Docker—基础之Linux Namespace

Docker

网络名称空间概念：为了支持网络协议栈的多个实例，linux在网络栈通过网络名称空间将独立的协议栈隔离到不同的网络名称空间。处于不同网络名称空间的网络栈是完全隔离的，彼此之间无法通信。通过对网络资源的隔离，就能在一个宿主机上虚拟多个不同的网络环境。

Docker正是利用网络名称空间特性，实现不同容器之间的网络隔离。Docker容器中各类网络栈都是Docker Daemon在启动时自动创建和配置的。

Veth设备：

由于网络名称空间代表一个独立的协议栈，所以他们是完全隔离的，彼此无法通信。

Veth设备对，注意：这里说的是设备对，即是成对出现的；其中一个作用就是打通了相互看不到的协议栈之间的壁垒，它像一条管子，将两个不同的网络名称空间连接起来实现通信。

在docker容器中，veth是连接容器与宿主机通信的重要桥梁，

网桥：

类似于二层交换机原理，利用MAC地址寻址，如果在MAC表存在，则转发，反之广播。

linux内核通过若干个网络桥接设备实现桥接，这个虚拟设备可以绑定若干个以太网接口设备，从而将它们桥接起来，这个网桥与其他的设备不同，最明显特性是它可以有一个IP地址。

Docker网络类型：

 - host

 - container模式（容器共享网络名称空间）  

 - none

 - bridge

在bridge模式下，Docker启动会创建一个虚拟网桥Docker0，然后给Docker0分配一个子网。由Docker0创建的每一个容器，都会创建一个虚拟以太网设备(Veth设备对)，一端关联Docker0，一端关联容器内部eth0，然后在Docker0所在的网段分配容器一个地址。

在同一台主机，不同容器之间通过即可Docker0桥接直接通信，不同主机需要映射宿主机端口，由宿主机网卡转发Docker0，然后转发容器通信。

 

 

Docker通过namespace及cgroup等来提供容器的资源隔离与安全保障等，下面来看是怎么实现的。

docker启动会在linux以守护进程运行

]# ps -ef | grep docker root       1128      1  3 May11 ?        02:33:12 /usr/bin/dockerd root       1262   1128  0 May11 ?        00:37:17 containerd --config /var/run/docker/containerd/containerd.toml --log-level warn root       2494   1262  0 May11 ?        00:00:20 containerd-shim -namespace moby -workdir /var/lib/docker/containerd/daemon/io.containerd.runtime.v1.linux/moby/34e4b348f161a741dbfe734561d5218addb793c74696b7bd10d517a5b6741751 -address /var/run/docker/containerd/containerd.sock -containerd-binary /usr/local/bin/containerd -runtime-root /var/run/docker/runtime-runc

 

 通过pstree查看进程守护关系

├─dockerd(1128)─┬─containerd(1262)─┬─containerd-shim(2494)─┬─pause(2557)            │               │                  │                       ├─{containerd-shim}(2517)            │               │                  │                       ├─{containerd-shim}(2518)            │               │                  │                       ├─{containerd-shim}(2519)            │               │                  │                       ├─{containerd-shim}(2520)            │               │                  │                       ├─{containerd-shim}(2521)            │               │                  │                       ├─{containerd-shim}(2523)            │               │                  │                       ├─{containerd-shim}(2524)            │               │                  │                       └─{containerd-shim}(3789)