Docker—基础之Linux Namespace

2022-05-14 20:32:15 阅读：186 来源： 互联网

标签：容器 Docker0 shim containerd Namespace 网络 Linux Docker

Docker

网络名称空间概念：为了支持网络协议栈的多个实例，linux在网络栈通过网络名称空间将独立的协议栈隔离到不同的网络名称空间。处于不同网络名称空间的网络栈是完全隔离的，彼此之间无法通信。通过对网络资源的隔离，就能在一个宿主机上虚拟多个不同的网络环境。

Docker正是利用网络名称空间特性，实现不同容器之间的网络隔离。Docker容器中各类网络栈都是Docker Daemon在启动时自动创建和配置的。

Veth设备：

由于网络名称空间代表一个独立的协议栈，所以他们是完全隔离的，彼此无法通信。

Veth设备对，注意：这里说的是设备对，即是成对出现的；其中一个作用就是打通了相互看不到的协议栈之间的壁垒，它像一条管子，将两个不同的网络名称空间连接起来实现通信。

在docker容器中，veth是连接容器与宿主机通信的重要桥梁，

网桥：

类似于二层交换机原理，利用MAC地址寻址，如果在MAC表存在，则转发，反之广播。

linux内核通过若干个网络桥接设备实现桥接，这个虚拟设备可以绑定若干个以太网接口设备，从而将它们桥接起来，这个网桥与其他的设备不同，最明显特性是它可以有一个IP地址。

Docker网络类型：

- host

- container模式（容器共享网络名称空间）

- none

- bridge

在bridge模式下，Docker启动会创建一个虚拟网桥Docker0，然后给Docker0分配一个子网。由Docker0创建的每一个容器，都会创建一个虚拟以太网设备(Veth设备对)，一端关联Docker0，一端关联容器内部eth0，然后在Docker0所在的网段分配容器一个地址。

在同一台主机，不同容器之间通过即可Docker0桥接直接通信，不同主机需要映射宿主机端口，由宿主机网卡转发Docker0，然后转发容器通信。

Docker通过namespace及cgroup等来提供容器的资源隔离与安全保障等，下面来看是怎么实现的。

docker启动会在linux以守护进程运行

]# ps -ef | grep docker
root       1128      1  3 May11 ?        02:33:12 /usr/bin/dockerd
root       1262   1128  0 May11 ?        00:37:17 containerd --config /var/run/docker/containerd/containerd.toml --log-level warn
root       2494   1262  0 May11 ?        00:00:20 containerd-shim -namespace moby -workdir /var/lib/docker/containerd/daemon/io.containerd.runtime.v1.linux/moby/34e4b348f161a741dbfe734561d5218addb793c74696b7bd10d517a5b6741751 -address /var/run/docker/containerd/containerd.sock -containerd-binary /usr/local/bin/containerd -runtime-root /var/run/docker/runtime-runc

通过pstree查看进程守护关系

├─dockerd(1128)─┬─containerd(1262)─┬─containerd-shim(2494)─┬─pause(2557)
           │               │                  │                       ├─{containerd-shim}(2517)
           │               │                  │                       ├─{containerd-shim}(2518)
           │               │                  │                       ├─{containerd-shim}(2519)
           │               │                  │                       ├─{containerd-shim}(2520)
           │               │                  │                       ├─{containerd-shim}(2521)
           │               │                  │                       ├─{containerd-shim}(2523)
           │               │                  │                       ├─{containerd-shim}(2524)
           │               │                  │                       └─{containerd-shim}(3789)

标签：容器,Docker0,shim,containerd,Namespace,网络,Linux,Docker
来源： https://www.cnblogs.com/rtnb/p/16271393.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。

ICode9

Docker—基础之Linux Namespace