Chroot oder Virtualisierung was ist sicherer?

[Karl34]

Hi

Wenn man altmodisch ein chroot baut, alle benötigten dateien ind das chroot kopiert.
Man einen kernel mit Grsec. Patch nutzt.
Ist das sicherer oder sinnvoller als zum beispiel eine openvz/xen/knm Virtualisierung?

Wo liegen die Vorteile eines chroot/jails?

 

[Huschi]

Die Frage ist doch, was Du unter "sicher" verstehst und was Du damit "absichern" willst.

Der wesentliche Unterschied ist, dass Du bei einer Virtualisierung die Ressourcen limitieren kannst.

huschi.

 

[its]

Ich nehme VirtualBox zur Teilvirtualisierung von einem Server, ohne diesen ganz zu virtualisieren. Durch VirtualBox hat man die Freiheiten die Ressourcen zu verteilen (siehe Beitrag von Huschi) und volle Root-Rechte auf der jeweiligen vBox. Die Snapshot Funktion mag ich auch zum schnellen einspielen von einem älteren Backup. Genau so gut kann man sich eigene Images bauen, die man via ein paar Klicks bzw. Befehlen starten kann.

Ich hatte schon mal etwas dazu geschrieben:

Welche Virtualisierung setzt ihr ein?

Hallo zusammen! Nachdem der vmware-Server scheinbar nicht mehr weiterentwickeln wird, bin ich auf der Suche nach einer Alternative. Es gibt da ja zahlreiche Lösungen und ich bin mir nicht ganz sicher welche ich in die engere Wahl ziehen soll. Zu den Anforderungen: Daheim läuft ein Debian 5...

serversupportforum.de

 

[d4f]

Ich nehme VirtualBox zur Teilvirtualisierung von einem Server, ohne diesen ganz zu virtualisieren.

Huh? Es gibt 3 relevante Virtualisierungstechniken, naemlich Software-Virtualisierung, Hardware-Virtualisierung (aka Para-Virtualisierug) und Isolierung.
Paravirtualisierung unterscheided sich von herkoemmlicher Software-Virtualisierung dadurch dass nicht mehr ein ressourcenfressender Prozess Kommandos und Anfragen umbiegen muss, sondern dies der Prozessor selbst machen kann. Bekannte Vertreter dieser Technik sind vmWare, Xen, KVM und eben auch Virtualbox.
Die "Alternative" ist Isolierung, also ein Chroot mit kernelpatch-basierender Ressourcenbegrenzung fuer einen Punkt im Dateisystem inkl Process Tree.

Ein ueblicher chroot ist uebrigens nicht entworfen um sicher zu sein und laesst einen durch verschiedene Angriffsmethoden ausbrechen. Da der Overhead nicht wirklich hoeher geht aber die Flexibilitaet bedeutend steigt wuerde ich fuer die meisten Einsatzzwecke OpenVZ empfehlen.