Docker（2）

Docker网络

原生网络

[root@server1 harbor]# docker network  ls

默认使用桥接模式，桥接到docker0上

[root@server1 ~]# docker run -d --name demo  nginx
[root@server1 ~]# yum install -y bridge-utils
[root@server1 ~]# brctl show

host模式，容器和宿主机共享同一网络栈，不会新建虚拟网卡

[root@server1 ns]# docker run -it --rm --network host busybox
//--network host 表示使用主机的网络命名空间，而不是 Docker 默认的网络命名空间

none禁用网络，只用回环接口

[root@server1 harbor]# docker run -it --rm --network none busybox
//--network none 表示不使用任何网络，即不将容器连接到Docker的默认网络中，也不创建新的网络

自定义网络

[root@server1 ~]# docker network  create my_net1
//创建一个名为my_net1的Docker自定义网络

自定义网络地址段

[root@k8s1 ~]# docker network  create --subnet 10.0.0.0/24 --gateway 10.0.0.1 my_net2
//--subnet 10.0.0.0/24 用于指定自定义网络的子网。
  --gateway 10.0.0.1 用于指定自定义网络的网关

自定义网络内嵌dns解析

[root@server1 ~]# docker run -d --name web1 --network my_net1 nginx
[root@server1 ~]# docker run -it --rm --network my_net1 busybox

不同网络之间是被隔离的，默认不能通信

[root@server1 ~]# docker run -it --rm --network my_net2 busybox

不同网络之间的通信需要附加虚拟网卡

把demo接入到my_net1网络
[root@server1 ~]# docker network  connect my_net1 demo
//将Docker容器 "demo" 连接到 "my_net1" Docker网络中
再进入容器
[root@server1 ~]# docker attach demo

joined容器

两个容器共享一个网络栈

[root@server1 ~]# docker run -it --rm --network container:web1 --name web2 busybox
//创建web2，并连接到web1的网络上

端口映射

外部主机访问容器可以通过DNAT规则和docker-proxy，只要有一种正常就能通信

[root@server1 ~]# docker rm -f web1
[root@server1 ~]# docker run -d --name web1 -p 80:80 nginx
[root@server1 ~]# iptables -t nat -nL

也可以手动添加

iptables -t nat -A DOCKER -j DNAT -p tcp --dport 80 --to-destination 172.17.0.2:80

重启容器后，DNAT规则和docker-proxy策略会自动恢复

Docker数据卷

bind mount

[root@server1 ~]# docker run -it --rm -v /tmp/data1:/data1 -v /tmp/data2:/data2:ro -v /etc/passwd:/mnt/passwd:ro busybox
//
-v /tmp/data1:/data1 表示在容器内创建一个名为 /data1 的目录，并将宿主机的 /tmp/data1 目录与之绑定。
-v /tmp/data2:/data2:ro 表示在容器内创建一个名为 /data2 的目录，并将宿主机的 /tmp/data2 目录与之绑定。:ro 表示该目录是只读的，因此容器中的 /data2 目录只能读取 /tmp/data2 目录的内容，而不能对其进行写入操作。
-v /etc/passwd:/mnt/passwd:ro 同上

docker managed volume

[root@server1 ~]# docker run -d --name web1 webserver:v3
[root@server1 ~]# docker inspect  web1

[root@server1 ~]# cd /var/lib/docker/volumes/4cce189f3287a048f2244ac73435f4f12d8bc8c8732b1401e0629fa3d1aa1ec0/_data

docker managed volume会复制目标挂载点的数据

查询docker managed volume，清理所有数据卷

[root@server1 volumes]# docker volume  ls
[root@server1 volumes]# docker volume  ls | grep -v DRIVER | awk '{system("docker volume rm "$2"")}'

创建数据卷

[root@server1 ~]# docker volume  create vol1
[root@server1 ~]# docker volume  inspect vol1

使用bind mount方式挂载数据卷

[root@server1 ~]# docker run -d --name web1 -v vol1:/usr/local/nginx/html webserver:v3

还能在挂载时控制权限

[root@server1 ~]# docker rm -f web1
[root@server1 ~]# docker run -d --name web1 -v vol1:/usr/local/nginx/html:ro webserver:v3
[root@server1 ~]# docker create -v /tmp/data1:/data1:rw -v /tmp/data2:/data2:ro -v /etc/passwd:/mnt/passwd:ro --name datavol busybox
[root@server1 ~]# docker run -it --rm --volumes-from datavol busybox

Docker安全

cgroup

cpu资源限制

[root@server1 cpu]# docker run -it --rm --cpu-period 100000 --cpu-quota 20000 ubuntu
//
--cpu-period 100000 表示为容器设置 CPU 周期。在这个例子中，CPU 周期设置为 100000 微秒，即 100 毫秒。这表示 CPU 将在每个周期内被分配一部分使用时间。
--cpu-quota 20000 表示为容器设置 CPU 配额。在这个例子中，CPU 配额设置为 20000 微秒，即 20 毫秒。这表示容器将在每个周期内最多使用 20 毫秒的 CPU 时间。

root@4058001bed50:/# dd if=/dev/zero of=/dev/null &

cpu优先级

[root@server1 docker]# docker run -it --rm  ubuntu
root@94b9979d15ad:/# dd if=/dev/zero of=/dev/null &

[root@server1 docker]# docker run -it --rm --cpu-shares 100 ubuntu
root@294265e00ba3:/# dd if=/dev/zero of=/dev/null &

测试时只保留一个cpu核心可用，只有争抢cpu资源时优先级才会生效

[root@server1 docker]# cd /sys/devices/system/cpu/cpu1
[root@server1 cpu1]# echo 0 > online

内存资源限制

[root@server1 ~]# docker run -d --name demo --memory 200M --memory-swap=200M nginx
//容器的内存限制被设置为 200M，同时也将内存交换限制设置为 200M.

[root@server1 ~]# cd /sys/fs/cgroup/memory
[root@server1 memory]# mkdir x1
[root@server1 memory]# cd x1/
[root@server1 x1]# echo 209715200 > memory.limit_in_bytes //系统会将容器能够使用的内存限制设置为 200M，即使容器尝试使用更多的内存，系统也不会分配更多的内存给它

[root@server1 x1]# yum install -y libcgroup-tools.x86_64
[root@server1 x1]# cd /dev/shm/
[root@server1 shm]# cgexec -g memory:x1 dd if=/dev/zero of=bigfile bs=1M count=300 //bigfile运行在x1中
[root@server1 shm]# free -m

多出的100M会写入swap

[root@server1 shm]# cd /sys/fs/cgroup/memory/x1/
[root@server1 x1]# echo 209715200 > memory.memsw.limit_in_bytes
[root@server1 x1]# cd -
[root@server1 shm]# cgexec -g memory:x1 dd if=/dev/zero of=bigfile bs=1M count=300

控制用户内存

[root@server1 shm]# useradd shx
[root@server1 shm]# vim /etc/cgrules.conf
shx     memory  x1/

[root@server1 shm]# systemctl  start cgred.service
[root@server1 shm]# su - shx
[wxh@server1 ~]$ cd /dev/shm/
[wxh@server1 shm]$ dd if=/dev/zero of=bigfile bs=1M count=200

磁盘io限制

[root@server1 ~]# docker run -it --rm --device-write-bps /dev/sda:30MB ubuntu
root@c2f964991414:/# dd if=/dev/zero of=bigfile bs=1M count=100 oflag=direct

lxcfs隔离

[root@server1 ~]# yum install lxcfs-2.0.5-3.el7.centos.x86_64.rpm
[root@server1 ~]# lxcfs /var/lib/lxcfs &
[root@server1 ~]# docker run  -it -m 256m \
>       -v /var/lib/lxcfs/proc/cpuinfo:/proc/cpuinfo:rw \
>       -v /var/lib/lxcfs/proc/diskstats:/proc/diskstats:rw \
>       -v /var/lib/lxcfs/proc/meminfo:/proc/meminfo:rw \
>       -v /var/lib/lxcfs/proc/stat:/proc/stat:rw \
>       -v /var/lib/lxcfs/proc/swaps:/proc/swaps:rw \
>       -v /var/lib/lxcfs/proc/uptime:/proc/uptime:rw \
>       ubuntu
rootafcdd4e8190ec:/# free -m

 容器特权

默认容器内的用户是受限的

[root@server1 ~]# docker run -it --rm busybox
/ # ip a
/ # id
/ # fdisk -l

开启容器特权

[root@server1 ~]# docker run -it --rm --privileged busybox
/ # fdisk -l
/ # ip link set down eth0
/ # ip link set up eth0

设置容器白名单

[root@server 1 ~]# docker run -it --rm --cap-add=NET_ADMIN busybox
/ # fdisk -l
/ # ip a a 10.0.0.1/24 dev eth0
/ # ip a
/ # ip a d 10.0.0.1/24 dev eth0
/ # ip a