https://opennet.ru/openforum/vsluhforumID3/65137.html В интервью (http://t3n.de/news/interview-parallels-ceo-serguei-beloussov-open-source-269603/) немецкому изданию T3n Сергей Белоусов (http://www.parallels.com/ru/about/leadership/#SergueiBeloussov), председатель и исполнительный директор компании Parallels, <br>высказал (http://www.h-online.com/open/news/item/Parallels-CEO-complains-about-open-source-962891.html) скептическое отношение по поводу способности нескоординированного сообщества, действующего в рамках модели разработки "базар (http://lib.ru/LINUXGUIDE/bazar.txt)", создать качественный продукт. Компания Parallels поддерживает своими силами разработку системы изолированных контейнеров OpenVZ (http://www.openvz.org) и входит в десятку самых крупных поставщиков патчей в Linux ядро.<br><br><br>Белоусов говорит, что он вырос при коммунизме, и ему не нравится слушать рассуждения о "сообществе". Он жалуется, что сообщества разработчиков открытого ПО часто действуют как профсоюзные деятели, которые в первую очередь действуют во имя услаждения ...<br><br>URL: http://www.h-o https://opennet.ru/openforum/vsluhforumID3/65137.html#174 Thu, 01 Apr 2010 22:39:23 GMT &gt;Потому что диском надо давать disk partition, на крайняк - через aio, <br>&gt;а не loop на файл как некоторые рекомендуют. <br><br>И потом геморроиться с управлением всем этим зоопарком? Замечательно, ага. А как мне допустим с хоста посмотреть что на гуесте творится и в его ФС? А то мало ли что там с гуестом случится. В случае если файлы гуеста просто на ФС хоста - так их с хоста можно поправить, etc. В случае дисковых разделов - маунтить раздел для управления и разбирательст и более геморройно, и если не дай боже ОС гуеста и какая-то еще ОС одновременно сунется в раздел - можно вообще ФС убить в хлам если прошляпить. Мне такая схема как-то не симпатична. На мой вкус - неудобно для администрежа и грабельно. Вам нравится? Ну, пользуйтесь. А я не буду, зачем мне этот гемор?<br><br>&gt;Вычисления были до 95 процентов,<br><br>Дык вычислениям то с чего б тормозить?<br><br>&gt;дисковая система по iscsi с внешнего наса - примерно со скоростью внешнего девайс. <br><br>Какая-то экзотичная конфига, не в моем вкусе. Я не люблю плодить сущности без необ https://opennet.ru/openforum/vsluhforumID3/65137.html#173 Thu, 01 Apr 2010 21:27:00 GMT &gt;Solaris Containers в разы симпатичнее и мощьнее OpenVZ.<br><br>А обосновать не хотите? А то похоже на мощЪный вброс :)<br><br> https://opennet.ru/openforum/vsluhforumID3/65137.html#172 Thu, 01 Apr 2010 21:24:51 GMT &gt;Ксен - это паравиртуализация, и оверхед получается не сильно заметный. <br><br>Да, особенно в дисковой подсистеме, так, судя по бенчам Xen. Где порой слив чуть ли не в разы. А вза ... ну как на железке примерно. <br><br>&gt;Что тоже полный фейл кстати ) <br><br>Я рассматриваю сие как фичу а не баг с точки зрения системной секурити. Если надо, модуль грузится на хосте. А вот хацкеры на контейнерах без доступа к хосту - действительно опасных руткитов засунуть не смогут. Сие доставляет. А если учесть возможность мониторинга контейнера с хоста, то по сути хаксоры попадают на машину где руткит уже впарен, только работает на админа, а не против него.<br><br>&gt;Да не надо ломать собственно vz, скорее устройства и ioctl<br>&gt;вызовы native ядра.<br><br>А какие устройства вы ломать то собираетесь? В взовом контейнере девайсов - полторы штуки как правило. Типа виртуальной сетевки и всяких стандартных девайсов. И вызовы в ядро хоста как я понимаю здорово ограничены (иначе любой контейнер мог бы вызвать глобальный отказ в обслуживании поставив раком к https://opennet.ru/openforum/vsluhforumID3/65137.html#171 Sat, 27 Mar 2010 20:46:13 GMT <br>&gt;&gt;б) Что вообще спор получился таким острым. Я со своей стороны могу <br>&gt;&gt;извиниться за острую реакцию на Ваши категоричные высказывания, и предлагаю Вам <br>&gt;&gt;в будущем не делать столь категоричных высказываний, и жить дружно и <br>&gt;&gt;мирно :) <br>&gt;<br>&gt;я только за. <br><br>:)<br> https://opennet.ru/openforum/vsluhforumID3/65137.html#170 Sat, 27 Mar 2010 20:39:02 GMT &gt;<br>&gt;А что касается предмета спора, мне неприятно, что <br>&gt;<br>&gt;а) Пришлось Вам указывать на недостатки Xen (возможно, мне показалось, но, имхо, <br>&gt;Вы пытались его презентовать как универсальную и лучшую технологию вообще для <br>&gt;всего) <br>&gt;б) Что вообще спор получился таким острым. Я со своей стороны могу <br>&gt;извиниться за острую реакцию на Ваши категоричные высказывания, и предлагаю Вам <br>&gt;в будущем не делать столь категоричных высказываний, и жить дружно и <br>&gt;мирно :) <br><br>я только за. Тем более касательно того, что у них разные ниши я никогда и не спорил. XEN отнюдь не универсален, и проблем у него совсем не мало, как и есть полная неопределенность со статусом проекта из-за идиотской политики Citrix. <br> https://opennet.ru/openforum/vsluhforumID3/65137.html#169 Sat, 27 Mar 2010 19:53:57 GMT &gt;Ксен - это паравиртуализация, и оверхед получается не сильно заметный. <br><br>Не правда, внизу пояснено, почему. Кстати, KVM и ESX обладают вполне сравнимой (и часто большей) производительностью, при том, что не позиционируют себя как паравиртуализаторы, неожиданно?<br><br>&gt;&gt;&gt; это будет много более секьюрно и функционально чем система построенная на контейнерах.<br>&gt;&gt;<br>&gt;&gt;А обосновать? Так, FYI, немного о секурити: я пытался долбать взовые контейнеры <br>&gt;&gt;сплойтами для ядра - сие не работало нифига, в отличие от <br>&gt;&gt;просто машин. Алсо, из контейнеров нельзя грузить модули ядра. <br>&gt;<br>&gt;Что тоже полный фейл кстати ) <br><br>Ваш?<br><br>&gt;&gt;ресурсов и гарантии, так что атаки нацеленные на выжирон всех ресурсов <br>&gt;&gt;- тоже пролетают, зиллионы юзверей на вдсках проверили эти механизмы во <br>&gt;&gt;всех позах. Вообще, я что-то не припоминаю сообщений на секурити сайтах <br>&gt;&gt;о взломе опенвзы. <br>&gt;<br>&gt;Да не надо ломать собственно vz, скорее устройства и ioctl вызовы native <br>&gt;ядра. <br><br>Что за глупость? Предлагаю почитать man vzctl<br><br>&gt;&gt;взломать зато https://opennet.ru/openforum/vsluhforumID3/65137.html#168 Sat, 27 Mar 2010 19:11:11 GMT &gt;<br>&gt;&gt;Вы кажется не понимаете, что виртуализация это вообще оверхед, и использовать ее на любых задачах, экономически преступно, а вот коомбинирование с контейнерами и есть самый правильный вариант.<br>&gt;&gt;Роутеры должны быть или специализированными устройствами, что правильнее всего, или выделенными железками (та же фря и pf + carp очень вкусно), или, _от_нищеты_ на железо, виртуалками, но последнее заведомо неправильно.<br>&gt;<br>&gt;(кстати, я ни слова не говорил про роутер) <br><br>OpenVPN в контейнере это лишь приятная фича для хостеров и их клиентов. Когда используется OVZ для для внутреннего применения, использовать OpenVPN внутри контейнера бессмысленно (разве что имеет смысл, когда острый недостаток железа) так как ядро на ноде одно.<br><br>&gt;&gt;Вы просто не понимаете, о чем говорите, вот и все.<br>&gt;&gt; Если Вы нарушаете официальные рекомендации, Вы сами себе злой буратино, и это Ваши кривые руки.<br>&gt;&gt; Да, чем контейнеры соляры, лучше OVZ/PVC контейнеров сейчас объективно нет<br>&gt;<br>&gt;типичное "в интернете кто-то неправ" <br>&gt;<br>&gt;Думаю, https://opennet.ru/openforum/vsluhforumID3/65137.html#167 Sat, 27 Mar 2010 19:03:33 GMT <br>&gt;Вы кажется не понимаете, что виртуализация это вообще оверхед, и использовать ее на любых задачах, экономически преступно, а вот коомбинирование с контейнерами и есть самый правильный вариант.<br>&gt;Роутеры должны быть или специализированными устройствами, что правильнее всего, или выделенными железками (та же фря и pf + carp очень вкусно), или, _от_нищеты_ на железо, виртуалками, но последнее заведомо неправильно.<br><br>(кстати, я ни слова не говорил про роутер)<br><br>&gt;Вы просто не понимаете, о чем говорите, вот и все.<br>&gt; Если Вы нарушаете официальные рекомендации, Вы сами себе злой буратино, и это Ваши кривые руки.<br>&gt; Да, чем контейнеры соляры, лучше OVZ/PVC контейнеров сейчас объективно нет<br><br>типичное "в интернете кто-то неправ"<br><br>Думаю, продолжение дискуссии лишено смысла. Вы прекрасно обходитесь без собеседника и ваше мнение - единственное объективно верное. <br> https://opennet.ru/openforum/vsluhforumID3/65137.html#166 Sat, 27 Mar 2010 18:32:34 GMT Кстати (!) по Xen:<br><br>&gt;&gt;&gt;У xen DomU скорость по разным бенчмаркингам выходит около 80-95% от Dom0.<br>&gt;&gt;<br>&gt;&gt;А почему по, блин, бенчмаркам - например скорость дисковых операций у "полных" <br>&gt;&gt;виртуализаторов достаточно существенно киснет обычно? Ну и так далее, как правило <br>&gt;&gt;все что как-то работало с железом изрядно проседает. В некоторых ситуациях <br>&gt;&gt;чуть ли не в пару раз. <br>&gt;<br>&gt;Потому что диском надо давать disk partition, на крайняк - через aio, <br>&gt;а не loop на файл как некоторые рекомендуют. <br><br>Может быть, и всем, особенно малому бизнесу нужно СХД? Файловые имиджи это _очень_ правильно для ненагруженных виртуалок и SMB-сегмента, так как единственный способ получить живую миграцию через NFS без SAN(только про самоделки не рассказывайте, они чаще еще дороже выходят, чем, например, инфортренд) и прочих наворотов вроде drbd.<br><br>&gt;Вычисления были до 95 процентов, дисковая система по iscsi с внешнего наса <br>&gt;- примерно со скоростью внешнего девайс. <br><br>Вот Вам пруфлинк, про бенчмарк Xen в сравнении с OVZ:<br><br>http