1
// Sentry 的系统调用处理（简化）
2
func (k *Kernel) Syscall(sysno uintptr, args ...uintptr) (uintptr, error) {
3
    switch sysno {
4
    case linux.SYS_READ:
5
        return k.Read(args[0], args[1], args[2])
6
    case linux.SYS_WRITE:
7
        return k.Write(args[0], args[1], args[2])
8
    case linux.SYS_OPENAT:
9
        return k.OpenAt(args[0], args[1], args[2], args[3])
10
    case linux.SYS_MMAP:
11
        return k.MMap(args[0], args[1], args[2], args[3], args[4], args[5])
12
    case linux.SYS_SOCKET:
13
        return k.Socket(args[0], args[1], args[2])
14
    case linux.SYS_CLONE:
15
        return k.Clone(args[0], args[1], args[2], args[3], args[4])
16
    case linux.SYS_EPOLL_WAIT:
17
        return k.EpollWait(args[0], args[1], args[2], args[3])
18
    case linux.SYS_FUTEX:
19
        return k.Futex(args[0], args[1], args[2], args[3], args[4], args[5])
20
    case linux.SYS_SCHED_GETAFFINITY:
21
        return k.SchedGetAffinity(args[0], args[1], args[2])
22
    // ... ~200 个系统调用
23
    default:
24
        // 未实现的系统调用返回 ENOSYS 错误
25
        // Sentry 不会将未知系统调用传递给宿主内核
26
description: "        // 这与 seccomp 的"允许+过滤"模型不同——Sentry 是"实现+拒绝"
27
        return 0, syscall.ENOSYS
28
    }
29
}

1
# gVisor 的文件系统架构
2
# 容器进程 → Sentry → 9P 协议 → Gofer → 宿主文件系统
3

4
# Gofer 进程负责：
5
# 1. 打开/读取/写入文件
6
# 2. 目录遍历
7
# 3. 文件元数据操作
8
# 4. 设备文件处理
9

10
# 这种架构确保 Sentry 不直接访问宿主文件系统

1
# 安装 gVisor
2
sudo apt install runsc
3

4
# 配置 Docker 使用 gVisor
5
sudo dockerd --add-runtime=runsc=/usr/bin/runsc
6

7
# 使用 gVisor 运行容器
8
docker run --runtime=runsc -d nginx
9

10
# 在 Kubernetes 中使用
11
# Pod 注解：runtimeClassName: gvisor

1
# Kubernetes RuntimeClass 配置
2
apiVersion: node.k8s.io/v1
3
kind: RuntimeClass
4
metadata:
5
  name: gvisor
6
handler: runsc
7
---
8
apiVersion: v1
9
kind: Pod
10
spec:
11
  runtimeClassName: gvisor
12
  containers:
13
  - name: nginx
14
    image: nginx

1
#!/bin/bash
2
# 安装和测试 gVisor
3

4
# 1. 安装 runsc
5
curl -fsSL https://gvisor.dev/archive.key | sudo gpg --dearmor -o /usr/share/keyrings/gvisor-archive-keyring.gpg
6
echo "deb [arch=$(dpkg --print-architecture) signed-by=/usr/share/keyrings/gvisor-archive-keyring.gpg] https://storage.googleapis.com/gvisor/releases release main" | sudo tee /etc/apt/sources.list.d/gvisor.list
7
sudo apt update && sudo apt install runsc
8

9
# 2. 配置 Docker
10
sudo mkdir -p /etc/docker
11
sudo tee /etc/docker/daemon.json << 'EOF'
12
{
13
  "runtimes": {
14
    "runsc": {
15
      "path": "/usr/bin/runsc"
16
    }
17
  }
18
}
19
EOF
20
sudo systemctl restart docker
21

22
# 3. 测试 gVisor 容器
23
docker run --runtime=runsc -it alpine uname -a
24
# Linux 4.4.0 ... # 这是 Sentry 报告的内核版本
25

26
# 4. 对比 runc 容器
27
docker run --runtime=runc -it alpine uname -a
28
# Linux 5.15.0 ... # 这是宿主机内核版本
29

30
# 5. 测试系统调用限制
31
docker run --runtime=runsc -it alpine sh -c "strace ls 2>&1 | head -5"
32
# gVisor 会限制某些系统调用

1
#!/bin/bash
2
# 安装和测试 Kata Containers
3

4
# 1. 安装 Kata
5
sudo apt install kata-containers
6

7
# 2. 配置 containerd
8
sudo tee -a /etc/containerd/config.toml << 'EOF'
9
[plugins."io.containerd.grpc.v1.cri".containerd.runtimes.kata]
10
  runtime_type = "io.containerd.kata.v2"
11
  pod_annotations = ["io.kata-containers.*"]
12
EOF
13
sudo systemctl restart containerd
14

15
# 3. 测试 Kata 容器
16
sudo ctr run --runtime io.containerd.kata.v2 -t docker.io/library/alpine:latest kata-test /bin/sh
17

18
# 4. 验证 VM 隔离
19
sudo ctr task exec --exec-id test kata-test cat /proc/cpuinfo
20
# 输出显示 VM 的虚拟 CPU 信息

1
# Kubernetes RuntimeClass 配置示例
2
apiVersion: node.k8s.io/v1
3
kind: RuntimeClass
4
metadata:
5
  name: gvisor
6
handler: runsc
7
overhead:
8
  podFixed:
9
    memory: "30Mi"
10
    cpu: "100m"
11
---
12
apiVersion: node.k8s.io/v1
13
kind: RuntimeClass
14
metadata:
15
  name: kata
16
handler: kata
17
overhead:
18
  podFixed:
19
    memory: "130Mi"
20
    cpu: "200m"