¿LXC se une a Docker? Dudas clave sobre Proxmox 9.1

Proxmox VE 9.1 acaba de publicarse y, como es habitual, la actualización aporta bastante más que un simple salto de versión. Si has seguido las conversaciones en foros y redes, hay entusiasmo, cierta prudencia y mucha curiosidad, centrada sobre todo en una novedad destacada: la creación de contenedores LXC directamente a partir de imágenes OCI. Para quienes aún no lo conocen, es básicamente una vía para traer contenedores al estilo de Docker al ecosistema de Proxmox.

Eso es solo la punta del iceberg. Desde ajustes en TPM hasta informes mejorados en SDN, hay mucho que desgranar, así que en lugar de soltar una lista de cambios, hemos recopilado las principales preguntas que la gente se hace sobre Proxmox 9.1 y las respondemos directamente.

P: ¿Qué tiene de especial crear contenedores LXC desde imágenes OCI? ¿Esto es Docker ahora?

En parte. La nueva función te permite desplegar contenedores LXC utilizando imágenes de registros OCI, sí, como Docker Hub. Aunque no conviene tirar tu entorno de Docker a la papelera todavía.

Por ahora es una vista previa técnica (tech preview), lo que significa que es experimental y aún tiene aristas por pulir. Puedes descargar imágenes y arrancar contenedores, pero funciones complejas como docker-compose, la gestión nativa de volúmenes o la configuración de red avanzada aún no están disponibles. Piensa en ello más como "algo cercano a Docker con sabor a Proxmox" que como "Docker dentro de Proxmox".

Aun así, representa un avance enorme. Muchos usuarios lograron poner en marcha contenedores de Grafana, Nextcloud o Nginx sin mayores complicaciones. Otros toparon con limitaciones, sobre todo cuando los contenedores requerían algo más que variables de entorno para configurarse o dependían del sistema de archivos por capas característico de Docker.

En resumen, resulta muy prometedor. Si todo evoluciona bien, esto podría reducir la necesidad de ejecutar Docker dentro de un LXC o en una VM completa, ofreciendo una mayor eficiencia de recursos sin perder la capa de control de Proxmox.

P: ¿Es estable esta actualización? ¿Conviene actualizar ya o esperar?

El consenso apunta a que es mayormente estable, con matices. Quienes ya utilizaban la versión 9 señalan que la transición a 9.1 es muy fluida, aunque no faltan anécdotas de terror con ajustes de BIOS, arranques fallidos y errores de segmentación imprevistos en configuraciones específicas. La mayoría de esos problemas parecen vinculados a peculiaridades del hardware subyacente o a usuarios que se saltaron pasos como las comprobaciones con pve8to9.

Un usuario lo resumió a la perfección: "He trabajado en TI el tiempo suficiente para saber que nunca hay que ser ni el primero ni el último en actualizar".

Por lo tanto, si estás en la rama 8.x:

• Sí, es seguro, siempre que sigas la documentación de actualización al pie de la letra.
• No, si estás cansado, te falta café y pretendes intentarlo a las 11 de la noche (11PM) en nodos de producción.

P: Un momento, ¿qué cambia con el TPM?

Proxmox VE 9.1 añade soporte para el estado del TPM en formato qcow2. Puede sonar a detalle menor, pero resulta fundamental para cualquiera que ejecute VM con Windows que utilicen secure boot u otras características modernas de seguridad.

Es especialmente relevante si sueles hacer snapshots o migrar VM que dependen de TPM. En versiones previas, los snapshots y las copias de seguridad no siempre se llevaban bien con máquinas con TPM habilitado, y ahora esa información puede almacenarse adecuadamente.

Una advertencia: no puedes crear un snapshot de una VM en ejecución con TPM, al menos por ahora. Tendrás que apagar la máquina primero.

P: ¿Qué más novedades trae realmente la 9.1?

Aquí tienes varios aspectos destacados que pueden interesarte:

• Nuevos parámetros para vCPU que permiten un control detallado de la virtualización anidada (una ventaja para entornos de desarrollo y pruebas).
• Informes de estado de SDN más claros, sobre todo si aprovechas las funciones de redes definidas por software de Proxmox.
• Mejoras en la interfaz web, incluyendo avisos de actualización más intuitivos y una gestión de contenedores más ágil.
• Actualizaciones del kernel, que mejoran la compatibilidad y el rendimiento, aunque pueden romper configuraciones antiguas de clientes NFS si no se presta atención.

También hay una mejor gestión de /proc y /sys en entornos de contenedores anidados, lo que resuelve un fallo que impedía que ciertos contenedores de Docker funcionaran correctamente dentro de LXC.

P: ¿Se soluciona con esto el problema de AppArmor con Docker en LXC?

Sí, aunque depende de tu entorno. La conflictiva combinación de apparmor con runc que rompía Docker dentro de LXC ha sido un dolor de cabeza recurrente, en particular para quienes usan Debian 13. La actualización a 9.1 suaviza ciertas restricciones de AppArmor cuando el anidamiento (nesting) está activado, lo que corrige el fallo para contenedores no privilegiados.

El fallo en sí se encuentra aguas arriba en Docker/runc/AppArmor, no en Proxmox. Las soluciones provisionales pasaban por degradar runc, cambiar a Alpine o simplemente mover los contenedores a máquinas virtuales. Con esta actualización, muchos de esos contratiempos desaparecen, siempre que reinicies los contenedores tras actualizar.

P: ¿Conviene más usar VM o LXC ahora para Docker?

El debate sigue abierto. Hay quienes aseguran que ejecutar Docker en una VM dedicada (especialmente con Alpine) les dio mejor rendimiento que en LXC, mientras otros sostienen que eso solo ocurre si el LXC está mal configurado.

Un usuario argumentaba que un entorno más limpio, la afinidad de CPU (CPU pinning) y la compatibilidad con NUMA hacían que su configuración de Docker en VM fuera más ágil de lo que Docker en LXC llegó a ser nunca.

Por lo tanto, depende de tu carga de trabajo. Para servidores web sencillos y directos, LXC puede seguir siendo ideal. Para cualquier tarea que requiera un uso intensivo de E/S, cifrado o control estricto sobre el kernel, las VM siguen ganando.

Si quieres un análisis exhaustivo sobre cuándo elegir LXC básico, Docker en LXC o Docker en VM, consulta nuestra guía de decisión entre LXC, VM y Docker.

P: ¿Es esto un primer paso para sustituir a Docker por completo en Proxmox?

Quizá con el tiempo. Hoy por hoy es más un paso lateral que un reemplazo completo.

Existe la esperanza de que las próximas versiones incorporen un mejor mapeo de volúmenes, orquestación de contenedores (al estilo de un docker-compose integrado) y tal vez integración directa con la API de Docker. No obstante, a día de hoy, la compatibilidad con OCI en Proxmox funciona más como un puente inteligente entre su propio motor de contenedores y el ecosistema moderno de contenedores.

P: ¿Algún otro detalle a tener en cuenta en esta versión?

Varios puntos que conviene vigilar:

• Estabilidad con NFS. Algunos usuarios experimentaron bloqueos en los nodos bajo una carga pesada de NFS con el nuevo kernel, mientras que otros no tuvieron problema alguno. Si dependes en gran medida de NFS, procede con precaución o haz pruebas antes.
• Pequeños desajustes en el orden de arranque. Varios administradores descubrieron que el orden de arranque de su BIOS cambió tras la actualización.
• Todavía no es posible hacer snapshots en caliente de VM de Windows con TPM activado, por lo que deberás apagarlas previamente.

Y como siempre, no te saltes el script de validación pve8to9. Es capaz de detectar configuraciones antiguas o paquetes residuales que podrían generar problemas a mitad de la actualización.

P: En resumen, ¿debería actualizar a 9.1?

Si ejecutas Proxmox en un homelab o en cualquier entorno no crítico, adelante. Las novedades, y el soporte para OCI en particular, merecen mucho la pena.

Si administras clústeres de producción, haz pruebas primero y espera una o dos semanas si no tienes prisa.

Y si eres de quienes disfrutan del riesgo extremo, adelante, actualiza en vivo a medianoche sin leer la documentación. Solo no digas que no te avisamos.

Reflexiones finales

Proxmox VE 9.1 se percibe como un puente entre el estado anterior de la virtualización y el rumbo que está tomando. Los contenedores LXC al estilo de Docker, los snapshots compatibles con TPM y los controles más granulares de SDN apuntan hacia un futuro más integrado y cercano a los contenedores.

Por el momento, ese futuro sigue en fase preliminar. Si te atrae experimentar con nuevas capacidades y no te importa hacer algo de ensayo y error, esta versión es un terreno ideal para trastear. Si la estabilidad es tu máxima prioridad, dale un poco de tiempo.

Mientras tanto, no pierdas de vista esas imágenes OCI. Proxmox sigue siendo Proxmox, y sin duda está aprendiendo a hablar el idioma de Docker con soltura.