如何阻止LXC容器重新挂载主机文件系统

我之前也碰到过类似的LXC+libvirt组合的挂载异常问题，既然移除sys_module、mac_admin这些权限没用，那大概率不是容器权限的锅，得从文件系统健康、libvirt存储配置或者容器生命周期钩子这些方向入手排查，给你几个具体的步骤试试：

1. 先排查文件系统本身的健康问题 #

内核会在检测到文件系统错误时自动把分区挂载为只读来保护数据，这是最常见的触发原因：

• 先卸载/var/lib/lxc分区（如果卸载失败，可能需要进入单用户模式操作）：

  umount /var/lib/lxc
  

• 运行文件系统检查工具，替换成你实际的设备名（比如/dev/sdb1）：

  fsck /dev/your-var-lib-lxc-device
  

• 查看系统日志确认是否有文件系统报错：

  dmesg | grep -i error
  journalctl -u systemd-fsck*
  

  如果发现有坏块或者inode错误，修复后再测试容器关闭操作。

2. 检查libvirt的LXC存储配置 #

libvirt对LXC的存储挂载逻辑可能有异常，重点看容器的XML配置：

• 找到你的容器XML文件（通常在/etc/libvirt/lxc/[容器名].xml），定位<filesystem>节点，确认accessmode不是readonly，并且挂载路径没有冲突：

  <filesystem type='mount' accessmode='passthrough'>
    <source dir='/var/lib/lxc'/>
    <target dir='/var/lib/lxc'/>
  </filesystem>
  

• 检查libvirt的LXC钩子脚本（路径/etc/libvirt/hooks/lxc/），看有没有在容器stop阶段执行修改主机挂载状态的脚本，有的话暂时注释掉测试。

3. 验证LXC容器的自定义钩子 #

LXC本身的生命周期钩子也可能搞出问题：

• 打开容器的配置文件（/var/lib/lxc/[容器名]/config），检查是否有lxc.hook.stop或lxc.hook.poststop配置项，这些钩子脚本可能在容器关闭时错误地将主机的/var/lib/lxc设为只读。
• 如果有自定义钩子，先注释掉这些配置，重启容器后再关闭测试。

4. 调整挂载的错误处理选项 #

默认情况下，很多文件系统挂载时会设置errors=remount-ro，一旦出错就自动只读挂载：

• 先查看当前挂载选项：

  mount | grep /var/lib/lxc
  

• 如果确实有errors=remount-ro，可以修改/etc/fstab中的对应条目，把这个选项改成errors=continue（或者根据你的文件系统类型选择合适的选项），然后重新挂载：

  mount -o remount /var/lib/lxc
  

5. 排除libvirt的干扰，直接用LXC命令测试 #

为了确认问题是否来自libvirt和LXC的集成，跳过libvirt直接操作容器：

• 先停止libvirt管理的容器：

  virsh destroy [容器名]
  

• 用LXC原生命令启动再关闭容器：

  lxc-start -n [容器名]
  lxc-stop -n [容器名]
  

  如果直接用LXC操作没有出现只读问题，那肯定是libvirt的配置或者驱动逻辑有问题，建议重点排查libvirt的LXC驱动日志（journalctl -u libvirtd -f 实时查看日志）。

如果以上步骤都试过还是没解决，可以检查SELinux/AppArmor这类安全模块是否在干扰挂载操作，或者收集更详细的容器关闭时的系统日志来定位问题。

内容的提问来源于stack exchange，提问作者user4759923