1. 容器底层实现
image.jpeg
上图说明：
Hypervisor：运行在物理服务器和操作系统之间的中间层软件，可以允许多个操作系统和应用共享一套基础物理硬件，是所有虚拟化技术的核心。
1.1 虚拟机隔离的方法
是利用一个独立的Guest OS，并利用Hypervisor虚拟化CPU、内存、IO设备等实现的。
1.2 docker隔离方法：
1.2.1 使用Namespaces实现了系统环境的隔离
在《namespace的6项隔离》中详细讲解
Namespaces允许一个进程以及它的子进程从共享的宿主机内核资源（网络栈、进程列表、挂载点等）里获得一个仅自己可见的隔离区域，让同一个Namespace下的所有进程感知彼此变化，对外界进程一无所知，仿佛运行在一个独占的操作系统中
1.2.2 使用CGroups限制这个环境的资源使用情况
将在《cgroups 资源限制》中详细讲解
比如一台16核32GB的机器上只让容器使用2核4GB。使用CGroups还可以为资源设置权重，计算使用量，操控任务（进程或线程）启停等；
2. docker存在的问题
2.1 存在的问题
Docker是利用CGroups实现资源限制的，只能限制资源消耗的最大值，而不能隔绝其他程序占用自己的资源;
Namespace的6项隔离看似完整，实际上依旧没有完全隔离Linux资源。
如/proc 、/sys 、/dev/sd*等目录未完全隔离，SELinux、time、syslog等信息都未隔离。
2.2 示例
在Docker容器中执行top、free等命令，显示的是宿主机的情况。
在容器里修改/etc/sysctl.conf，提示只读。
对于多进程程序，一般都可以将worker数量设置成auto，自适应系统CPU核数，但在容器里面这么设置，取到的CPU核数是不正确的，例如Nginx，其他应用取到的可能也不正确，需要进行测试
