UPDATE 31.10.: Amazon Alexa - ioBroker Skill läuft aus ?

[MartinP]

@marc-berg Ich dachte, der Backup-Adapter schnappt sich einfach das Datenbank-File und verpackt das ... scheint aber ein Fehlschluss zu sein ...

Mehr Container bedeuten natürlich im Normalbetrieb mehr Arbeit...
Man muss sich überlegen, wie viel Disk man den einzelnen LXC-Containern dann gibt. Könnte bedeuten, dass man da etwas mehr knobeln muss, um die Ressourcen so zu verteilen, dass man mit der vorhandenen SSD auskommt, und trotzdem alles Platz hat. Wobei SSDs inzwischen so billig sind ....
Auch muss man dann natürlich mehr Container vom Betriebssystem her aktuell halten und sich ggfs. mehr Passworte merken ;-)

Noch eine Frage: Funktioniert das Verteilen von Grafana, Influx und ioBroker auf mehrere LXC-Container auch wenn diese Unprivilegiert sind?
Backitup macht da zwar Probleme, die aber lösbar sind, und von der Sicherheit her soll es besser sein, auf privilegierte Container zu verzichten habe ich gelesen...

[haus-automatisierung]

@marc-berg Ja, LXC Container. Die nutzt man unter Proxmox ähnlich wie eine VM. Daher mögen das ja auch viele, weil man das Docker-Wissen (Images, Tags, Volumes, ...) nicht braucht. Wie gesagt, ganz anderes Konzept und hier Offtopic.

[haus-automatisierung]

@martinp sagte in ioBroker auf Proxmox->Worüber InfluxDB/Grafana installieren:

Funktioniert das Verteilen von Grafana, Influx und ioBroker auf mehrere LXC-Container auch wenn diese Unprivilegiert sind?

Klar, warum sollten die privilegiert sein?

https://linuxcontainers.org/lxc/security/#privileged-containers

[Marc Berg]

@haus-automatisierung sagte in ioBroker auf Proxmox->Worüber InfluxDB/Grafana installieren:

Die nutzt man unter Proxmox ähnlich wie eine VM.

Ja, aber das ist doch genau der Punkt, den ich unglücklich finde. Natürlich kann man das so machen, man beraubt sich dann aber selbst einiger Vorteile, die das Containerisieren mit sich bringt.

[MartinP]

@marc-berg Ich glaube aber, da muss man eine gewisse Balance halten. Zu sehr sollte man die Dinge auch nicht verteilen.... Jeden einzelnen Adapter in einen Docker Container packen wäre z. B. Overkill ...

[haus-automatisierung]

@marc-berg Verstehe den Punkt nicht. Proxmox unterstützt halt kein Docker. Und hier geht es ja nicht um Proxmox Vor- und Nachteile, sondern um die Struktur von Linux-Containern.

[Marc Berg]

@martinp sagte in ioBroker auf Proxmox->Worüber InfluxDB/Grafana installieren:

Ich glaube aber, da muss man eine gewisse Balance halten. Zu sehr sollte man die Dinge auch nicht verteilen....

Klar muss jeder seine eigene Balance finden, je nachdem, wie seine Skills ausgeprägt sind.

Jeden einzelnen Adapter in einen Docker Container packen wäre z. B. Overkill ...

Natürlich wäre es das, aber das hatte ich ja auch nie behauptet.

[haus-automatisierung]

@martinp sagte in ioBroker auf Proxmox->Worüber InfluxDB/Grafana installieren:

Jeden einzelnen Adapter in einen Docker Container packen wäre z. B. Overkill ...

OT: Home Assistant macht bei den AddOns genau das. Finde ich gar nicht so schlecht, weil so direkt die passende Version, Abhängigkeiten, Systempakete, usw. alles mit in den Container kann und die anderen Addons nicht stören kann - ist ja isoliert.

Aber braucht halt etwas mehr Ressourcen und macht das System komplexer. Hat alles Vor- und Nachteile.

[MartinP]

@haus-automatisierung

Abhängigkeiten, Systempakete, usw. alles mit in den Container

Ja, da kann man im Zweifel dann sehr viele Sicherheitslücken - Flöhe im Pelz haben, die sehr mühsam wegzumachen sind ...

Aber ich kenne mich mit containern zu wenig aus, ob man z.b. in jeden Container, der es braucht einzeln glibc hineinpacken würde...

https://www.golem.de/news/looney-tunables-schwachstelle-in-c-bibliothek-gefaehrdet-linux-systeme-2310-178180.html

[haus-automatisierung]

@martinp Ja guck, der Angreifer wird im schlimmsten Fall root in einem einzelnen Container und kommt da nicht raus… das ist ja der Sinn von Containern: Applikationen voneinander zu isolieren

Container neu deployen und man kann sich sicher sein dass ALLES weg ist, was der Angreifer angestellt haben könnte. Gut, oder? 😉

[Ein ehemaliger Benutzer]

Moin,

wow, das geht ja ab hier :)

Das ist eine Glaubensfrage, der eine schwört auf das, der andere auf dieses. Ist halt nicht nur Schwarz oder Weiß.

Für mich haben die drei Dinge, folgende Bedeutung:

1. Proxmox - LX Container -> sind recht Ressourcenschonend, ich habe mein Environment und ein Linux, das ich nach meinen Vorstellungen einrichten kann.
2. Proxmox - VM -> hat für mich den Vorteil, dass ich mal schnell eine neue Distribution ausprobieren kann, oder auch mal eine KleinWeich VM, falls ich das mal brauche. <- 'ne war ein Scherz, brauche ich nicht, ich kann alles mit Linux machen :)
3. Docker -> wenn ich isoliert etwas betreibe, das ich nur nutzen möchte, ohne tiefer in das System eingreifen zu wollen. Das bedeutet aber auch, dass man von Docker und den Spezialitäten wissen muss.

@martinp sagte in ioBroker auf Proxmox->Worüber InfluxDB/Grafana installieren:

Ja, da kann man im Zweifel dann sehr viele Sicherheitslücken - Flöhe im Pelz haben, die sehr mühsam wegzumachen sind ...

Das ist aber egal, denn es gibt Komponenten, die werden in allen Umgebungen gebraucht, wie z. B. Libs, wenn die eine Schwachstelle haben, dann betrifft das alle, egal ob Proxmox (VM/LXC) oder Docker. Ich habe aber eher die Chance, es in einer VM oder im LXC zu beheben, als in einem Docker Container, da kann man nur hoffen, dass der Maintainer des Docker Image schnell reagiert und ein Update nachschiebt.
Das Trennen der Dienste, am Beispiel Grafana, influxDB und ioBroker, bringt dir z. B. den Vorteil, sollte in nodeJS ein Wurm sein, dann betrifft das nicht Grafana oder influxDB, sondern nur die LXC oder Docker Container wo nodeJS installiert ist, somit kann, muss man nur dort nachbessern, oder nehmen wir an, dass du in einem LXC oder VM mehrere Dienste installiert hast, die z. B. Java nutzen, dann braucht Dienst A vielleicht Java 17 und Dienst B braucht aber schon Java 19 und Dienst C das gute alte Java 12.
Geht alles, aber du musst dann mit unterschiedlichen Environments für die Dienste hantieren, macht das Leben auch nicht einfacher und auch nicht übersichtlicher.
Wenn du dagegen einzelne Docker Container oder Proxmox LXC betreibst, stimmt die Umgebung exakt zum Dienst.

Zur Unterscheidung Proxmox LX Container ≠ Docker Container, sie setzen zwar auf die gleiche Technik aus dem Linux Kernel, aber mit unterschiedlichem drumherum, auch der Ansatz im Docker z. B. Stateless zu sein unterscheidet sich vom Proxmox LXC, Stateless bedeutet so viel wie, dass keine relevanten Daten im Docker Container Image/Container gespeichert werden, alles liegt außerhalb des eigentlichen Containers, z. B. bei iobroker auf den NAS in einem Verzeichnis, das ich dem Container zuweise, somit kann ich den Container wegschmeißen und neu machen, ohne Daten zu verlieren.

Aber das geht jetzt doch zu weit.

VG
Bernd