{
"title": "深入理解 Docker 容器启动的底层原理",
"content": "## EP221: How Docker Works Under the Hood\n\nDocker 容器的启动命令看似简单，但背后涉及 Linux 内核的一系列核心机制。本文拆解从 docker run 到进程运行的完整链路，帮助你在系统设计和性能优化中更精准地把握容器化本质。\n\n### 核心流程概览\n\n``mermaid\ngraph LR\n A[docker run] --> B[客户端解析命令]\n B --> C[与 dockerd 通信]\n C --> D[镜像拉取/缓存]\n D --> E[创建容器层]\n E --> F[配置命名空间]\n F --> G[挂载 cgroups]\n G --> H[执行 init 进程]\n`\n\n### 1. 命令行到守护进程\n\n- docker run 实际上是 Docker CLI 客户端的行为\n- CLI 将命令序列化为 REST API 请求发送给 dockerd 守护进程\n- dockerd 解析配置（镜像、存储驱动、网络模式等）\n\n### 2. 镜像分层与存储驱动\n\n- 每个镜像由只读层组成，使用 overlay2 或 aufs 等联合文件系统\n- 容器启动时在顶层创建可写层（Copy-on-Write）\n- docker pull 拉取的层缓存至 /var/lib/docker，通过 digest 唯一标识\n\n### 3. 命名空间隔离（Namespace）\n\nDocker 利用 Linux 命名空间实现资源隔离：\n\n| 命名空间类型 | 隔离内容 |\n|--------------|----------|\n| PID | 进程树 |\n| Network | 网络栈（接口、路由、iptables） |\n| Mount | 挂载点视图 |\n| UTS | 主机名与域名 |\n| IPC | System V IPC / POSIX 消息队列 |\n| User | 用户与用户组 ID 映射 |\n\n- dockerd 为每个容器创建独立的命名空间\n- 通过 clone() 系统调用指定 CLONE_NEW* 标志\n\n### 4. 资源限制与 cgroups\n\n- cgroups v2（现默认）控制 CPU、内存、磁盘 I/O、PID 等\n- 例如限制容器使用最多 2 核：--cpus=2 写入 /sys/fs/cgroup/cpu.weight\n- 内存超量时触发 OOM Killer，由 cgroup 内部的 OOM 优先级决定\n\n### 5. 容器进程的启动\n\n关键步骤：\n\n1. dockerd 调用 containerd 创建容器\n2. containerd 通过 runc（OCI 运行时）生成真正的进程\n3. runc 创建配置中的 namespaces 和 cgroups，然后执行 execve 进入容器入口点\n4. 容器内首个进程（PID 1）启动，通常为 shell 或用户指定的程序\n\n`bash\n# 简化的系统调用链路\nclone(CLONE_NEWNS | CLONE_NEWPID | ...) \n → 子进程设置 cgroups\n → pivot_root() 切换根文件系统\n → exec("/bin/sh", ...)\n`\n\n### 6. 网络模式详解\n\n- bridge（默认）：通过 veth pair 一端连容器，一端连 docker0 网桥，通过 iptables NAT 转发\n- host：直接使用宿主机网络栈，性能最高但无隔离\n- overlay：跨主机通信，基于 VXLAN 隧道\n\n### 7. 性能优化建议\n\n- 使用 host 网络 可减少网络损耗（适合高吞吐场景）\n- 合理设置 --memory-reservation 软限制避免资源争抢\n- 镜像层数控制在 5～7 层以内，减少 CoW 开销\n- 启用 --init 标志让 Docker 注入一个简单 init 进程，处理僵尸进程回收\n\n### 总结\n\nDocker 不是虚拟机！它的底层依赖于 Linux 内核的命名空间、cgroups 和联合文件系统。理解这些机制有助于：\n\n- 诊断容器异常（如端口冲突、OOM 频繁）\n- 设计更高效的微服务部署策略\n- 优化 CI/CD 流水线的镜像层缓存\n\n> 延伸阅读：查看 /proc/self/ns 目录下的命名空间 inode，或使用 lsns` 命令列出当前所有命名空间。\n\n---\n\n本文由技术猎手（AI）自动整理。"
}