一.docker容器概述

1.什么是容器

（1）Docker是在Linux容器里運行應用的開源工具，是一種輕量級的“虛擬機”。

（2）是一個開源的應用容器引擎，基于go語言開發并遵循了apache2.0協議開源。
（3）Docker 的容器技術可以在一臺主機上輕松為任何應用創建一個輕量級的、可移植的、自給自足的容器。

2. docker與虛擬機的區別

2.1 docker虛擬化產品有哪些及其對比

虛擬化架構分為兩種：

（1）寄居架構：

寄居架構概念：虛擬寄居架構指的是在真實的操作系統之上來安裝虛擬化軟件的，虛擬化軟件再去安裝，然后再在虛擬機上安裝虛擬化操作系統，它的穩定性不是很高，當真實機器宕機之后，虛擬操作系統都會宕機，個人搭建較多。

• Vmware、workstation：個人在windows安裝虛擬的
• VmFUSion：個人機器MAC安裝虛擬機
• Xen：必須安裝是基于（HyperVision）需要cpu、硬盤、內存安裝，安裝內核軟件kernel-xen
• KVM：rehl 6自帶的KVM，全國5%~6%，是開源的虛擬化產品，稱為完全虛擬化、裝在linux操作系統之上
• Microsoft Hyper-V：是微軟自帶的server2012、2016、2019都有
• docker：即通過對應用組件的封裝、發布、部署、運行等生命周期的管理，達到應用組件級別的“一次封裝，到處運行”的目的。這里的組件，既可以是一個應用，也可以是一套服務，甚至是一個完整的操作系統。

（2）原生架構

原生架構：概念虛擬化原生架構在虛擬化直接安裝到硬件上的，不會依賴于操作系統，這種架構，一般應用在企業中，因為相較于很安全

• EXSI：Vmware、vsphere全虛擬化，直接使用，物理硬件性能高

2.2 Docker與虛擬機的區別

特性	Docker容器	虛擬機
啟動速度	秒級	分鐘級
計算能力損耗	幾乎無	損耗 50%左右
性能	接近原生	弱于
系統支持量（單機）	上千個	幾十個
隔離性	資源隔離/限制	完全隔離

3.Docker容器的使用場景

（1）打包應用程序簡化部署

（2）可脫離底層硬件任意遷移

4.Docker容器的優點

●靈活：即使是最復雜的應用也可以集裝箱化。
●輕量級：容器利用并共享主機內核。
●可互換：可以即時部署更新和升級。
●便攜式：可以在本地構建，部署到云，并在任何地方運行。
●可擴展：可以增加并自動分發容器副本。
●可堆疊：可以垂直和即時堆疊服務。

5.Docker 的底層運行原理

（1）Linux 內核的容器化支持：Docker 利用了 Linux 內核的一些特性，如 cgroups (控制組)、namespace (命名空間)、以及文件系統的特殊掛載等技術，實現了容器的隔離和資源控制。

（2）Docker 基于客戶端(容器)-————服務端 (docker 引擎) 結構 的系統

（3）客戶端 (容器) 通過socket（IP+端口）向docker引擎發送相應的指令 ，docker服務器就會執行相應的命令

6.namespace的六項隔離

namespace	系統調用參數	隔離內容
UTS	CLONE_NEWUTS	主機名與域名
IPC	CLONE_NEWWIPC	信號量、消息隊列和共享內存
PID	CLONE_NEWPID	進程編號
NETWORK	CLONE_NEWNET	網絡設備、網絡棧、端口等
MOUNT	CLONE_NEWNS	掛載點（文件系統）
USER	CLONE_NEWUSER	用戶和用戶組（3.8以后的內核才支持〉

7.Docker核心概念

（1）鏡像

容器運行的基礎，包含運行應用的程序的所有內容（資源、配置文件等）

（2）容器

是從鏡像創建的運行實例

（3）倉庫

集中保存鏡像的地方（公有docker hub，私有倉庫docker）

Docker 的鏡像、容器、日志等內容全部都默認存儲在 /var/lib/docker

二.Docker安裝 及管理

1.安裝 Docker

目前 Docker 只能支持 64 位系統。

#關閉防火墻
systemctl stop firewalld.service
setenforce 0

#安裝依賴包
yum install -y yum-utils device-mapper-persistent-data lvm2 

注解：

yum-utils：提供了 yum-config-manager 工具。
device mapper： 是Linux內核中支持邏輯卷管理的通用設備映射機制，它為實現用于存儲資源管理的塊設備驅動提供了一個高度模塊化的內核架構。

device mapper存儲驅動程序需要 device-mapper-persistent-data 和 lvm2。

#設置阿里云鏡像源
yum-config-manager --add-repo https://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo 

#安裝 Docker-CE并設置為開機自動啟動
yum install -y docker-ce docker-ce-cli containerd.io

安裝docker(ce表示社區版，若需安裝指定版本則–后跟版本)

yum install -y docker-ce-20.10.18 docker-ce-cli

systemctl start docker.service
systemctl enable docker.service 

安裝好的Docker系統有兩個程序，Docker服務端和Docker客戶端。其中Docker服務端是一個服務進程，負責管理所有容器。 Docker客戶端則扮演著Docker服務端的遠程控制器，可以用來控制Docker的服務端進程。大部分情況下Docker服務端和客戶端運行在一臺機器上。

1.1 卸載docker

（1）卸載 Docker 客戶端 (docker-ce-cli)：

yum remove docker-ce-cli

（2）卸載 Docker 引擎 (docker-ce) 以及其所依賴的存儲庫：

yum remove docker-ce docker-ce-cli containerd.io
rm -rf /etc/docker
rm -rf /var/lib/docker

注：以上命令會卸載 Docker 引擎以及刪除相關配置和鏡像，包括所有容器和鏡像，請在卸載前備份需要保留的數據。

（3）如果想徹底刪除所有 Docker 安裝過程中產生的文件，使用以下命令：

rm -rf /var/lib/docker

（4）卸載完畢后，可以使用以下命令確認 Docker 是否已經不再運行

service docker status

2.查看docker信息

#查看 docker 版本信息
docker version

#docker 信息查看
docker info 

注釋：
Client: Docker Engine - CommunityVersion:    24.0.5Context:    defaultDebug Mode: falsePlugins:buildx: Docker Buildx (Docker Inc.)Version:  v0.11.2Path:     /usr/libexec/docker/cli-plugins/docker-buildxcompose: Docker Compose (Docker Inc.)Version:  v2.20.2Path:     /usr/libexec/docker/cli-plugins/docker-composeServer:Containers: 0						# 容器數量Running: 0Paused: 0Stopped: 0Images: 0							# 鏡像數量Server Version: 24.0.5		# server 版本Storage Driver: overlay2			# docker 使用的是 overlay2 文件驅動Backing Filesystem: xfs			# 宿主機上的底層文件系統Supports d_type: trueNative Overlay Diff: trueLogging Driver: json-fileCgroup Driver: cgroupfs			# Cgroups 驅動Cgroup Version: 1Plugins:Volume: localNetwork: bridge host ipvlan macvlan null overlayLog: awslogs fluentd gcplogs gelf journald json-file local logentries splunk syslogSwarm: inactiveRuntimes: io.containerd.runtime.v1.linux runc io.containerd.runc.v2Default Runtime: runcInit Binary: docker-initcontainerd version: 269548fa27e0089a8b8278fc4fc781d7f65a939brunc version: ff819c7e9184c13b7c2607fe6c30ae19403a7affinit version: de40ad0Security Options:seccompProfile: defaultKernel Version: 3.10.0-693.el7.x86_64		# 宿主機的相關信息Operating System: CentOS Linux 7 (Core)OSType: linuxArchitecture: x86_64CPUs: 1Total Memory: 976.3MiBName: localhost.localdomainID: Y4ES:FTH2:ZJL7:MRVE:RJVB:WJIB:S7BV:C5IZ:LMBR:E4G5:QWSM:SNDTDocker Root Dir: /var/lib/docker			# docker 數據存儲目錄Debug Mode: falseRegistry: https://index.docker.io/v1/		# registry 地址Labels:Experimental: falseInsecure Registries:127.0.0.0/8Registry Mirrors:							# 加速站點https://6ijb8ubo.mirror.aliyuncs.com/Live Restore Enabled: false

注：如查看信息時末尾出現了以下：

這些警告是 Docker 在啟動時檢測到 Linux 內核參數 bridge-nf-call-iptables 和 bridge-nf-call-ip6tables 被禁用了。這些內核參數用于在 Docker 容器與宿主機之間配置網絡橋接。

WARNING: bridge-nf-call-iptables is disabled
WARNING: bridge-nf-call-ip6tables is disabled

解決方案：

1. 編輯 /etc/sysctl.conf 文件：

   sudo vi /etc/sysctl.conf
   

2. 將以下兩個內核參數的值設置為 1：

   net.bridge.bridge-nf-call-ip6tables = 1
   net.bridge.bridge-nf-call-iptables = 1
   

3. 保存并關閉文件。

4. 使更改生效：

   sudo sysctl -p
   

再次使用查看就沒有了

docker info 

3. 配置docker加速器

（1）打開阿里云官網登錄

（2）點擊左側菜單欄，搜索框輸入容器鏡像服務

（3）選擇鏡像工具，鏡像加速器，復制命令配置即可配置完畢重新加載daemon然后重啟docker。

mkdir -p /etc/docker

tee /etc/docker/daemon.json <<-'EOF'
{"registry-mirrors": ["https://90b8orj3.mirror.aliyuncs.com"]
}
EOF

systemctl daemon-reload
systemctl restart docker

4.docker鏡像相關基礎命令

4.1 搜索鏡像

搜索關鍵字的相關鏡像內容

格式：docker search 關鍵字

例如：docker search nginx

4.2 獲取鏡像

如果下載鏡像時不指定標簽，則默認會下載倉庫中最新版本的鏡像，即選擇標簽為 latest 標簽。

格式：docker pull 鏡像名[:版本號]

例如：docker pull nginx

4.3 查看鏡像信息

4.3.1 鏡像下載后存放在 /var/lib/docker 。

Docker 相關的本地資源存放在 /var/lib/docker/ 目錄下，其中 containers 目錄存放容器信息

image 目錄存放鏡像信息

overlay2 目錄下存放具體的鏡像底層文件。

4.3.2 查看下載的鏡像文件信息

cat /var/lib/docker/image/overlay2/repositories.json

4.3.3 查看下載到本地的所有鏡像

[root@test7 docker]# docker images
REPOSITORY   TAG       IMAGE ID       CREATED         SIZE
nginx        latest    605c77e624dd   19 months ago   141MB

注解：

REPOSITORY：鏡像屬于的倉庫；
TAG：鏡像的標簽信息，標記同一個倉庫中的不同鏡像；
IMAGE ID：鏡像的唯一ID 號，唯一標識一個鏡像；
CREATED：鏡像創建時間；

VIRTUAL SIZE：鏡像大小；

4.3.4 根據鏡像的唯一標識 ID 號，獲取鏡像詳細信息

格式：docker inspect 鏡像ID號

例如：docker inspect 605c77e624dd

4.3.5 本地的鏡像添加新的標簽

格式：docker tag 名稱:[標簽] 新名稱:[新標簽]

例如：docker tag nginx:latest nginx:web

#查看新添加的標簽
docker images
docker images | grep nginx

4.4 刪除docker鏡像

格式：

（1）docker rmi 倉庫名稱:標簽 #當一個鏡像有多個標簽時，只是刪除其中指定的標簽

（2）docker rmi 鏡像ID號 #會徹底刪除該鏡像

注：如果該鏡像已經被容器使用，正確的做法是先刪除依賴該鏡像的所有容器，再去刪除鏡像。

例如：
#倉庫標簽刪除
docker rmi nginx:web
#ID號刪除
docker rmi 605c77e624dd

4.5 容器導出鏡像存儲

將鏡像保存成為本地文件

格式：docker save -o 保存目錄 導出的鏡像

#存出鏡像命名為nginx存在當前目錄下
docker save -o nginx nginx:latest			

ls -lh

#指定保存目錄
docker save -o /opt/nginx nginx:latest 

4.6 導入鏡像

將鏡像文件導入到鏡像庫中

格式：
（1）docker load < 本地存儲的鏡像名稱
（2）docker load -i 本地存儲的鏡像名稱

例如：
#鏡像在當前目錄
docker load < nginx
#不在當前目錄需添加目錄
docker load -i /opt/nginx

4.7 上傳鏡像到官方公共倉庫

默認上傳到 docker Hub 官方公共倉庫，需要注冊使用公共倉庫的賬號。https://hub.docker.com
可以使用 docker login 命令來輸入用戶名、密碼和郵箱來完成注冊和登錄。
在上傳鏡像之前，還需要先對本地鏡像添加新的標簽，然后再使用 docker push 命令進行上傳。

docker tag nginx:latest soscscs/nginx:web #添加新的標簽時必須在前面加上自己的dockerhub的username
docker login #登錄公共倉庫
Username：soscscs
password：abc123456
docker push soscscs/nginx:web #上傳鏡像

5.Docker 容器相關基礎命令

5.1 查看docker容器進程、運行狀態

顯示up的進程，加-a表示顯示所有狀態容器

格式：docker ps [選項]

常用選項：

-a：顯示所有狀態容器

5.2 創建docker容器

就是將鏡像加載到容器的過程。

新創建的容器默認處于停止狀態，不運行任何程序，需要在其中發起一個進程來啟動容器。

格式：docker create [選項] 鏡像
常用選項：
-i：讓容器開啟標準輸入
-t：讓 Docker 分配一個偽終端 tty
-it :合起來實現和容器交互的作用，運行一個交互式會話 shell

docker create -it nginx:latest

5.3 管理docker容器

開啟或關閉docker容器

格式：docker start/stop 容器唯一id/容器名稱

docker start e785459638d9
docker stop e785459638d9
docker ps -a

5.4 docker run的運行過程

創建并啟動docker容器
（1）格式：docker run [選項] 鏡像名/鏡像唯一id /bin/bash

常用選項：

-d 選項讓 Docker 容器以守護形式在后臺運行，并且容器所運行的程序不能結束

-it :合起來實現和容器交互的作用，運行一個交互式會話 shell

–name：指定創建的容器的名稱

相當于先執行 docker create 命令，再執行 docker start 命令。
注意：容器是一個與其中運行的 shell 命令共存亡的終端，命令運行容器運行， 命令結束容器退出。

docker create -it nginx:latest /bin/bash

（2）運行過程：

• 檢查本地是否存在指定的鏡像。當鏡像不存在時，會從公有倉庫下載；
• 利用鏡像創建并啟動一個容器；
• 分配一個文件系統給容器，在只讀的鏡像層外面掛載一層可讀寫層；
• 從宿主主機配置的網橋接口中橋接一個虛擬機接口到容器中；
• 分配一個地址池中的 IP 地址給容器；
• 執行用戶指定的應用程序，執行完畢后容器被終止運行。

docker run centos:7 /usr/bin/bash -c ls /
#會發現創建了一個新容器并啟動執行一條 shell 命令，之后就停止了
docker ps -a					

（3）在后臺持續運行 docker run 創建的容器
需要在 docker run 命令之后添加 -d 選項讓 Docker 容器以守護形式在后臺運行。并且容器所運行的程序不能結束。

docker run -d centos:7 /usr/bin/bash -c "while true;do echo hello;done"

#可以看出容器始終處于 UP，運行狀態
docker ps -a	

#創建容器并持續運行容器
docker run -itd --name test1 centos:7 /bin/bash   

5.4.1 docker 容器7個的生命周期

（1）create：已創建還未運行的容器

（2）running：正在運行中的容器

（3）restarting：容器正在重啟中

（4）removing：容器正在遷移中

（5）paused：容器已暫停的狀態

（6）exited：停止容器運行

（7）dead：死亡，主要是操作系統出現異常或斷點導致

（8）暫停和停止狀態的區別：

• paused 命令掛起指定的容器中的所有進程為暫停，

• stop：表示殺掉正在運行的docker容器進程，默認是10s后

5.5 容器的進入

需要進入容器進行命令操作時，可以使用 docker exec 命令進入運行著的容器。

格式：docker exec -it 容器ID/名稱 /bin/bash

常用選項：

-i 選項表示讓容器的輸入保持打開；
-t 選項表示讓 Docker 分配一個偽終端。

#進入容器前，確保容器正在運行
docker start e785459638d9
docker exec -it e785459638d9 /bin/bash
ls
#退出容器后，容器仍在運行
exit				
docker ps -a

#不加 -d 選項會創建容器后直接進入容器，但是退出容器，容器也會停止
docker run -it centos:7 bash     

5.6 怎么把宿主機的文件傳入到容器內部

5.6.1 linux 怎么復制

格式：cp 原文件路徑目標文件路徑
docker cp l opt / abc容器id: /opt/abc

（1）復制到容器中

[root@test7 opt]# echo abc123 > test.txt[root@test7 opt]# cat test.txt 
abc123[root@test7 opt]# docker cp test.txt e785459638d9:/home/
Successfully copied 2.05kB to e785459638d9:/home/

查看復制是否成功

[root@test7 opt]# docker exec -it e785459638d9 /bin/bash
root@e785459638d9:/# ls
bin   docker-entrypoint.d   home   media  proc	sbin  tmp
boot  docker-entrypoint.sh  lib    mnt	  root	srv   usr
dev   etc		    lib64  opt	  run	sys   var
root@e785459638d9:/# cd /home/
root@e785459638d9:/home# ls
test.txt
root@e785459638d9:/home# cat test.txt 
abc123

（2）從容器復制文件到主機

root@e785459638d9:/opt# echo "qwerty" > test1.txt
root@e785459638d9:/opt# cat test1.txt 
qwerty
root@e785459638d9:/opt# exit
exit
[root@test7 opt]# docker cp e785459638d9:/opt/test1.txt /opt/
Successfully copied 2.05kB to /opt/
[root@test7 opt]# ls
containerd  nginx  rh  test1.txt  test.txt
[root@test7 opt]# cat test1.txt 
qwerty

5.7 容器的導出與導入

用戶可以將任何一個 Docker 容器從一臺機器遷移到另一臺機器。在遷移過程中，可以使用docker export 命令將已經創建好的容器導出為文件，無論這個容器是處于運行狀態還是停止狀態均可導出。可將導出文件傳輸到其他機器，通過相應的導入命令實現容器的遷移。

（1）導出格式：docker export 容器ID/名稱 > 文件名

docker export 11b7fd33c415 > centos7.tar

（2）導入格式：cat 文件名 | docker import – 鏡像名稱:標簽

#run一個新的nginx
[root@test7 opt]# docker run -itd nginx /bin/bash
c588fc4b47059331fe56605067dee867290b482df18491ac7123d8dfa1851003
[root@test7 opt]# docker ps -a

[root@test7 opt]# ls
centos7.2023.8.15tar  centos7.tar  containerd  nginx  rh  test1.txt  test.txt
#導入后會生成鏡像，但不會創建容器
[root@test7 opt]# cat centos7.2023.8.15tar | docker import - centos7:test
sha256:c5e4c3a170cdd7f8aa34559ff293a59858b7918912a74dbf1b8261e19a4c209d[root@test7 opt]# docker images
REPOSITORY   TAG       IMAGE ID       CREATED          SIZE
centos7      test      c5e4c3a170cd   25 seconds ago   140MB	

5.8 刪除容器

格式：docker rm [-f] 容器ID/名稱

docker stop c588fc4b4705
docker rm c588fc4b4705				#刪除已經終止狀態的容器
docker rm -f c588fc4b4705			#強制刪除正在運行的容器

5.9 批量操作

5.9.1 批量停止容器

docker ps -a | awk 'NR>=2{print "docker stop "$1}' | bash		
docker ps -a | awk 'NR>=2{print $1}'| xargs docker stop

5.9.2 批量刪除所有容器

docker ps -a | awk 'NR>=2{print "docker rm "$1}' | bash			
docker ps -a | awk 'NR>=2{print $1}'| xargs docker rm

5.9.3 批量刪除鏡像

docker images | awk 'NR>=2{print "docker rmi "$3}' | bash	

5.9.4 刪除none鏡像

docker images | grep none | awk '{print $3}' | xargs docker rmi	

5.9.5批量清理后臺停止的容器

docker rm $(docker ps -a -q)		

三.Docker 網絡

1.Docker 網絡實現原理

Docker使用Linux橋接，在宿主機虛擬一個Docker容器網橋(docker0)，Docker啟動一個容器時會根據Docker網橋的網段分配給容器一個IP地址，稱為Container-IP，同時Docker網橋是每個容器的默認網關。因為在同一宿主機內的容器都接入同一個網橋，這樣容器之間就能夠通過容器的 Container-IP 直接通信。

Docker網橋是宿主機虛擬出來的，并不是真實存在的網絡設備，外部網絡是無法尋址到的，這也意味著外部網絡無法直接通過 Container-IP 訪問到容器。如果容器希望外部訪問能夠訪問到，可以通過映射容器端口到宿主主機（端口映射），即 docker run 創建容器時候通過 -p 或 -P 參數來啟用，訪問容器的時候就通過[宿主機IP]:[容器端口]訪問容器。

docker run -d --name test1 -P nginx					#隨機映射端口（從49153開始）
docker ps -a

#指定映射端口
docker run -d --name test3 -p 50001:80 nginx
docker ps -a

瀏覽器訪問：http://192.168.198.17:50001 、http://192.168.198.17:49153

#查看容器的輸出和日志信息
格式：docker logs 容器的ID/名稱
docker logs f45ac0f9a122

2.Docker 的網絡模式

2.1 Host

2.1.1 概念

（1）容器將不會虛擬出自己的網卡，配置自己的IP等，而是使用宿主機的IP和端口。

（2）相當于Vmware中的橋接模式，與宿主機在同一個網絡中，但沒有獨立IP地址。
（3）Docker使用了Linux的Namespaces技術來進行資源隔離，如PID Namespace隔離進程，Mount Namespace隔離文件系統，Network Namespace隔離網絡等。
（4）一個Network Namespace提供了一份獨立的網絡環境，包括網卡、路由、iptable規則等都與其他的Network Namespace隔離。 一個Docker容器一般會分配一個獨立的Network Namespace。 但如果啟動容器的時候使用host模式，那么這個容器將不會獲得一個獨立的Network Namespace， 而是和宿主機共用一個Network Namespace。容器將不會虛擬出自己的網卡、配置自己的IP等，而是使用宿主機的IP和端口。

2.1.2 安裝Docker時，它會自動創建三個網絡，bridge（創建容器默認連接到此網絡）、 none 、host

#查看docker網絡列表
docker network ls	 或  docker network list

2.1.3 使用docker run創建Docker容器時，可以用 --net 或 --network 選項指定容器的網絡模式

●host模式：使用 --net=host 指定。
●none模式：使用 --net=none 指定。
●container模式：使用 --net=container:NAME_or_ID 指定。
●bridge模式：使用 --net=bridge 指定，默認設置，可省略。

2.2 Container

2.2.1 概念

（1）創建的容器不會創建自己的網卡，配置自己的IP，而是和一個指定的容器共享IP、端口范圍。

（2）這個模式指定新創建的容器和已經存在的一個容器共享一個Network Namespace，而不是和宿主機共享。新創建的容器不會創建自己的網卡，配置自己的IP，而是和一個指定的容器共享IP、端口范圍等。同樣，兩個容器除了網絡方面，其他的如文件系統、進程列表等還是隔離的。兩個容器的進程可以通過lo網卡設備通信。

2.2.2 創建指定名稱

#--name 選項可以給容器創建一個自定義名稱
docker run -itd --name test1 centos:7 /bin/bash
docker ps -a

2.2.3 查看容器進程號

#查看容器進程號
docker inspect -f '{{.State.Pid}}' 3ed82355f811

2.2.4 查看容器的進程、網絡、文件系統等命名空間編號

#查看容器的進程、網絡、文件系統等命名空間編號
ls -l /proc/89198/ns

docker run -itd --name test2 --net=container:1a29ed506da4 centos:7 /bin/bash
docker ps -a

docker inspect -f '{{.State.Pid}}' 20dc47e95e6a
91161
#查看可以發現兩個容器的 net namespace 編號相同
ls -l /proc/91161/ns

2.3 none

（1）該模式關閉了容器的網絡功能。

（2）使用none模式，Docker容器擁有自己的Network Namespace，但是，并不為Docker容器進行任何網絡配置。 也就是說，這個Docker容器沒有網卡、IP、路由等信息。這種網絡模式下容器只有lo回環網絡，沒有其他網卡。這種類型的網絡沒有辦法聯網，封閉的網絡能很好的保證容器的安全性。

2.4 Bridge

（1）默認為該模式，此模式會為每一個容器分配、設置IP等，并將容器連接到一個docker0虛擬網橋，通過docker0網橋以及iptables nat 表配置與宿主機通信。

（2）相當于Vmware中的 nat 模式，容器使用獨立network Namespace，并連接到docker0虛擬網卡。通過docker0網橋以及iptables nat表配置與宿主機通信，此模式會為每一個容器分配Network Namespace、設置IP等，并將一個主機上的 Docker 容器連接到一個虛擬網橋上。

2.5 自定義網絡

#直接使用bridge模式，是無法支持指定IP運行docker的，例如執行以下命令就會報錯

docker run -itd --name test3 --network bridge --ip 172.17.0.10 centos:7 /bin/bash

2.5.1 創建自定義網絡

#可以先自定義網絡，再使用指定IP運行docker
docker network create --subnet=172.18.0.0/16 --opt "com.docker.network.bridge.name"="docker1"  mynetwork

注解：

docker1 為執行 ifconfig -a 命令時，顯示的網卡名，如果不使用 --opt 參數指定此名稱，那在使用 ifconfig -a 命令查看網絡信息時，看到的是類似 br-110eb56a0b22 這樣的名字，這顯然不怎么好記。
mynetwork 為執行 docker network list 命令時，顯示的bridge網絡模式名稱。

#運行
docker run -itd --name test4 --net mynetwork --ip 172.18.0.10 centos:7 /bin/bash

四、docker的資源控制

1.CPU 資源控制

1.1 概念

cgroups，是一個非常強大的linux內核工具，他不僅可以限制被 namespace 隔離起來的資源， 還可以為資源設置權重、計算使用量、操控進程啟停等等。 所以 cgroups（Control groups）實現了對資源的配額和度量。

1.2 cgroups有四大功能

●資源限制：可以對任務使用的資源總額進行限制
●優先級分配：通過分配的cpu時間片數量以及磁盤IO帶寬大小，實際上相當于控制了任務運行優先級
●資源統計：可以統計系統的資源使用量，如cpu時長，內存用量等
●任務控制：cgroup可以對任務執行掛起、恢復等操作

1.3 設置CPU使用率上限

Linux通過CFS（Completely Fair Scheduler，完全公平調度器）來調度各個進程對CPU的使用。CFS默認的調度周期是100ms。
我們可以設置每個容器進程的調度周期，以及在這個周期內各個容器最多能使用多少 CPU 時間。

使用 --cpu-period 即可設置調度周期，使用 --cpu-quota 即可設置在每個周期內容器能使用的CPU時間。兩者可以配合使用。
CFS 周期的有效范圍是 1ms~1s，對應的 --cpu-period 的數值范圍是 1000~1000000。 周期100毫秒
而容器的 CPU 配額必須不小于 1ms，即 --cpu-quota 的值必須 >= 1000。

docker run -itd --name test5 centos:7 /bin/bash
cd /sys/fs/cgroup/cpu/docker/
ls
cd 04cebd503002e7725beb25d4424e0eaa0aaa7a8019b9050d9911607c535da896
cat cpu.cfs_quota_us

cat cpu.cfs_period_us 

注解：

cpu.cfs_period_us：cpu分配的周期(微秒，所以文件名中用 us 表示），默認為100000。
cpu.cfs_quota_us：表示該cgroups限制占用的時間（微秒），默認為-1，表示不限制。 如果設為50000，表示占用50000/100000=50%的CPU。

1.4進行CPU壓力測試

docker exec -it 1a29ed506da4 /bin/bash

vi /cpu.sh
#!/bin/bash
i=0
while true
do
let i++
done

chmod +x /cpu.sh
./cpu.sh

#可以看到這個腳本占了很多的cpu資源
top

1.5 設置50%的比例分配CPU使用時間上限

#可以重新創建一個容器并設置限額
docker run -itd --name test6 --cpu-quota 50000 centos:7 /bin/bash
#或者進入修改
cd /sys/fs/cgroup/cpu/docker/1a29ed506da4dc4c41179b38e2175a3a5d8a02f55c833f5992536d850dc404a4/
echo 50000 > cpu.cfs_quota_us
docker exec -it 1a29ed506da4 /bin/bash
./cpu.sh

#可以看到cpu占用率接近50%，cgroups對cpu的控制起了效果
top

1.6 設置CPU資源占用比（設置多個容器時才有效）

Docker 通過 --cpu-shares 指定 CPU 份額，默認值為1024，值為1024的倍數。

1.6.1 兩個容器測試cpu

（1）創建兩個容器為 c1 和 c2，若只有這兩個容器，設置容器的權重，使得c1和c2的CPU資源占比為1/3和2/3。

docker run -itd --name c1 --cpu-shares 512 centos:7	
docker run -itd --name c2 --cpu-shares 1024 centos:7

（2）分別進入容器，進行壓力測試
c1:

docker exec -it eb2c65e90789 /bin/bash
vi /cpu.sh
#!/bin/bash
i=0
while true
do
let i++
done

chmod +x /cpu.sh
./cpu.sh

另開終端：

c2:

docker exec -it d32f1cdfafe2 /bin/bash
vi /cpu.sh
#!/bin/bash
i=0
while true
do
let i++
done

chmod +x /cpu.sh
./cpu.sh

另開終端

yum install -y epel-release
yum install -y stress
#產生四個進程，每個進程都反復不停的計算隨機數的平方根
stress -c 4				

（3）另開終端，查看容器運行狀態（動態更新）

docker stats

1.6.2 設置容器綁定指定的CPU

（1）先分配虛擬機4個CPU核數

docker run -itd --name test7 --cpuset-cpus 1,3 centos:7 /bin/bash

（2）進入容器，進行壓力測試

yum install -y epel-release
yum install stress -y
stress -c 4

docker exec -it d32f1cdfafe2 /bin/bash
vi /cpu.sh
#!/bin/bash
i=0
while true
do
let i++
done

chmod +x /cpu.sh
./cpu.sh

另開終端

（3）退出容器，執行 top 命令再按 1 查看CPU使用情況。

2.對內存使用的限制

（1）-m(–memory=) 選項用于限制容器可以使用的最大內存

docker run -itd --name test8 -m 512m centos:7 /bin/bash
docker stats

（2）限制可用的 swap 大小， --memory-swap
強調一下，–memory-swap 是必須要與 --memory 一起使用的。

正常情況下，–memory-swap 的值包含容器可用內存和可用 swap。
所以 -m 300m --memory-swap=1g 的含義為：容器可以使用 300M 的物理內存，并且可以使用 700M（1G - 300）的 swap。

如果 --memory-swap 設置為 0 或者 不設置，則容器可以使用的 swap 大小為 -m 值的兩倍。
如果 --memory-swap 的值和 -m 值相同，則容器不能使用 swap。
如果 --memory-swap 值為 -1，它表示容器程序使用的內存受限，而可以使用的 swap 空間使用不受限制（宿主機有多少 swap 容器就可以使用多少）。

3.對磁盤IO配額控制（blkio）的限制

–device-read-bps：限制某個設備上的讀速度bps（數據量），單位可以是kb、mb(M)或者gb。
例：

docker run -itd --name test9 --device-read-bps /dev/sda:1M  centos:7 /bin/bash
dd if=/dev/zero of=test.out bs=1M count=10 oflag=direct	

–device-write-bps ： 限制某個設備上的寫速度bps（數據量），單位可以是kb、mb(M)或者gb。

例：

docker run -itd --name test11 --device-write-bps /dev/sda:1mb centos:7 /bin/bash
dd if=/dev/zero of=test.out bs=1M count=10 oflag=direct	

–device-read-iops ：限制讀某個設備的iops（次數）

–device-write-iops ：限制寫入某個設備的iops（次數）

3.1 創建容器，并限制寫速度

docker run -it --name test10 --device-write-bps /dev/sda:1MB centos:7 /bin/bash

#通過dd來驗證寫速度
#添加oflag參數以規避掉文件系統cache
dd if=/dev/zero of=test.out bs=1M count=10 oflag=direct	10+0 records in
10+0 records out
10485760 bytes (10 MB) copied, 10.0025 s, 1.0 MB/s

#清理docker占用的磁盤空間
docker system prune -a			#可以用于清理磁盤，刪除關閉的容器、無用的數據卷和網絡

停止的容器已被清理

3.2 生產擴展

故障：由于docker容器故障導致大量日志集滿，會造成磁盤空間滿
解決方案
1、清除日志

#!/bin/bash
logs=$ (find /var/lib/docker/containers/ -name *-json.log*)
for log in $logs
do
cat /dev/null > $log
done

2、當日志占滿之后如何處理
###設置docker日志文件數量及每個日志大小

 vim /etc/docker/daemon.json
{
"registry-mirrors": ["http://f613ce8f.m.daocloud.io"]，
"log-driver": "json-file",   #我的一日志格式
"log-opts": { "max-size" : "500m", "max-file" : "3"}   #日志的參數最大500M   我最大容器中有三個日志文件 每個日志文件大小是500M
}

#修改完需要重新加載  systemctl daemon-reload