LXC Container kommt nicht ins Netz trotz augenscheinlich korrekter IP config

[antiager]

Hallo Forum!

Ein Debian Trixie LXC Container meldet bei der Installation:

systemd 257 detected. you may need to enable nesting

und kommt dann nicht ins Netz.

Nesting und keyctl=0 ist gesetzt.

Die LXC Templates sind aktuell (in einem Posting im Internet kam der Hinweis wenn es trotz aktivem Nesting nicht geht sei das Template zu alt).

Hat jemand von euch Ideen dazu?

Danke im voraus!

 

[Impact]

Bitte teile mal vom Host

cat /etc/network/interfaces
pct config CTIDHIER

Und im CT

ip a
ip r

 

[woma]

PVE Version wäre auch nicht verkehrt.
Nicht nur neues PVE und (sehr) altes Template kann Probleme machen auch andersherum, also altes PVE und neues Template.

 

[Bob.Dig]

Nesting und keyctl=0 ist gesetzt.

Das ist doch nicht korrekt und entspricht eben nicht dem Template für Trixie...

 

[antiager]

War ein Problem mit dem Template. Neuer Download hat geholfen.

Danke für eure Hilfe!

 

[Johannes S]

Das ist doch nicht korrekt und entspricht eben nicht dem Template für Trixie...

Korrekt, zum Hintergrund: Die meisten Distributionen (inklusive Debian) haben in ihren Container-Templates mittlerweile systemd und da dessen Sandboxing-Mechanismen den gleichen Kram wie Container brauchen, sind beide Optionen standardmäßig aktiviert und dabei sollte es auch bleiben:
Zu nesting und systemd:

[SOLVED] Post in thread 'LXC Debian 13 With Nesting Disabled - No Console'

Feb 12, 2026

I googled further unfortunately the question why *require* it remains open.

From what I remember, systemd uses cgroup v2 to manage and isolate processes and their resources. This fundamentally requires read/write access to /sys and /proc because the Linux kernel intentionally uses a single hierarchy for this API [1]. The "nesting" feature provides this access, because container runtimes do exactly the same thing.

I think the "specialized building block" that you want is another init system that provides fewer features.

[1] https://docs.kernel.org/admin-guide/cgroup-v2.html

• Robert Obkircher

• 

Das gilt auch für priviligierte Container:

Post in thread 'Debian 12 LXC Template SystemD Failures'

Jul 23, 2024

Privileged containers also require the nesting feature.
Note that using a privileged container poses a security risk.

• fschauer

Und keyctl wird benötigt, falls man (was man eh nicht tun sollte) docker zusammen oder systemd-networkd im container betreiben möchte:

[SOLVED] Post in thread 'LXC - Options - Features. Bitte um Erklärung'

Apr 6, 2022

From the wiki: https://pve.proxmox.com/wiki/Linux_Container

features: [force_rw_sys=<1|0>] [,fuse=<1|0>] [,keyctl=<1|0>] [,mknod=<1|0>] [,mount=<fstype;fstype;...>] [,nesting=<1|0>]
Allow containers access to advanced features.

force_rw_sys=<boolean> (default =0)
Mount /sys in unprivileged containers as rw instead of mixed. This can break networking under newer (>= v245) systemd-network use.
fuse=<boolean> (default =0)
Allow using fuse file systems in a container. Note that interactions between fuse and the freezer cgroup can potentially cause I/O deadlocks.
keyctl=<boolean>...

• Dunuin

 

[Impact]

Hatte bisher nie keyctl aktiviert und docker sowie podman im debian CT funktionieren, soweit ich das beurteilen kann, ganz normal.

 

[Johannes S]

Naja in der von dunuin verlinkten Doku steht folgendes:

keyctl=<boolean> (default = 0)For unprivileged containers only: Allow the use of the keyctl() system call. This is required to use docker inside a container. By default unprivileged containers will see this system call as non-existent. This is mostly a workaround for systemd-networkd, as it will treat it as a fatal error when some keyctl() operations are denied by the kernel due to lacking permissions. Essentially, you can choose between running systemd-networkd or docker. https://pve.proxmox.com/wiki/Linux_Container

Für mich liest sich das so, als ob das Problem bei priviligierten Containern gar nicht und sonst nur bei vorhandenen systemd-networkd oder docker auftritt. Vielleicht braucht podman das gar nicht?

 

[TErxleben]

Auch auf die Gefahr hin, mich zu wiederholen. Der Gewinn von LXCs steht in keinem Verhältnis zu den Problemen, die sie schaffen. Deshalb setze ich Container grundsätzlich nur innerhalb von VMs ein. Soweit sinnvoll machbar, verzichte ich komplett darauf.

 

[ThoSo]

Auch auf die Gefahr hin, mich zu wiederholen. Der Gewinn von LXCs steht in keinem Verhältnis zu den Problemen, die sie schaffen. Deshalb setze ich Container grundsätzlich nur innerhalb von VMs ein. Soweit sinnvoll machbar, verzichte ich komplett darauf.

Das kann man nicht oft genug wiederholen.