LXC projekt: LXC DRBD-re helyezése és LXC-s közös könyvtárak, LXC biztonsági és strukturális beállítások

Helló!

Kedvenc tagunk, dap iránymutatása alapján egész jól haladok a DRBD-re rakott LXC konténerek útján.

Most ami van, CentOS 7 alapokon:
- működő DRBD, /drbd/
- működő LXC libvirt használattal
- port forward használattal az LXC-s konténerek elérhetőek a host gépen, így elérhetőek a szolgáltatások

Ami még hátra van mindenképp:

1. - Az LXC és a libvirt szolgáltatásokat a DRBD-re átrakni, ha failover van, a másik gép is el tudja indítani azokat. Egyszerűen csak átmozgatom ami érintett file a /drbd/ alá valami strukturába, majd rakok symlink-et a régi helyre és kész? Selinux mit fog szólni hozzá?

2. - Selinux most permissive állapotban van, mert ha kikapcsolom, a libvirt nem működik megfelelően az LXC-vel. Érdemes küzdeni a bekapcsolt Selinx-szal?

3. - LXC-be beállítani, hogy közös webes könyvtárból dolgozzanak, például /drbd/www/ : Csak rakjak sima symlinket ln -s -sel és kész? Még nem próbáltam, de ez a legjobb? Vagy hard link?

4. - Létrehozni a szolgáltatás konténereket, hogy a drbd-n legyenek. De ha az első pontot megcsinálom, akkor elvileg a többi is jó lesz és ott lesz.

5. - Beállítani a port forward-okat a megfelelő privát IP-re, ahol az LXC konténerben futnak a szolgáltatások. Amit csináltam port forward-ot a firewalld-be, az jelenleg érdekesen működik, mert ha nem is módosítok semmit, akkor kell firewall-cmd --reload hogy mondjuk a 80-as port működjön egy picit... :-) Gondolom ez erős jelzés arra, hogy még nem tökéletes valami enyhén szólva... :-)

6. - Megoldani a drbd failover-t... Pacemaker + corosync? Ez ráér, ha már működik drbd-n jól az LXC, vagy az elején kellene?

7. - Most a libvirt a 192.168.122.x-es privát hálózaton éri el a konténereket. Van értelme ezt átrakni a 10.1.y.z-s tartományba? Ez volt az eredeti terv, de mivel úgyis egyszerre csak 1 szerver fog futni, valamint úgyis port forwardolva lesznek a szolgáltatások a fő szerverre, így szerintem maradhat itt. Valami ellenvélemény, vagy más érv a változtatásra?

8. Van értelme, hogy az LXC-s konténerekben legyen internet kapcsolat? Most például így telepítek fel új csomagokat, frissítek:

yum install wget --installroot=/var/lib/libvirt/lxc/nginx/ --nogpgcheck -y

Ahol a /var/lib/libvirt/lxc/nginx/ a konténer könyvtára.

9. Van jobb, logikusabb útja, hogy a konténerek IP-n (192.168.122.x) címen át kommunikáljanak egymással? Tehát a MySQL például a 2-es IP-n lesz, akkor a php-cgi a 3-as IP-n a 192.168.122.2 -re csatlakozik, mint adatbázis kapcsolat, amit az nginx az 5-ös IP-ről hív meg. Van ennél ésszerűbb módja a kivitelezésnek?

10. A konténereken belülre kell raknom firewalld-t és beállítani? Még most nem raktam. A szolgáltatások konténeren belül nem root-ként futnak, hanem külön felhasználóként, azaz most a master process root-ként:

ps aux|grep ng
root 3393 0.0 0.2 47964 1128 ? Ss 09:19 0:00 nginx: master process /usr/sbin/nginx -c /etc/nginx/nginx.conf
nginx 3394 0.0 0.3 48404 2028 ? S 09:19 0:00 nginx: worker process

11. Az LXC konténerekben systemctl disable avahi-daemon és systemctl disable auditd. Van bármi ellenérv ezekre?

Ti milyen sorrendben csinálnátok ezt? Kihagytam valami fontosat?