From: KATOH Yasufumi Date: Wed, 8 May 2019 12:42:16 +0000 (+0900) Subject: doc: Update Japanese lxc.container.conf(5) X-Git-Tag: lxc-3.2.0~65^2~1 X-Git-Url: http://git.ipfire.org/cgi-bin/gitweb.cgi?a=commitdiff_plain;h=7dd6ead90417723a3c9717b45728d701a36e9bff;p=thirdparty%2Flxc.git doc: Update Japanese lxc.container.conf(5) This is the translation for the following description: - lxc.seccomp.notify.proxy (commit 8a64375) - host side veth device static routes (commit d4a7da4) - IPVLAN (commit c9f5238) - Layer 2 proxy mode (commit 6509154) - gateway device route mode (commit a2f9a67) and fix typo in English man page. Signed-off-by: KATOH Yasufumi --- diff --git a/doc/ja/lxc.container.conf.sgml.in b/doc/ja/lxc.container.conf.sgml.in index 7db396f45..553a88ea3 100644 --- a/doc/ja/lxc.container.conf.sgml.in +++ b/doc/ja/lxc.container.conf.sgml.in @@ -604,6 +604,12 @@ by KATOH Yasufumi the option (except for unprivileged containers where this option is ignored for security reasons). + + Static routes can be added on the host pointing to the container using the + and + options. + Several lines specify several routes. + The route is in format x.y.z.t/m, eg. 192.168.1.0/24. --> 一方がコンテナに、もう一方が オプションで指定されたブリッジに接続されるペアの仮想イーサネットデバイスを作成します。 もし、ブリッジが指定されていない場合、veth ペアデバイスは作成されますが、ブリッジには接続されません。 @@ -611,6 +617,10 @@ by KATOH Yasufumi lxc はコンテナ外の設定を扱うことはありません。 デフォルトでは、lxc がコンテナの外部に属するネットワークデバイスに対する名前を決定します。 しかし、もしこの名前を自分で指定したい場合、 オプションを使って名前を設定し、lxc に対して指定をすることができます (非特権コンテナの場合をのぞきます。セキュリティ上の理由からこのオプションは無視されます)。 + + 、 オプションを使って、静的ルーティングをコンテナを指し示すホスト上に追加できます。 + 複数のルートがある場合は複数の設定を指定します。 + ルートは x.y.z.t/m の形式です。例: 192.168.1.0/24 @@ -661,7 +671,7 @@ by KATOH Yasufumi mode is possible for one physical interface. --> macvlan インターフェースは により指定されるインターフェースとリンクし、コンテナに割り当てられます。 - でモードを指定すると、その macvlan の指定を、同じ上位デバイスで異なる macvlan の間の通信をする時に使います。 + でモードを指定すると、その macvlan の指定を、同じ上位デバイスで異なる macvlan 間の通信をする時に使います。 指定できるモードは 、、、 のいずれかです。 モードの場合、デバイスは同じ上位デバイスの他のデバイスとの通信を行いません (デフォルト)。 新しい仮想イーサネットポート集約モード (Virtual Ethernet Port Aggregator (VEPA)) である モードの場合、隣接したポートが、ソースとデスティネーションの両方が macvlan ポートに対してローカルであるフレームを全て返すと仮定します。 @@ -676,6 +686,54 @@ by KATOH Yasufumi モードの場合、物理インターフェースで受け取った全てのフレームは macvlan インターフェースに転送されます。 モードの場合、ひとつの macvlan インターフェースだけが、ひとつの物理インターフェースに対して設定できます。 + + + ipvlan インターフェースは により指定されるインターフェースとリンクし、コンテナに割り当てられます。 + でモードを指定すると、その ipvlan の指定を、同じ上位デバイスで異なる ipvlan 間の通信をする時に使います。 + 指定できるモードは 、、 で、デフォルトは モードです。 + モードでは、L3 までの TX (送信) 処理はスレーブデバイスにアタッチされたスタックインスタンス上で行われます。そしてパケットは、L2 処理のためにマスターデバイスのスタックインスタンスにスイッチされます。このインスタンスからのルーティングは、発信デバイス上でキューに入る前に使われます。このモードでは、スレーブはマルチキャスト・ブロードキャストのトラフィックを受信しませんし、受け取ることもできません。 + モードは、TX (送信) 処理は L3 モードと非常に似ていますが、iptables (conn-tracking) がこのモードで動作します。それゆえに L3対称 (symmetric) (L3s) です。このモードは若干パフォーマンスが低下しますが、conn-tracking (接続追跡) が動作するように、普通の L3 モードの代わりにこのモードを選んでいるので問題にはならないはずです。 + モードでは、TX (送信) 処理はスレーブデバイスにアタッチされたスタックインスンタンス上で行われます。パケットを送信するのに、マスターデバイスにスイッチされ、マスターデバイス上でキューに入ります。このモードでは、スレーブはマルチキャストも（該当する場合）ブロードキャストも RX/TX (送受信) 処理します。 + + は隔離モードを指定します。隔離モードには 、、 が指定できます。デフォルトは モードです。 + 隔離モードでは、スレーブはマスターデバイス経由の通信とは別に、スレーブ同士で通信できます。 + 隔離モードでは、ポートはプライベートに設定されます。つまり、スレーブ間の通信はできません。 + 隔離モードでは、ポートは VEPA モードに設定されます。つまり、802.1Qbg で説明されているように、ポートはスイッチング機能を外部エンティティにオフロードします。 + + + レイヤ 2 IP 近隣プロキシエントリを、コンテナの IP アドレスに対応する lxc.net.[i].link インターフェースに追加するかどうかを制御します。0 か 1 が設定でき、デフォルトは 0 です。 + IPv4 アドレスで使う場合は、次の sysctl 設定が必要です: + net.ipv4.conf.[link].forwarding=1 + IPv6 アドレスで使う場合は、次の sysctl 設定が必要です: + net.ipv6.conf.[link].proxy_ndp=1 + net.ipv6.conf.[link].forwarding=1 + + + + @@ -802,11 +886,15 @@ by KATOH Yasufumi interface (as specified by the option) and use that as the gateway. is only available when - using the and - network types. + using the , + and network types. + Can also have the special value of , + which means to set the default gateway as a device route. + This is primarily for use with layer 3 network modes, such as IPVLAN. --> コンテナでゲートウェイとして使う IPv4 アドレスを指定します。アドレスは x.y.z.t というフォーマットです。例) 192.168.1.123 - という特別な値を指定できます。これは ( で指定した) ブリッジインターフェースの最初のアドレスを使用し、それをゲートウェイに使うという意味になります。 はネットワークタイプとして と を指定している時だけ有効となります。 + という特別な値を指定できます。これは ( で指定した) ブリッジインターフェースの最初のアドレスを使用し、それをゲートウェイに使うという意味になります。 はネットワークタイプとして 、、 を指定している時だけ有効となります。 + 特別な値である も設定できます。これはデバイスのルートとしてデフォルトゲートウェイを設定するという意味です。これは主に、IPVLAN のようなレイヤ 3 のネットワークモードで使用します。 @@ -844,11 +932,15 @@ by KATOH Yasufumi interface (as specified by the option) and use that as the gateway. is only available when - using the and - network types. + using the , + and network types. + Can also have the special value of , + which means to set the default gateway as a device route. + This is primarily for use with layer 3 network modes, such as IPVLAN. --> コンテナでゲートウェイとして使う IPv6 アドレスを指定します。アドレスは x::y というフォーマットです。例) 2003:db8:1:0::1 - という特別な値を記述する事も可能です。これは ( で指定した) ブリッジインターフェースの最初のアドレスを使用し、それをゲートウェイに使うという意味になります。 はネットワークタイプとして と を指定している時だけ有効となります。 + という特別な値を記述する事も可能です。これは ( で指定した) ブリッジインターフェースの最初のアドレスを使用し、それをゲートウェイに使うという意味になります。 はネットワークタイプとして 、、 を指定している時だけ有効となります。 + 特別な値である も設定できます。これはデバイスのルートとしてデフォルトゲートウェイを設定するという意味です。これは主に、IPVLAN のようなレイヤ 3 のネットワークモードで使用します。 @@ -888,8 +980,8 @@ by KATOH Yasufumi - LXC_NET_TYPE: ネットワークタイプ。有効なネットワークタイプのうちのひとつです (例: 'macvlan', 'veth') + LXC_NET_TYPE: ネットワークタイプ。有効なネットワークタイプのうちのひとつです (例: 'vlan', 'macvlan', 'ipvlan', 'veth') @@ -966,9 +1058,9 @@ by KATOH Yasufumi - - LXC_NET_TYPE: ネットワークタイプ。有効なネットワークタイプのうちのひとつです (例: 'macvlan', 'veth') + + LXC_NET_TYPE: ネットワークタイプ。有効なネットワークタイプのうちのひとつです (例: 'vlan', 'macvlan', 'ipvlan', 'veth') @@ -2500,8 +2592,38 @@ by KATOH Yasufumi 2 blacklist mknod errno 0 + ioctl notify + + + アクションとして "errno" を指定すると、LXC は seccomp フィルタを登録します。これにより、指定した errno を呼び出し元に返します。 + errno の値は "errno" という単語の後に指定します。 + + + + + アクションとして "notify" を指定すると、LXC は seccomp リスナーを登録し、カーネルからリスナーのファイルディスクリプタを取得します。 + "notify" として指定しているシステムコールが作成されると、カーネルは poll イベントを生成し、ファイルディスクリプタを通してメッセージを送信します。 + 呼び出し元はこのメッセージを読み、引数を含めてシステムコールを調査できます。 + 呼び出し元はこの情報に基づき、どのアクションを取るべきかをカーネルに知らせるメッセージを送り返すことが期待されます。 + このメッセージが送られるまで、カーネルは呼び出し元のプロセスをブロックします。読み書きするメッセージのフォーマットは seccomp 自身に記述されています。 + + @@ -2523,15 +2645,34 @@ by KATOH Yasufumi - - このオプションを 1 に設定すると、すでに seccomp プロファイルがロードされている、いないに関わらず、seccomp フィルタが重ね合わせられます。 - これにより、ネストされたコンテナが自身の seccomp プロファイルをロードできます。 - デフォルト値は 0 です。 + --> + このオプションを 1 に設定すると、すでに seccomp プロファイルがロードされている、いないに関わらず、seccomp フィルタが重ね合わせられます。 + これにより、ネストされたコンテナが自身の seccomp プロファイルをロードできます。 + デフォルト値は 0 です。 + + + + + + + + + + + LXC が接続し、seccomp イベントを転送する UNIX ソケットを指定します。 + パスは unix:/path/to/socket もしくは unix:@socket の形式でなければなりません。 + 前者はパス指定の UNIX ドメインソケットを指定し、後者は抽象 (abstract) UNIX ドメインソケットの指定です。 diff --git a/doc/lxc.container.conf.sgml.in b/doc/lxc.container.conf.sgml.in index 0af0456a5..b03cf851f 100644 --- a/doc/lxc.container.conf.sgml.in +++ b/doc/lxc.container.conf.sgml.in @@ -1943,7 +1943,7 @@ dev/null proc/kcore none bind,relative 0 0 Specifying "errno" as action will cause LXC to register a seccomp filter - that will cause a specific errno to be returned ot the caller. The errno + that will cause a specific errno to be returned to the caller. The errno value can be specified after the "errno" action word.