了解Docker的文件系统网络模式的基本原理

Docker文件系统

Linux基础

一个Linux系统运行需要两个文件系统： bootfs + rbootfs

bootfs（boot file system）

bootfs 即引导文件系统，Linux内核启动时使用的文件系统。对于同样的内核版本的不同Lunx发行版本，其bootfs是一样的。

引导文件系统包括：启动所需的映像文件 和 引导加载程序（bootloader）。
在 Linux 系统中，bootfs 通常是一个小型的文件系统，容纳了以下重要的组件：

内核映像（vmlinuz）：这是 Linux 内核的压缩形式，它是操作系统的核心部分。内核映像负责初始化系统硬件、加载其他驱动程序和模块，并启动用户空间进程。
初始 RAM 磁盘（initrd）或初始 RAM 文件系统（initramfs）：这是一个临时的文件系统，用于在 Linux 内核引导过程中提供额外的驱动程序和工具。它包含了用于引导过程中所需的必要文件和脚本。
引导加载程序（bootloader）：这是一个位于计算机固件和操作系统之间的软件，负责加载和启动操作系统。常见的引导加载程序包括 GRUB（GRand Unified Bootloader）和 LILO（LInux LOader）

bootfs 只是引导过程中的一个阶段，一旦 Linux 内核成功加载并初始化，它将卸载 bootfs 并切换到其他文件系统，如根文件系统（rootfs）。

通常，为了保证安全，引导文件系统一般是挂载为只读的。

rootfs（root file system）

rootfs 是 Linux 系统中的一个概念，它指的是根文件系统（Root Filesystem），也被称为根目录或根挂载点。这个文件系统在不同的Linux发行版本间是不一样的。

在 Linux 中，根文件系统是文件系统层次结构的顶级目录，包含了操作系统中所有文件和目录的根源。根文件系统是文件系统的起点，它是整个文件系统层次结构的起点。

典型的目录结构 /dev, /proc, /bin, /etc, /lib, /usr, and /tmp 等。

在启动完成之后，根文件系统改为读写模式，用户可以对其进行修改。

Docker镜像的基本原理

镜像的本质是文件系统，容器就是一个进程，进程被Namespace隔离，受到Cgroups 限制。

Docker 使用一种称为容器文件系统的技术来管理和组织容器中的文件。容器文件系统提供了容器内部文件和目录的隔离和管理。

在 Docker 中，每个容器都有自己的文件系统，这个文件系统是从一个基础镜像（Base Image）开始构建的。基础镜像是一个只读的文件系统模板，包含了操作系统和其他预装的软件。当你创建一个容器时，Docker 会在基础镜像上创建一个可写的容器层（Container Layer），用于保存容器内部的修改和新增的文件。

基础镜像是只读的，Docker利用 union mount （联合挂载）增加更多只读的文件，看起来就像文件系统，即容器。
所有 Docker 容器都共享主机系统的 bootfs 即 Linux 内核。

Docker 目前支持的文件系统包括 OverlayFS, AUFS, Btrfs, VFS, ZFS 和 Device Mapper。

AUFS（Advanced Multi-Layered Unification Filesystem）：AUFS 是 Docker 最早使用的容器文件系统之一。它通过将多个文件系统层堆叠在一起，形成一个可写的容器层和只读的基础镜像层。
OverlayFS：OverlayFS 是 Linux 内核提供的一种联合文件系统，也被广泛用于 Docker。它类似于 AUFS，通过将多个文件系统层叠在一起，并提供一个统一的虚拟文件系统。
Btrfs：Btrfs 是一个先进的复制文件系统，它也可以用作 Docker 容器的文件系统。与 AUFS 和 OverlayFS 类似，Btrfs 通过层叠多个文件系统来实现容器文件系统的管理。

Linux 发行版	Docker 推荐使用的存储驱动
Docker on Ubuntu	overlay2 (16.04 +)
Docker on Debian	overlay2 (Debian Stretch), aufs, devicemapper
Docker on CentOS	overlay2
Docker on Fedora	overlay2

表来源：https://yeasy.gitbook.io/docker_practice/underly/ufs

文件系统

AUFS

一种联合文件系统，就是把不同物理位置的目录通过mount到一个目录中。

DVD/CD

.
├── A
│ ├── a
│ └── x
└── B
├── b
└── x

mount -t aufs -o dirs=./A:./B none ./C

特点：

默认只有第一层可写，其余只读。
增加文件：默认情况，新增文件放在最上面的可写层中。
删除文件：底下各层是只读的，AUFS 使用 whiteout 机制，它的实现是通过在上层的可写的目录下建立对应的whiteout隐藏文件来实现的。
修改文件： AUFS 利用其 CoW （copy-on-write）特性来修改只读层中的文件。修改文件时将文件拷贝到可写层再进行修改。
节省空间：多容器之间，共享分层，减少物理空间占用。
查找文件性能：层数越深，性能越低，制作镜像时，注意减少层数。
写入性能： CoW特性在写入大型文件时第一次会出现延迟。

OverlayFS

OverlayFS 的发展分为两个阶段，2014 年，OverlayFS 第一个版本被合并到 Linux 内核 3.18 版本中，
此时的 OverlayFS 在 Docker 中被称为overlay文件驱动。由于第一版的overlay文件系统存在很多弊
端， Linux 内核在 4.0 版本对overlay做了很多必要的改进，此时的 OverlayFS 被称之为overlay2。

overlay2 和 AUFS 类似，它将所有目录称之为层（layer），overlay2 的目录是镜像和容器分层的基础，而把这些层统一展现到同一的目录下的过程称为联合挂载（union mount）。

存在的问题

容器间数据共享不方便；
文件存储于联合文件系统中，不易于宿主机访问；
**对于修改、删除类操作，一般效率比较低，**比如 I/O要求较高的应用MySQL、Redis，不适合容器化。
删除容器会使得数据丢失：容器关闭之后，保留在上层的数据会随容器生命周期完结而消失。

Docker提供了数据卷处理这些问题。

Docker网络模式

网络基本原理

Docker使用Linux桥接，在宿主机虚拟一个Docker容器网桥（docker0），容器启动时，根据Docker网桥的网段分配给容器一个IP地址。
容器都接入同一个网桥，这样容器之间就能够通过容器的Container-IP直接通信。
bridge模式
Docker网桥是宿主机虚拟出来的，不是真实存在，外部网络无法寻址到，外部网络无法通过容器ID直接访问到容器。
如果希望外部能访问到，则需要进行端口映射，映射之后的访问格式：[宿主机IP]:[映射的端口]

网络模式

模式	配置	描述
bridge	–net=bridge	默认
host	–net=host	容器和宿主机共享Network namespace
container	– net=container:NAME_or_ID	指定新创建的容器和已经存在的一个容器共享一个 Network Namespace，比如共享 IP、端口范围等。注意不是跟宿主机共享。
none	–net=none	独立的Network namespace，没有进行任何网络设置（如分配veth pair、网桥连接、配置IP等），需要自行配置。
overlay	– driver overlay