一篇帶你了解Docker背后的原理
隔離
vmware使用supervisor模擬出硬件,然后在其之上安裝完整的一套操作系統(tǒng),這套完整的操作系統(tǒng)跑在宿主機操作系統(tǒng)之上,被宿主機操作系統(tǒng)調(diào)度,所以較為重量。
而docker復(fù)用宿主機操作系統(tǒng)的內(nèi)核,作為普通進程調(diào)用,使用linux提供的namespace隔離技術(shù)來實現(xiàn)虛擬化,是一種輕量級虛擬化技術(shù)。namespace表示一個標識符的可見范圍,各namespace互不相干,所以標識符能夠任意定義而不沖突。
linux提供6種namespace:UTS(主機名)、User、Mount(文件系統(tǒng))、Net、IPC、Pid。有了這幾種名稱空間,會讓進程自身覺得跑在一臺獨立的操作系統(tǒng)上,這是操作系統(tǒng)的欺騙性。
docker輕量,一次封裝到處運行,啟動快,所以很適合做擴縮容、微服務(wù)。
網(wǎng)絡(luò)
docker默認會使用bridge網(wǎng)絡(luò)模型,即容器中的有veth的一端,另一端veth連接到bridge網(wǎng)橋上,網(wǎng)橋連接宿主機網(wǎng)絡(luò),使用NAT來實現(xiàn)和外部通信。veth的原理是這樣,通常成對出現(xiàn),發(fā)送給veth一端的包可以被另一端接收到。
docker還有其他幾種模型,比如沒net,容器中只有環(huán)回網(wǎng)絡(luò)loopback。聯(lián)合net,多個容器使用相同的veth。hostnet,容器直接使用宿主機網(wǎng)絡(luò)。
鏡像
鏡像是一個可執(zhí)行的軟件包,包含運行應(yīng)用程序所需的一切。
docker的鏡像使用分層結(jié)構(gòu),就是所謂的“分層存儲,聯(lián)合掛載”。
最下面一層是bootfs,包含bootloader。再往上是根系統(tǒng)鏡像層,再往上是各種鏡像層,除了最上層是可讀寫之外,其余層均為只讀層。所以,如果在頂層鏡像有對下層鏡像數(shù)據(jù)做修改的話,該數(shù)據(jù)會COW(copy on write)復(fù)制到頂層進行,然后再進行修改。所以,可想而知,這種聯(lián)合掛載文件系統(tǒng)的效率不是很高,所以在使用中會用到volume,卷,即脫離于分層存儲的存儲。