Proxmox VE / أساسي: أسس المنصة والضيف / الدرس 2

نماذج عزل الآلات والحاويات

اختر حدود الافتراضية حسب نظام التشغيل والتوافق والثقة بدلا من اعتبار انخفاض الكلفة ملاءمة عامة.

وقت القراءة التقريبي: 5 دقيقةتاريخ مراجعة المحتوى 2026-10-28

في هذه الصفحة

أهداف الدرس

مقارنة نوى الضيوف المستقلة بالحاويات المشاركة لنواة المضيف.
شرح تخطيط الهويات للحاويات المميزة وغير المميزة.
تقييم متطلبات العزل والأجهزة صراحة.

قارن حدود النواة

تعرض الآلة الافتراضية QEMU/KVM أجهزة افتراضية لنظام تشغيل يملك نواته الخاصة. أما حاوية LXC فتشغل مساحة مستخدم Linux بالاعتماد على نواة المضيف، مستعينة بمساحات الأسماء وضوابط الموارد وآليات العزل الأخرى. يحدد هذا الفرق حدود التوافق: لا تستطيع الحاوية جلب نواة ضيف اعتباطية لمجرد أن التطبيق يفضلها. وقد تناسب الآلة الافتراضية الحاجة إلى نواة مستقلة أو نظام تشغيل آخر مدعوم أو حد عزل أقوى للحمل. ولا يلغي أي من النموذجين ضرورة التحديث وضبط الوصول وأمان التطبيق. اختر حد العزل من المتطلبات أولا، ثم قارن سهولة الإدارة وكثافة الأحمال.

نمذج هوية الحاوية

تخطط الحاوية غير المميزة معرّفات مستخدميها إلى نطاق مختلف على المضيف. لذلك لا يساوي مستخدم root داخلها عادة مستخدم root على المضيف. يقلل ذلك الامتياز، لكنه لا يثبت أن كل ثغرة في النواة أو كل جهاز مكشوف غير مؤذ. يمثل المثال الأول تخطيطا تعليميا بسيطا بإزاحة ثابتة؛ وقد تتضمن الخرائط الفعلية نطاقات متعددة وآثارا على ملكية الملفات. يمكن لتغيير وضع الامتياز أو التخطيط بعد وجود البيانات أن يكسر الوصول إليها. لا تعتبر ظهور مشكلة ملكية رقمية إذنا لتحويل الحاوية إلى مميزة، بل حدد التخطيط المقصود ومالك البيانات أولا.

python حساب تعليمي لتخطيط معرف المستخدم

offset = 100000
for guest_uid in (0, 1000):
    print(guest_uid + offset)

الناتج المتوقع

100000
101000

ينتج 100000 و101000 من النموذج المبسط. لا يقرأ قاعدة حسابات ولا يضبط تخطيطا فعليا.

راع الأجهزة والميزات

قد يوسع تمرير الأجهزة والتداخل وميزات الحاوية الإضافية حدود الثقة. وربما كان الحمل الذي يحتاج تحكما منخفض المستوى في النواة أنسب لآلة افتراضية من حاوية خُففت قيودها كثيرا. وبالمثل، قد يقيد تمرير جهاز مادي إلى آلة إمكانية نقلها ويربط استرجاعها بمضيف معين. المثال الثاني سجل متطلبات وليس إعدادا قابلا للتطبيق؛ فهو يفصل حاجة التطبيق الفعلية عن التنفيذ المفضل لها. اسأل هل يحقق بديل في مساحة المستخدم هذه الحاجة قبل كشف قدرات إضافية من المضيف، ووثق سبب قبول مستوى العزل المختار.

text قارن المتطلبات قبل اختيار نوع الضيف

workload A: Linux userspace, no custom kernel, controlled trust
workload B: independent kernel requirement, separate guest lifecycle
review dimensions: kernel compatibility, device access, data ownership, recovery

لا يعلن السجل نوعا آمنا دائما ولا يصف تغيير مضيف.

افصل حالة الملفات والتطبيق

قد تختلف أنماط النسخ الاحتياطي والملكية بين جذر ملفات الحاوية وbind mount ومجموعة بيانات تديرها جهة خارجية. كذلك لا يضم قرص الآلة الافتراضية تلقائيا كل مصدر بيانات خارجي يستخدمه التطبيق. احصر موقع كل جزء من الحالة قبل مقارنة سهولة النسخ. وقد تعكس الصلاحيات المرئية داخل الحاوية معرّفات مخططة بدلا من أسماء مستخدمي المضيف. إن نقل مجلد إلى نموذج عزل آخر دون حفظ الملكية المقصودة قد يسبب فشلا يبدو كأن الملفات مفقودة. شخص وجود المسار وتخطيط الهويات وهوية عملية التطبيق كل على حدة.

اختر اختيارا قابلا للتعليل

يسمي سجل الاختيار القابل للتعليل نظام التشغيل المدعوم واحتياجات النواة وافتراضات الثقة وطلب الموارد ومتطلبات الأجهزة وقيود الاسترجاع. كما يصرح بما لم يختبر. يفيد انخفاض الكلفة الإضافية للحاويات فقط حين يطابق التطبيق عقد النواة المشتركة والسياسة التشغيلية. وتضيف نواة الآلة المستقلة مرونة لكنها تستهلك موارد وتظل تشارك العتاد الأساسي. لا ينشئ المسار أي ضيف ولا يجري اختبار عزل. يثبت حساب التخطيط الآمن نتيجته العددية وحدها؛ أما الأمان والتوافق الفعليان فيحتاجان مراجعة خاصة بالنسخة ودليلا مصرحا به.

الأخطاء الشائعة وإصلاحها

توقع إقلاع الحاوية بنواة مخصصة مستقلة

لماذا يحدث؟: اختلط نموذج النواة المشتركة بنموذج الآلة الافتراضية.
كيف تصلحه؟: اختر آلة افتراضية متوافقة أو أزل متطلب النواة غير المدعوم.
كيف تتجنب تكراره؟: سجل متطلبات توافق النواة قبل اختيار نوع الضيف.

افتراض أن root داخل الحاوية هو root المضيف

لماذا يحدث؟: أُهمل تخطيط معرّفات المستخدمين ووضع امتياز الحاوية.
كيف تصلحه؟: راجع التخطيط الصريح وعقد ملكية نظام الملفات.
كيف تتجنب تكراره؟: احفظ سياق الملكية الرقمية في أدلة التشخيص.

رفع امتياز الحاوية لمعالجة مشكلة bind mount

لماذا يحدث؟: لم يشخص تخطيط المعرّفات أو هوية عملية التطبيق.
كيف تصلحه؟: تتبع المسار والمعرّفات المخططة والوصول المطلوب قبل إعادة تصميم العزل.
كيف تتجنب تكراره؟: راجع كل تغيير ميزة باعتباره تغييرا في حدود الثقة.

اختبر فهمك

1. يتطلب حمل Linux وحدة نواة مختلفة. هل تكفي حاوية LXC عادية لمجرد أن التطبيق يعمل على Linux؟

اعرض الحل المشروح

لا يكفي أن يوفر الحمل مساحة مستخدم Linux. فالحاويات تشارك نواة المضيف، ولا تستطيع توفير سلوك نواة اعتباطي بصورة مستقلة. قيّم آلة افتراضية مدعومة أو تصميما معتمدا لقدرات المضيف. وسجل آثار الاختيار على التوافق والثقة والاسترجاع، بدلا من إزالة قيود الحاوية تدريجيا حتى يبدأ التطبيق مصادفة. يجب أن يكون حد العزل نتيجة متطلب واضح، لا نتيجة سلسلة من الاستثناءات غير المراجعة.

2. إلى أي معرّف ينتقل UID 42 وفق الإزاحة في المثال، وما الادعاءات التي لا تثبتها هذه النتيجة؟