[SOLVED] Teamspeak Docker Container in LXC Container lässt sich nicht starten

[Zoker]

Hallo zusammen,

Ich habe schon lange einen Teamspeak Server auf meinem Debian Root Server per Docker laufen. Dafür habe ich folgende Composer Datei erstellt:

version: '3.7'
services:
  teamspeak:
    image: teamspeak:latest
    container_name: teamspeak
    restart: always
    ports:
      - 9987:9987/udp
      - 10011:10011
      - 30033:30033
    volumes:
      - /docker/teamspeak/files/:/var/ts3server/files/
      - /docker/teamspeak/logs/:/var/ts3server/logs/
      - /docker/teamspeak/ts3server.sqlitedb:/var/ts3server/ts3server.sqlitedb
      - /docker/teamspeak/licensekey.dat:/var/ts3server/licensekey.dat
    environment:
      TS3SERVER_LICENSE: accept

Das funktioniert soweit auch gut und sehr zuverlässig. Nun wollte ich mal testweise den Server in einen Ubuntu/Debian LXC Container mit Proxmox umziehen.
Also hab ich einen neuen unpriveleged Ubuntu Container erstellt und so docker installiert:

sudo apt install docker.io docker-compose

Anschließend wollte ich den Container starten:

docker-compose -f teamspeak.yml pull
docker-compose -f teamspeak.yml up

Hier bekomme ich aber dann folgenden Fehler:

ERROR: for minecraft Cannot start service minecraft: OCI runtime create failed: container_linux.go:349: starting container process caused "process_linux.go:449: container init caused \"rootfs_linux.go:58: mounting \\\"proc\\\" to rootfs \\\"/var/lib/docker/overlay2/50848f5bd4b63bc1b55e9942f5d819efb4864fa764311ec44a0238d842446f17/merged\\\" at \\\"/proc\\\" caused \\\"permission denied\\\"\"": unknown
ERROR: No containers to start

Ich habe das gleiche auf mit Debian probiert und auch hier erhalte ich den selben Fehler. Auch andere Container habe ich probiert...
Hat jemand eine Idee, woran das liegen könnte und wie ich das beheben kann?

Vielen Dank!

 

[pakuzaz]

Da steht das die Rechte fehlen

 

[Zoker]

Hmm aber die Rechte von was? Und welche Rechte muss ich vergeben?

 

[Dunuin]

Du willst /proc mounten und im unprivilegierten LXC darf man nichts mounten. Und Docker braucht Nesting und das geht glaube ich nur unprivilegiert. Bin also nicht sicher ob das im LXC klappt. Du kannst mal testen ob du damit die Mounting-Rechte umgehen kannst. Damit kann man z.B. SMB-Shares usw indirekt in den LXC mounten, aber keine Ahnung ob das auch mit Systempfaden wie /proc funktioniert.

 

[pakuzaz]

Warum sind die Container nur so beliebt. Für mich gibt es nur Nachteile.

 

[Dunuin]

Warum sind die Container nur so beliebt. Für mich gibt es nur Nachteile.

Ich bin auch nicht so der Fan von denen. Wenn es die Anwendung zulässt sparen die halt viel Ressourcen aber dafür muss man sich dann mit Abhängigkeiten und Einschränkungen herumschlagen.

Ich habe da auch nur 2 LXCs für Docker. Alles was nicht im LXC Docker läuft bekommt dann halt eine eigene VM.

 

[H4R0]

Hab mal eben nen unprivilegierten container erstellt und keine probleme mit dem teamspeak image..

Template debian-10.0, docker von der offiizielen repo https://docs.docker.com/engine/install/debian/

 

[Zoker]

Oh man ich hatte unter features die Flags keyctl=1,nesting=1 nicht drin ‍:facepalm:
Jetzt funktioniert alles wunderbar

Vielen Dank für die Hinweise und die Hilfe!

BTW: ist es bei euch auch so, dass ein Nutzer, der volle Rechte hat (also Role Administrator), die Feature Flags nicht verändern kann? Ich musste zum Root Nutzer wechseln, um die Flags zu setzten.