docker原理（docker原理书籍）

本篇文章给大家谈谈docker原理，以及docker原理书籍对应的知识点，希望对各位有所帮助，不要忘了收藏本站喔。

本文目录一览：

• 1、Docker的底层原理实现（二十）
• 2、Docker是如何实现隔离的
• 3、Docker 配置Flannel网络过程及原理
• 4、DOCKER 总结
• 5、docker对运维的作用
• 6、Docker镜像加载原理

Docker的底层原理实现（二十）

Docker 采用了 C/S 架构，包括客户端和服务端。Docker 守护进程 （ Daemon ）作为服务端接受来自客户端的请求，并处理这些请求（创建、运行、分发容器）。

客户端和服务端既可以运行在一个机器上，也可通过 socket 或者 RESTful API 来进行通信。

命名空间是 Linux 内核一个强大的特性。每个容器都有自己单独的命名空间，运行在其中的 应用都像是在郑闹独立的操作系统中运行一样。命名空间保证了容器之间彼此互不影响。

不同用户的进程就是通过 pid 命名空间隔离开的，且不同命名空间喊铅罩中可以有相同 pid。所有的 LXC 进程在 Docker 中的父进程为Docker进程，每个 LXC 进程具有不同的命名空间。同时由 于允许嵌套，因此可以很方便的实现嵌套的 Docker 容器。

有了 pid 命名空间, 每个命名空间中的 pid 能够相互隔离，但是网络端口还是共享 host 的端 口。网络隔离是通过 net 命名空间实现的， 每个 net 命名空间有独立的 网络设备, IP 地址, 路由表, /proc/net 目录。这样每个容器的网络就能隔离开来。Docker 默认采用 veth 的方式，将 容器中的虚拟网卡同 host 上的一个 Docker 网桥 docker0 连接在一起。

容器中进程交互还是采用了 Linux 常见的进程间交互方法(interprocess communication - IPC), 包括信号量、消息队列和共享内存等。然而同 VM 不同的是，容器的进程间交互实际上还是 host 上具有相同 pid 命名空间中的进程间交互，因此需要在 IPC 资源申请时加入命名空间信息，每个 IPC 资源有一个唯一的 32 位 id。

类似 chroot，将一个进程放到一个特定的目录执行。mnt 命名空间允许不同命名空间的进程看到的文件结构不同，这样每个命名空间中的进程所看到的文件目录就被隔离开了。同 chroot 不同，每个命名空间中的容器在 /proc/mounts 的信息只包含所在命名空间的 mount point。

UTS("UNIX Time-sharing System") 命名空间允许每个容器拥有独立的 hostname 和 domain name, 使其在网络上可以被视作一个独立的节点而非主机上的一个进程。

每个容器可以有不同的用户和组 id, 也就是说可以在容器内用容器内部的用户执行程序而非主机上的用户。

控制组（cgroups）是 Linux 内核的一个特性，主要用来对共享资源进行隔离、限制、审计 等。只有能控制分配到容器的资源，才能避免当多个容器同时运行时的对系统资源的竞争。

联合文件系统（UnionFS）是一种分层、轻量级并且高性能的文件系统，它支持对文件系统的修改作为一次提交来一层层的叠加，同时可以将不同目录挂载到同一个虚拟文件系统下(unite several directories into a single virtual filesystem)。

联合文件系统是 Docker 镜像的基础。镜像可以通过分层来进行继承，基于基础镜像（没有父 镜像），可以制作各种具体的应用镜像。

另外，不同 Docker 容器就可以共享一些基础的文件系统层，同时再加上自己独有的激历改动层， 大大提高了存储的效率。

Docker 中使用的 AUFS（AnotherUnionFS）就是一种联合文件系统。 AUFS 支持为每一个 成员目录（类似 Git 的分支）设定只读（readonly）、读写（readwrite）和写出（whiteoutable）权限, 同时 AUFS 里有一个类似分层的概念, 对只读权限的分支可以逻辑上进行增量地修改(不影响只读部分的)。

Docker 目前支持的联合文件系统包括 OverlayFS, AUFS, Btrfs, VFS, ZFS 和 Device Mapper。

最初，Docker 采用了 LXC 中的容器格式。从 0.7 版本以后开始去除 LXC，转而使用自行开 发的 libcontainer ，从 1.11 开始，则进一步演进为使用 runC 和 containerd 。

Docker 的网络实现其实就是利用了 Linux 上的网络命名空间和虚拟网络设备（特别是 veth pair）。

首先，要实现网络通信，机器需要至少一个网络接口（物理接口或虚拟接口）来收发数据包；此外，如果不同子网之间要进行通信，需要路由机制。

Docker 中的网络接口默认都是虚拟的接口。虚拟接口的优势之一是转发效率较高。 Linux 通 过在内核中进行数据复制来实现虚拟接口之间的数据转发，发送接口的发送缓存中的数据包 被直接复制到接收接口的接收缓存中。对于本地系统和容器内系统看来就像是一个正常的以 太网卡，只是它不需要真正同外部网络设备通信，速度要快很多。

Docker 容器网络就利用了这项技术。它在本地主机和容器内分别创建一个虚拟接口，并让它 们彼此连通（这样的一对接口叫做 veth pair ）。

Docker 创建一个容器的时候，会执行如下操作：

完成这些之后，容器就可以使用 eth0 虚拟网卡来连接其他容器和其他网络。可以在 docker run 的时候通过 --net 参数来指定容器的网络配置：

Docker是如何实现隔离的

Docker是如何实现隔离的

1、进程隔离

在容器内部都只能看到自己内部的进程，那 Docker 是如何做到的呢？它其实是借助了Linux内核的Namespace技术来实现的

CLONE_NEWPID会让执行的程序内部重新编号PID，也就是从1号进程开始

CLONE_NEWNS 会克隆新的挂载环境出来，通过在子进程内部重新挂载 proc文件夹，可以屏蔽父进程的进程信息。

在容器内部都只能看到自己判山内部的进程

这就是容器隔离进程的基本原理了，Docker主要就是借助 Linux 内核技术Namespace来做到隔离的，其实包括文件的慎销隔离，资源的隔离都是在新的命名空间下通过mount挂载的方式来隔离的。

Docker 技术 完全是依赖 Linux 内核特性 Namespace 和Cgroup 技术来实现的，本质来说：你运行在容器的应用在宿主机来说还是一个普通的进程，还是直接由宿主机来调度的，相对来说，性能的损耗 就很少，这也是 Docker 技术的掘孝中重要优势。

Docker容器是共用宿主机操作系统的，docker image里没有内核，只有shell。

/proc/[pid]/ns 目录下包含进程所属的 namespace 信息，使用以下命令可查看当前进程所属的 namespace 信息：

$ ll /proc/$$/ns

[img]

Docker 配置Flannel网络过程及原理

备注：本文内容承接“kubernets集群搭建实操”，对网络部分进陆历物行补充描述。

总体描述：在搭建容器集群后，容器之间的通讯必须实现跨网络，这样存在网络路由的问题，解决方案包括OVS、flannel、socketplane，本文采用flannel方案。

涉及到的功能组件包括etcd、flannel和docker。

etcd负责维护共享数据，统一管理各节点的网络标识和子网编码；

flannel实现一块虚拟网卡，负责docker与外网之间的路由；

docker实现一块虚拟网卡，负责和flannel网卡通讯；

etcdctl set /coreos.com/network/config '{ "Network" : "10.1.0.0/16" }'

通过上述命令，设置集群中，分配给flannel的网络编烂猜码。

flannel把自身的子网编码提交到etcd，用于全局保存。通过ls /coreos.com/network/subnets，可以看到如下信息（三个flannel节点提交）：

/coreos.com/network/subnets/10.1.99.0-24

/coreos.com/network/subnets/10.1.9.0-24

/coreos.com/network/subnets/10.1.33.0-24

Flannel实质上是一种“覆盖网络(overlay network)”，也就是将TCP数据包装在另一早液种网络包里面进行路由转发和通信，目前已经支持UDP、VxLAN、AWS VPC和GCE路由等数据转发方式。

ExecStart=/usr/bin/flanneld-start -etcd-endpoints=${FLANNEL_ETCD} -etcd-prefix=${FLANNEL_ETCD_KEY} $FLANNEL_OPTIONS

上面是flannel服务启动时的执行命令，其中定义了etcd的位置，etcd中保存‘Network’键的路径。执行后，从etcd获取到网络编码‘10.1.0.0/16’，并根据网络编码生成一个子网编码，并把这两个信息保存到/run/flannel/subnet.env中，文件内容如下：

FLANNEL_NETWORK=10.1.0.0/16

FLANNEL_SUBNET=10.1.33.1/24

FLANNEL_MTU=1472

FLANNEL_IPMASQ=false

之后，把子网编码保存到etcd中。

启动docker服务时，指定bip参数：--bip=${FLANNEL_SUBNET}，表示对docker的网络参数进行配置。其中的FLANNEL_SUBNET变量保存在/run/flannel/subnet.env文件中。

其中FLANNEL_SUBNET:‘10.1.33.1’可以当做docker的网关地址。

按照上面的关联关系，组件启动必须按照一定顺序：etcd-flannel-docker

ip a s docker0

ip a s flannel

DockOne技术分享（十八）：一篇文章带你了解Flannel

DOCKER 总结

Docker 是一个开源的 应用容器引擎 ，让 开发者可以打包他们的应用以及依赖包到一个可移植的镜像中，然后发布到任何流行的 Linux或Windows 机器上，也可以实现虚拟化 。容器是完全使用沙箱机制，相互之间不会有任何接口。

由于本地开发好的程序往往都需要部署到服务器上进行运行，这就导致了程序需要运行在不同的环境上，这通常是一个令人头痛的事情。在过去，开发团队需要清楚的告诉运维部署团队，其所使用的蠢核全部配置文件+所有软件环境。不过，即便如此，仍然常常发生部署失败的状况。

于是乎， 虚拟化 技术应运而生。开发团队将开发好的程序在虚拟机上运行，这样就能解决运维的问题。但是由于虚拟机技术过重的特性导致了其 资源占用多、冗余步骤多以及启动慢的缺陷 。而这个时候 一种新的虚拟化技术搭配上容器化的思想 的产品便出现了，而它就是Docker。

下图是虚拟机技术和容器化技术架构的对比。我们可以得出以下总结：

[图片上传失败...(image-efadd2-1643314980201)]

]( )

于是乎相没袭比于虚拟机技术，容器化技术具有以下 优势：

相关网站

如下图所示，Docker使用客户端-服务器（C/S）架构模式，使用远程API来管理和创建Docker容器。服务器端分为Docker daemon, Image和Container三个部分。此外还有Docker Registry。

下面首先来介绍一下Docker中的主要概念

Docker的运行原理如下：客户端可以将docker命令发送到服务器端的Docker daemon上，再由Docker damon根据指令创建、选择或者从Docker仓库中拉取（pull）镜像。接着客户端可以通过镜像创建容器。当我们需要使用程序时，运行相应的容器即可。

小结

需要正确的理解仓储/镜像/容器这几个概念 :

在外面使用容器的时候，我们不希望容器中的数据在容器被删除后也一并删除了，这时候我们就可以 通过使用容器数据卷，将数据储存在本地并用Docker将其挂载到容器中，这样我们即使删除了容器，数据也依旧存在服务器中，也就实现了数据持久化。

特点

容器数据卷挂载命令（-v）

Dockerfile 挂载容器数据卷

我们除了可以从仓库中拉取镜像以外，我们也可以 自己创建镜像 ，这就要用到Docerfile。

dockerfile是用来构建Docker镜像的构建文件，是由一系列命令和参数构成的脚本 。

构建步骤：

基础知识：

流程：

说明带察掘：

在实际场景中，我们会遇到 多个Container之间通讯 的问题。而Docker网络就是用于解决此问题的技术。docker会给每个容器都分配一个ip，且容器和容器之间是可以互相访问的。

Docker网络原理

每一个安装了Docker的linux主机都有一个docker0的虚拟网卡。这是个桥接网卡，使用了 veth-pair 技术 。Docker使用Linux桥接，在宿主机虚拟一个Docker容器网桥(docker0)，Docker启动一个容器时会根据 Docker网桥的网段分配给容器一个IP地址，称为Container-IP，同时Docker网桥是每个容器的默认网 关。因为在同一宿主机内的容器都接入同一个网桥，这样容器之间就能够通过容器的Container-IP直接通信。

Docker容器网络就很好的利用了Linux虚拟网络技术，在本地主机和容器内分别创建一个虚拟接口，并 让他们彼此联通（这样一对接口叫veth pair）；

Docker中的网络接口默认都是虚拟的接口。虚拟接口的优势就是转发效率极高（因为Linux是在内核中 进行数据的复制来实现虚拟接口之间的数据转发，无需通过外部的网络设备交换），对于本地系统和容 器系统来说，虚拟接口跟一个正常的以太网卡相比并没有区别，只是他的速度快很多。

[图片上传中...(image-41d42a-1642627027452-2)]

Docker Compose是一个用于定义并运行多容器应用的工具 。

Docker Compose的 步骤如下 ：

NOTE: Compose ：重要的概念。

docker-compose.yml编写

Note: docker-compose会自动为多容器之间创建网络，保证通讯。

Docker Swarm 是Docker 的集群管理工具。 它将 Docker 主机池转变为单个虚拟 Docker 主机。 Docker Swarm 提供了标准的 Docker API，所有任何已经与 Docker 守护程序通信的工具都可以使用 Swarm 轻松地扩展到多个主机。

Docker 是一个开源的 应用容器引擎 ，它的出现大大简化了运维的难度，提高了运维效率。过去我们需要在服务器上安装程序所需要的所有依赖，而如今我们只需要编写好docker-compose和Dockefile的脚本，就可以使程序一键跑通。在企业级的应用中，我们必然会惊颤使用到Docker和容器化技术。

狂神说

docker对运维的作用

Docker的思想来自于集装箱，集装箱解决了什么问题？在一艘大船上，可以把货物规整的摆放起来。并且各种各样的货物被集装箱标准化了，集装箱和集装箱之间不会互相影响。那么我就不需要专门运送水果的船和专门运送化学品的船了。只要这些货物在集装箱里封装的好好的，那我就可以用一艘大船把他们都运走。

docker就是类似的理念。现在都流行云计算了，云计算就好比大货轮。docker就是集装箱。

1.不同的应用程序可能会有不同的应用环境，比如.net开发的网站蚂大和php开发的网站依赖的软件就不一样，如果把他们依赖的软件都安装在一个服务器上就要调试很久，而且很麻烦，还会造成一些冲突。比如IIS和Apache访问端口冲突。这个时候你就要隔离.net开发的网站和php开发的网站。常规来讲，我们可以在服务器上创建不同的虚拟机在不同的虚拟机上放置不同的应用，但是虚拟机开销比较高。docker可以实现虚拟机隔离应用环境的功能，并且开销比虚拟机小，小就意味着省钱了。

2.你开发软件的时候用的是Ubuntu，但是运维管理的都是centos，运维闷源竖在把你的软件从开发环境转移裂好到生产环境的时候就会遇到一些Ubuntu转centos的问题，比如：有个特殊版本的数据库，只有Ubuntu支持，centos不支持，在转移的过程当中运维就得想办法解决这样的问题。这时候要是有docker你就可以把开发环境直接封装转移给运维，运维直接部署你给他的docker就可以了。而且部署速度快。

3.在服务器负载方面，如果你单独开一个虚拟机，那么虚拟机会占用空闲内存的，docker部署的话，这些内存就会利用起来。

总之docker就是集装箱原理。

Docker镜像加载原理

1.1 UnionFS(联合文件系统)

UnionFS(联合文件系统): Union文件系统(UnionFS)是一种分层、轻量级并且高性能的文件系统，它支持对文件系统的修改作为一次提交来一层层的叠加，同时可以将不同目录挂载到同一个虚拟文件系统下(unite several directories into a single virtual filesystem)。Union文件系统是Docker镜像的基础。镜像可以通过分层来进行继承, 基于基础镜像(没有父镜像碰笑)， 可以制作各种槐吵派具体的应用镜像。

特性: 一次同时加载多个文件系统，但从外面看起来，只能看到一个文件系统，联合加载会把各层文件系统叠加起来，这样最终铅贺的文件系统会包含所有底层的文件和目录。

1.2 Docker镜像加载原理

docker的镜像实际上由一层一层的文件系统组成，这种层级的文件系统UnionFS。

bootfs(boot file system) 主要包含bootloader和kernel，bootloader主要是引导加载kernel，Linux刚启动时会加载bootfs文件系统，在Docker镜像的最底层是bootfs。这一层与我们典型的Linux/Unix系统是一样的, 包含boot加载器和内核。当boot加载完成之后整个内核就都在内存中了，此时内存的使用权已由bootfs转交给内核，此时系统也会卸载bootfs。

rootfs(root file system), 在bootfs之上。包含的就是典型Linux系统中的/dev, /proc, /bin, /etc等标准目录和文件。rootfs就是各种不同的操作系统发行版，比如Ubuntu，Centos等等

特点：容器层之下都属于镜像层，镜像层是只读的！

关于docker原理和docker原理书籍的介绍到此就结束了，不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站。