Add article about incus

2025-11-14 14:00:07 +00:00
parent 24c30a7e4f
commit 0cc6dc9bc8
2 changed files with 364 additions and 0 deletions
--- a/posts/incus.org
+++ b/posts/incus.org
@@ -0,0 +1,364 @@
+#+TITLE: Incus pour gérer vos VM et CT
+#+DATE: 2025-11-14T00:00:00Z
+#+DRAFT: false
+#+AUTHOR: Evrard Van Espen
+#+DESCRIPTION: Présentation d'Incus, une alternative à Proxmox pour gérer les VMs et les CTs
+#+SLUG: incus
+#+TAGS: système
+#+HERO: ./incus.png
+
+* /Incus/, c'est quoi ?
+
+/Incus/ est une solution moderne de virtualisation et de gestion de conteneurs, conçue comme un /fork/ communautaire de /LXD/ après le changement de licence de /Canonical/.
+*/Open source/* et axé sur la simplicité, /Incus/ permet de créer et gérer des *conteneurs* et des *machines virtuelles*, le tout avec une intégration fluide sur /Linux/.
+Il se distingue par sa *légèreté*, sa *sécurité renforcée* et sa *compatibilité* avec les technologies /cloud/, tout en offrant une *interface en ligne de commande* intuitive et une /API REST/.
+Idéal pour les développeurs et les administrateurs système, /Incus/ facilite le déploiement d’environnements isolés, que ce soit pour le développement, les tests ou la production, tout en restant performant et facile à prendre en main.
+Son approche modulaire et sa communauté active en font un outil de choix pour ceux qui recherchent une alternative flexible et transparente aux solutions propriétaires.
+
+* Installation
+
+#+BEGIN_INFO
+/Incus/ est compatible et disponible sur la majorité des distributions /Linux/.
+#+END_INFO
+
+Dans mon cas, j'ai installé /Incus/ sur une machine /Fedora 43/.
+
+Ma machine hôte est dotée de 2 cartes réseau, une qui sera utilisée pour la connexion à la machine et une autre qui sera utilisée comme pont pour les machines invitées.
+
+** Installer le paquet /incus/ sur la machine
+#+BEGIN_SRC
+dnf install -y incus
+#+END_SRC
+
+** Activer et démarrer le service /Incus/
+#+BEGIN_SRC
+systemctl enable --now incus
+systemctl start incus
+#+END_SRC
+
+** Configuration du /kernel/
+
+Ces modifications sont nécessaires pour permettre au /kernel linux/ de lancer les machines virtuelles et les conteneurs.
+Pour aller plus loin, vous pouvez consulter [[https://docs.rockylinux.org/10/books/incus_server/01-install/#environment-set-up][cette page]].
+
+Mettre le contenu suivant dans =/etc/sysctl.d/90-incus-override.conf=
+#+BEGIN_SRC
+## The following changes have been made for LXD ##
+
+# fs.inotify.max_queued_events specifies an upper limit on the number of events that can be queued to the corresponding inotify instance
+ - (default is 16384)
+
+fs.inotify.max_queued_events = 1048576
+
+# fs.inotify.max_user_instances This specifies an upper limit on the number of inotify instances that can be created per real user ID -
+(default value is 128)
+
+fs.inotify.max_user_instances = 1048576
+
+# fs.inotify.max_user_watches specifies an upper limit on the number of watches that can be created per real user ID - (default is 8192)
+
+fs.inotify.max_user_watches = 1048576
+
+# vm.max_map_count contains the maximum number of memory map areas a process may have. Memory map areas are used as a side-effect of cal
+ling malloc, directly by mmap and mprotect, and also when loading shared libraries - (default is 65530)
+
+vm.max_map_count = 262144
+
+# kernel.dmesg_restrict denies container access to the messages in the kernel ring buffer. Please note that this also will deny access t
+o non-root users on the host system - (default is 0)
+
+kernel.dmesg_restrict = 1
+
+# This is the maximum number of entries in ARP table (IPv4). You should increase this if you create over 1024 containers.
+
+net.ipv4.neigh.default.gc_thresh3 = 8192
+
+# This is the maximum number of entries in ARP table (IPv6). You should increase this if you plan to create over 1024 containers.Not nee
+ded if not using IPv6, but...
+
+net.ipv6.neigh.default.gc_thresh3 = 8192
+
+# This is a limit on the size of eBPF JIT allocations which is usually set to PAGE_SIZE * 40000. Set this to 1000000000 if you are running Rocky Linux 9.x
+
+net.core.bpf_jit_limit = 1000000000
+
+# This is the maximum number of keys a non-root user can use, should be higher than the number of containers
+
+kernel.keys.maxkeys = 2000
+
+# This is the maximum size of the keyring non-root users can use
+
+kernel.keys.maxbytes = 2000000
+
+# This is the maximum number of concurrent async I/O operations. You might need to increase it further if you have a lot of workloads th
+at use the AIO subsystem (e.g. MySQL)
+
+fs.aio-max-nr = 524288
+#+END_SRC
+
+#+BEGIN_WARNING
+*Redémarrer la machine*
+#+END_WARNING
+
+Une fois que la machine a redémarré, lancer
+#+BEGIN_SRC
+sysctl net.core.bpf_jit_limit
+#+END_SRC
+Et vérifier que le retour est bien 
+#+BEGIN_SRC
+net.core.bpf_jit_limit = 1000000000 
+#+END_SRC
+
+** Initialisation d'/Incus/
+
+Lancer la commande =incus admin init=.
+
+Le processus permet de choisir la configuration qui sera appliquée.
+
+#+BEGIN_SRC
+Would you like to use clustering? (yes/no) [default=no]:
+#+END_SRC
+
+Ce choix permet d'activer ou non le mode /cluster/, je laisse le choix par défaut (/no/) car je n'ai qu'une seule machine pour le moment.
+
+#+BEGIN_SRC
+Do you want to configure a new storage pool? (yes/no) [default=yes]:
+#+END_SRC
+
+Ici, laisser le choix par défaut (/yes/) pour configurer le stockage d'/Incus/.
+
+#+BEGIN_SRC
+Name of the new storage pool [default=default]:
+#+END_SRC
+
+Ici, il est possible de choisir le nom pour le stockage, je laisse la valeur par défaut.
+
+#+BEGIN_SRC
+Name of the storage backend to use (btrfs, dir, lvm, zfs, ceph) [default=zfs]:
+#+END_SRC
+
+Ici, il est possible de choisir le système de stockage qui sera utilisé. Dans mon cas, j'ai choisi =dir=.
+
+#+BEGIN_INFO
+=dir= n'est pas recommandé pour la production, mais permet d'accéder facilement aux fichiers présents dans les conteneurs sans passer par /Incus/.
+#+END_INFO
+
+#+BEGIN_SRC
+Would you like to create a new local network bridge? (yes/no) [default=yes]:
+What should the new bridge be called? [default=incusbr0]: 
+What IPv4 address should be used? (CIDR subnet notation, “auto” or “none”) [default=auto]:
+What IPv6 address should be used? (CIDR subnet notation, “auto” or “none”) [default=auto]: none
+#+END_SRC
+
+Laisser ces choix à leurs valeurs par défaut, il s'agit ici de configurer le réseau qui sera utilisé par nos invités.
+
+#+BEGIN_SRC
+Would you like the Incus server to be available over the network? (yes/no) [default=no]: yes
+#+END_SRC
+
+Ici, il est possible de permettre (ou non) d'accéder au serveur depuis le réseau.
+Je choisi /yes/ car je veux pouvoir gérer /Incus/ depuis ma machine de travail.
+
+#+BEGIN_SRC
+Address to bind Incus to (not including port) [default=all]:
+Port to bind Incus to [default=8443]:
+#+END_SRC
+
+Laisser ces choix à leurs valeurs par défaut aussi, il s'agit de configurer le port et l'interface sur laquelle l'/API/ d'/Incus/ se mettra en écoute.
+
+#+BEGIN_SRC
+Would you like stale cached images to be updated automatically? (yes/no) [default=yes]:
+#+END_SRC
+
+Ici, il est possible d'activer (ou non) la mise à jour automatique des images de VM ou CT.
+Laisser le choix par défaut (/yes/).
+
+#+BEGIN_SRC
+Would you like a YAML "incus admin init" preseed to be printed? (yes/no) [default=no]:
+#+END_SRC
+
+Laisser le choix par défaut (/no/).
+
+** Configurer l'utilisateur d'administration
+
+Il est possible et recommandé de créer un utilisateur spécifique pour l'administration du serveur /Incus/.
+
+Dans mon cas, cet utilisateur sera =balin=.
+
+Ajouter l'utilisateur aux groupes /Incus/ :
+#+BEGIN_SRC
+usermod -aG incus-admin balin
+usermod -aG incus balin
+#+END_SRC
+
+Configurer les =subuid= et =subgid= pour l'utilisateur =root= :
+Dans les fichiers =/etc/subuid= et =/etc/subgid=, ajoutez la ligne suivante :
+#+BEGIN_SRC
+root:1000000:1000000000
+#+END_SRC
+
+#+BEGIN_WARNING
+*Redémarrer la machine*
+#+END_WARNING
+
+
+** Configuration du pare-feu / réseau
+
+#+BEGIN_INFO
+Les commandes données utiliseront =firewalld= car c'est le programme par défaut de /Fedora/.
+#+END_INFO
+
+Ajouter une zone pour le pont réseau
+#+BEGIN_SRC
+firewall-cmd --new-zone=bridge --permanent
+firewall-cmd --reload
+#+END_SRC
+
+Ajouter le pont réseau à la nouvelle zone
+#+BEGIN_SRC
+firewall-cmd --zone=bridge --add-interface=incusbr0 --permanent
+firewall-cmd --zone=bridge --set-target=ACCEPT --permanent
+firewall-cmd --reload
+#+END_SRC
+
+Lancer =firewall-cmd --zone=bridge --list-all= et vérifier le résultat
+#+BEGIN_SRC
+bridge (active)
+  target: ACCEPT
+  icmp-block-inversion: no
+  interfaces: incusbr0
+  sources:
+  services:
+  ports:
+  protocols:
+  forward: no
+  masquerade: no
+  forward-ports:
+  source-ports:
+  icmp-blocks:
+  rich rules:
+#+END_SRC
+
+Créer une zone pour le réseau local
+#+BEGIN_SRC
+firewall-cmd --new-zone=local --permanent
+firewall-cmd --reload
+#+END_SRC
+
+Accepter le trafic local dans la nouvelle zone
+#+BEGIN_SRC
+firewall-cmd --zone=local --add-source=127.0.0.1/8 --permanent
+firewall-cmd --zone=local --set-target=ACCEPT --permanent
+firewall-cmd --reload
+#+END_SRC
+
+Vérifier la configuration de la nouvelle zone =firewall-cmd --zone=local --list all=
+#+BEGIN_SRC
+local (active)
+  target: ACCEPT
+  icmp-block-inversion: no
+  interfaces:
+  sources: 127.0.0.1/8
+  services:
+  ports:
+  protocols:
+  forward: no
+  masquerade: no
+  forward-ports:
+  source-ports:
+  icmp-blocks:
+  rich rules:
+#+END_SRC
+
+Ajouter le réseau local dans la zone =trusted= ainsi que le service =ssh= (si pas déjà fait)
+#+BEGIN_SRC
+firewall-cmd --zone=trusted --add-source=192.168.1.0/24
+firewall-cmd --zone=trusted --add-service=ssh
+firewall-cmd --runtime-to-permanent
+firewall-cmd --reload
+#+END_SRC
+
+*** Configuration d'un pont physique
+
+J'ai choisi d'utiliser la deuxième interface réseau de ma machine (=enp5s0f1=) pour permettre aux VMs et CTs d'accéder en direct à mon réseau local.
+
+#+BEGIN_SRC
+incus network create localnet --type=physical parent=enp5s0f1
+#+END_SRC
+
+Pour que cela fonctionne, il est aussi nécessaire d'installer et démarrer =openvswitch=
+#+BEGIN_SRC
+dnf install -y openvswitch
+systemctl enable --now openvswitch
+systemctl start openvswitch
+#+END_SRC
+
+* Commandes utiles
+- =incus list= :: Lister toutes les instances (conteneurs et machines virtuelles).
+- =incus launch images:ubuntu/22.04 <nim>= :: Créer et démarrer un conteneur à partir d’une image Ubuntu 22.04.
+- =incus start <nom>= :: Démarrer une instance existante.
+- =incus stop <nom>= :: Arrêter une instance en cours d’exécution.
+- =incus restart <nom>= :: Redémarrer une instance.
+- =incus delete <nom>= :: Supprimer définitivement une instance.
+- =incus exec <nom> -- bash= :: Ouvrir un shell interactif dans un conteneur.
+- =incus file pull <nom>/chemin/vers/fichier ./= :: Copier un fichier depuis un conteneur vers la machine hôte.
+- =incus file push ./fichier <nom>/chemin/= :: Copier un fichier de la machine hôte vers un conteneur.
+- =incus config show <nom>= :: Afficher la configuration d’une instance.
+- =incus image list= :: Lister les images disponibles localement.
+- =incus profile list= :: Lister les profils de configuration disponibles.
+- =incus network list= :: Lister les réseaux configurés.
+
+* Lancer des conteneurs et tester
+
+Nous allons maintenant lancer deux conteneurs pour vérifier que tout fonctionne et qu'ils peuvent communiquer entre eux.
+
+Lancer les conteneurs
+#+BEGIN_SRC
+incus launch images:fedora/43 foo
+incus launch images:fedora/43 bar
+#+END_SRC
+
+Dans un premier terminal, lancer
+#+BEGIN_SRC
+incus exec foo -- bash
+#+END_SRC
+
+Et dans un second
+#+BEGIN_SRC
+incus exec bar -- bash
+#+END_SRC
+
+Normalement le =ping= entre les deux devrait fonctionner.
+Les deux conteneurs devraient avoir des adresses /IP/ similaires à =10.123.111.40/24=, donc des adresses /IP/ qui ne sont pas dans le réseau local mais dans le réseau d'/Incus/.
+
+* Lancer un conteneur dans le réseau local
+
+Précédemment, un pont "physique" a été créé pour permettre de connecter des VMs et CTs directement au réseau local.
+
+Créer un conteneur sans interface réseau
+#+BEGIN_SRC
+incus init images:fedora/43 testlocal
+#+END_SRC
+
+Lui ajouter une interface réseau
+#+BEGIN_SRC
+incus config device add testlocal eth0 nic nictype=macvlan parent=enp5s0f1 name=eth0
+#+END_SRC
+
+Puis le démarrer
+#+BEGIN_SRC
+incus start testlocal
+#+END_SRC
+
+Finalement, ouvrir un /shell/ dans le conteneur
+#+BEGIN_SRC
+incus exec testlocal -- bash
+#+END_SRC
+
+Et vérifier son adresse /IP/.
+Il devrait avoir une interface =eth0= avec une adresse /IP/ dans le réseau local et attribuée par le routeur.
+
+
+* Sources
+- [[https://linuxcontainers.org/incus/docs/main/tutorial/first_steps/][Documentation officielle]]
+- [[https://docs.rockylinux.org/10/books/incus_server/00-toc/][Documentation sur /RockyLinux/]]