do LXC.
NÃO altere xx.xx.xx.xx , este é o modelo de endereço MAC que será gerado automaticamente
cd /var/lib/lxc
mkdir -p .config/lxc
echo \
'lxc.include = /etc/lxc/default.conf
# Subuids and subgids mapping
lxc.id_map = u 0 1258512 65536
lxc.id_map = g 0 1258512 65536
# Be careful with next option to avoid security issue or lost of data
lxc.mount.auto = proc:mixed sys:ro cgroup:mixed
# Network configuration
lxc.network.type = veth
lxc.network.link = lxcbr0
lxc.network.flags = up
lxc.network.hwaddr = 0A:FF:xx:xx:xx:xx' >.config/lxc/default.conf
10.
Finalmente, crie uma cadeia (ajuste as suas necessidades):
Distributive=alpine
lxc-create -n NameOfyourJail -t ${Distributive} -- -r sid -a amd64
P.S.
Se você quiser usar o host compartilhado ponte em vez de usar rede NAT-ed para recipientes, você pode seguir este link host setup como ponte