Eerste stabiele versie van IncusOS voor LXD-alternatief Incus is uit

Het Linux Containers-project heeft een eerste versie uitgebracht van IncusOS. Dat is een besturingssysteem dat specifiek gemaakt is om Incus te draaien, een fork van Canonicals virtualisatietool LXD. IncusOS is immutable, is gebaseerd op Debian 13 en maakt in de basis gebruik van OpenZFS als bestandssysteem.

De makers van Incus, het Linux Containers-project, hebben een stabiele versie van IncusOS uitgebracht. IncusOS is gebouwd rondom Incus, wat op zijn beurt weer een fork is van LXD. In 2023 begon het Linux Containers-project aan een eigen alternatief voor LXD. De makers zeiden toen geen duidelijke roadmap te hebben, maar hintten al wel naar een eigen Linux-distro.

LXD, en dus ook Incus, is containersoftware, vergelijkbaar met Docker, maar dan dieper ingebakken in het besturingssysteem. LXD zit in bijvoorbeeld Ubuntu, maar omdat dat sinds 2023 onderdeel is van het commerciële Canonical, wilden sommige ontwikkelaars een alternatief dat door de community kon worden beheerd.

De distro is nu voor het eerst uitgebracht. IncusOS is immutable. Dat betekent dat de rootdirectory read-only is waardoor veranderingen in de kern van het OS niet permanent worden en worden teruggedraaid na het herstarten. Dat is veiliger en sneller. Dat geldt vooral voor specifieke gebruikersscenario's en IncusOS is ook bedoeld om op oudere servers te kunnen draaien, zeggen de makers. IncusOS ondersteunt ondertussen wel UEFI Secure Boot en TPM 2.0. Het is ook niet zomaar mogelijk lokale of shelltoegang te krijgen. Alle aanpassingen moeten via een REST-api worden doorgevoerd.

IncusOS ondersteunt verder OpenZFS als bestandssysteem en is gebouwd op Debian 13. IncusOS is specifiek gemaakt om LXD-alternatief Incus te gebruiken voor containers, maar de makers zeggen dat het ook makkelijk is om alternatieve interfaces zoals een Operations Center te gebruiken zodat beheerders kunnen migreren vanuit bijvoorbeeld VMware.

De eerste release is stabiel, zeggen de makers, al is er ook een testing-build beschikbaar met bètafuncties. De ontwikkelaars willen naar een wekelijks releaseschema met bugfixes gaan. In de toekomst moet het in het OS ook mogelijk worden aanpassingen in Incus te doen via een webinterface.

Reacties (31)

[groene henk]

Eindelijk de eerste echte vervanger voor VMware ESXi. Niet te hacken en ook supersnel. Met tevens alle functionaliteit van NSX ingebouwd. Daarnaast is er nog een migratie manager die de VMware VMs over kan zetten naar IncusOS met behoud van IP en MAC adressen.

[xxs]

Is Proxmox dan geen goede vervanger voor ESXi?

[Loen]

Ik ben voor homelab ooit overgestapt van ESXi (zonder vCenter) naar proxmox en dat was al een verademing. Tenminste gewoon API access met bijbehorende tools (ansible e.d.) itt ESXi. Maar proxmox voelt toch een stuk minder professioneel/geraffineerd als vCenter. Incus vind ik daarin echt een stuk verder, al heeft het qua community en ecosysteem nog wel wat af te leggen

[groene henk]

Voor een homelab is Proxmox absoluut goed. Het is als echt clickOps, dus lekker next next finish en klaar. Dat kan bij IncusOS ook met IncusUI.

Maar wil je meerdere automatisch en systematisch doen (bv automatisch infra zaken die in een pipeline dan kan dat met IncusOS ook (meer infra DevOps). Je maakt dan configuraties met Terraforms of Ansible en krijgt dan voor elek VM de zelfde uitkomst.

Tevens kun je met IncusOS ook een SDN (software defined network) bouwen en kun je clusters van minimaal 3 servers maken die elkaar dan opvallen.

Ben je dus meer gewend aan de Wizards van VMware en heb je maar 1 server, dan adviseer ik Proxmox, ben je meer van de pipeline en/of geautomatiseerd hele omgevingen optuigen inclusief multi-tenant (cloud) toegang dan is IncusOS meer geschikt.

[-Colossalman-]

Hoezo niet te hacken..? Het is gebaseerd op een bestaand os wat dagelijks/wekelijks updates ontvangt. Leuk dat je het kunt herstarten naar default maar niet te hacken lijkt mij een utopie..

[Loen]

Idd niks is niet te hacken waarschijnlijk. Immutable met een heel klein os met read only fs is natuurlijk wel inherent veel lastiger te exploiten dan een full OS.

[Alfa1970]

Het hangt er vanaf hoe immutable het is.
Is het immutable tot op het punt dat het een jaar duurt voordat security patches door sijpelen naar deze "hypervisor"? Want dan zit je wel een jaar lang met die security bug die je niet weg kan krijgen omdat bij elke keer opstarten de bug weer terug is.

[jimshatt]

Ik denk dat het idee is dat het bestandsysteem waar de kernel op draait read-only is. Als hacker kun je dus niet stiekem wijzigingen maken in config files of het init-proces.

Denk ik, ik heb er verder niet naar gekeken.

[rbr320]

Ik denk dat het idee is dat het bestandsysteem waar de kernel op draait read-only is. Als hacker kun je dus niet stiekem wijzigingen maken in config files of het init-proces.

Dat is inderdaad wat immutable betekend. Het zegt meteen ook iets over de manier waarop er wel wijzigingen op het systeem worden uitgevoerd, bijvoorbeeld bij updates. Updates aan immutable OS-en gaan niet door middel van losse pakketten die individueel geïnstalleerd kunnen worden, in plaats daarvan wordt het systeem in zijn geheel als image gedownload. Meestal is er ook sprake van een constructie met een A en een B partitie, waarbij het draaiende systeem vanaf partitie A de update uitvoert op partitie B. Bij een herstart wordt partitie B gestart en is het systeem dus geüpdate. Als het starten van partitie B onverhoopt niet goed gaat wordt alsnog partitie A gestart en heb je dus je laatste werkende systeem weer terug.

[kozue]

Denk dat het idee is dat je regelmatig een nieuwe container bouwt om je applicatie in te draaien. Wellicht op het moment dat je een nieuwe versie van die applicatie deployed. Een beetje zoals docker dus, en niet zoals een traditionele server die jarenlang draait zonder reboot.

[groene henk]

Updates normaal binnen 24 uur als er een nieuwe CVE verschijnt. Ook kunnen de Incus developers zelf CVEs aanmaken bij Mirte.

Verder heeft de Incus community heeft LXD ingeruild voor Incus. Die hebben sinds 2016 productie versies onderhouden, dus die snappen het wel. Incus wordt steeds populairder en heeft al meer dan 200.000 gebruikers.

[WendelV]

waarom is immutable sneller?

[groene henk]

Immutable opzich is niet sneller. Immutable betekentndat je niet kunt aanpassen.

Maar omdat het niet de overhead van de rest van het onderliggende RHEL of Ubuntu gebruikt. Het mist dus veel libraries. Heeft eigenlijk niks met immutable te maken.

[Reactie gewijzigd door groene henk op 7 november 2025 22:32]

[GertMenkel]

In theorie kan het sneller zijn omdat het bestandssysteem niet hoeft te checken of er ongeschreven cache Ook hoeft de read cache niet zo vaak vernieuwd te worden omdat de inhoud toch niet kan wijzigen.

in geheugen staat. In de praktijk betwijfel ik dat het een verschil maakt of dat die optimalisaties in de drivers zitten voor algemeen gebruik.

Een immutable OS kan wel sneller zijn wat updates betreft: omdat het systeem volledige images uitpakt om updates uit te voeren. Het hoeft dus niet zoals apt duizend kleine archiefjes een voor een te valideren, te downloaden, en uit te pakken. Dat kan ook voordelig zijn voor de compressieverhoudingen van de image.

Performance is niet echt een reden om voor immutability te gaan. De beveiligingsfeatures, verplichte toepassing van best practices, bijvoorbeeld doordat de "ff een bestandje hacken"-aanpak niet mogelijk is, en makkelijke reproduceerbaarheid van hele systemen door een paar configuratiebestanden in te laden zijn een reden om immutability te gebruiken. Dat, en wat andere voordelen en trucjes, is waarom Android en SteamOS hier ook gebruik van maken.

[MaestroMaus]

Ik zie geen reden waarom dit sneller zou zijn. Het is wel veiliger. Misschien kun je stellen dat er geen extra overhead kan ontstaan door veranderde config files en dergelijke. Maar dat vind ik geen sterk argument. Je gaat er dan min of meer van uit dat de meeste gebruikers niet goed met hun systeem kunnen omgaan.

[Neus]

Interessant, had er nog niet over gehoord - zit diep in Proxmox. En in vergelijking, is dit ook bruikbaar voor volledige VM’s of alleen LXC/LXD’s ?

[LANnerd]

Ja draai ook Proxmox clustertje hier en ben hier ook zeer in geïnteresseerd.
Van wat ik op internet kan vinden doet dit praktisch het zelfde, dus zowel full VM's als LXC's maar dan echt volledig opensource zonder enterprise abbo's (en naar het schijnt achterhouden van security updates voor alleen betalende klanten? ).
Alleen schijnt Proxmox een wat uitgebreidere GUI te hebben. Ga dit zeker in de gaten houden en nog eens wat dieper in duiken.

[witterholt]

De GUI wordt bij IncusOS nog wel doorontwikkeld zoals ook in de sectie "What's next" te lezen is op Announcing IncusOS - News - Linux Containers Forum

On the more exciting front, we’re working on a couple of changes to both IncusOS and the Incus UI to allow full deployment and management entirely through the web interface, also eliminating the need for TLS client certificate authentication.

Ik gebruik trouwens ook momenteel Proxmox en overweeg over te stappen op IncusOS.

[Reactie gewijzigd door witterholt op 8 november 2025 17:03]

[DaanHetEendje]

Zeker vergelijkbaar. Op sommige vlakken wint Incus of LXD, op andere vlakken wint Proxmox weer qua functionaliteit.

Zelf heb ik verschillende Proxmox en LXD clusters 6 jaar lang in productie gedraaid met +- 500 guests. Ze hebben allebei unieke features.

Persoonlijk werk ik veel liever met LXD dan met Proxmox. Het voelt veel moderner aan. Het design achter de images, het werken met projects en profiles, en het kunnen aanpassen van defaults zijn voorbeelden van features die echt als een groot gemis voelen bij Proxmox.

Proxmox voelt aan als een hypervisor die nog in 2010 leeft. Lege VMs aanmaken en een ISO installeren. Om vervolgens een "golden image" maken en die clonen. En IDs als unique identifier heeft voor heel wat problemen gezorgd over de jaren heen.

Het enige wat ik nog mis is een soortgelijke aan Proxmox Backup Server. Dit is gelukkig een feature die er aan zit te komen. En dan was het wel qua functionaliteit waar Proxmox wint.

Zelf ben ik bij LXD gebleven en niet naar de community fork Incus gegaan. Vooral voor de optionele commerciële support. Ook speelt de UI hier een grote rol in die door Canonical gemaakt wordt en er een team van developers achter heeft zitten.

[DigitalExorcist]

Is dit dan enigszins vergelijkbaar met QubesOS?

[groene henk]

Qubes OS is ontworpen als een desktop besturingssysteem voor één gebruiker die allerlei taken uitvoert (werk, privé, internet, bankzaken) maar deze taken wil scheiden in geisoleerde “qubes”.

IncusOS is ontworpen meer als een infrastructuur‐/server‐gericht OS, gebouwd om de container/VM-omgeving van Incus (een container/VM management systeem) op een zeer betrouwbare, uniforme basis te draaien.

Dus het is niet hetzelfde. QubesOS heeft als doel je data/app te scheiden door ze onderwater in mapjes te stoppen, IncusOS is bedoeld als de basis hypervisor voor servers in een Datacenter. Vervolgens draai je daarbovenop dan Windows Server, RHEL, Ubuntu of andere server OS.

IncusOS draai je meestal met minimaal 3 servers en shared storage en virtual networking om automatisch failover te hebben. Je kunt ook alleen Incus bovenop Ubuntu/RHEL draaien (zoals HPe VME doet met hun KVM), maar dan moet je het onderliggende OS ook bijhouden wat de meeste bedrijven niet willen en omdat elke update van dat onderliggende OS moet worden doorgevoerd (en Linux bestaat minimaal uit 4000 modules). Het is dus echt te vergelijken met ESXi van VMware maar dan zit hier ook nog SDN functionaliteit ingebouwd (zoals VMware NSX).

[Loen]

Ik draai 2 losse incus instances, clustering is helemaal niet nodig voor incus. Maar buiten een homelab natuurlijk wel gebruikelijk idd

Incus ondersteunt trouwens ovn networking voor network virtualization, waar NSX ook ooit op gebaseerd is. Sterker nog, Stephane heeft wel eens gemeld te werken aan functionaliteit om te connecten aan NSX om migraties mogelijk te maken, maar niet veel meer over gehoord.

[groene henk]

Daar is een volledig product voor ontwikkeld, dat kun je downloaden onder Futurfusion Migration manager: https://github.com/FuturFusion/migration-manager

[Reactie gewijzigd door groene henk op 7 november 2025 22:26]

[TheMak]

Hoe ik moet ik het me voorstellen als er een certificaat geüpdated moet worden? Maak je dan een nieuwe immutable image?

[Loen]

Draai incus al een jaartje voor mijn homelab en zou zelf niet meer terug willen naar de vorige opties: esx, proxmox en ook nog een tijdje microk8s op mijn nuc's. Incus is tot dusver stabiel, modern, en erg snel doorontwikkeld. Vm's, containers en storage moven tussen instances gaat zelfs prima, alleen oci containers direct op incus draaien mag nog wat liefde krijgen.

Helaas is migreren van Ubuntu base naar incusos wat vervelend...

[groene henk]

Volgens mij is dit niet zo moeilijk:

- als je meerdere systemen heb, live motion je de VMs naar alles behalve 1 systeem. Dat ene systeem installeer je met IncusOS en je zet de VMs weer terug.

- als je maar 1 Incus systeem hebt, dan je die je eerst een Incus Export naar een USB/network drive en dan IncusOS installeren en dan een Incus Import terug.

[Loen]

Dat zou inderdaad kunnen. Even elkaar als remote instellen en zelfde vlan tags instellen (gebruik macvlan). Alleen heb ik ook een data disk van 8Tb en 1 van mijn NUC's doet slechts 1Gbit en heeft geen 8Tb . De data kan wel even geëxporteerd en geïmporteerd worden maar dan nog. Een hoop gedoe voor niet al te veel voordelen (voor thuis)

[- peter -]

Wel interessant. Misschien als ik mn homeserver weer eens ga vervangen, dit uitproberen. Ik draai verschillende VMs en ook containers op een Ubuntu base, en zou t graag echt secure willen hebben.

[Reactie gewijzigd door - peter - op 7 november 2025 22:08]

[xxs]

Je hyperviser is dan welliswaar immutable maar je VM’s hoeven dat dan nog niet te zijn zoals ik het lees.

[DaanHetEendje]

Je kan nog steeds bij je Ubuntu server blijven en daar incus of LXD als package installeren. Je hebt dan dezelfde functionaliteit qua hypervisor als IncusOS, maar je blijft bij je vertrouwde Ubuntu omgeving.

[smartbit]

Lead developer Stéphan Graber op fosdem, Video's & slides:

• fosdem 25: Bringing application containers to Incus (youtube)
• fosdem 24: Introducing Incus (youtube) Geeft historische context Incus.