小楼一夜听春雨，深巷明朝卖杏花

查看到 host 映射的端口。在上面的例子中，httpd 容器的 80 端口被映射到 host 32773 上，这样就可以通过。当 curl 访问 10.0.2.15:32773 时，docker-proxy 转发给容器 172.17.0.2:80。docker 可将容器对外提供服务的端口映射到 host 的某个端口，外网通过该端口访问容器。docker-proxy 监听 host 的 32773 端口。，今天讨论另一个方向：外部网络如何访问到容器？每一个映射的端口，host 都会启动一个。...

传统分层架构 vs 微服务先从应用架构来看，容器解决了什么问题。左边是单体架构，单体架构有什么特点呢？单体架构其实最早期的时候，开设一个网站，可能就一个war包，所有的业务逻辑都揉在一起。这种紧耦合应用架构会导致，随着业务的复杂性提升，整个网站的维护成本会变的很高，比如修改一点功能，那么整个部分都得更新。（所有的功能逻辑都糅合在一起）为了解决这个问题，后面出现了微服务，微服务可以点到点的通信，也可以开放一个统一的api网关，然后微服务和微服务之间去通信。这样也会带来一些问题，如右边这张

作为一名工程师，我猜在过去的几年时间里，你肯定用过或者听人提起过容器（Container）。说实话，容器这东西一点都不复杂，如果你只是想用的话，那跟着Docker 官网的说明，应该十来分钟就能搞定。简单来说，它就是个小工具，可以把你想跑的程序，库文件啊，配置文件都一起“打包”。然后，我们在任何一个计算机的节点上，都可以使用这个打好的包。有了容器，一个命令就能把你想跑的程序跑起来，做到了一次打包，就可以到处使用。当然，空讲原理也没什么感觉，所以我还是会先带着你启动一个容器玩玩，然后咱们再一起来探讨容器

网络上关于K8S-1.20宣布弃用aocker，炒的沸沸扬扬，但多数文章讲的不够详细。虽然也有一些文章讲的还不错，但都不够完整，不够具体。例如∶1.k8s要废除的是 docker 还是 dockershim?2.为什么要弃用，什么时候弃用?替代品是谁? 2.dockershim是什么? dockershim和 docker 是什么关系，和CRT 又是什么关系?3.dockershim和containerd-shim都有 shim，是一回事吗?4.容器运行时是CRI 还是 OCI ?5.

通过前面课程的学习，我们知道 Docker 镜像是分层的，并且每一层镜像都会额外占用存储空间，一个 Docker 镜像层数越多，这个镜像占用的存储空间则会越多。镜像构建最重要的一个原则就是要保持镜像体积尽可能小，要实现这个目标通常可以从两个方面入手：基础镜像体积应该尽量小；尽量减少 Dockerfile 的行数，因为 Dockerfile 的每一条指令都会生成一个镜像层。在 Docker 的早期版本中，对于编译型语言（例如 C、Java、Go）的镜像构建，我们只能将应用的编译和运行环境的准备，全

云原生存储的两个关键领域： Docker 存储卷：容器服务在单节点的存储组织形式，关注数据存储、容器运行时的相关技术； K8s 存储卷：关注容器集群的存储编排，从应用使用存储的角度关注存储服务。 Docker 存储容器服务之所以如此流行，一大优势即来自于运行容器时容器镜像的组织形式。容器通过复用容器镜像的技术，实现在相同节点上多个容器共享一个镜像资源（更细一点说是共享某一个镜像层），避免了每次启动容器时都拷贝、加载镜像文件，这种方式既节省了主机的存储空间，又提高了容器启动效率。.

我们知道，Docker 主要是基于 Namespace、cgroups 和联合文件系统这三大核心技术实现的。那么你知道联合文件系统是什么吗？它的原理又是什么呢？首先我们来了解一下什么是联合文件系统。什么是联合文件系统联合文件系统（Union File System，Unionfs）是一种分层的轻量级文件系统，它可以把多个目录内容联合挂载到同一目录下，从而形成一个单一的文件系统，这种特性可以让使用者像是使用一个目录一样使用联合文件系统。那联合文件系统对于 Docker 是一个怎样的存在呢？它.

上一课时我介绍了 Docker 网络实现，为我们的容器插上了网线。这一课时我将介绍 Docker 的卷，为我们的容器插上磁盘，实现容器数据的持久化。为什么容器需要持久化存储容器按照业务类型，总体可以分为两类：无状态的（数据不需要被持久化）有状态的（数据需要被持久化）显然，容器更擅长无状态应用。因为未持久化数据的容器根目录的生命周期与容器的生命周期一样，容器文件系统的本质是在镜像层上面创建的读写层，运行中的容器对任何文件的修改都存在于该读写层，当容器被删除时，容器中的读写层也会随之消.

Linux 的 Namespace 和 Cgroups 技术，利用这两项技术可以实现各种资源的隔离和主机资源的限制，让我们的容器可以像一台虚拟机一样。但这时我们的容器就像一台未联网的电脑，不能被外部访问到，也不能主动与外部通信，这样的容器只能做一些离线的处理任务，无法通过外部访问。所以今天这一讲，我将介绍 Docker 网络相关的知识，使 Docker 容器接通网络。容器网络发展史提起 Docker 网络，我们不得不从容器战争说起。Docker 从 2013 年诞生，到后来逐渐成为了容器的代名.

“Docker 安装：入门案例带你了解容器技术原理”中，我有介绍到 Docker 是基于 Linux 内核的 Namespace 技术实现资源隔离的，所有的容器都共享主机的内核。其实这与以虚拟机为代表的云计算时代还是有很多区别的，比如虚拟机有着更好的隔离性和安全性，而容器的隔离性和安全性则相对较弱。在讨论容器的安全性之前，我们先了解下容器与虚拟机的区别，这样可以帮助我们更好地了解容器的安全隐患以及如何加固容器安全。Docker 与虚拟机区别从图 1 可以看出，虚拟机是通过管理系统(Hy.

本文记录了精简Docker镜像尺寸的必要性及好处精简Docker镜像大小的必要性Docker镜像由很多镜像层（Layers）组成（最多127层），镜像层依赖于一系列的底层技术，比如文件系统(filesystems)、写时复制(copy-on-write)、联合挂载(union mounts)等技术，你可以查看Docker社区文档以了解更多有关Docker存储驱动的内容，这里就不再赘述技术细节。总的来说，Dockerfile中的每条指令都会创建一个镜像层，继而会增加整体镜像的尺寸。下面是精简.

Docker的口号是Build,Ship,and Run Any App,Anywhere，在我们使用 Docker 的大部分时候，的确能感觉到其优越性，但是往往在我们 Build 一个应用的时候，是将我们的源代码也构建进去的，这对于类似于 golang 这样的编译型语言肯定是不行的，因为实际运行的时候我只需要把最终构建的二进制包给你就行，把源码也一起打包在镜像中，需要承担很多风险，即使是脚本语言，在构建的时候也可能需要使用到一些上线的工具，这样无疑也增大了我们的镜像体积。示例比如我们现在有..

Dockerfile多阶段构建Docker 17.05版本以后，新增了Dockerfile多阶段构建。所谓多阶段构建，实际上是允许一个Dockerfile 中出现多个FROM指令。这样做有什么意义呢？老版本Docker中为什么不支持多个 FROM 指令在17.05版本之前的Docker，只允许Dockerfile中出现一个FROM指令，这得从镜像的本质说起。你可以简单理解Docker的镜像是一个压缩文件，其中包含了你需要的程序和一个文件系统。其实这样说是不严谨的，Docke...

CI/CD概述CI工作流程设计Git 代码版本管理系统 只能命令行去管理git Gitlab 基于git做了图形管理页面，企业使用gitlab做私有的代码管理仓库 Github 公共代码管理仓库搭建gitlab搭建gitlab先创建工作目录，因为有些数据需要持久化[root@www ~]# mkdir -p /gitlab[root@www ~]# cd /gitlab/docker run -d \ --name gitlab \ -p 844...

Harbor 部署HTTPS生成SSL证书配置https必须要有ssl证书，ssl证书可以是受信任的第三方CA签发的，大部分是花钱要买的，要域名证书公司帮你签发。这些都是受信任的，大概一个域名3000左右。当然你也可以使用自签证书，比如使用openssl生成证书，或者使用cfssl工具去生成证书。我这里使用自签证书，创建生成证书的目录ssl，并且下载配置cfssl工具[root@reg harbor]# mkdir /ssl[root@reg harbor]# cd /ssl/

Harbor 概述Harbor是由VMWare公司开源的容器镜像仓库。事实上，Harbor是在Docker Registry上进行了相应的企业级扩展， 从而获得了更加广泛的应用，这些新的企业级特性包括：管理用户界面，基于角色的访问控制 ，AD/LDAP集成以及 审计日志等，足以满足基本企业需求。官方：https://goharbor.io/Github：https://github.com/goharbor/harborHarbor有两个版本，之前使用的是1版本，这里使用2.0版本...

前端项目镜像构建与部署：Nginx[root@localhost _data]# cd /nginx/[root@localhost _data]# cd /nginx/[root@localhost nginx]# lsDockerfile nginx-1.15.5.tar.gz nginx.conf php.conf#这里nginx.conf需要COPY拷贝到编译好的nginx替换掉其默认配置文件，php.conf文件是为了搭建wordpress博客网站使用的虚拟主机配置文件

MySQL安装部署拉取镜像，访问 MySQL 镜像库地址:https://hub.docker.com/_/mysql?tab=tags# 下载镜像[root@localhost ~]# docker pull mysql:5.7.30[root@localhost ~]# docker imagesREPOSITORY TAG IMAGE ID CREATED SIZEm

容器的生命周期容器运行时的生命周期容器是一组具有隔离特性的进程集合，在使用docker run的时候会选择一个镜像来提供独立的文件系统并指定相应的运行程序。这里指定的运行程序称之为initial进程，这个initial进程启动的时候，容器也会随之启动，当initial进程退出的时候，容器也会随之退出。因此，可以认为容器的生命周期和initial进程的生命周期是一致的。当然，因为容器内不只有这样的一个initial进程，initial进程本身也可以产生其他的子进程或者...

今天我将围绕 Docker 核心概念镜像展开，首先重点讲解一下镜像的基本操作，然后介绍一下镜像的实现原理。首先说明，咱们本课时的镜像均指 Docker 镜像。你是否还记得镜像是什么？我们先回顾一下。镜像是一个只读的 Docker 容器模板，包含启动容器所需要的所有文件系统结构和内容。简单来讲，镜像是一个特殊的文件系统，它提供了容器运行时所需的程序、软件库、资源、配置等静态数据。即镜像不包含任何动态数据，镜像内容在构建后不会被改变。然后我们来看下如何操作镜像。镜像操作 ...

这篇文章介绍了容器与镜像的概念、容器的生命周期、项目架构以及容器与VM之间的区别等。希望你带着如下的问题去学习什么是容器与镜像？如何构建容器与镜像 容器的生命周期 容器项目的架构 容器VS.VM什么是容器？容器，是一个视图隔离、资源可限制、独立文件系统的进程集合。视图隔离 如能看见部分进程，独立主机名等等 控制资源使用率-如2G内存大小，CPU使用个数等等在介绍容器的具体概念之前，先简单回顾一下操作系统是如何管理进程的。首先，当我们登录到操作系统之后，可以通...

Docker 的操作围绕镜像、容器、仓库三大核心概念。在学架构设计之前，我们需要先了解 Docker 的三个核心概念。Docker 核心概念镜像镜像是什么呢？通俗地讲，它是一个只读的文件和文件夹组合。它包含了容器运行时所需要的所有基础文件和配置信息，是容器启动的基础。所以你想启动一个容器，那首先必须要有一个镜像。镜像是 Docker 容器启动的先决条件。如果你想要使用一个镜像，你可以用这两种方式：自己创建镜像。通常情况下，一个镜像是基于一个基础镜像构建的，你可以在基础镜像上添加...

咱们第一课时就先聊聊 Docker 的基础内容：Docker 能做什么，怎么安装 Docker，以及容器技术的原理。Docker 能做什么？众所周知，Docker 是一个用于开发，发布和运行应用程序的开放平台。通俗地讲，Docker 类似于集装箱。在一艘大船上，各种货物要想被整齐摆放并且相互不受到影响，我们就需要把各种货物进行集装箱标准化。有了集装箱，我们就不需要专门运输水果或者化学用品的船了。我们可以把各种货品通过集装箱打包，然后统一放到一艘船上运输。Docker 要做的就是把各种软件打包..

容器之间共享数据第一种方法是将共享数据放在 bind mount 中，然后将其 mount 到多个容器。还是以 httpd 为例，不过这次的场景复杂些，我们要创建由三个nginx容器组成的 web server 集群，它们使用相同的 html 文件，操作如下：（1）将 /data/nginx/html/ mount 到三个nginx容器.[root@localhost ~]# cat /data/nginx/html/index.html share directory[root@loc.

docker managed volume 与 bind mount在使用上的最大区别是不需要指定 mount 源，指明 mount point 就行了。以busybox容器为例：[root@localhost ~]# docker volume lsDRIVER VOLUME NAME[root@localhost ~]# docker run -itd --name=busybox -v /etc/managed busyboxc465fa1717dd1da2776

Data Volume 本质上是 Docker Host 文件系统中的目录或文件，能够直接被 mount 到容器的文件系统中。Data Volume 有以下特点： Data Volume 是目录或文件，而非没有格式化的磁盘（块设备）。 容器可以读写 volume 中的数据。 volume 数据可以被永久的保存，即使使用它的容器已经销毁。 好，现在我们有数据层（镜像层和容器层）和 volume 都可以用来存放数据，具体使用的时候要怎样选择呢？考虑下面几个场景： Datab.

Docker 为容器提供了两种存放数据的资源： 由 storage driver 管理的镜像层和容器层。 Data Volume。 我们会详细讨论它们的原理和特性。storage driver在前面镜像章节我们学习到 Docker 镜像的分层结构，简单回顾一下。容器由最上面一个可写的容器层，以及若干只读的镜像层组成，容器的数据就存放在这些层中。这样的分层结构最大的特性是 Copy-on-Write： 新数据会直接存放在最上面的容器层。 修改现有数据会先从镜

CNM&libnetwork libnetwork是Docker团队将Docker的网络功能从Docker的核心代码中分离出来形成的一个单独的库，libnetwork通过插件的形式为Docker提供网络功能。基于代码层面再升华一下，可以将docker的网络抽象出一个模型来，就叫CNM(Container Networking Model),该模型包含三大块：Sandbox：容器的网络栈，包含interface，路由表，DNS设置等，可以看做就是linux network类型的namesp..

上篇博客介绍了容器如何访问网络，今天讨论另一个方向：外部网络如何访问到容器？答案是：端口映射。docker 可将容器对外提供服务的端口映射到 host 的某个端口，外网通过该端口访问容器。容器启动时通过-p参数映射端口：[root@www ~]# docker run -itd -p 80 nginx9818886ac111489d4a4364047be2fccaedd0d94650056504c0238d84a00158c2[root@www ~]# docker psCONTAINE

Docker 安装时会创建一个 命名为docker0的 linux bridge。如果不指定--network，创建的容器默认都会挂到docker0上。当前docker0上没有任何其他网络设备，我们创建一个容器看看有什么变化。一个新的网络接口veth28c57df被挂到了docker0上，veth28c57df就是新创建容器的虚拟网卡。下面看一下容器的网络配置。容器有一个网卡eth0@if34。大家可能会问了，为什么不是veth28c57df呢？实际上e...

情况一、本地不存在文件挂载到容器存在文件首先是当本地不存在该文件，而容器内存在该文件的情况，尝试把不存在的文件挂载到存在该文件的容器中。以一个 Alpine 镜像为例，这里把一个修改后的 Alpine 镜像打了新标签，叫做 volume_test：# 本地目录不存在 test 文件。$ docker run --name=test -v ~/test.txt:/etc/hosts -d volume_test0cba2e50229df7508c616bd456c4ab131f2fe1a8838

docker可以支持把一个宿主机上的目录挂载到镜像里。docker容器启动的时候，如果要挂载宿主机的一个目录，可以用-v参数指定。比如启动一个centos容器，宿主机的/test目录挂载到容器的/soft目录，可通过以下方式指定：docker run -it -v /test:/soft centos /bin/bash这样在容器启动后，容器内会自动创建/soft的目录。本文将介绍Docker中运行nginx并挂载本地目录到镜像中的方法Nginx配置文件路径（关键）查看nginx镜像里面配.

macvlan 简介几种 Linux 虚拟网络设备：tap/tun、veth-pair、bridge，它们本质上是 Linux系统提供的网络虚拟化解决方案，今天要讲的 macvlan 也是其中的一种，准确说这是一种网卡虚拟化的解决方案。因为 macvlan 这种技术能将一块物理网卡虚拟成多块虚拟网卡 ，相当于物理网卡施展了多重影分身之术 ，由一个变多个。 macvlan 的工作原理macvlan 是 Lin...

Docker网络现状为了解决容器网络性能低下、功能不足的问题，Docker启动了子项目“Libnetwork”。Libnetwork提出了新的容器网络模型（Container Network Model，简称CNM），定义了标准的API用于为容器配置网络，其底层可以适配各种网络驱动（如图Docker-network01所示）。CNM有三个： 沙盒 沙盒是一个隔离的网络运行环境，保存了容器网络栈的配置，包括了对网络接口、路由表和DNS配置的管理。在Linux平台上，沙盒是用Linux Networ

如何清理docker目录docker 目录已经占满系统盘，又不好迁移，问下有没有快捷的解决方案，答案是有的。以下是我整理的经典案列，适合生产以及测试使用。编写清理docker 日志脚本如下：[root@www ~]# cat clean_docker_log_space.log #!/bin/bashdocker_log_files=$(find /var/lib/docker/containers/ -name '*-json.log')docker_logs_size=$(find /v

磁盘配额（Quota）磁盘配额（Quota）就是 Linux 系统中用来限制特定的普通用户或用户组在指定的分区上占用的磁盘空间或文件个数的。在此概念中，有以下几个重点需要注意：磁盘配额限制的用户和用户组，只能是普通用户和用户组，也就是说超级用户 root 是不能做磁盘配额的 磁盘配额限制只能针对分区，而不能针对某个目录，换句话说，磁盘配额仅能针对文件系统进行限制，举个例子，如果你的 /dev/sda5 是挂载在 /home 底下，那么，在 /home 下的所有目录都会受到磁盘配额的限制 我们可

高效的监控和日志管理对保持生产系统持续稳定地运行以及排查问题至关重要。在微服务架构中，由于容器的数量众多以及快速变化的特性使得记录日志和监控变得越来越重要。考虑到容器短暂和不固定的生命周期，当我们需要 debug 问题时有些容器可能已经不存在了。因此，一套集中式的日志管理系统是生产环境中不可或缺的组成部分。本章我们将讨论监控容器的各种可用技术和方案，首先会介绍 Docker 自带的 logs 子命令，然后讨论 Docker 的 logging driver，接下来通过实践学习几个已经广泛应用的日志管

环境准备Docker CE版本，以及mysql zabbix nginx镜像准备好，这些镜像都可以去使用docker pull去官方仓库拉取下来[root@www ~]# docker versionServer: Docker Engine - Community Engine: Version: 19.03.12 API version: 1.40 (minimum version 1.12) Go version: go1.13.10.

Docker容器默认启动的虚拟机，会占用宿主机的资源（CPU、内存、硬盘），例如默认Docker基于Overlay2驱动方式，容器硬盘的rootfs根分区空间是整个宿主机的空间大小。可以指定默认容器的大小（在启动容器的时候指定），可以在docker配置文件：vim /usr/lib/systemd/system/docker.service中，OPTIONS参数后面添加如下代码,指定Docker容器rootfs容量大小为40G：说明overlay2.size是在17.07.0-ce...

[root@www ~]# wget -c https://storage.googleapis.com/harbor-releases/release-1.7.0/harbor-offline-installer-v1.7.0.tgz--2020-08-14 21:19:45-- https://storage.googleapis.com/harbor-releases/release-1.7.0/harbor-offline-installer-v1.7.0.tgzResolving stor.