Root Server vs LXC vs vps

[RedPanda05]

Hallu,

ich habe mich gerade etwas im Cloud Server Markt umgeguckt (bin noch versorgt, brauche also nichts im Moment), aber irgendwie bin ich jetzt verwirrt.

Ich dachte immer, dass LXC Container sind und prinzipbedingt sich folglich den Kernel mit dem Hostsystem teilen. Folglich diese eigentlich als security technisch schlechter dargestellt werden.
Ist das nicht eigentlich gefährlich, so sein Hosting zu betreiben? https://st-hosting.com/vserver

Zudem bin ich irgendwie über die Definition von Root und VServer verwirrt.
Laut: https://www.netcup.com/de/server/root-server
Sind Root-Server VMs, die immer ihre Resourcen fest beinhalten (ist das nicht normal für VMs?) und sie wohl bei den vServern zwischendurch dynamisch mal nicht vorhanden sein können oder ausgelastet.
Mich verwirrt hier besonders, dass bei netcup bei den Root Servern so intensiv auf die KVM Basis verwiesen wird und bei deren VServern nicht, was ist deren Basis dann? Sind das auch LXC Container, wie bei st-hosting, da diese ja auch kvm und lxc anbieten?

 

[mibbio]

Ja, die Root-Server von Netcup sind VMs mit fest zugewiesenen Resourcen, die dann der VM garantiert exklusiv zur Verfügung stehen. Das ist nicht zwangsweise bei jeder VM so. Man kann die tatsächlich vorhandenen Resourcen des physischen Server im Prinzip auch "überbuchen", wie bei den diversen vServer-Angeboten. Da da teilen sich mehrere VM die physisch vorhandenen Resourcen und es ist für die einzelnen VMs nur festgelegt, wie viel maximal von den gerade freien Resourcen genutzt werden können. Das funktioniert in der Regel auch recht gut, da die meisten gebuchten VMs auf dem Host nur einen Bruchteil der gebuchten Resourcen nutzen. Es passiert bei gescheiter Planung des Betreibers recht selten, dass bereits wenige VMs auf dem System alle Resourcen belegen.

 

[RedPanda05]

Ok verstehe ich prinzipiell, aber warum wird dann bei den root servern so intensiv auf die kvm Basis eingegangen und bei den vservern nicht? Klingt doch so als würden die einen anderen hypervisor verwenden.

 

[JumpingCat]

Hier kann darüber nur spekuliert werden. Frag doch netcup direkt oder in deren Forum nach, da lesen die Mitarbeiter auch mit und beantworten fragen.

 

[kartoffelpü]

Aus der FAQ:

Was ist der Unterschied zwischen einem VPS x86, VPS ARM64 und Root-Server?​

Sowohl VPS (Virtual Private Server) als auch Root-Server sind Hosting-Lösungen, bei welchen du Zugriff auf deinen eigenen virtuellen Server erhältst. Der Hauptunterschied liegt in der zugrundeliegenden Architektur und Art der Bereitstellung: Ein VPS x86 basiert auf der x86-Architektur und ist ideal für eine breite Palette von Anwendungen geeignet. Ein VPS ARM verwendet die ARM-Architektur und ist besonders effizient für spezielle Workloads wie IoT-Anwendungen oder Edge Computing. Während die zugrundeliegende CPU-Leistung bei VPS mit anderen Maschinen geteilt wird, ist diese bei einem Root-Server garantiert, wodurch diese besonders für spezielle und ressourcenintensive Anwendungen geeignet sind. Für jedes dieser Produkte empfehlen wir Kenntnisse in der Administration von Serversystemen.

Virtualisierungslösung ist bei beiden Varianten KVM.

 

[mibbio]

warum wird dann bei den root servern so intensiv auf die kvm Basis eingegangen und bei den vservern nicht?

Könnte auch schlicht daran liegen, wie relevant diese Information für das jeweilige Produkt ist. Bei einer Root-Server VM bekommst deine VM direkt die pyhsischen Kerne der CPU zugewiesen (du hast in deiner VM also bspw. 4 Epyc-Kerne). Da ist dann schon interessant zu wissen, welche Virtualisierung zum Einsatz kommt, um abzuschätzen, um wie viel die Leistung der Kerne durch den Overhead des Durchreichens über die Virtualisierung beeinträchtigt wird.

Bei einem vServer bekommt man dagegen nur virtuelle Kerne mit einer virtuellen Rechenleistung, die eben nicht 1:1 den physischen Kernen der Host-CPU entsprechend und auch nicht deren Leistung. Da ist also die konkrete Virtualisierung für die Performance der VM irrelevant, da deren Overhead sich nicht auf die Performance deiner virtuellen Kerne auswirkt.

 

[qiller]

Bei Strato hatte ich auch vor kurzem Werbung bekommen, dass ich meinen VServer ja jetzt mit KVM-Basis installieren könne und da ein paar erweiterte Funktionen hätte. Soweit ich weiß, liefen/laufen(?) die Linux vServer bei Strato immer mit OpenVZ. Denke mal die werden halt jetzt umgestellt haben bzw. da eine eigene Lösung auf KVM gebastelt haben.

Edit: Unsere VM bei Strato läuft z.B. auf einem AMD EPYC 7452 32-Kerner, wovon wir 6 vCPU zugewiesen bekommen haben, die aber nicht zwangsläufig dediziert nur unserer VM gehören (ist son 20€/mnt. vServer).

 

[RedPanda05]

Danke für die Antworten

Kann mir noch jemand das mit den LXC erklären? Wie gesagt, ich ging eigentlich bisher davon aus, dass man die für so etwas nicht verwenden könnte, da Sicherheitsrisiko.

 

[JumpingCat]

Kannst du bitte das Sicherheitsrisiko aufzeigen? Vielleicht wird es dann klarer.

Es gibt es diverse technische Nachteile bei LXC, die je nach Anwendungsgebiet durch entweder Container wie docker oder durch komplette VMs ausgeglichen werden.

 

[mibbio]

Der Hauptunterschied zwischn LXC und bspw. KVM ist, das Ersteres keine eigenständige VM ist. Bei LXC ist die virtuelle Umgebung also lediglich ein isolierter Bereich im Kontext des Hostsystem. Man sieht dort nur seine eigenen Prozesse und Dateien, verwendet aber den Kernel des Hosts. Dadurch kann man bei LXC auch keine eigenständige Linux-Distribution installieren.

Bei KVM sind es dagegen richtige VMs, also eigenständige virtuelle Systeme. Darin kannst du dann jedes beliebige OS (inkl. Windows) mit jedem beliebigen Kernel installieren.

Bei KVM verhält sich die virtuelle Umgebung quasi wie ein eigenständiger PC, während man bei LXC eher eine Art Sandbox innerhalb des Hostsystems hat.

 

[RedPanda05]

@mibbio ja das ist mir prinzipiell bekannt, aber stellt das Teilen des Kernels im Falle einer Schwachstelle in diesem eine Gefahr für das Hostsystem dar?

 

[dms]

.. ein Host kann aus technischen im Prinzip immer in die Container/VMs (Filesystem/Ram - ja es müssen dort Vorkehrungen getroffen werden) schauen

Worum gehts dir denn - bitte beschreib doch mal konkreter was dich umtreibt

• das deine Daten zB <anime>|XXX|<Tutorial>-Film /Platten-/Forendaten von Dritten (nicht nur dem Hoster sondern auch Amtsträgern/Nebennutzern) gelesen werden könnte ..
• das ein Kernelexploit dein System in den Abgrund reisst

*... etwas anderes

 

[RedPanda05]

Es geht mir eher um den 2. Fall. Es scheint mir so, als sind LXCs weniger vom Hostsystem isoliert und könnten sich leichter Zugriff zu diesem verschaffen und so folglich den Server kompromittieren und in Folge alle anderen VMs und lxcs.

Ergänzung (Samstag um 10:00)

Der Gedanke stammt von solchen Beiträgen im Netz.
„Das heißt, Container-Virtualisierung ist immer ein größeres Sicherheitsrisiko als Hardware-Virtualisierung mit VMs“
https://www.thomas-krenn.com/de/tkmag/expertentipps/container-virtualisierung-mit-proxmox/

 

[dms]

Nunja, das die Software nicht extra gehärtet ist,
musst du wie bei Containern auch damit leben

<..und was wenn ich morgen Masern bekommen..>
ja so ist das Leben

zB Wireguard in fremden RZ - als Hop nach Hause ins Herz ist so sicher wie der Zweitschlüssel
bei Oma ... wir immer kein Problem sein .. aber ausgeschlossen ist doch nixx im Leben
(ich ereinnere nur an RSA Seeds welche RSA abhanden kamen - wo auch die Hardware Token korrumpiert waren , oder ab Werk Korrumpierte Nist Kurven .. oder fest kodierte Credentials allerorten in Routern/Switches...)

ansonsten mit diesen Fragen die eigene Angst

https://www.ecosia.org/search?tt=mzl&q=Isolation+LXC+Host+

dämpfen

Die Grundfrage ist doch soundso - ich nehme Zig Softwarepaketer Unbekannter und vertraue diesenm Bunch zB meine Passkeys an - aber wer hat den Code gelesen und verstanden das es da keinen Sidechannel geben kann oder eben ein Maintainer eines Subproduktes seine Codehoheit verloren hat

 

[RedPanda05]

Ok, dann danke ich erstmal. Scheinbar habe lxcs doch etwas unterschätzt, macht jetzt auch mehr Sinn, warum diese so gerne in Proxmox verwendet werden.

 

[h00bi]

Der Hauptvorteil von LXC in Proxmox gegen über docker Container ist für mich die verdammt gute Backup Lösung. Du kannst jeden Container mit Daten innerhalb weniger Sekunden auf mehrere Targets sichern.
Bei docker CE ist das einfach ein Kackhaufen.