mount snapshots with the noload option

When using block device based snapshots we cannot mount the
filesystem as it's not clean, and we also can't replay the
journal without write access (as even `-o ro` writes to
devices when replaying a journal (see the linux docs under
Documentation/filesystems/ext4.txt section 3 option 'ro')).
So we need to use the "noload" option to avoid replaying the
journal.

vzdump:lxc: sync and skip journal in snapshot mode

We now perform a 'sync' after 'lxc-freeze' and before
creating the snapshot, since we now mount snapshots with
'-o noload' which skips the journal entirely.

vzdump:lxc: activate the right volumes

bump version to 0.9-23

use json schema format for network config

To correctly generate docs for -net[n].

Replace parsing code for -net* and -mp*

Use the new JSONSchema provided parser which also verifies
the parameters with their schemas.

Use format hashes in schemas

Use full schemas and generate_typetext for -net* and -mp*
properties.

When destroying a container, remove bind mounts and block devices from the list of volumes to delete.

CT protection mode

[PATCH 2] changes:

- added common check_protection subroutine
- disk removal or update operation
- restore over protected CT prevention
- changed man page message

vzdump: tar: disable warnings about ignored files

bump version to 0.9-22

allow to parse configuration value with spaces

Required for namenerser and searchdomain lists.

specify data format for hostname, searchdomain and nameserver

add check for newlines before writing configuration

vzdump:lxc: unshare mount namespace

Enter a new mount namespace for stop and snapshot backups
where we need to mount the container to a temporary
location.

mountpoint_mount: disallow symlinks in bind mounts

symlinks in mount paths can cause security issues
assume the following setup:
mp1: local:X,mp=/disk2
mp2: /mnt/shared,mp=/shared
Now the container boots and executes this sequence:
ct:# ln -s /var/lib/lxc/$VMID/etc /disk2/shared
ct:# umount /disk2
ct:# ln -s /mnt /disk2
ct:# umount /shared
ct:# rmdir /shared
ct:# ln -s /etc /shared
ct:# poweroff
Now the owner waits for a stop-mode backup of the container
to be created:
mp1 will be mounted to the host's /mnt because the
container's /disk2 is a symlink to /mnt.
mp2 will now access the replaced /mnt/shared, which is a
symlink to the container's /etc, and mount that over the
container's /shared, which is a symlink to the host's /etc.
Now until the backup is finished the container's owner could
log into the host via ssh using his container's user
credentials.

We'll also unshare the mount namespace when performing such
backups, but it's still a bad idea to allow symlinks
modifying mount container paths.

use sanitize_mountpoint in foreach_mountpoint

This is for consistency as well as it's a minor security
improvement.

If the source is a path we also want to sanitize it in order
to not get broken behavior when using paths like
/dev/../something etc.

lxc: use new disk option names in permission check

made check_ct_modify_config_perm check VM.Config.Disk for
'rootfs' and 'mp\d+' instead of the old 'disk' option.

fix previous commit (s/snapshot/suspend/)

rsync cleanup

It's only one command now, renamed $base to $rsync.

vzdump: suspend mode fixes

-) '-x' is '--one-file-system' (the longer version is easier
to spot.)
-) Use --relative's special handling of `/./` in paths in
order to make --one-file-system and --exclude options work
together the way they should.

Here's the issue:
Say you have thse files in your container:
  /the-file
  /mp0/the-file
And assume /mp0 is a mountpoint.
Naturally you want `-exclude-path /the-file` to only exclude
the first of the two files. This is hard when rsyncing each
mountpoint separately, as the rsync command for mp0 would
see files relative to /mp0, and thus both files would be
excluded unless we modify exclude paths accordingly - which
we can't as they can be arbitrary glob patterns.
Now with rsync's --relative option - assume the container is
mounted at /temp (iow: /temp/ and /temp/mp0). Passing
/temp/mp0/ to rsync would copy the contents of the mp0
mountpoint into the root directory of the destination
(essentially doing the equivalent of `mv mp0/* /` in the
container's backup.). However, rsync's special treatment of
/./ with the --relative option allows us to pass
/temp/./mp0/ which tells rsync that `/mp0` is supposed to be
included in the path, iow. we're actually copying from
/temp/, but we want only its mp0/ directory.
See rsync(1)'s section about --relative for a detailed
description.

cleanup

vzdump: don't unmount filesystems with -mode suspend

drop mkdirs flag on mount_all

It was only used in update_pct_config and isn't required
as mountpoint_mount already creates the directory anyway.

bump version to 0.9-21

vzdump: use the new run_command variant

Use the array-of-array version of run_command to build the
pipe, this should deal with most quoting issues.
Note that tar handles glob patterns in --exclude itself, so
quoting patterns instead of letting the shell resolve them
is also actually more correct.

vzdump: lxc find/mp update 2: archive

To void at least some weird quoting issues, and since tar
has a --one-file-system option, always skips sockets and
also supports exclusion by pattern we now simply use tar
directly instead of passing files listed by 'find'.

vzdump: lxc find/mp update 1: rsync

change rsync_vm to use the new exclude pattern method and
deal with mountpoints

vzdump: replace diskinfo with disks array

replace the diskinfo data coming only from the rootfs with
a disks array and sanitize mountpoints

cleanup

-) whitespace fixup
-) remember storecfg hash value in a variable

rename some $mountpoint vars to $rootdir

disambiguate the two terms

bump version to 0.9-20

fix bug #712: fix stop mode backups when container is running

add support for LVM

add changelog

mountpoint_mount: return info if mount uses loop device

This simplifies code inside update_lxc_config().

vzdump: remove debug statement

bump version to 4.0-19

allow older debian versions (>= 4 (etch))

update changelog

format_disk: call activate_volume()

bump version to 0.9-18

cleanup mp size parameter (add units, same code as QemuServer)

bump version to 0.9-17

mount_all: make sure rootfs exists

avoid warning about undefined value

bump version to 0.9-16

Don't die in vm_shutdown when we have no errors

This fixes bugzilla entry: https://bugzilla.proxmox.com/show_bug.cgi?id=707

CT protection mode added

bump version to 0.9-15

resize: add bash completion support

support resizing of owned container disks

fix block device access

-) The condition was apparently to ignore /dev/ paths while
   that's actually what it was supposed to handle... (other
   paths aren't devices...).
-) Get rid of the blockdevices_list heuristics, it doesn't
   work reliably for all types of devices.
-) Check whether a device is a block device via S_ISBLK on
   the device file.
-) Don't try to follow symlinks as the name we provide in
   the mp config is the name we want in the container.
-) Blacklisted loop devices as they pose a security risk.

get rid of most of the loop-devices code

-) loop devices are now attached in mountpoint_mount, and
immediately detached in order to set the auto-clear flag

Keeping track of loop-devices is otherweise next to
impossible and a security concern.
We mount the filesystems for the container. We do not
support full loop device access for containers for a simple
reason: once a container detached a loop device, the
startup of another container might reuse it, exposing its
devices to the first container, generating unwatned cross
container access permissions.

Loop devices are also set to auto-clear, so that we do not
need to worry about detaching them when stopping the
container.

fix unlock handling after migration.

this will handle if the migration was successful or not.
this is important, because this determines where the config is.

try to generate files atomic (all or nothing)

use complete_migration_target from PVE::Cluster

add the capability to unlock a Container if it is locked

check is mounted before try to unmount disk.

this is neccessay because otherwise when a storage is not mounted, like when it is offline, the migration crash.

create_disk: correctly pass nomp parameter to  print_ct_mountpoint

pct exec: fix bash completion

move create_disks to PVE::LXC to avoid cyclic dependency

add support to add mountpoints with pct set

made create_disk non-private
made print_ct_mountpoint include 'mp=' unless 'nomp' is set
added an mkdirs flag to mount_all
create mount directories for now mountpoints simply by
  calling mount_all followed by umount_all

create_rootfs: revert previous change and always call umount_all

Because we also want to unmount mounts which do not use loop devices,
for example bind mounts, subvols, /dev/xyz, ...

cleanup coding style

format_disk: cleanups, never try to format subvolumes

fix coding style

disk formatting and mounting changed

-) format disks after vdisk_alloc instead of in mount_all
-) make mount_all return the loop device list so it can be
   passed to umount_all optionally
-) umount_all takes an optional loopdevs list to avoid
   listing loopdevs when not necessary

use run_cli instead of run (name changed in pve-common)

use PVE::Cluster::complete_next_vmid

auto-generate bash completion config

pct: use separate class for CLIHandler (src/PVE/CLI/pct.pm)

do not generate pod files for lxc hooks

added pct exec

Using the new 'extra-args' options for command arguments.

Examples:
 # pct exec 100 ls /
 # pct exec 100 -- ls -l /

Convert to disksize to GB after reading the config file

This fixes a bug when calling pct restore a vzdump backup:
we store the rootfs size in KB, but create_disks expects that a GB parameter.
So the restore was failing trying to create something of a Petabyte image.

Formatting '/var/lib/vz/images/110/vm-110-disk-1.raw', fmt=raw size=4503599627370496
unable to create image: qemu-img: /var/lib/vz/images/110/vm-110-disk-1.raw: The image size is too large for file format 'raw'

Enhance pct man page with DESCRIPTION, EXAMPLES, FILES, SEE ALSO sections

typo fixup: dettach -> detach

add missing archlinux ostype confdesc enum entry

fix some warnings shown during 'make dinstall'

destroy owned mountpoints on pct destroy

lxc-stop fails when 'kill' and 'timeout' options are used together

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

add bash completion support

use multiple mount protection (mmp)

normalize mount path

mount_all: unly call umount on error

fixed call for cfg file and error when CT is running and on local storage

When trying to migrate only throw an error when the CT is on an non
shared storage AND running.
Also fixed an remaining PVE::OpenVZ call to LXC.

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

Removing dead code from CT stop call and fixing typo

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

create_rootfs: correctly deactivate volumes (fix previous commit)

umount_all: fix previous commit

add offline migration code

skip lxc hooks on non-PVE containers

Our containers all only have a number as name. If any other
character appears in a container name, skip our hooks in
order to allow lxc to be used manually without interference
from PVE.

use loop device for all 'raw' formated disks on directory based storage

lxc detect error message changed

underscore is a valid lxc config key character

implement mount_all/umount_all

parse_ct_mountpoint: allow to parse "--rootfs 0"

cleanup error message

HA resources check before destroying lxc

bump version to 0.9-14

run spiceterm and return spiceproxy config only if CT is running

This mirrors the behavior of qemu VMs, if the container is not
running, return an error when trying to launch the spiceproxy
API call.

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

vzdump: correctly implement snapshot backup

use normal snapshot code to generate snapshots.