Proxmox 細服務唔一定開 VM：LXC 慳 RAM 但安全界線要識分

件事其實好貼地

XDA 作者 Jeff Butts 呢篇文嘅重點好簡單：佢本來每個 Proxmox 服務都開一部 VM，覺得乾淨、隔得開；用耐咗先發現，Pi-hole、Uptime Kuma、Homarr、RustDesk 呢類小工具其實冇食到咁多資源，反而每部 VM 自己嗰套 Linux、package cache、log 同背景 service 先食咗一截 RAM 同磁碟。搬去 LXC 後，佢話同一套硬件爽手咗，restart 快咗，maintenance 都少咗重複工。

呢個 angle 對香港 home lab 有實際味道。好多屋企放唔落一部大 tower server，最後都係 N100 mini PC、舊 office PC、兩 bay NAS，再加一堆 USB 硬碟。RAM 一少，散熱一窄，電費又唔係冇感覺，每個小服務都開完整 VM，就好似用的士送一封信，做到，但成本同噪音都多咗。LXC 贏嘅位，正正係呢啲細碎服務累積起上嚟嗰筆浪費。

圖片：Proxmox VE Documentation

LXC 慳位，唔係魔法

Proxmox 文件講得好白：container 係 full VM 嘅輕量替代，佢用 host 嘅 Linux kernel，唔使為每個 guest 模擬完整 OS；Proxmox 嘅 LXC 仲可以照用 storage、network、backup、firewall 同資源限制。開 Pi-hole、AdGuard Home、Uptime Kuma、dashboard、Git server 呢類 Linux 小服務，多數想要嘅係獨立 filesystem、IP、user、log 同 backup。LXC 畀到呢啲管理感，又少咗一大截 OS 開銷。

慳 RAM 之外，重點係維護節奏會變。十部 VM 即係十套 base OS、十次 security update、十份 package cache；十個 LXC 仍然要更新 userspace 同 app，但每個環境細好多，backup 搬嘅 data 少好多，restart 又快好多。對成日夜晚先有時間摸 home lab 嘅人，呢種少一截 RAM、少幾個 update queue、少等幾轉開機嘅差距，累積起上嚟就係部機冇咁熱、風扇冇咁易叫。

圖片：Proxmox VE Documentation

VM 仍然有佢嘅價值

但係要講清楚，LXC 共用 host kernel，安全邊界同 VM 係兩回事。Proxmox 自己喺文件入面都寫明，container 會用 namespaces、AppArmor、seccomp、cgroups 呢啲機制收窄風險，但 full VM 一般有好啲 isolation，特別係你畀唔熟嘅人跑 workload，或者跑你唔完全信嘅 code。Linux Containers 官方亦講得仲直：privileged container 入面嘅 root 對 host 風險高，unprivileged container 先係較安全嘅預設路線。

所以我會咁分：DNS、監控、dashboard、簡單 dev tool、內網 webhook，LXC 係好合理嘅 default；要跑 Windows、FreeBSD、自己換 kernel module、複雜 GPU / USB passthrough、或者要 Home Assistant OS 嗰套 add-ons 管理體驗，VM 往往少啲麻煩。Media 工具亦要睇 data 放邊度：如果 Jellyfin、arr stack 同相簿本身貼住 NAS storage，硬搬去 Proxmox 只會多咗 mount、permission 同連線依賴。

Privileged LXC 要特別小心

好多教學為咗方便，會叫你開 privileged LXC、加 nesting、再 bind mount 一堆 host path。咁做有時真係最快，尤其係要掂硬件裝置或者共享資料夾，但安全同 backup 語義會變複雜。Proxmox 文件提醒，bind mount 唔應該亂掛 system directory，source path 又唔好有 symlink；Linux Containers 文件亦提到 LXC 預設唔係為防 DoS 做到萬無一失，要配 cgroup limits 去限 memory、CPU 同 pids。

換句話講，LXC 好啱你自己屋企可信嘅小服務，但唔好攞嚟跑陌生人嘅 code，亦唔好見到 RAM 慳咗就所有 security boundary 都拆晒。真係要隔開 guest kernel、要硬件 passthrough 少啲古怪權限問題、要 snapshot / migration 行為最似傳統 server，VM 仍然係正路工具。LXC 幫你慳返重複 OS 開銷，但安全判斷仍然要自己做。

揀法：由 workload 反推

今次最值得拎走嘅 insight，其實係唔好再用「每個 app 一部 VM」做起點。先問個服務要咩：有冇要獨立 kernel？有冇外人會登入？要唔要 direct hardware access？data 係咪喺 NAS 旁邊？更新同還原流程你掌唔掌握？如果答案都好普通，LXC 通常舒服過 VM；如果答案開始牽涉信任、kernel、硬件同跨機 storage，VM 或者留喺 NAS 上面會乾淨啲。

香港細屋 home lab 嘅限制，往往落喺 RAM、熱、噪音、插位同你自己有幾多時間執爛攤子，CPU 反而未必最先頂唔順。XDA 呢篇文唔算大新聞，但提醒得啱：Proxmox 入面細服務多起上嚟，VM default 會慢慢變成成本。下一次裝 Pi-hole、監控或者內部 dev tool，可以先試 unprivileged LXC；遇到 OS、kernel、硬件同隔離要求先轉 VM。

參考來源

• XDA Developers — Linux containers do what my Proxmox VMs couldn't: run a dozen services without wasting half my memory — original report
• Proxmox VE Documentation - Proxmox Container Toolkit — Proxmox 官方 container 文件，核對 LXC 用 host kernel、resource limits、unprivileged / privileged container 同安全限制。
• Proxmox VE Documentation - QEMU/KVM Virtual Machines — Proxmox 官方 VM 文件，核對 QEMU/KVM 用 hypervisor 模擬硬件同 guest OS 嘅定位。
• Linux Containers - LXC Security — LXC 官方 security 文件，補 privileged / unprivileged container、root mapping 同 DoS 風險。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。