Permitido dispositivos cgroup para o contêiner libvirt / lxc

Question

Eu quero permitir que meus contêineres libvirt / lxc usem o dispositivo tun / tap. Para fazer isso, eu posso adicionar um contêiner em execução aos dispositivos permitidos:

# echo "c 10:200 rwm" > /sys/fs/cgroup/devices/libvirt/lxc/client-1/devices.allow

resultando em:

# cat /sys/fs/cgroup/devices/libvirt/lxc/client-1/devices.list
c 1:3 rwm
c 1:5 rwm
c 1:7 rwm
c 1:8 rwm
c 1:9 rwm
c 5:0 rwm
c 5:2 rwm
c 136:* rwm
c 10:200 rwm

No entanto, estou tendo algumas dificuldades em tornar essa configuração padrão para todos os contêineres.

Googling mostra que mudar /etc/cgconfig.conf para

group libvirt/lxc {
    devices {
            devices.allow="c 10:200 rwm";
    }
}

deve corrigir, mas isso não acontece (mesmo depois de reiniciar os serviços envolvidos -libvirtd, cgconfig- em todas as possíveis ordens)

Joguei um pouco com a configuração cgroup.clone_children , mas isso não ajuda.

Minhas perguntas são:

1 Como adicionar este dispositivo como padrão permitir cada contêiner libvirt / lxc?

2 Qual processo é responsável pela lista padrão permitida?

c 1:3 rwm
c 1:5 rwm
c 1:7 rwm
c 1:8 rwm
c 1:9 rwm
c 5:0 rwm
c 5:2 rwm
c 136:* rwm

Todos os pacotes são de um sistema Fedora 18 atualizado.

    

Answer 1

libvirt_lxc preenche a árvore /dev do convidado na inicialização de acordo com a configuração do convidado. A documentação diz que você precisa colocar a configuração no arquivo de configuração XML do convidado. Use um hostdev com o "misc" type e com seu source apontando para um dispositivo char em /dev/net/tun .

O snippet deve ficar assim:

...
<devices>
    ...
    <hostdev mode='capabilities' type='misc'>
        <source>
            <char>/dev/net/tun</char>
        </source>
    </hostdev>
</devices>
...

Para editar o arquivo XML do convidado, use virsh . Para uma instância local, use este comando:

virsh -c lxc:/// edit GUESTNAME

Eu posso confirmar isso trabalhando com o libvirt-1.2.1.