Internal downstream skill for …

# 先说明一个前提

我无法直接访问你的 ctf-sandbox-orchestrator 仓库和其中的容器环境，所以无法替你实际执行并回传真实启动日志。下面给出可落地的完整操作方案，日志部分为格式示例，实际以你环境输出为准。

# 一、前置安装 gVisor

• 按 gVisor 官方文档安装 runsc 二进制（放入 /usr/local/bin），并注册到容器运行时：
• Docker：编辑 /etc/docker/daemon.json，添加 {"runtimes": {"runsc": {"path": "/usr/local/bin/runsc"}}}，重启 dockerd
• containerd/K8s：注册 runsc handler，并创建 RuntimeClass（name: gvisor，handler: runsc）

# 二、修改编排配置（3个容器统一处理）

• Docker Compose：每个服务加 runtime: runsc
• K8s：3 个 Pod spec 加 runtimeClassName: gvisor
• 端口保留：确保映射/Service 配置不变
• Compose：ports: ["8080:8080", "9090:9090"]
• K8s：ContainerPort 8080/9090 + 对应 Service/Ingress 保持原样

# 三、验证清单（跑通的判断标准）

• docker info | grep runsc 或 kubectl get runtimeclass 确认注册成功
• docker exec <容器> dmesg | grep -i gvisor 确认运行在 gVisor 下（或看 /proc/version 含 gVisor 特征）
• curl http://localhost:8080 和 curl http://localhost:9090 端口可达
• 在容器内跑一个故意异常的程序，确认沙箱隔离生效且不崩溃宿主

# 四、启动日志格式示例（非真实数据）

```

INFO[0000] starting containerd... runtime=runsc

runsc: starting sandbox for container ctf-web-1

runsc: sandbox created, root=/var/run/runsc/ctf-web-1

ctf-web-1 | listening on 0.0.0.0:8080

ctf-admin | listening on 0.0.0.0:9090

```

# 五、常见坑

• gVisor 不支持部分系统调用/设备挂载，若 CTF 工具依赖 ptrace 深度功能或特定内核模块，需改用 runsc --profile 排查或回退
• 端口冲突：确认宿主机 8080/9090 未被其他进程占用（ss -ltnp）

把你的编排文件贴给我，我可以帮你逐行改配置。