Dies ist in der Manpage für systemd-nspawn angegeben
Beachten Sie, dass systemd-nspawn trotz dieser Sicherheitsvorkehrungen nicht für sichere Containerkonfigurationen geeignet ist. Viele der Sicherheitsmerkmale können umgangen werden und sind daher in erster Linie nützlich, um versehentliche Änderungen des Hostsystems durch den Container zu vermeiden. Die beabsichtigte Verwendung dieses Programms ist das Debuggen und Testen sowie das Erstellen von Paketen, Distributionen und Software für das Boot- und Systemmanagement.
Diese Frage wurde später auf der Mailingliste im Jahr 2011 gestellt , aber die Antwort scheint veraltet zu sein.
systemd-nspawn enthält Code, CLONE_NEWNETder --private-networkjetzt mit der Option ausgeführt werden kann. Dies scheint das AF_UNIXProblem mit dem privaten Namespace abzudecken , und ich schätze, das CAP_NET_RAWund die CAP_NET_BINDgenannten Probleme.
Welche Probleme bleiben zu diesem Zeitpunkt bestehen und was macht beispielsweise LXC zusätzlich zu dem, was systemd-nspawnderzeit möglich ist?
CLONE_NEWNET: abstrakten Sockets - getrennt, dateisystembasiert - vereint (es sei denn, es gibt keine gemeinsamen Dateisysteme zwischen Host und Container). Dies erleichtert das Starten von X-Anwendungen, sofern das Netzwerk für eine bestimmte Anwendung gesperrt ist (da Xorg sowohl das abstrakte als auch das Dateisystem-UNIX-Socket öffnet).