حدود الأمان بين Docker وLXC للخدمات المنزلية ذات الامتيازات العالية

إيفا وونغ

IceWhale author

إيفا وونغ هي كاتبة تقنية و ومهندسة هاوية في ZimaSpace. مهووسة بالتكنولوجيا مدى الحياة ولديها شغف بالمختبرات المنزلية والبرمجيات مفتوحة المصدر، تتخصص في تبسيط المفاهيم التقنية المعقدة إلى أدلة عملية وسهلة الفهم. تؤمن إيفا بأن الاستضافة الذاتية يجب أن تكون ممتعة وليست مخيفة. من خلال دروسها، تمكّن المجتمع من تبسيط إعدادات الأجهزة، بدءًا من بناء أول نظام تخزين شبكي NAS وحتى إتقان حاويات Docker.

Docker vs LXC Security Boundaries for Privileged Home Services

يُعد Docker الخيار الافتراضي الأكثر أمانًا عندما يمكن أن تظل خدمة منزلية ذات امتيازات تطبيقًا واحدًا مُعلنًا بعمليات ربط محدودة. ويكون LXC أنظف عندما يحتاج فعليًا إلى نظام Linux صغير، لكن أيًا منهما لا ينشئ حدًا منفصلًا على مستوى النواة.

المسألة الحاسمة ليست أي تسمية تبدو أكثر عزلة. فكلاهما يعتمد على الاحتواء عبر نواة المضيف. قارن الامتيازات الممنوحة فعليًا، والأجهزة والملفات المكشوفة، والوحدة التي تُصلحها وتستعيدها، وعواقب الاختراق. إذا كان التعرض لنواة مشتركة غير مقبول بحد ذاته، فتوقف عن مقارنة Docker وLXC واستخدم آلة افتراضية أو مضيفًا منفصلًا.

تقبّل حد النواة المشتركة قبل مقارنة الميزات

يعمل Docker عادةً على حزم تطبيق وتبعياته، بينما يقدّم LXC مساحة مستخدم Linux أكثر اكتمالًا تتضمن init والحسابات والحزم وخدمات النظام. لكن هذا الاختلاف التشغيلي لا يمنح LXC نواة ضيف مستقلة.

تصف الأبحاث المتعلقة باحتواء Linux آليات مساحات الأسماء والسياسات بأنها مجموعة متفرقة قد يصعب تدقيق دلالاتها. وينطبق حد الاحتواء عبر النواة المشتركة على كلا الخيارين، ويمنع أيًا منهما من أن يكون الحل عندما يكون فصل النواة إلزاميًا.

أبقِ الخيارين قيد النظر فقط لأحمال العمل الموثوقة أو المحدودة. وانقل الشيفرات المواجهة للإنترنت أو الصور غير المعروفة أو الأتمتة عالية العواقب إلى آلة افتراضية عندما يجب ألا يصل الاختراق مباشرةً إلى نواة المضيف.

دع الامتياز المطلوب يغيّر الخيار الافتراضي

يظل Docker جذابًا عندما تحتاج الخدمة إلى بعض القدرات المحددة صراحةً، وإعدادات للقراءة فقط، ومسار أو مسارين دائمين. ويمكن لتعريف Compose أن يجعل هذه الاستثناءات ظاهرة أثناء المراجعة.

يناسب LXC الخدمات التي تتوقع نظام Linux تقليديًا، أو عدة خدمات خفية، أو مدير حزم، أو شبكات مستقرة على مستوى النظام. ويحافظ LXC غير ذي الامتيازات على تعيين UID المفيد، لكن الوضع ذي الامتيازات والتداخل وعمليات الربط الواسعة تنتقص من هذه الميزة.

أحصِ الاستثناءات بدلًا من تحديد خيار الامتيازات. إذا احتاج أي من التصميمين إلى شبكات المضيف، أو مقبس إدارة الحاويات، أو عمليات ربط نظام قابلة للكتابة، أو كل جهاز، أو ملف تعريف غير مقيّد، فأعد تصميم مسار الوصول أو غادر طبقة النواة المشتركة.

يحدّد الوصول إلى الأجهزة والتخزين نطاق الضرر

ينبغي كشف منسق USB أو عقدة عرض GPU أو واجهة UPS أو مجلد الوسائط بأضيق نطاق تسمح به الخدمة. وتُعد مسارات الأجهزة المستقرة وعمليات الربط للقراءة فقط والملكية الصريحة لـ UID/GID ضوابط احتواء، فضلًا عن كونها إعدادات ملائمة.

يوضح تقرير حديث عن نشر Proxmox أن LXC غير ذي الامتيازات يمكنه عزل الخدمات المدعومة بـ Docker في وحدات استعادة منفصلة مع الاستمرار في مشاركة نواة المضيف ومكدس التخزين. ولا يكون نمط LXC محدود نطاق الضرر هذا مفيدًا إلا عندما تظل استثناءات التداخل وبرنامج تشغيل التخزين موثقة.

فضّل Docker عندما يحتاج تطبيق واحد إلى حد بيانات صغير واحد. وفضّل LXC عندما تنتمي عدة خدمات نظام إلى بعضها. وارفض أيًا من التخطيطين إذا كان اختراق واحد يمنح وصولًا قابلًا للكتابة إلى النسخ الاحتياطية أو التحكم في برنامج التهيئة الفائقة أو بيانات عائلية غير ذات صلة.

-15% OFF

ZimaBoard 2 - خادم منزلي صغير لأفكارك الكبيرة

Single board computer zimaboard2

قارن الوحدة التي تصححها وتستعيدها

تعني استعادة Docker عادةً استرجاع إصدار Compose السابق والصورة السابقة، إلى جانب بيانات متوافقة على مستوى التطبيق. ويمكن لاستعادة LXC أن تستعيد مساحة مستخدم كاملة، وهو أمر مريح لكنه قد يعيد أيضًا حزمًا قديمة وبيانات اعتماد وتغييرات يدوية مخفية.

أعد إنشاء كل خيار على مضيف مؤقت. بالنسبة إلى Docker، استعد التعريفات والأسرار ووحدات التخزين؛ وبالنسبة إلى LXC، أعد إنشاء الحاوية أو استعدها، ثم تحقّق من حالة الحزم والشبكة والأجهزة وعمليات الربط. ويُعد اختبار النجاح الأسهل دليلًا أقوى من انخفاض استهلاك الذاكرة في وضع الخمول.

يأتي قرار ZimaSpace الأوسع بشأن حدود الخدمة بين VM وLXC وDocker كخطوة تالية عندما تظل النواة المستقلة موضع نظر.

الخلاصة المشروطة: اختر أضيق حد لا يزال يحتوي الفشل

اختر Docker لتطبيق موثوق واحد ومُحزّم جيدًا يمكن أن تظل أجهزته وقدراته وأسراره ومساراته الدائمة صريحة ومحدودة.

اختر LXC لبيئة خدمة Linux موثوقة تستفيد فعليًا من init أو الحزم أو الخدمات الخفية المتعددة أو الشبكات على مستوى النظام، مع إبقائها غير ذات امتيازات كلما أمكن.

لا تختر أيًا منهما عندما يحتاج حمل العمل إلى تحكم واسع في المضيف، أو يتعامل مع مدخلات عدائية ذات عواقب كبيرة، أو يجب أن يصمد أمام اختراق نواة المضيف. عندها لا تكون الآلة الافتراضية أو الجهاز المنفصل مبالغة في التصميم؛ بل هما حد الأمان المفقود.