PVE 9 LXC 容器启动 Docker 步骤小结及避坑指南

（全程基于 PVE 9.0 + Debian 12 模板，新手可照搬，老手可速查）

一、先想清楚：为什么要在 LXC 里跑 Docker？

1. 省内存：同样 8 GB 主机，KVM 刚开机就吃掉 1 GB，LXC 只有 120 MB。
2. 快照快：PVE 的 LXC 快照秒级回滚，比 Docker volume 回退更暴力。
3. 家庭 All-in-One 友好：N100、N5105 小主机，8 W 功耗就能跑 10 个容器。

二、前置检查：PVE 9 已自动满足 90% 条件

项目	PVE 9 默认状态	备注
内核版本	6.14	自带 overlay2、cgroups-v2
AppArmor	已安装	后面手动放行
LXC 版本	5.0 +	支持嵌套，无需额外仓库

三、创建 LXC 容器（关键 3 个勾选）

1. 模板：debian-12-standard_12.x-amd64.tar.zst（官方下载即可）
2. 取消「无特权容器」 → 必须特权，否则 /dev 与 cgroup 权限不够
3. 选项页一次性打勾：
☑ 嵌套（Nesting）
☑ FUSE（可选，后面挂载网盘更省心）

四、手动加 3 行配置（容器关机状态下）

SSH 到 PVE 节点，编辑
/etc/pve/nodes/<你的节点>/lxc/.conf
追加：

features: nesting=1,fuse=1lxc.apparmor.profile: unconfinedlxc.cgroup2.devices.allow: a

解释：

• nesting=1 → 允许容器里再建命名空间
• apparmor: unconfined → 放行 mount 系统调用
• devices.allow: a → 读写所有设备节点，dockerd 才不会报 “no permission”

五、启动容器并安装 Docker

apt update && apt upgrade -yapt install curl -ycurl -fsSL https://get.docker.com | shsystemctl enable --now dockerdocker run --rm hello-world      # 验证

看到 “Hello from Docker!” 即成功。

六、常见报错与一键对照表

报错关键字	原因	对应配置
overlayfs: invalid argument	未开嵌套	补 features: nesting=1
failed to mount cgroup	cgroup 无写权限	补 cgroup2.devices.allow: a
apparmor denied mount	AppArmor 拦截	写 lxc.apparmor.profile: unconfined
cannot open /dev/tty0	非特权容器	重建→取消“无特权”