1.docker的意义 1.1 环境管理复杂 大家经常会遇到一个场景：开发人员把war包发给现场的运维人员，去部署，然后交代一下运维人员部署环境（一个小时过去了） 运维人员发包测试（一个小时过去了），问题还没有解决 这时双方人员心里都上火了，进行互相指责，就出现以下画面

1.2 云时代的到来 大多的开发者，企业都把应用迁移到云上，来解决硬件管理的问题，然而软件配置和管理的问题依然存在 1.3.虚拟化手段的变化 云时代采用标配硬件来降低成本，采用虚拟哈手段来满足用户按需分配的资源需求以及保证可用性和隔离性，但是在硬件资源利用上与docker比较显得太浪费 2.什么是docker

Docker:是一个开源的应用容器引擎，开发者可以打包他们的应用及依赖到一个可移植的容器中，发布到流行的Linux机器上，也可实现虚拟化。

3.docker原理 3.1Linux核心模組* Namespace – 用來隔离不同Container的執行空間 Cgroup – 用來分配硬件資源 AUFS(chroot) – 用來建立不同Container的档案系統 SELinux – 用來確保Container的网络的安全 Netlink – 用來让不同Container之间的行程进行沟通 Netfilter – 建立Container埠為基礎的網路防火牆封包过滤 AppArmor – 保证Container的網路及執行安全 Linux Bridge – 让不同Container或不同主机上的Container能沟通 3.2docker执行元件 Docker client – 呼叫Docker Daemon (本机或其它客戶端) Docker daemon – 執行Docker功能並用 (本机) libcontainer - 和Linux核心沟通的library (本机) Docker Image – 建立容器用的映像档 (本机或云端镜像库) 1.当准备建立Container时，输入指令即执行docker client。呼叫Docker daemon，预设使用的通訊协定是unix:///var/run/docker.sock

2.Docker daemon透过libcontainer要求Linux核心建立Container

3.此時Linux核心收到指示，即启动核心的namespace建立一个独立的空间，包括pid、network、IPC、UTS、mount等namespace，daemon根据client的参数定义來分配CPU、磁盘IO等。注意虚线，此時Container中沒有任何东西！只有空壳沒有內容。Container的空壳建立完成，需要將真正的作业系統及应用程式放入這個空壳中。 4.Damon检查本機的現有映像檔列表，看要填入此Container空殼的映像檔之前有沒有下載過

5.有的話，直接從本機載入Container中，此時Container建立完成並啟動 6.若本機沒有此映像檔，daemon到預設的Docker Registry， 根據client的參數，下載適當的映像檔 7.下載回來即將此映像檔，填入Container的空殼，此時Container即啟動完成 4.doker架构

5.网络介绍** Docker使用Linux桥接（参考《Linux虚拟网络技术》），在宿主机虚拟一个Docker容器网桥(docker0)，Docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地址，称为Container-IP，同时Docker网桥是每个容器的默认网关。因为在同一宿主机内的容器都接入同一个网桥，这样容器之间就能够通过容器的Container-IP直接通信。 Docker网桥是宿主机虚拟出来的，并不是真实存在的网络设备，外部网络是无法寻址到的，这也意味着外部网络无法通过直接Container-IP访问到容器。如果容器希望外部访问能够访问到，可以通过映射容器端口到宿主主机（端口映射），即docker run创建容器时候通过 -p 或 -P 参数来启用，访问容器的时候就通过[宿主机IP]:[容器端口]访问容器。 host模式 如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Namespace，而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。 使用host模式的容器可以直接使用宿主机的IP地址与外界通信，容器内部的服务端口也可以使用宿主机的端口，不需要进行NAT，host最大的优势就是网络性能比较好，但是docker host上已经使用的端口就不能再用了，网络的隔离性不好。 Host模式如下图所示： container模式 这个模式指定新创建的容器和已经存在的一个容器共享一个 Network Namespace，而不是和宿主机共享。新创建的容器不会创建自己的网卡，配置自己的 IP，而是和一个指定的容器共享 IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过 lo 网卡设备通信。 Container模式示意图：

none模式 使用none模式，Docker容器拥有自己的Network Namespace，但是，并不为Docker容器进行任何网络配置。也就是说，这个Docker容器没有网卡、IP、路由等信息。需要我们自己为Docker容器添加网卡、配置IP等。 这种网络模式下容器只有lo回环网络，没有其他网卡。none模式可以在容器创建时通过–network=none来指定。这种类型的网络没有办法联网，封闭的网络能很好的保证容器的安全性。 None模式示意图: bridge模式 当Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。 从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。在主机上创建一对虚拟网卡veth pair设备，Docker将veth pair设备的一端放在新创建的容器中，并命名为eth0（容器的网卡），另一端放在主机中，以vethxxx这样类似的名字命名，并将这个网络设备加入到docker0网桥中。可以通过brctl show命令查看。 bridge模式是docker的默认网络模式，不写–net参数，就是bridge模式。使用docker run -p时，docker实际是在iptables做了DNAT规则，实现端口转发功能。可以使用iptables -t nat -vnL查看。 bridge模式如下图所示：

6镜像制作 6基本命令 列出镜像 docker images docker version systemctl status docker systemctl start docker systemctl enable docker.server systemctl stop firewalld

创建镜像 dockerfile

docker run -it -name 容器的名字 /bin/.bash

docker run -itd -name 容器的名字 /bin/bash

docker exec -it -name 容器的名字 /bin/bash