3. 寫時(shí)復(fù)制
我們把每一個(gè)
/var/lib/docker/containers/<image-long-id>
看做是一個(gè)容器的配置目錄的話，可以看到在配置目錄下面有一個(gè) rw/目錄，打開看有些什么
total 36 drwxr-xr-x 9 root root 4096 Sep 5 00:23 ./ drwx------ 4 root root 4096 Sep 5 00:53 ../ drwxr-xr-x 6 root root 4096 Sep 4 23:49 etc/ drwxr-xr-x 2 root root 4096 Sep 5 00:23 run/ drwxrwxrwt 2 root root 4096 Sep 4 23:55 tmp/ drwxr-xr-x 7 root root 4096 Sep 4 23:11 usr/ drwxr-xr-x 5 root root 4096 Sep 4 23:11 var/ -r--r--r-- 1 root root 0 Sep 4 23:06 .wh..wh.aufs drwx------ 2 root root 4096 Sep 4 23:06 .wh..wh.orph/ drwx------ 2 root root 4096 Sep 4 23:11 .wh..wh.plnk/
里面是一些不完整的根目錄，這不能說(shuō)明什么，但是我們?cè)赾ontainer中寫入文件后，看看其中的變化
在容器中執(zhí)行以下命令
root@df3880b17407:/# touch /opt/x
在 /opt 下我們生成了一個(gè)文件
再看看
root@ubuntu:/var/lib/docker/containers/df3880b17407575cd642a6b7da3c7e417a55fad5bbd63152f89921925626d2b6/rw# ll total 40 drwxr-xr-x 10 root root 4096 Sep 5 01:00 ./ drwx------ 4 root root 4096 Sep 5 00:53 ../ drwxr-xr-x 6 root root 4096 Sep 4 23:49 etc/ drwxr-xr-x 2 root root 4096 Sep 5 01:00 opt/ drwxr-xr-x 2 root root 4096 Sep 5 00:23 run/ drwxrwxrwt 2 root root 4096 Sep 4 23:55 tmp/ drwxr-xr-x 7 root root 4096 Sep 4 23:11 usr/ drwxr-xr-x 5 root root 4096 Sep 4 23:11 var/ -r--r--r-- 1 root root 0 Sep 4 23:06 .wh..wh.aufs drwx------ 2 root root 4096 Sep 4 23:06 .wh..wh.orph/ drwx------ 2 root root 4096 Sep 4 23:11 .wh..wh.plnk/
是的，在host機(jī)器上新生成了 opt/目錄，這里做到了容器的寫時(shí)復(fù)制
4. 資源隔離
以系統(tǒng)的三大進(jìn)程間通信的消息隊(duì)列來(lái)看
初始狀態(tài)在 ghost, ipcs -q 查看消息隊(duì)列
在ghost 創(chuàng)建一個(gè), 這里樓主自己寫的代碼創(chuàng)建的消息隊(duì)列:
root@ubuntu:~/codes/msq# ./main 1 Create msq with key id 65536root@ubuntu:~/codes/msq# ipcs -q ------ Message Queues -------- key msqid owner perms used-bytes messages 0x00000001 65536 root 666 0 0
然后在容器中查看 ipcs -q
root@df3880b17407:/# ipcs -q ------ Message Queues -------- key msqid owner perms used-bytes messages <br>
可以看到系統(tǒng)資源是隔離的，這里只是說(shuō)了一部分，其實(shí)還包括了可以通過(guò)cgoup對(duì)其做CPU和Memory的Quota管理.
默認(rèn)情況下是使用了所有CPU和內(nèi)存的，但是可以在config.lxc增加如下配置設(shè)置CPU等，具體可以參考lxc的文檔
lxc.cgroup.cpu.shares=512 lxc.cgroup.cpuset.cpus=1.2
資源隔離的原理就在于利用cgroup，將不同進(jìn)程的使用隔離開，假設(shè)每個(gè)容器都是以bash啟動(dòng)的，那么在容器內(nèi)部，每個(gè)子進(jìn)程都只能使用當(dāng)前bash下面的資源，對(duì)于其他的系統(tǒng)資源是隔離的.子進(jìn)程的訪問(wèn)權(quán)限由父進(jìn)程決定
5.網(wǎng)絡(luò)隔離
在安裝好docker后，會(huì)默認(rèn)初始化一個(gè) docker0的網(wǎng)橋
docker0 Link encap:Ethernet HWaddr ee:8c:1f:8b:d7:59 inet addr:172.17.42.1 Bcast:0.0.0.0 Mask:255.255.0.0 ...
在host機(jī)器上，會(huì)為每一個(gè)容器生成一個(gè)默認(rèn)的網(wǎng)卡類似這樣的 vethdBVa1H veth*
這個(gè)網(wǎng)卡的一端連接在容器的eth0,一端連接到docker0.這樣就實(shí)現(xiàn)了每個(gè)容器有一個(gè)單獨(dú)的IP.
這里如果需要容器訪問(wèn)外網(wǎng)，需要將eth0設(shè)置為混雜模式:
$ifconfig eth0 promisc
這樣看來(lái)，容器會(huì)從172.17.0.0/24 這個(gè)網(wǎng)段選擇一個(gè)IP作為eth0的IP，這樣，容器就可以和外部通過(guò) docker0網(wǎng)橋通信了.
在容器內(nèi)部監(jiān)聽一個(gè)端口 python -m SimpleHTTPServer 80 >> /tmp/log.log &
從ghost訪問(wèn) telnet 172.17.0.2 80
在容器中看到如下:
Active Internet connections (servers and established) Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 2823/python tcp 0 0 172.17.0.2:80 172.17.42.1:46142 TIME_WAIT -
在host上看到
Active Internet connections (servers and established) Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name tcp 0 0 172.17.42.1:46142 172.17.0.2:80 ESTABLISHED 10244/telnet
如果需要外部能夠訪問(wèn)容器，需要做端口映射規(guī)則，和配置虛擬機(jī)一樣的道理, 只不過(guò)這里可以看到的是，80端口并沒有占用了本地端口，而是在容器內(nèi)部做了監(jiān)聽，外部是通過(guò)docker0 橋接過(guò)去的，每個(gè)容器間也做到了端口和網(wǎng)絡(luò)隔離.
6.日志記錄
不多說(shuō)，在 /var/lib/docker/containers/<image-long-id>.log 下
7.變更管理
Docker的變更管理看做是git的版本管理好了。
生成鏡像的時(shí)候，未做改動(dòng)的部分就是上一個(gè)版本的鏡像的引用，如果做了改動(dòng)，就是一個(gè)新的文件。
將剛才操作的容器做成鏡像
docker commit <image-id> <REPOSITORY>
此時(shí)的鏡像多出來(lái)的部分，比如我在這個(gè)鏡像中安裝了Python，那么多出來(lái)的部分作為新文件，其他部分任然是上一個(gè)版本的引用。
你可以搭建自己的鏡像服務(wù)器，push到自己的鏡像服務(wù)器，從其他機(jī)器拉下來(lái)后直接可以運(yùn)行。
-1.jpg)
