隔離

vmware使用supervisor模擬出硬件，然后在其之上安裝完整的一套操作系統(tǒng)，這套完整的操作系統(tǒng)跑在宿主機(jī)操作系統(tǒng)之上，被宿主機(jī)操作系統(tǒng)調(diào)度，所以較為重量。

而docker復(fù)用宿主機(jī)操作系統(tǒng)的內(nèi)核，作為普通進(jìn)程調(diào)用，使用linux提供的namespace隔離技術(shù)來實(shí)現(xiàn)虛擬化，是一種輕量級虛擬化技術(shù)。namespace表示一個(gè)標(biāo)識(shí)符的可見范圍，各namespace互不相干，所以標(biāo)識(shí)符能夠任意定義而不沖突。

linux提供6種namespace：UTS(主機(jī)名)、User、Mount(文件系統(tǒng))、Net、IPC、Pid。有了這幾種名稱空間，會(huì)讓進(jìn)程自身覺得跑在一臺(tái)獨(dú)立的操作系統(tǒng)上，這是操作系統(tǒng)的欺騙性。

docker輕量，一次封裝到處運(yùn)行，啟動(dòng)快，所以很適合做擴(kuò)縮容、微服務(wù)。

網(wǎng)絡(luò)

docker默認(rèn)會(huì)使用bridge網(wǎng)絡(luò)模型，即容器中的有veth的一端，另一端veth連接到bridge網(wǎng)橋上，網(wǎng)橋連接宿主機(jī)網(wǎng)絡(luò)，使用NAT來實(shí)現(xiàn)和外部通信。veth的原理是這樣，通常成對出現(xiàn)，發(fā)送給veth一端的包可以被另一端接收到。

docker還有其他幾種模型，比如沒net，容器中只有環(huán)回網(wǎng)絡(luò)loopback。聯(lián)合net，多個(gè)容器使用相同的veth。hostnet，容器直接使用宿主機(jī)網(wǎng)絡(luò)。

鏡像

鏡像是一個(gè)可執(zhí)行的軟件包，包含運(yùn)行應(yīng)用程序所需的一切。

docker的鏡像使用分層結(jié)構(gòu)，就是所謂的“分層存儲(chǔ)，聯(lián)合掛載”。

最下面一層是bootfs，包含bootloader。再往上是根系統(tǒng)鏡像層，再往上是各種鏡像層，除了最上層是可讀寫之外，其余層均為只讀層。所以，如果在頂層鏡像有對下層鏡像數(shù)據(jù)做修改的話，該數(shù)據(jù)會(huì)COW(copy on write)復(fù)制到頂層進(jìn)行，然后再進(jìn)行修改。所以，可想而知，這種聯(lián)合掛載文件系統(tǒng)的效率不是很高，所以在使用中會(huì)用到volume，卷，即脫離于分層存儲(chǔ)的存儲(chǔ)。