Docker 的起源与容器的由来
1. 虚拟机的局限：容器的需求萌芽
在 Docker 出现之前，开发和部署软件主要依赖虚拟机（VMs）：
- 虚拟机通过模拟硬件运行操作系统，每个应用程序可以运行在自己的独立环境中。
- 虽然虚拟机解决了隔离问题，但它们的缺点也很明显：
- 占用资源多：每个虚拟机需要运行一个完整的操作系统，占用大量内存和存储。
- 启动慢：启动虚拟机往往需要几分钟，影响开发和测试效率。
- 部署繁琐：跨环境迁移应用时，环境差异容易引发问题。
这些问题推动了对更轻量级、快速启动、隔离性强的解决方案的需求，容器技术由此诞生。
2. 容器技术的前身
容器的概念并非 Docker 发明，而是基于 Linux 系统的已有技术演变而来：
- 2001年：Chroot 环境
Linux 的chroot技术可以改变进程的根文件系统，让进程只看到特定的目录。虽然简单，但它的隔离能力有限。 - 2008年：LXC 容器技术
Linux 开始支持 Linux Containers (LXC)，基于cgroups和namespace提供了资源控制和进程隔离的能力。这是容器的雏形，但 LXC 的操作复杂，开发者使用门槛较高。
3. Docker 的诞生
- 2013年：Docker 横空出世
一个名为 DotCloud 的创业公司开发了 Docker，目标是简化容器的使用：- 基于 LXC 技术：早期的 Docker 使用 LXC 容器技术。
- 易用性：Docker 提供简单的命令行工具和友好的 API，让开发者轻松使用容器。
- 镜像理念：Docker 引入了轻量级、可移植的镜像，将应用程序及其运行环境封装到一个标准化的包中，方便跨环境部署。
随着 Docker 的发展，它逐步替换 LXC，构建了自己的容器引擎 libcontainer，进一步增强性能和隔离性。
Docker 容器的隔离机制
容器的核心理念是隔离：让每个容器看起来像是独立运行的“微型计算机”。Docker 使用 Linux 的内核功能实现这一点，主要依赖以下两大机制：
1. Namespace：命名空间（隔离视图）
Namespace 提供进程的视图隔离，每个容器有自己的“世界”，看不到其他容器或宿主机的资源。
- 进程隔离（PID Namespace）
每个容器有自己的进程树，容器内部的进程只能看到自己的进程，无法干扰宿主机或其他容器的进程。 - 文件系统隔离（Mount Namespace）
容器内有独立的文件系统，依赖 Docker 镜像加载。容器只能访问分配给它的文件系统部分。 - 网络隔离（Net Namespace）
每个容器有自己的虚拟网卡和 IP 地址，容器之间、容器与宿主机之间的网络通信通过桥接或 NAT 控制。 - 用户隔离（User Namespace）
容器内的用户和宿主机的用户隔离，例如容器内的 root 用户并不是真正的宿主机 root。
2. Cgroups：控制组（资源限制）
Cgroups 提供进程的资源限制，防止某个容器耗尽系统资源。
- CPU 限制：限制单个容器的 CPU 使用率，确保多个容器公平共享 CPU。
- 内存限制：为容器分配固定内存，防止内存泄漏影响宿主机或其他容器。
- I/O 限制：限制容器的磁盘读写速度，避免某些高 I/O 的容器影响整体性能。
3. UnionFS：分层文件系统
Docker 使用分层文件系统（如 AUFS、OverlayFS）管理镜像和容器的文件：
- 镜像分层：Docker 镜像由多层组成，每层存储变化部分。
- 写时复制：容器启动时创建一个可写层，所有对文件的修改只影响这一层，不改变原始镜像。
这种设计让镜像可以高效复用和快速构建，同时减少存储占用。
生动比喻
虚拟机 vs 容器
- 虚拟机就像是一栋栋独立的房子，每栋房子需要自己的地基（硬件），而且盖起来很耗时。
- 容器就像是公寓中的单元，所有单元共用同一个地基（宿主机的内核），但每个单元都有自己的门、窗、墙壁，住户互不干扰。
隔离机制的比喻
- Namespace 就像每个单元的“视野”：单元内的住户只能看到自己的房间，看不到其他单元的情况。
- Cgroups 就像物业对每个单元的资源限制：每户用电、用水有配额，超出了就会被限制。
- UnionFS 就像一个多层的建筑结构：底层是固定的（镜像层），住户只在顶层装修（容器层），不会破坏建筑结构。
总结
Docker 是为了解决虚拟机的资源开销和环境迁移问题而生的，它通过 Linux 的 Namespace 和 Cgroups 实现隔离，通过 UnionFS 提高文件管理效率。这种轻量级的虚拟化方式彻底改变了现代应用的开发、测试和部署方式，为容器化技术奠定了基础。