微服务重要的容器技术Docker的核心实现技术

Docker 作为一种容器虚拟化技术,应用了操作系统的多项底层支持技术。其中的技术层包含Linux操作系统的命名空间Namespace,控制组,联合文件系统,Linux网络虚拟化。

命名空间

命名空间在Linux中是一个强大的特性,并且容器Docker也利用该特性,在容器上建立属于自己的命名空间不与其他容器进行互相影响。

进程命名空间

在Docker中利用了Linux内核中的PID空间技术,并且在不同的PID命名空间上,进程都是独立的。不同的空间下可以有相同的PID。该层级是一个树状结构,在创建新的PID会跟原先形成一个层级父子关系。

网络命名空间

进程命名空间让各个进程之间进行相互隔离,但是网络端口还是共享的本地的。

然后通过网络命名空间我们可以实现网络之间的隔离,就跟进程之间形成隔离一样。

在这个空间里面有完全独立的网络协议栈。包含了各个设备接口,IPV4和IPV6协议,IP路由表,防火墙规则,sockets等。

Docker采用的是虚拟网络设备方式,将不同的网络设备连接到一起。默认是与本地主机上的docker0网卡连接到一起。

IPC命名空间

进程之间怎么交互,在Linux里面采用的是IPC的方式 包含信号量,消息队列,共享内存。 PID 命名空间可以与IPC 命名空间组合使用,允许进程间的交互。不同空间内的进程无法交互

挂载命名空间

将一个进程放入到特定的目录执行,每个命名空间内的进程看到的文件目录彼此隔离。

UTS命名空间

该空间允许每个容器拥有独立的主机名和域名,从而虚拟出一个独立的主机名和网络空间。

用户命名空间

每个容器都拥有不同的用户和用户组,可以在容器内使用特定的内部用户参与执行程序,而非本地系统存在的用户。可以使用隔离的用户名空间,提高安全性,避免容器内进程获取到额外的权限。

控制组

控制组是Linux 内核的一个特性。主要是用来控制分配到容器的资源,才能避免多个容器同事运行时对宿主机系统的资源竞争。 控制组提供对容器的内存,CPU,磁盘IO等资源进行管理,并且针对不同的设计情况,提供了统一的接口,从而控制单一进程。

资源限制

首先我们对于每个容器需要使用的内存大小有限制,如果超过固定的大小或者超过使用限制的大小,就出现异常情况。

优先级

通过控制优先级来让一些组内得到更多的CPU ,内存,磁盘IO资源等等。

资源审计

用来统计系统把多少资源用到适合的目的上。

隔离

隔离命令空间,这样一个组不会看到另外一个组内的进程,网络连接和文件系统。

控制

挂起、回复和重启等操作。 当然我们在使用容器的时候也可以在启动的时候指定资源的大小,包含容器的cpu,内存等等信息。

联合文件系统

联合文件系统是一个轻量级的高性能分层文件系统,支持将文件系统中的修改信息作为一次提交,并层层叠加,同事将不同的目录挂载在同一个虚拟文件系统下,应用看到的是挂载的最终结果。

并且当Docker文件系统进行修改后,才去的是增量更新的方式,采用更新也是一种轻量级的操作。

我们在一个镜像上进行修改,则是创建的一个新的层级,不需要更换原先的内容只需要做到新增即可

Docker存储

通过插件的方式来支持多种文件系统后端。AUFS 文件为每一个目录设置只读,读写,写出权限。也有分层的概念,进行增量更新。 Docker镜像就是由多个文件层级构成,我们下载的时候不同的id就代表一个层级。

对于Docker景象来说内容是不可修改的,只能读取。内容更新操作会发生在可读写层。我们一般建议容器修改的数据通过 volume方式进行挂载。不修改镜像内的数据。

多种文件系统

AUFS ,OverlayFS,Device Mapper,btrfs,vfs,zfs,等文件系统,但是现在使用最广泛的是AUFS 和Device Mapper的应用最为广泛,也想多成熟,但是长期来看OverlayFS性能更好些。

Linux 网络虚拟化

Docker中采取的是虚拟的网络接口,虚拟的网络接口特点是转发效率高。这是因为直接通过内核进行数据复制达到数据转发的。无需通过外部的网络设备进行交换。

网络创建过程

  1. 创建一对虚拟接口,分别放到本地主机和新容器的命名空间里面。
  2. 本地接口连接到docker0网桥上,当然这里可以更改。并且赋给一个veth开头的名字。
  3. 容器端的虚拟接口命名为veth0 ,只在容器中可见。
  4. 从网桥可用地址段中获取一个空闲地址分给容器的eth0,默认路由网关为内部接口的docker0的地址

上面这些就是简单的概念性知识介绍,了解这些内容,能帮助我们在以后工作的时候进行docker容器的调整。

原文发布于微信公众号 - LuckQI(YoungRUIQ)

原文发表时间:2018-10-12

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏散尽浮华

Mesos+Zookeeper+Marathon的Docker管理平台部署记录(2)--负载均衡marathon-lb

之前介绍了Mesos+Zookeeper+Marathon的Docker管理平台部署记录(1)的操作,多余的废话不说了,下面接着说下在该集群环境下的负载均衡ma...

46390

6 利用Docker .NET应用程序模板制作您的容器应用程序(第2部分)

在最后一篇文章中,我们用各种模板进行了设置。现在我们需要让他们工作起来了。

23380
来自专栏云计算教程系列

如何在CoreOS集群上使用CloudSlang清理Docker环境

CoreOS是一个Linux发行版,专注于利用Docker容器和服务查询快速启动集群环境。但是,Docker镜像可能占用Docker主机上相当多的磁盘空间。普通...

12000
来自专栏Samego开发资源

JDK的安装与配置 | Linux&Windows

27230
来自专栏杂七杂八

Anaconda安装与初步使用

Anaconda是一个用于科学计算的Python发行版,支持 Linux, Mac, Windows系统,提供了包管理与环境管理的功能,可以很方便地解决多版本...

52250
来自专栏智能合约

Phalcon入门教程之目录结构

12930
来自专栏云计算教程系列

如何使用Helm软件包管理器在Kubernetes集群上安装软件

Helm是Kubernetes的软件包管理器,允许开发人员和操作员更轻松地在Kubernetes集群上配置和部署应用程序。

20420
来自专栏云计算教程系列

如何在CentOS上创建Kubernetes集群

在本教程中,您将使用Ansible和Kubeadm从头开始设置Kubernetes集群,然后给它部署一个容器化的Nginx程序。

5.9K120
来自专栏一英里广度一英寸深度的学习

No zuo no die ,用Docker安装Mysql

回显,GENERATED ROOT PASSWORD: Axegh3kAJyDLaRuBemecis&EShOs

17540
来自专栏程序员的碎碎念

docker搭建静态网站

上面这种方法繁琐且慢,不推荐大家用怎样的方式安装docker。建议使用官网上的安装步骤:https://docs.docker.com/install/linu...

15520

扫码关注云+社区

领取腾讯云代金券