Ubuntu 下限制 Overlay 的可行路径
- 限制写层容量：对 upperdir 所在目录做目录级配额（推荐 XFS Project Quota），可精确限制容器或 chroot 中 Overlay 的可写数据量。
- 限制运行时资源：用 cgroups 限制 Overlay 相关进程的 内存/CPU 等，防止写放大或滥用。
- 保护系统根文件系统：用 overlayroot 将根设为只读，所有写入落到 tmpfs（可配置是否保留到持久分区），实现“重启即还原”。
- 内核层约束：控制 lower 层数、避免 同一 upper/work 复用、确保 upper 所在文件系统支持 xattr/dtype 等，减少故障面与滥用空间。
场景一 限制可写容量（upperdir 配额）
- 适用：容器、chroot、自定义挂载的 Overlay，目标是限制“能写多少”。
- 思路：把 upperdir 放在 XFS 上并启用 project quota，给 upperdir 打 Project ID 后设置硬限额。
- 步骤（宿主机上）：
- 确认 upperdir 所在分区为 XFS，并在挂载时启用配额（如挂载选项包含 uquota/pquota；若需对根分区启用 project quota，还需在启动时加内核参数 rootflags=pquota）。
- 为 upperdir 目录设置 Project ID（示例 ID 为 101）：
xfs_quota -x -c ‘project -s -p /var/lib/overlay2/upper 101’ /
- 给该项目设置硬限制（示例 10MB）：
xfs_quota -x -c ‘limit -p bhard=10m 101’ /
- 验证：在容器中向挂载点写入大文件，超过限额应报错 “No space left on device”。
- 容器快捷方式：若 Docker 存储驱动为 overlay2 且后端为 XFS，可直接用
docker run --storage-opt size=10m …
其底层即是对 upperdir 目录做 project quota 的自动化设置。
场景二 限制运行时资源（cgroups）
- 适用：需要限制某个服务/会话对 内存/CPU 的使用，避免写缓存或拷贝放大导致整机受影响。
- 思路：将使用 Overlay 的进程（或其 mount namespace 内的关键进程）加入 cgroup，设置内存/CPU 上限。
- 示例（限制内存为 100MB）：
- 创建 cgroup：
sudo cgcreate -g memory:overlay_limit
echo $((10241024100)) | sudo tee /sys/fs/cgroup/memory/overlay_limit/memory.limit_in_bytes
- 将目标进程加入：
sudo cgclassify -g memory:overlay_limit
- 可按需设置 OOM 策略、CPU 份额等。
- 提示：若 Overlay 进程频繁触发 copy-up，CPU/内存限制能间接抑制写入放大；如需按容器粒度限制，优先使用容器运行时（Docker/K8s）的资源配额。
场景三 保护系统根文件系统（overlayroot）
- 适用：需要系统“只读根”，所有变更临时生效，重启即还原。
- 思路：用 overlayroot 将 / 下层为只读根分区，上层为 tmpfs（也可指定持久块设备或加密设备），实现不可变基础设施。
- 步骤：
- 安装：sudo apt-get install -y overlayroot
- 配置 /etc/overlayroot.conf：
overlayroot=“tmpfs:swap=0,recurse=0”
- tmpfs：上层写入进内存，重启丢失。
- swap=0/1：是否允许使用 swap（默认禁用）。
- recurse=0：是否递归覆盖已挂载的其他文件系统（默认会覆盖，设为 0 可保留如 /data 的持久写入）。
- 重启后验证：mount 应看到根类型为 overlay，lowerdir 指向只读介质（如 /media/root-ro），upperdir 为 tmpfs。
- 临时禁用（一次性）：在 GRUB 启动项末尾追加 overlayroot=disabled，进入后可修改系统；如需永久恢复，改回配置文件为空并重启。
场景四 内核与挂载层面的约束与最佳实践
- 层数上限：lower 层数最多约 500 层；但 mount 选项总长度受 单个内存页（约 4KB） 限制，过多或过长路径可能挂载失败。
- 文件系统要求：
- upperdir 所在文件系统需支持 xattr 与 dtype，否则 opaque 目录、redirect_dir、index 等特性受限或不可用。
- upperdir 不应位于 NFS/CIFS/gfs2/vfat/ocfs2/fuse/isofs/jfs/另一层 overlayfs 上；lowerdir 可位于远程文件系统或另一层 overlayfs。
- 复用与隔离：避免多个 Overlay 实例共用同一 upperdir/workdir；确保 workdir 与 upperdir 不在父子目录关系。
- 只读场景：若仅需只读视图且不需写层，可仅指定 lowerdir（≥2 层） 而不指定 upperdir/workdir，得到只读挂载。
