Docker 隔离与限制原理介绍

Docker 是一种基于 Linux 容器技术的应用开发、打包、部署的开源平台。在 Docker 的容器中，每个容器都是相互隔离的，并且在容器内运行的应用程序仅限于容器内共享的部分资源。这种隔离和限制通过一系列 Docker 的核心技术实现，即 Docker 隔离与限制原理。

Docker 隔离原理

Docker 隔离原理的核心在于将单个主机上的所有容器都放在一个共享内核的虚拟环境中，每个容器都在自己的 cgroup 中运行。在这种环境下，每个容器都会被赋予一组自己的系统资源，例如 CPU 时间、内存、网络带宽等等。每个容器都只能使用分配给它的资源，无法直接访问主机上的其他进程或文件系统。

Docker 隔离原理可以通过以下几个方面得到表现:

1. 命名空间（Namespace）

命名空间是一种内核特性，用于隔离不同进程和资源的全局视图。操作系统内核将以不同的命名空间运行容器所需的所有进程，使它们看到的系统资源是受到限制的。例如，在独立的命名空间中，每个容器都可以拥有自己的网络栈、进程 ID、文件系统、用户 ID 等。

2. 控制组（Cgroup）

Cgroup 是一种内核特性，它可以对所有进程进行分组和管理，以达到资源管理和隔离的目的。通过 Cgroup， Docker 可以控制容器的资源使用，例如 CPU 时间、内存、网络带宽等等。

Docker 限制原理

除了隔离容器， Docker 另一个核心特性就是限制容器的资源使用。 Docker 提供了一系列支持这些限制的内核技术，每个容器都可以被分配一定的 CPU 时间、内存、磁盘空间和网络带宽。这些限制可以保证容器之间不会互相影响，从而提高安全性和可靠性。

Docker 限制原理可以通过以下几个方面得到表现：

1. CPU 配额

在 Docker 中，可以为容器分配 CPU 时间配额。此外，也可以为一个容器分配一组 CPU 专用资源，比如一个专用的 CPU 核心或一组共享的 CPU 核心。

# 示例1：为容器分配 50% CPU 时间配额
docker run -it --cpus=0.5 IMAGE

# 示例2：为容器分配一个专用 CPU 核心
docker run -it --cpuset-cpus="1" IMAGE

2. 内存限制

除了 CPU 配额之外， Docker 也可以限制容器使用的内存量。通过软限制（soft limit）和硬限制（hard limit）来实现。前者可以让应用程序在一定范围内使用额外的内存，而后者则不会允许超过预设的内存限制。

# 示例：为容器配额 512MB 内存（硬限制）
docker run -it --memory="512m" IMAGE

3. 网络限制

Docker 提供了一些内核技术，用于限制容器的网络带宽。可以为容器分配带宽限制，限制容器访问特定网络流量（比如 ICMP 流量或 TCP/UDP 流量）。还可以为容器分配特定的 IP 地址和端口以及连接到容器外部网络。

# 限制对特定端口（例如6379）的传入/传出流量。
docker run -d --name redis --network custom-net --publish 6379:6379 --cap-drop NET_ADMIN redis

# 限制容器的 egress 传输
docker run -d --name container_name --net=net_name --net-limit=2MB nginx

总结

Docker 的隔离和限制原理是在 Linux 容器技术之上的重要特性，Docker 可以通过适当控制容器的资源使用，达到安全性和可靠性的目标。包括为容器分配 CPU 时间配额、内存限制，以及网络限制等等。 Docker 隔离和限制原理是 Docker 平台安全和可靠性的基石之一。