firefox и утечки памяти

[Сергей-70]

после того как получилось вырубить firefox free показала, что свободной памяти около 100 мегов (всего ОЗУ - 4Гб), но все остальные проги тоже реагировали как беременные (очень глубоко) тараканы)))
Может, конечно, и libreoffice отчасти виновен - я ему выделил от души памяти - 200 мб, чтоб не ползал на больших документах (у меня открыты документы по 350 страниц с графиками, таблицами и проч.). На убунте я не позволял себе расслабляться и так по долгу держать открытыми тяжелые программы, а здесь расслабился)))

[ASte]

Знакомо. Рекомендую присмотреться к SSD. Значительно ускоряет систему если дело доходит до заметного использования swap-а.

[Сергей-70]

Почти правильно. Там действительно всего много и не "все йогурты полезны" (с)

ASte, огромное спасибо за помощь....  но вот еще вопрос: а при запуске лиса как указывать параметры дисплея? Я пробовал на готовых образах указывать команду DISPLAY=$DISPLAY, так вылетает ошибка

[ASte]

например можно так:
в docker в entrypoint  примерно так:
/usr/bin/firefox   -UILocale ru --display=$DISPLAY
запуск контейнера так:
/usr/bin/docker run  --rm -e DISPLAY=$DISPLAY   -v  /tmp/.X11-unix:/tmp/.X11-unix имя_контейнера

Если контейнер запускается от имени  другого пользователя то ему нужно дат права на X-сессию:

Код: [Выделить]

/usr/bin/xhost +SI:localuser:пользователь_хоста_с_uid_равным_uid_пользователя_в_контейнере
После запуска контейнера права можно сразу отобрать:
/usr/bin/xhost -SI:localuser:имя_пользователя_у_которого_отбираем

 
Можно на время эксперимента просто расшарить свою X-сессию "для всех":

Код: [Выделить]

xhost +
потом соответственно xhost - чтобы забрать права обратно.
но на постоянной основе так делать нежелательно из соображений безопасности. 
 

[Сергей-70]

Рекомендую присмотреться к SSD. Значительно ускоряет систему если дело доходит до заметного использования swap-а.

Или увеличить ОЗУ в разы?

[ASte]

Если памяти обычно хватает, но иногда вылезаете в swap - то апгрейд HDD->SSD наверное более оптимален, если нехватка и экономия памяти это обычное явление, то в первую очередь стоит добивать память. Ну и по деньгам смотреть.
Я на этом ноуте просто сидел на HDD до окончания гарантии - тут полная разборка нужна была для замены диска - не хотелось гарантию терять. А так SSD значительно комфортнее в работе чем HDD.
Ну и у меня с 8GB памяти ноут из hibernate очень мучительно поднимался. Сейчас - взлетает.

[Сергей-70]

У меня получилось вот как: скачал готовый образ с debian-firefox
(там есть образы альта, но без иксов): https://hub.docker.com/r/sassmann/debian-firefox/
Далее xhost +
И запустил от рута такой командой:
docker run -t --rm -e DISPLAY=$DISPLAY -v /tmp/.X11-unix:/tmp/.X11-unix --device /dev/dri/card0 -v /run/user/$UID/pulse/native:/tmp/pulse -v /dev/shm:/home/user/Download docker.io/sassmann/debian-firefox

В принципе, я где-то видел настройки, что можно указать папку с закладками firefox в команде запуска. В общем принцип ясен, буду разбираться. Спасибо за помощь!

[ASte]

-v /home/host_user:/home/container_user  - это проброс домашней папки некоторого пользователя в контейнер целиком. Аналогично можно пробросить только папку с профилем firefox
Когда берете образы из docker hub оьратите внимание на создание пользователя в контейнере и переключение на него:

Код: [Выделить]

RUN adduser --disabled-password user --gecos "User"
USER user ENV HOME /home/user
в Dockerfile.
В том контейнере который нашли Вы - сделано нормально. Но если этого нет то запуск браузера от контейнерного рута это плохая идея.

И вот это еще советую почитать
https://blog.amartynov.ru/docker-userns-remap/

Браузер я отношу к зловредному ПО, способному попытаться атаковать host, пожтому настоятельно рекомендую отделить root-а в контейнере от root-а в основной системе.
 

[Сергей-70]

А может быть тогда браузер запускать с помощью Firejail - она создает песочницу, вроде. К сожалению в репозитории альта ее нет, но может быть есть что-то подобное?

[ASte]

А вот такой контейнер как я описал (с пользованием пользовательского namespace) и есть достаточно "прочный"  jail куда можно поместить не только firefox но и  много чего другого...
Я загнал браузер в контейнер кстати не для того чтобы ему пямять отраничивать, а как раз из соображений безопасности.

[lx001]

Все серьезно и по-взрослому здесь, да-c.
Что в состоянии из первого поста темы и при живых еще firefox и других кандидатах на утечку показывает ps -o vsz,rss,sz,cmd -A ?
Вывод free -m и top -b -n 3 тоже желательно показать.