Docker 容器化技術及其原理

在現代軟體開發領域，容器化技術已成為構建、部署和運行應用程式的標準方法。
如果你是即將投入後端相關技術的工程師，了解 Docker 及其底層原理可以在未來的職業生涯中創造競爭優勢。

本文將探討 Docker 的核心概念、底層技術原理以及與傳統虛擬化技術的本質差異。

Docker 基本概念

Docker 是一個開源的容器化平台，幫助開發者將應用程式及其依賴（如程式碼、函式庫、環境變數和設定檔）打包進一個標準化的「容器」中。
這種容器可以在任何支援 Docker 的環境中一致運行，解決了「在我的機器上可以運行，但在你的不行」的常見部署問題。

以下是 Docker 中幾個重要名詞的解釋：

• Docker 引擎：Docker 的核心部分，包括：
  • dockerd：負責管理容器的守護程序。
  • Docker CLI：用於與 dockerd 互動的命令列工具
  • REST API：提供程式化介面控制 dockerd
• Image：只讀模板，包含應用程式及其運行所需的依賴。
• Container：從映像檔啟動的可執行範例，擁有獨立的檔案系統、網路和程序空間。
• Registry：儲存和分發 Docker Image 的服務，如 Docker Hub。
• Dockerfile：包含構建映像檔指令的腳本，實現「基礎建設即程式碼」（Infrastructure as Code）的理念。

Docker 底層技術原理

Docker 的強大功能建立在幾個關鍵的 Linux 核心技術之上。作為工程師，理解這些底層機制對於高效使用 Docker、診斷問題以及進行性能最佳化至關重要。

命名空間 (Namespaces)

命名空間是 Linux 核心提供的隔離機制，Docker 利用它為容器打造獨立的運行環境，主要包括以下幾種類型：

• PID Namespace（程序隔離）：為容器提供獨立的程序 ID 空間，容器內的程序對主機和其他容器不可見。
  • 容器內第一個程序獲得 PID 1，成為所有程序的父程序。
  • 實現方式：使用 clone() 系統調用中的 CLONE_NEWPID 標誌。
• Network Namespace（網路隔離）：為容器提供獨立的網路堆疊，包括獨立的網路設備、IP 地址和路由表。
  • 實現方式：透過 CLONE_NEWNET 標誌，並使用虛擬以太網對（veth pairs）連線到主機。
• Mount Namespace（檔案系統隔離）：為容器提供獨立的檔案系統視圖。
  • 實現方式：使用 CLONE_NEWNS 標誌。
• UTS Namespace（主機名隔離）：讓容器擁有獨立的主機名和域名。
  • 實現方式：使用 CLONE_NEWUTS 標誌。
• User Namespace（用戶隔離）：將容器內的 root 用戶映射到主機上的非特權用戶，提升安全性。
  • 實現方式：使用 CLONE_NEWUSER 標誌，結合 UID/GID 映射。

控制組 (Control Groups, cgroups)

cgroups 是 Linux 核心提供的資源管理和限制機制，Docker 用它來限制容器的資源使用：

• CPU 子系統：限制容器的 CPU 使用量，例如 --cpus=0.5 表示最多使用 50% 的 CPU。
• 記憶體子系統：限制容器的 RAM 和交換空間，例如 --memory=500m。
  • 當超過限制時，可能觸發 OOM（Out of Memory）殺程序。
• BlockIO 子系統：控制磁碟讀寫速率，例如 --device-write-bps。
• Device 子系統：控制容器對設備的存取權限，例如使用 --device 參數映射主機設備。

檢查資源限制的方式如下：

1
2
3
4
5

# 查看容器 CPU 限制
docker inspect container_name | grep "CpuShares"

# 查看主機上的 cgroup 設定
cat /sys/fs/cgroup/cpu/docker/container_id/cpu.shares

聯合檔案系統 (Union File System)

聯合檔案系統是 Docker 實現映像分層的核心技術，常見實現包括 OverlayFS（預設）、AUFS 等。其運作原理如下：

• 分層結構：映像由多個只讀層組成，啟動容器時新增一個可寫層。
• Copy-on-Write（CoW）機制：修改檔案時，將檔案從只讀層複製到可寫層進行操作，原層不變。
• 優勢：
  • 節省空間：多個容器可共享相同只讀層。
  • 快速啟動：僅需新增可寫層即可啟動容器。
  • 高效分發：僅傳輸更改的層。

檢查分層資訊的方式：

1
2
3
4
5

# 查看儲存驅動
docker info | grep "Storage Driver"

# 查看映像層
docker history image_name

容器運行時規範與實現

容器技術已發展出統一標準，Docker 現在遵循 Open Container Initiative (OCI) 規範，包含：

• runtime-spec：定義容器如何運行。
• image-spec：定義映像如何構建和分發。

Docker 的運行時堆疊如下：

1

Docker Engine → containerd（管理容器生命週期）→ runc（實現 OCI 規範）→ Linux Kernel

容器網路模型

Docker 網路架構提供多種網路模式，適應不同的部署場景：

Bridge 網路（預設模式）：

• 架構：Docker 在主機上創建虛擬橋接器（docker0）
• 容器通過 veth 對連線到橋接器
  實現原理：
  1. 為每個容器創建 Network Namespace
  2. 創建 veth 配對（虛擬乙太網介面配對）
  3. 將一端放在容器內，另一端連線到 docker0 橋接器
  4. 透過 NAT 實現外部通訊

1
2
3
4
5
6
7
8

# 查看 Docker 網路設定
docker network ls

# 檢查橋接網路詳情
docker network inspect bridge

# 主機上查看網路介面
ip addr show docker0

Host 網路模式：

• 容器與主機共享 Network Namespace
• 直接使用主機網路堆疊，無網路隔離
• 優點：性能最佳（無虛擬網路開銷）
• 缺點：可能與主機服務端口衝突

Overlay 網路：

• 用於跨主機容器通訊，特別是 Docker Swarm
• 實現原理：使用 VXLAN 隧道封裝，在主機間創建虛擬第二層網路
• 關鍵組件：libnetwork、基於鍵值儲存的分佈式狀態

Macvlan：

• 為容器提供實體網路介面和 MAC 地址
• 優點：性能接近原生，適合需要直接出現在網路上的容器
• 實現原理：從單個物理介面創建多個虛擬介面，每個有唯一 MAC

Container 網路模式：

• 容器共享另一個容器的網路命名空間
• 兩個容器共享 IP 地址和端口空間
• 實現原理：--net=container:container_name 參數

None 網路模式：

容器沒有網路介面，完全隔離，用於特殊安全需求或自定義網路設定。

使用 CNI (Container Network Interface)：

標準化的容器網路介面，允許不同網路供應商提供可互換。

Docker vs. 虛擬機：本質區別

Docker 和傳統虛擬機（Virtual Machine, VM）雖然都可以用來隔離應用程式，但它們在架構、實現原理和使用場景上有本質上的不同。理解這些差異有助於選擇適合的技術方案，並更好地利用 Docker 的優勢。

以下從多個維度進行深入比較。

核心架構與資源使用

虛擬機通過 Hypervisor（如 VMware ESXi、KVM 或 Hyper-V）在硬體層上模擬完整的電腦系統，每個虛擬機都包含獨立的作業系統內核、檔案系統和硬體資源（虛擬 CPU、記憶體等）。這種架構提供了強大的隔離性，但也帶來了較大的資源開銷。
相比之下，Docker 直接運行在主機作業系統上，所有容器共享同一個內核。Docker 利用 Linux 的命名空間（Namespaces）和控制組（cgroups）實現隔離和資源限制，無需模擬硬體或運行完整的作業系統。這使得 Docker 在資源利用率和啟動速度上遠超虛擬機。

隔離與安全

虛擬機在硬體層面實現隔離，每個虛擬機之間完全獨立，單個虛擬機被入侵通常不會影響其他虛擬機或主機系統。然而，這種隔離是以更高的性能代價換來的。
Docker 的隔離是程序級別的，雖然通過命名空間和 cgroups 提供了良好的隔離，但所有容器共享主機內核。如果內核存在漏洞，攻擊者可能影響整個系統。不過，Docker 可以通過設定（如 User Namespace 映射、非特權容器）增強安全性。

儲存與分層

虛擬機通常使用完整的虛擬硬碟（如 VHD、VMDK），每個虛擬機需要獨立的檔案系統副本，儲存開銷較大，且快照或克隆需要處理整個硬碟。
Docker 則使用聯合檔案系統（如 OverlayFS），採用分層儲存結構。映像層是只讀的，多個容器可以共享相同的基礎層，僅在修改時啟用 Copy-on-Write 機制。這不僅節省儲存空間，也加速了映像分發和容器啟動。

性能與啟動速度

虛擬機的啟動需要完整作業系統的引導過程，通常耗時幾十秒到幾分鐘，且每個虛擬機會佔用大量記憶體（包括內核開銷）。此外，Hypervisor 的硬體虛擬化會引入一定的性能損失。
Docker 的啟動速度極快（通常幾毫秒到幾秒），因為它只需啟動應用程式本身，無需引導完整的作業系統。容器直接使用主機 CPU 和內核，幾乎無性能損失。

直觀對比表格

Docker 和虛擬機各有優勢，選擇哪一種取決於具體需求。Docker 適合需要快速部署、高資源利用率和一致性環境的場景 (如微服務、CI/CD)；虛擬機則更適合需要強隔離、運行不同作業系統或內核的場景（如異構系統測試）。

隨著雲原生技術的發展，Docker 和容器技術已成為主流，但虛擬機在特定領域仍不可替代。

Docker 生態系統與最佳實踐

Docker Compose

Docker Compose 是一個用於定義和運行多容器 Docker 應用程式的工具。使用 YAML 文件設定應用程式的服務、網路和卷，然後通過單個命令創建和啟動所有服務。

1
2
3
4
5
6
7
8

version: '3'
services:
  web:
    build: .
    ports:
      - "5000:5000"
  redis:
    image: "redis:alpine"

Docker Swarm 與 Kubernetes

Docker Swarm：Docker 的原生群組管理工具，將多個 Docker 主機組成一個虛擬 Docker 主機，提供容器編排、負載均衡和服務發現等功能。
Kubernetes：更強大的容器編排平台，提供自動部署、擴充和管理容器化應用程式的功能，已成為事實上的容器編排標準。

容器安全 (Container Security)

Docker 安全涉及多層面的考量：

• 映像檔安全：使用可信來源的基礎映像檔，定期掃描映像檔漏洞
• 運行時安全：限制容器權限，使用只讀文件系統
• 內核安全：保持主機內核更新，使用安全增強型 Linux (SELinux) 或 AppArmor
• 網路安全：實施網路分段，使用容器間加密通訊

多階段構建 (Multi-Stage Build)

多階段構建允許在單個 Dockerfile 中使用多個 FROM 指令，每個指令可以使用不同的基礎映像檔。這種技術可以大幅減小最終映像檔的大小：

1
2
3
4
5
6
7
8
9
10

# 構建階段
FROM golang:1.16 AS builder
WORKDIR /app
COPY . .
RUN go build -o myapp

# 運行階段
FROM alpine:latest
COPY --from=builder /app/myapp /usr/local/bin/
CMD ["myapp"]

實際應用場景及最佳實踐

微服務架構實現

容器特別適合微服務架構，每個服務獨立打包、部署和擴充。Docker 提供了以下優勢：

• 服務隔離：每個微服務在獨立容器中運行
• 快速部署：新版本可快速部署和恢復
• 資源效率：根據每個服務的負載單獨擴充

CI/CD 整合

Docker 在現代 CI/CD 流水線中的應用：

• 一致的構建環境：所有構建都在相同的容器環境中
• 並行測試：在隔離的容器中並行運行測試
• 環境複製：測試環境可精確複製生產環境

資料科學與機器學習

Docker 提供可重現的研究和開發環境：

• 環境一致性：確保模型在不同環境中表現一致
• 依賴管理：封裝複雜的機器學習庫及其依賴
• GPU 支持：通過 NVIDIA Docker 存取 GPU 資源

結語

Docker 作為容器化技術的代表，通過巧妙利用 Linux 核心的隔離機制和資源控制功能，提供了一種輕量、高效的應用程式打包和運行解決方案。與傳統虛擬機相比，Docker 在資源利用率、啟動速度和部署效率上具有顯著優勢，同時還培養了一個繁榮的生態系統。
對於即將投入後端相關技術的工程師而言，深入了解 Docker 及其底層原理不僅有助於理解現代軟體開發和運維實踐，還能為未來的職業發展打下堅實基礎。

隨著雲原生技術的普及，容器化能力已成為技術人才的核心競爭力之一。

通過實踐和深入學習，你將能夠更好地理解和應用這項革命性技術，無論是在學術研究、個人項目還是未來的職業生涯中。

也許你也會想看看

• 可自架的密碼管理器 - Bitwarden
• COSCUP 2020 ~ 2024 熱門技術趨勢觀察
• Minecraft 磐石伺服器架設技術剖析 使用 GCP