Conteneurs LXC sous Proxmox : créer un CT, VM ou conteneur ?

Un conteneur LXC est un système Linux isolé qui partage le noyau de l'hôte Proxmox au lieu d'avoir le sien : il démarre en une ou deux secondes, consomme quelques dizaines de mégaoctets de mémoire, et s'administre comme un petit serveur Debian ou Ubuntu. Proxmox VE l'appelle CT (container). Ce chapitre explique comment fonctionne un conteneur, la différence entre conteneur privilégié et non privilégié, la création d'un conteneur dans l'interface et avec pct, ses limites, et comment choisir entre une VM et un conteneur.

Comment fonctionne un conteneur LXC

LXC (Linux Containers) est un ensemble d'outils qui utilise trois mécanismes du noyau Linux :

• les namespaces donnent à chaque conteneur sa propre vue du système : ses processus (le premier processus du conteneur se croit numéro 1), ses interfaces réseau, ses points de montage, ses utilisateurs, son nom d'hôte ;
• les cgroups (groupes de contrôle) limitent ce que le conteneur consomme : nombre de cœurs, mémoire, espace de swap, débit disque ;
• AppArmor et un filtre d'appels système (seccomp) interdisent au conteneur les opérations dangereuses pour l'hôte, comme charger un module dans le noyau.

Il n'y a ni carte mère simulée, ni noyau à démarrer, ni pilotes : les processus du conteneur tournent directement sur le noyau de l'hôte, juste « dans une boîte ». D'où la légèreté, et d'où la principale limite : un conteneur ne peut faire tourner que Linux, avec le noyau de l'hôte (Linux 7.0 sous Proxmox VE 9.2), quelle que soit la distribution choisie.

Conteneur privilégié ou non privilégié

C'est le réglage de sécurité le plus important d'un conteneur.

Dans un conteneur non privilégié, les identifiants sont décalés : l'utilisateur numéro 0 du conteneur (root) correspond à l'utilisateur 100000 de l'hôte, l'utilisateur 33 (www-data) à 100033, et ainsi de suite. C'est ce qui rend une évasion inoffensive. C'est aussi ce qui provoque des problèmes de droits quand on partage un dossier de l'hôte avec le conteneur (voir plus bas).

Les modèles de conteneurs

Un conteneur se crée à partir d'un modèle (template) : une archive qui contient un système de base déjà installé. Proxmox en propose pour Debian, Ubuntu, Alma Linux, Rocky Linux, Alpine, Fedora, Arch Linux et quelques applications toutes prêtes. Dans l'interface : sélectionne le stockage local, puis CT Templates > Templates, choisis le modèle et clique sur Download. En ligne de commande :

pveam update                                  # met à jour la liste des modèles
pveam available --section system              # liste les systèmes disponibles
pveam download local debian-13-standard_13.6-1_amd64.tar.zst
pveam list local                              # les modèles téléchargés

Les noms des modèles changent à chaque mise à jour du système (13.6-1 ici) : prends le nom exact affiché par pveam available.

Depuis Proxmox VE 9.1, un conteneur peut aussi être créé à partir d'une image OCI, le format des images Docker : le stockage de modèles sait récupérer une image depuis un registre comme Docker Hub. Pour les conteneurs système (Debian, Alpine…), c'est une autre source de modèles ; pour les conteneurs d'application, qui font tourner un seul programme, la fonction est encore un aperçu technologique. Pour une vraie plateforme Docker, avec Compose et des dizaines d'images, une VM Debian avec Docker reste la solution recommandée (cours Docker).

Créer un conteneur, onglet par onglet

Sorbier veut un petit serveur web interne, ct-horaires, qui affiche les horaires des tournées aux salariés. Un conteneur suffit. Clique sur Create CT.

Le conteneur démarre en deux secondes. Ouvre sa Console, connecte-toi en root, puis installe le serveur web :

apt update && apt full-upgrade
apt install nginx
systemctl status nginx

La même création, en une commande :

pct create 182 local:vztmpl/debian-13-standard_13.6-1_amd64.tar.zst \
  --hostname ct-horaires --unprivileged 1 --features nesting=1 \
  --cores 1 --memory 512 --swap 512 \
  --rootfs truenas-nfs:8 \
  --net0 name=eth0,bridge=vmbr0,tag=21,ip=192.168.21.182/24,gw=192.168.21.254,firewall=1 \
  --nameserver 192.168.10.177 --searchdomain ad.sorbier.example \
  --ssh-public-keys /root/.ssh/id_ed25519.pub --onboot 1 --start 1

Administrer un conteneur

La configuration est dans /etc/pve/lxc/<CT ID>.conf :

arch: amd64
cores: 1
features: nesting=1
hostname: ct-horaires
memory: 512
nameserver: 192.168.10.177
net0: name=eth0,bridge=vmbr0,firewall=1,gw=192.168.21.254,hwaddr=BC:24:11:9D:41:6E,ip=192.168.21.182/24,tag=21,type=veth
onboot: 1
ostype: debian
rootfs: truenas-nfs:182/vm-182-disk-0.raw,size=8G
searchdomain: ad.sorbier.example
swap: 512
unprivileged: 1

Les commandes pct ressemblent à celles de qm :

Partager un dossier de l'hôte se fait avec un point de montage (mount point) : pct set 182 --mp0 /srv/horaires,mp=/var/www/horaires monte le dossier /srv/horaires de l'hôte dans le conteneur. Dans un conteneur non privilégié, les fichiers doivent alors appartenir sur l'hôte aux identifiants décalés : pour que www-data (33) du conteneur puisse écrire, le dossier doit appartenir à l'utilisateur 100033 sur l'hôte (chown -R 100033:100033 /srv/horaires).

Les limites d'un conteneur

VM ou conteneur : comment choisir

Exercices

pct create 183 local:vztmpl/debian-13-standard_13.6-1_amd64.tar.zst \
  --hostname ct-tests --unprivileged 1 --features nesting=1 \
  --cores 2 --memory 1024 --swap 512 \
  --rootfs local-lvm:10 \
  --net0 name=eth0,bridge=vmbr0,tag=20,ip=dhcp