chroot. перезагрузка

Скорее всего другого варианта у тебя нет. Только зачем ты вообще chroot используешь?

есть альтернатива chroot? виртуализация слишком накладна ... И каким образом мне запустить демон в чруте из под хостовой ОС?

p.s. использую chroot для обеспечения безопасности хостинг-площадки

p.s. использую chroot для обеспечения безопасности хостинг-площадки

Запускаешь под рутом?

есть альтернатива chroot? виртуализация слишком накладна ...

lxc, openvz - да накладно, но лучше.

И каким образом мне запустить демон в чруте из под хостовой ОС?

Что ты запускаешь? Если apache, то он сам умеет форкаться в чрута. Хостеры, имхо, именно так, поголовно и делают.

openvz, если есть в дебиане

демон php-fpm наслышан про уязвимости в чруте, запускаю от www-data

Это не уязвимости. Он архетектурно не предназначен для обеспечения безопасности.

Ну, если php-fpm, то у тебя два пути: либо модифицируешь родной стартовый скрипт, либо, действительно rc.local.

читал и про lxc и про openvz (у самого сейчас KVM, но это очень накладно в моем случае)

что из советуемого тобой лучше для обеспечения безопасности хостинга, то есть для разграничения различных сайтов? Как я понимаю, это уже полноценные виртуальные машины, на каждую необходимо будет ставить ftp/ssh/etc ... ?

Нет, это контейнеры на уровне ядра. Openvz - лучше инфраструктура, а lxc - лучше в ядро вкорячено. Мне показалось, что для случая, когда надо отгородить отдельный демон lxc (читай cgroups) лучше.

Я lxc использовал, что на одном сервере собрать и отгородить друг от друга связку exim+dovecot+roundcube. Про хостинг ничего не скажу, т.к. работаю в другой сфере: у меня один апач - один хост.

Возможно, для твоего случая и chroot нормально, но сомнительно это. Тут на лоре был гражданин с хостингом на php-fpm - может проклюнется.

Как я понимаю, это уже полноценные виртуальные машины,

Это chroot на стероидах. И то и другое. поэтому оверхед минимальный, практически как обычные приложения.

Только lxc то ли готов то ли нет, а ovz то ли есть для дебиан то ли нет.

на каждую необходимо будет ставить ftp/ssh/etc ... ?

Не знаю точно как у lxc, но в ovz для твоего чрута нужно будет выделить отдельный адрес. По которому возможно будет и заходить по ssh/ftp, но не обязательно, всё можно делать и с хост машины.

Для lxc можно поступать очень гибко: в минимально конфигурации это реально чрут на стеройда, а по максимуму можно полноценную виртуалку запустить, с кучей процессов и своей сетью, в том числе.

спасибо за советы, господа, попробую LXC :)

виртуализация слишком накладна

lxc - это chroot на стероидах. Накладные расходы немногим больше обычного чрута