大家好，我是乔克。
今天给大家分享的主题是《闲聊Docker》。大家工作都很忙，但也要劳逸结合，所以这次分享是“忙里偷闲”的“闲聊”，只动嘴不动手，不会涉及实际操作和如何构建镜像、运行容器等内容，我是一个“纯粹”的人。
整个PPT非常简洁，主要是图片和流程图，我会根据这些图来进行分享，想到哪里就说到哪里，有时候可能啰嗦，有时候可能有些跑题，在分享过程中如果有错误的地方，大家可以记下来，分享结束后我们再讨论。
现在进入正题，整个分享分为以下五个部分。第一部分是让大家感受Docker的魅力。第二部分分享Docker为什么如此受欢迎，它背后的推动力是什么。第三部分回顾Docker的历史，看看它背后的故事。第四部分介绍Docker背后的技术，它的技术基础是什么，如何实现的。第五部分简单介绍Docker的常用操作，但整个过程中我会坚持原则：只动嘴不动手。
现在，我们来看第一部分：感受Docker的魅力。不知道大家有没有在电脑上安装过虚拟机，然后在虚拟机中安装操作系统，再部署应用。光从描述中就能感受到这个过程有多复杂，需要先安装虚拟机软件，进行虚拟化操作，再创建虚拟机，安装操作系统，最后还要优化操作系统，安装需要的软件。整个过程即使是“老手”也需要至少10分钟以上，如果是新手，就得慢慢“百度”了。
在企业级虚拟化中，流程大致也是如此，想象一下：如果需要同时创建很多虚拟机，部署很多服务，是不是很头疼？我曾经一天创建了500台虚拟机，还要安装不同的软件，脑子都快炸了。
但是，如果使用Docker容器呢？
我们只需要在服务器上安装Docker守护进程，然后使用一条简短的命令就可以启动一个应用。
如果要启动500个应用，大不了执行500次命令。因为人是感性的动物，擅长快思考，所以500这个数字听起来很大，但启动一个容器的时间通常是秒级，和创建虚拟机的10分钟以上相比，简直是天壤之别。
从这里大家有没有感受到Docker的魅力？它简单、快速，对于工作强度大的开发者来说，简直是福音：不用等待创建虚拟机和初始化应用的时间，就可以部署服务进行调试，大大提升了工作效率。
这就是Docker的魅力之一，大家可以在空闲时自己尝试一下，如果感受不强烈，可以和创建虚拟机对比着来。
OK，让大家简单感受了一下Docker的魅力（不知道大家有没有感受到），但仅仅这样就能让Docker火吗？
在进入第二阶段之前，我先介绍一下容器技术。容器技术的本质是实现隔离，但只有Docker实现了隔离吗？其实早在1979年，就有了容器技术的概念，其中chroot（Change Root）就是容器技术的实现，只是比较简单粗暴。后来谷歌内部大量使用的CGroups也是容器技术，后来捐给了Linux，融入内核中，再后来Linux自己也推出了LXC（Linux Container）容器，再到后来的Docker。可以看出先辈们在容器技术领域的探索很早就有了，那为什么偏偏Docker火了呢？
现在我们来看看Docker背后的推手到底是什么。
我们先看左边这幅图，这是单机时代的逻辑图，我们会在同一台物理机上部署很多应用，比如Mysql，Kafka，Redis等，很多应用在一台机器上，这就带来了以下问题：1、相互影响，假如有一个IO密集型应用，频繁读写磁盘会导致磁盘性能下降，从而影响其他应用。2、隔离性差，这个就不多说了。3、维护难度大，如果某个应用引发BUG，必须重启服务器才能解决，那么多应用，影响业务先不说，本身重启就非常困难。
为了解决这些问题，先辈们就探索了右边这幅图：使用虚拟化技术。通过在一台主机上创建不同的虚拟机，每个虚拟机运行不同的应用来实现隔离，这样应用之间不会相互影响，如果某个虚拟机出现BUG，只需要重启相应的虚拟机即可，不会影响其他应用。乍一看，这确实是完美的解决方案，但它也引入了新的问题：1、资源浪费严重。从图中可以看出，每台虚拟机都要部署一个操作系统，如果一个操作系统占用资源是2G，100台就是200G，大家可以想象这种浪费程度。2、维护性难度依然大。虚拟机数量多本身就会带来很大的维护成本，还引入了新的技术，学习成本也不低，而且虚拟机的迁移等成本比较高。
除了这些，这两种方法都有一个共同的问题，那就是打包部署比较繁琐，而且相同的应用在不同的环境中可能会因为环境不一致的问题引发莫名的BUG，可能你的应用在开发环境是OK的，但到测试环境死活起不来或者测不过，我想大家都遇到过这个问题。
那Docker容器是怎么解决的呢？
乍一看，是不是像是把单机和虚拟机进行了有机结合：直接在单机上部署应用，节约了资源，使用容器技术实现了隔离，一切都那么完美。但这并不是让它大火的原因，因为我们上面说过：容器并不是新鲜玩意。
Docker真正火的是在应用打包部署上的革新：它通过Docker镜像技术，把应用连同它的运行环境一起打包，不论在什么地方，什么环境，运行这个镜像，都能得到一致性的环境，真正解决了环境一致性的问题，深受开发人员的喜爱。
从这，我们就可以总结一下Docker火起来的原因：1、更高效地利用系统资源，避免资源浪费 2、更快的启动时间，比虚拟机快数倍 3、一致的运行环境，避免环境问题导致其他异常 4、更轻松的迁移、扩展和维护，都是通过镜像来操作，所以一切变得很简单了。
Docker这么好，在社区也这么火，它是容器领域的霸主吗？并不是，现在给大家介绍一下Docker背后的那些故事。
可以看到整体的时间线，在2013年的时候dotCloud公司开源了Docker，刚开始，大厂的技术大佬们觉得Docker就是新瓶装旧酒，没啥新奇玩意，但随着人们的尝试，发现Docker的简单、易用以及它的镜像技术非常不错，社区开始追捧。大厂的大佬们也是眼疾手快，马上加入进来。到2014年，大部分大厂都多多少少和Docker有合作，微软甚至想花40亿收购Docker公司，但被拒绝了。
Docker只是一个启停应用的小工具，Docker公司也注意到了这点，所以在2014年的时候Docker公司发布了三剑客（docker swarm、docker compose、docker machine），宣布正式进入PAAS，这时候有些大厂就不开心了，比如红帽、coreos等这些本身就是做PAAS生意的，这些公司就宣布退出和Docker的合作。在这期间，不得不说一下谷歌这个公司，其实Docker刚开始火的时候，谷歌就与Docker公司沟通，能不能把容器运行时从Docker弄出来一起维护，共同制定标准，但被Docker拒绝了，再后来谷歌发布Kubernetes，也曾想把它捐给Docker，由Docker来维护，但也被Docker拒绝了，因为Docker公司觉得Kubernetes和他们自己的三剑客是直接竞争关系。
这样来回拉扯，时间来到2015年，随着很多大厂的退出合作，Docker公司也不想和大家闹的太僵，就牵头要和大家一起成立一个基金会（OCI），共同制定容器和镜像的标准。这些大佬当然愿意，因为这样Docker就不会一家独大，其他公司也可以根据这些标准来玩自己的容器了。
但是，Docker是出人不出力，其他公司也发现了这点，所以谷歌等其他公司就搞了一个CNCF的基金会，打算以Kubernetes为中心构建云原生技术。在2016年的时候Kubernetes快速发展，给Docker的三剑客来了一个降维打击，根本没法玩，以至于Docker想把那些功能全放Docker，当然结果是失败的，再后来到2017年，Docker公司发现在开源领域根本玩不过那些大厂，就把container捐给了CNCF，专注企业服务。随着收益不好，在2019年Docker公司就把主流业务都出售了，也宣布由Docker引发的战争真正的结束了。
docker公司的故事结束了，但是docker容器并没有结束，它现在依然活跃在人们的视野中。下面我们来看看Docker的背后技术。
首先来看看整体的运行逻辑，从图可知，主要分为三部分：客户端、服务端和镜像仓库。
客户端发起操作，服务端接收到命令会进行解析，如果涉及到镜像操作，比如拉取，就会从镜像仓库把镜像拉取到本地，然后会在本地进行启动操作，整个运行逻辑是非常简单的。
神采PromeAI
将涂鸦和照片转化为插画，将线稿转化为完整的上色稿。
103 查看详情
我们再来看看它的系统架构。
整个系统主要涉及dockerd，containerd，runc和container-shim。在docker1.11版本之前，所有的事情都是由dockerd来完成，在1.11之后，就拆分成上面这个样子。dockerd是面向用户的，是底层API的封装，不进行真正的业务逻辑处理，containerd是处理业务逻辑的，runc负责实际的操作，比如启动容器，而docker-shim则负责处理信号，比如Kill信号等。从整体来看，Docker现在的核心其实是在containerd,runc和containerd-shim，所以在kubernetes1.20.X版本中，建议直接使用containerd而不是docker。
介绍完系统架构，我们再来看看Docker的技术底座。
Docker的技术底座主要是namespace，cgroup以及unionfs。这些其实都是Linux内核的东西，所以说Docker是强依赖Linux内核的。
namespace主要实现资源的隔离，为用户提供干净的运行环境。在实际中，主要用到下面的这几种隔离技术：
pid namespace：隔离进程mnt namespace：隔离文件系统net namespace：隔离网络ipc namespace：隔离信号量uts namespace：隔离主机名等user namespace：隔离用户、用户组等cgroup主要是用来实现资源限制的。容器不像虚拟机，虚拟机在创建的时候制定多少资源就用多少，容器如果没有制定就会使用主机的整体资源，为了限制容器对资源的使用，就用cgroups技术来实现，主要限制比如内存、cpu。比如主机有8核32G的配置，可以给某个容器限制只使用2C4G。
unionfs叫做联合文件系统，就是把不同位置的目录挂载到同一文件中，最终形成一个虚拟的文件系统。在早期，docker主要是使用device mapper，但是配置比较麻烦，现在基本都是overlayfs，比如redhat，centos默认就是overlayfs。
我们可以看看联合文件系统OverlayFS的视图。
从图中可以看到，OverlayFS只有上层目录和下层目录，如果上层和下层目录里的文件有冲突，会选择使用上层的文件，合并层其实是一个视图层。我们的容器镜像就是通过这一层一层的挂上去的。
下面我们再看看Docker的网络部分。容器只是一个单一的实体，我们最终的目的是要提供服务，要服务就离不开网络。
Docker主要实现了上面四种网络：
bridge：桥接，就是通过网桥把所有的容器链接起来host：直接使用主机的网络null：不配置任何网络，让人们自定义。container：使用容器网络，Kubernetes的Pod中的所有容器就是通过这种方式进行连接的在实际中，bridge和container用的比较多。
下面我会介绍一下在同一主机和不同主机之间，容器是怎么进行访问的。
同一主机上的容器进行交互比较简单，当我们安装好Docker之后，会在服务器上起一个docker0的网桥，之后起的所有容器都会桥接在docker0网桥上，这里就可以把docker0看成是一个交换机，不同的容器相当于不同的电脑，这些电脑都通过一根网线和交换机进行连接，网关是docker0的地址。如果容器A要访问容器B，请求会直接到达网关docker0，docker0里面会有地址表，然后根据地址表把请求转发容器B。
如果是跨节点呢？
跨节点通信，目前常用的技术主要有：1、基于二层的vxlan隧道技术 2、基于三层的SDN网络技术
如上图，这里介绍基于vxlan实现的flannel的工作模式。
首先会在两台主机上部署flannel，其flanneld进程会维护各个主机的信息，包括主机的IP以及容器的网段等。主机A上的容器a（10.1.15.2）要访问主机B上的容器b（10.1.20.3），请求会先到docker0网桥，网桥判断目的地址不是同一个网络，就会把请求通过默认路由的形式转发到主机的flannel0网卡，然后把信息给到flanneld，flanneld会根据目标地址查询所在的主机以及MAC地址，然后把这些信息封装到请求头里，通过eth0发出去，主机B收到请求会判断是不是本机的，如果是就丢给flanneld进行解包，然后再一次进行下一步直到达到容器b。这就是跨主机通信的大概流程。
好了，到现在基本介绍了容器涉及到的主要技术，最后我们还是来看看Docker的常用操作。
首先来看看docker主要涉及的命令。
从上面可以知道，这些主要的docker命令都是围绕docker镜像的，比如通过Dockerfile build一个镜像，然后把镜像push到镜像仓库。这个图中基本可以知道它们之间的关系。
最后，再来看看Dockerfile是什么样子。
如图就是一个简单的Dockerfile，它通过不同的命令把我们的需求叠加起来，最后成为我们想要的镜像。其中FROM是Dockerfile的开头，表示基础镜像，LABEL就是打标签，ENV是设置一些环境变量，RUN用来执行命令，ADD用来把本地文件添加到镜像，COPY表示把本地文件拷贝到镜像，WORKDIR表示设置工作目录，EXPOSE表示声明要暴露的端口，CMD用来执行容器运行时的命令。除此之外还有ENTRYPOINT等命令。
好了，今天的分享就到这里，谢谢大家。
最后，求关注。如果你还想看更多优质原创文章，欢迎关注我们的公众号「运维开发故事」。
如果我的文章对你有所帮助，还请帮忙点赞、在看、转发一下，你的支持会激励我输出更高质量的文章，非常感谢！
你还可以把我的公众号设为「星标」，这样当公众号文章更新时，你会在第一时间收到推送消息，避免错过我的文章更新。
我是 乔克，《运维开发故事》公众号团队中的一员，一线运维农民工，云原生实践者，这里不仅有硬核的技术干货，还有我们对技术的思考和感悟，欢迎关注我们的公众号，期待和你一起成长！
以上就是记一次内部分享——瞎扯淡的详细内容，更多请关注创想鸟其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/943028.html
微信扫一扫 
支付宝扫一扫 
