lxc可替代传统虚拟机，但须满足宿主机为linux且服务仅依赖linux内核；必须禁用“无特权容器”，并手动配置设备权限（如tun）、嵌套支持及静态网络，alpine仅适用于纯静态服务，复杂应用推荐debian/ubuntu。
直接用 LXC 容器替代传统虚拟机完全可行，但必须满足两个前提：宿主机是 Linux（PVE 本身就是）、你运行的服务也只依赖 Linux 内核——比如 Nginx、Redis、青龙面板、OpenWRT 旁路由。Windows、macOS、需要自定义内核模块或完整硬件虚拟化的场景，LXC 不行。
创建容器时必须关闭“无特权容器”
这是最常被忽略的致命点。默认勾选“无特权容器”会导致后续无法运行 Docker、挂载 TUN/TAP 设备（如 OpenWRT）、加载内核模块（如 wireguard）、甚至部分 systemd 服务启动失败。
- Web 界面创建 CT 时，务必取消勾选
无特权的容器 - 命令行创建时不要加
--unprivileged参数 - 已创建的容器，需先关机，再编辑
/etc/pve/lxc/[CT_ID].conf，确认文件里没有unprivileged: 1这一行
容器内跑 Docker 必须开启嵌套 + 补充设备权限
单纯开“嵌套”还不够。Docker 的 dockerd 启动时会尝试访问 /dev/mapper/control、/dev/loop-control 和 /dev/net/tun，而默认 LXC 容器禁止这些设备节点。
- 在 PVE Shell 中编辑容器配置：
/etc/pve/lxc/[CT_ID].conf - 追加以下三行（缺一不可）：
lxc.cgroup.devices.allow: a lxc.cap.drop: lxc.cgroup2.devices.allow: c 10:200 rwm
- 其中
c 10:200对应/dev/net/tun，对 OpenWRT、WireGuard、Docker 的 overlay2 驱动都关键 - 重启容器后，进容器执行
ls -l /dev/net/，能看到tun设备才表示生效
Alpine vs Debian/Ubuntu：选哪个取决于你要跑什么
不是越小越好。Alpine 轻是轻，但 musl libc 和 bash 缺失会让很多预编译二进制（尤其是 Docker 官方包、Node.js 原生模块、某些 Go 工具）直接报错或运行异常。
- 跑纯静态服务（如 Caddy、Traefik、轻量 Redis）→ 选
alpine模板，内存压到 40MB 以内 - 跑 Docker、青龙、Aria2、需要 apt/yum 安装生态软件 → 选
debian或ubuntu，避免apk add找不到包、glibc兼容问题 - 别用 Alpine 跑 Docker Desktop、GitLab Runner、任何带 CGO 的 Go 程序——大概率段错误或 syscall 不兼容
网络配置别全信 DHCP，手动桥接更稳
PVE 默认给 LXC 分配 vmbr0 桥接 + DHCP，看似省事，但实际容易和路由器 DHCP 冲突、IP 泄露、或容器内 systemd-networkd 抢网卡控制权导致 DNS 失效。
- 创建时网络类型选
bridge，IP 地址填静态，例如192.168.1.100/24 - DNS 填你家路由器地址（如
192.168.1.1），别用8.8.8.8——后者在某些 ISP 下会绕过家庭防火墙规则 - 若需容器直通物理网卡（如做旁路由），必须额外在配置中加：
lxc.network.type: phys lxc.network.name: eth0 lxc.network.flags: up lxc.network.hwaddr: 00:11:22:33:44:55
真正麻烦的从来不是创建容器，而是搞清哪些权限要开、哪些设备要放行、哪些 libc 依赖不能省——这些细节藏在 /etc/pve/lxc/*.conf 里，改错一行，dockerd 就起不来，openwrt 就连不上 WAN。
