# 🌟 前言

> 在企业中，通常业务是不允许随意停止的，否则将给企业带来巨大的经济损失。
>
> 运维工程师要保证业务正常运行，就必须利用工具时刻监控业务的运行状态，容器中的业务也不例外。
>
> 除了容器自身的监控命令外，还有一些针对容器的动态特征而开发的第三方监控工具。
>
> 本章将对 **容器监控** 及其相关内容进行详解。

# 1. Docker监控命令

在容器中，通常可以通过执行命令或利用第三方工具，获取当前容器中的数据并将数据呈现给用户。

安装完成的 **Docker** 自带一些用于监控容器的子命令，这是 **Docker** 开发者为用户提供的容器监控方式。

## 🍑 docker ps 命令

`docker ps` 命令是之前中讲过的命令，用来查看容器状态，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0c82415584.png)
另外，通过 `docker container ls` 命令也可以达到相同的效果，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0c824029f6.png)
注意，若是 `docker container ls` 命令执行失败，更新 **Docker** 版本即可。

## 🍑 docker top 命令

`docker top` 命令用于查看容器中的进程，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0c823d84bf.png)
以上示例通过 `docker top` 命令添加容器 **ID** 号查看到了容器内进程。

除此之外，还可以在命令中添加容器名称，达到相同的效果，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0c823e5bd4.png)
在 `docker top` 命令中添加参数即可显示特定的进程信息，此处以 `-u` 参数为例，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0c82413600.png)
以上示例通过给 `docker top` 命令添加 `-u` 参数，将 **sysdig** 容器的进程信息以用户为主的格式显示出来。

## 🍑 docker stats 命令

`docker stats` 命令用于查询容器的各项资源的消耗情况，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0c8241299c.png)
以上示例执行了 `docker stats` 命令，在终端通过一个动态列表显示出各个容器的资源使用情况，如 **cpu** 使用率、内存、容器网络等信息。

在没有限制容器内存的情况下，此处将会显示宿主机的内存。

此处的动态列表有一项明显的不足，就是只能显示容器 **ID** 号，不显示容器名称。

但只要在命令中添加容器名称，即可查看指定容器的信息，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0c82522df6.png)
**Docker** 自带的容器监控命令能够灵活捕捉容器的实时信息，且使用方便。

但它们无法反映容器资源占用的趋势，且只能显示有限的数据。

# 2. Sysdig

**Sysdig** 是一款命令行监控工具，因其轻量级的特点深受广大用户的喜爱。

**Sysdig** 就像放大镜，使用户可以更清晰地看到宿主机与容器的各项行为。

它相当于多种 **Linux** 监控工具的合集，如 strace、htop、**lsof** 等，将这些工具的功能及查询结果整合到同一个界面中，供用户操作。

**Sysdig** 为在 **Docker Hub** 中提供了容器镜像，用户可以将 **Sysdig** 以容器的形式运行，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0c827d8e30.png)
以上示例中，**Sysdig** 容器以挂载宿主机目录的方式收集系统信息，并给予其足够的系统权限。

注意，该命令中必须使用绝对路径，否则会在执行时出错。

容器启动后将直接进入容器终端，若通过 `Ctrl+P+Q` 组合键退出容器或者容器在后台运行，通过 **exec** 命令即可进入 **Sysdig** 容器，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0c8252be1a.png)
在 **Sysdig** 容器中，通过以下命令启动 **Sysdig** 监控：
![在这里插入图片描述](http://pic.nexopera.tech/62e0c8252e2c5.png)
执行成功之后，将显示 **Sysdig** 功能界面，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c8258d7e5.png)
功能界面中不仅有各项资源的使用信息，下方还有各类选项，用户可以根据不同要求从不同角度去监控不同类型的资源。

按 **F2** 键或者单击 **Views** 选项，进入监控选项列表，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c82597edb.png)
在该界面中，左边列出了 **Sysdig** 的各个监控项，右边是关于监控项的说明。

通过键盘方向键即可移动界面中的光标，从而切换监控项。

下面将光标移动到 **Containers** 项，按回车键或者双击该选项，进入容器监控界面，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c82647599.png)
若是用户觉得图中的内容太过繁琐，或者难以理解，可以按 **F7** 键，进入数据说明界面。

其中有对各项数据的解释，能帮助用户更快掌握 **Sysdig** 的使用方法，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c8269504d.png)
进入该界面之后，按任意键即可退出。

另外，在监控界面中还可以指定按照某一项数据进行排序，单击列表中某一项数据的表头即可。

此处以内存为例，按照占用内存排序的监控列表，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c8277b17c.png)
若要查看单个容器内部信息，将光标移动到该容器信息上，按回车键即可，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c826ed833.png)
再移动光标到指定信息，按回车键还可以查看容器进程中的线程信息，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c826e130a.png)
若要返回上一级，在键盘上按退格键即可。

为方便用户管理，**Sysdig** 还支持搜索功能，通过 `Ctrl+F` 组合键即可启动该功能，再输入关键字即可查询。此处关键字以 **usr** 为例，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c828340b4.png)
如果在操作过程中遇到问题，可以按 **F1** 键或者单击某选项，进入帮助文档。

帮助文档详细介绍了 **Sysdig** 的操作方式，供用户学习。

若动态列表变化太快，导致用户无法准确查看到信息，可以按P键将列表暂停。

**Sysdig** 为用户提供了较为全面的监控视角，但其本质是命令行工具，缺乏更具直观性的监控角度。

# 3. Weave Scope

**Weave Scope** 为用户提供了更直观的监控视角，它将整个监控以图形界面的形式呈现出来。

## 🍑 安装 Weave Scope

首先，下载 **Weave Scope** 的二进制安装包到指定的路径下，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0c8282814d.png)
**Weave Scope** 安装包的本质是一个脚本，所以需要赋予其执行权限，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0c828c0b4d.png)
然后，通过命令执行该脚本，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0c827cb7af.png)
此时，**Weave Scope** 监控已经开启，通过浏览器访问系统提示中的 `http://192.168.77.128:4040/` 即可进入监控界面。

在进入界面之前先查看容器状态，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0c8289ee23.png)
从以上示例中可以看到，宿主机中增加了一个被命名为 **weavescope** 的新容器，这说明 **Weave Scope** 以容器的方式在宿主机中运行。

下面根据提示进入 **Weave Scope** 界面，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c82990ad0.png)
图中，宿主机中的所有容器都以图形的形式呈现出来，更加便于用户管理。

## 🍑 监控容器

在 **Weave Scope** 界面中，宿主机上的容器被分为多个种类，默认不显示 **Weave Scope** 本身的容器。

若要查看所有容器，就需要在界面左下角的选项中进行操作，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c828df6e2.png)
在左下方单击 **All** 选项，即可查看宿主机中所有运行中的容器，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c82927cd2.png)
若要查看容器的资源占用情况，需要在界面上方选项中进行操作，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c8297ba77.png)
在上方单击 **CPU** 选项，即可显示界面中容器的 **CPU** 使用情况，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c829dc699.png)
单击 **CPU** 选项之后，**CPU** 使用情况将会以液位高度的形式在容器图标上显示。

此时，将鼠标指针移动到容器图标之上，即可显示具体数据，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c829e3269.png)
若要查看某一容器的详细信息，单击该容器图标即可，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c82a60596.png)
其中，容器的详细信息包括以下各项：

- Status

> CPU与内存的实时状态曲线图。

- Info

> 镜像、镜像标签、命令等信息。

- Processes

> 该容器中实时运行的进程信息。

- Docker labels

> 维护人员或容器的启动命令等信息。

- Image

> 该容器的镜像信息。

容器详细信息界面中，有一行可对该容器直接进行操作的选项，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c82a61b09.png)
图中的选项从左到右分别表示：

通过 `docker attach` 命令进入容器终端；

通过 `docker exec` 命令进入容器终端；

通过 `docker restart` 命令重新启动容器；

通过 `docker pause` 命令暂停容器；

通过 `docker stop` 命令终止容器。

有了这些选项，用户就不需要在终端中输入命令，直接单击选项即可对容器进行操作。

若需要执行这些选项之外的操作，可通过选项进入容器终端完成。

## 🍑 监控宿主机

**Weave Scope** 为用户提供广阔的监控视角，除了监控容器，还可以对宿主机进行监控。

单击界面上方的 **Hosts** 选项，即可查看宿主机，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c82f40710.png)
与容器操作相同，单击宿主机图标即可查看其详细信息，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c82c18a55.png)
与容器相比，宿主机的 **Staus** 项中增加了负载信息。

详细信息还包含了宿主机中的容器信息，单击容器名称即可查看容器的详细信息。

宿主机的信息中只有一个供用户对其进行操作的选项，单击即可进入宿主机终端，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c82b082f0.png)

## 🍑 多宿主机监控

在企业生产环境中，通常需要使用多台宿主机部署容器业务，所以容器监控也需要同时监控多台宿主机。

而 **Weave Scope** 恰好拥有多宿主机监控的功能，下面通过示例来演示该功能的使用方式。

首先，准备两台安装了 **Weave Scope** 的服务器，并分别在启动命令中添加两个服务器的 **IP** 地址进行启动，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0c82b73b79.png)
根据两台宿主机中启动命令的执行结果，无论是访问 `http://192.168.77.128:4040/` 还是 `http://192.168.77.130:4040/`，都可以监控到两台宿主机，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c82b68483.png)
单击界面上方的 **Containers** 选项，查看所有宿主机中的容器，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c837e49d8.png)
为了便于用户分辨，**Weave Scope** 在每个容器图标下的容器名称后都会标注该容器所属宿主机的主机名。

在生产环境中部署大量容器，需要对某一容器进行操作时，可以使用 **Weave Scope** 界面左上角的搜索功能，对该容器进行搜索。

此处以关键字 `"reg"` 为例，搜索结果如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c82bd230d.png)
另外，**Weave Scope** 还支持逻辑条件搜索。

例如，搜索 **CPU** 占用率大于 **1%** 的容器，在搜索栏中输入 `"cpu>1` 即可，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c82c5be94.png)
界面的右下角有四个选项，从左到右前三个是调试界面显示的选项，最后一个是 **Weave Scope** 的帮助选项，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c82c6d8e3.png)
单击帮助选项，即可查看 **Weave Scope** 的帮助文档，如图所示。
![在这里插入图片描述](http://pic.nexopera.tech/62e0c82ca1bbf.png)

# 4. 总结

本章讲解了 **Docker** 自带的监控命令，以及一些第三方监控软件的安装与使用。

其中，**Sysdig** 是一款优秀的命令行监控工具；

**Weave Scope** 不仅操作简单，还为用户提供了更为直观的图形界面。

希望大家通过本篇文章的学习能够熟练掌握 **Docker** 容器的监控方式，以保证容器中业务的正常运行。


容器监控系统

# 🌟 前言

> 在生产环境中使用 **Docker** 容器，往往需要对数据进行持久化保存，或者多个容器需要共享数据。
>  
> 这时就会使用到容器数据卷，通过容器数据卷管理容器数据是一项使用容器的基本技能。
>  
> 我将会用两篇文章，来详细介绍容器数据卷的使用及其相关内容。

# 1. 容器数据卷概念

> 容器技术使用 **rootfs** 机制与 **Namespace**，构建出与宿主机隔离开的文件系统。在用户使用 **Docker** 容器的时候，会产生一系列的数据文件。这些数据文件在 **Docker** 容器关闭时就会消失，但是其中部分数据是用户希望能够保存的。
>  
> **Docker** 将应用与运行环境打包成容器进行运行，用户希望在运行过程中产生的部分数据是可以持久化的，并且容器之间能够实现数据互通。这正是容器数据卷（**Docker Volume**）要解决的问题。
>  
> **Docker** 中的数据可以存储在类似于虚拟机磁盘的介质中，这种介质在 **Docker** 中称为数据卷。
>  
> 数据卷以目录的形式呈现给 **Docker**，不仅可用来存储 **Docker** 应用的数据，还可以支持多个容器间数据共享，并且修改数据卷文件也不会影响镜像。在 **Docker** 中使用数据卷，就是在系统中挂载一个文件系统。
>  
> **Docker** 数据卷所使用的挂载技术，就是 **Linux** 的绑定挂载。其主要作用是，允许用户将一个目录或文件（并非整个设备），挂载到一个指定的目录上。
>  
> 用户在该挂载点上进行的任何操作都只发生在被挂载的目录或文件上，而原挂载点的内容则会被隐藏起来且不受任何影响。容器利用数据卷与宿主机进行数据共享，从而实现容器间的数据共享与交换。

**Docker** 数据卷默认存储在宿主机的 `/var/lib/Docker/volumes/` 目录下，也可以指定挂载到任意位置。这种挂载仅存储在宿主机的内存中，永远不会写入宿主机的文件系统。如图所示👇
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6f799cc4.png)

**数据卷的特点如下**

1. 容器启动时初始化，如果容器使用的镜像包含数据卷，这些数据也会复制到数据卷中。
2. 容器对数据卷的修改是直接生效的。
3. 数据卷的变化不会影响镜像的更新，数据卷是独立于联合文件系统，镜像是基于联合文件系统，镜像与数据卷不会相互影响。
4. 数据卷是宿主机中的一个目录，与容器生命周期隔离。

# 2. 数据卷挂载

## 🍑 在命令行挂载数据卷

在 **docker create** 或 **docker run** 命令中，使用 **-v** 为容器增加一个数据卷，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6f8121d0.png)
以上示例使用 **docker run** 命令运行了一个容器，并通过 **-v** 参数为容器添加了一个数据卷。

下面通过命令查看挂载信息，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6f7accb7.png)
从以上示例中可以看到，宿主机已经在 `/var/lib/Docker/volumes/` 下自动生成了挂载目录。

下面通过命令行手动指定宿主机挂载目录，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6f7bd1b5.png)
以上示例在后台运行了一个被命名为 **test** 的 **Nginx** 容器，并为它挂载数据卷。

下面查看容器 **test** 的状态及挂载数据信息，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6f7b88a3.png)
上述示例中，**Mount** 信息包含了上面创建的容器的详细挂载信息，**Source** 指定了本机路径，**Destination** 指定了容器内部的路径。

下面通过示例观察数据卷共享机制，会在宿主机与容器端之间多次切换，建议开启两个终端，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6f7aec3b.png)
以上示例创建了一个名为 **test** 的 **Nginx** 容器，并将容器内的 `/app` 目录挂载至宿主机的 `/web/webapp` 路径下。

下面分别查看宿主机与容器的根目录下的文件，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6f8c91f4.png)
从以上示例中可以看到，宿主机的根目录下新建了一个 **web** 目录，而该目录下没有任何文件。

下面在宿主机的 `/web` 目录下创建文件，并返回容器观察目录内容，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6f8ec255.png)
从以上示例中可以看到，在宿主机的挂载目录下创建的文件也会在容器中出现。

下面在容器中创建文件，并返回宿主机观察目录内容，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6f912df4.png)
从以上示例中可以看出，**Docker** 数据卷能够实现 **Docker** 容器与宿主机间的数据共享，并且能够将容器中产生的数据永久保存下来，随时在宿主机查看与修改。

在生产环境中，容器服务的配置文件通常采用数据卷的方式挂载至容器内。为了防止容器内的误操作修改配置文件，在挂载时可以进行权限设置。这样就可以达到在宿主机修改代码，在容器内查看修改结果的目的。

下面创建容器并为数据卷设置权限，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6f8f31f7.png)
以上示例创建了一个名为 **volume** 的 **Nginx** 容器，并将挂载数据卷权限设置为 **ro** 只读。

下面查看数据卷是否挂载成功，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6f929883.png)
从以上示例中可以看到，数据卷已经挂载成功，且宿主机挂载目录中没有任何文件。

下面为宿主机目录中添加文件，并返回容器中查看效果，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6f939cab.png)
从以上示例中可以看到，在容器挂载目录中可以查看文件内容。

下面在容器挂载目录下的文件中修改内容，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6fa08a86.png)
以上示例中，在容器挂载目录中修改文件时发生报错，这是因为在容器中文件为只读类型，无法进行修改。

下面在容器挂载目录中创建新的文件，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6fa23347.png)
以上示例中，在容器挂载目录中创建文件时发生报错，这是因为在容器中挂载目录同样为只读类型，无法对其进行实质性的操作。

## 🍑 通过Dockerfile挂载数据卷

> 用户创建镜像时，通常会在 **Dockerfile** 文件中加上 **VOLUME[/date]** 来创建含有数据卷的镜像，并使用该镜像创建包含数据卷的容器。
>  
> **Dockerfile** 可以创建多个数据卷，与使用 **docker run** 命令创建数据卷不同，**Dockerfile** 中的数据卷不能映射到已经存在的本地目录。
>  
> 在启动容器时，才会创建 **Dockerfile** 中指定的数据卷，并且以 **Docker** 中指定的名称命名。运行同样镜像的容器创建的数据卷是不一样的（可以看到不同容器的数据卷地址也是不一样的）。当容器中的数据卷地址不一样时，容器之间就无法共享数据了。

下面使用 **Dockerfile** 中的 **VOLUME** 选项来指定挂载数据卷，首先创建 **Dockerfile** 并添加内容，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6fa24fc3.png)
以上示例创建了一个 **Dockerfile** 文件并添加了内容，即挂载三个数据卷。

下面通过该 **Dockerfile** 创建新镜像，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6fa574a3.png)
以上示例中，镜像已经构建完成，并且执行了挂载三个数据卷的命令。

# 3. 数据卷容器

> 运行容器时宿主机会随机生成挂载目录，无法保持目录地址一致，所以无法实现容器间的数据共享。
>  
> 数据卷容器可以有效地解决这个问题：讲已命名的容器挂载数据卷，其他容器通过挂载这个容器实现数据共享，挂载数据卷的容器叫做数据卷容器。

数据卷容器挂载了一个宿主机目录，其他容器连接数据卷容器来实现数据的共享。如图所示👇
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6fa49829.png)
下面启动一个名为 **volume-container** 容器，此容器包含两个数据卷 `/volume1` 和 `/volume2`（这两个数据卷目录是在容器中的，运行容器时会自动创建），示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6fa67aa2.png)
上述示例中，容器 **volume-container** 已经创建完成，数据卷也挂载完成。

下面使用 **Ctrl+P+Q** 组合键退出当前容器终端，查看挂载信息并在宿主机中为数据卷添加文件，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6fbd88c1.png)
上述示例在宿主机中分别为两个数据卷添加文件及文件内容。

下面创建容器 **test1-container** 容器，用 `--volumes-from` 参数挂载 **volume-container** 中的数据卷，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6fb7f0a6.png)
从以上示例中可以看出，两个容器实现了数据共享。

下面将初始数据卷容器删除，观察数据卷还能否正常工作，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6fb78a0d.png)
从以上示例中可以看到，即使删除了初始的数据卷容器 **volume-container** 或其他容器，只要有容器在使用该数据卷，里面的数据就不会丢失。

下面删除所有容器，再观察数据卷，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6fbac85c.png)
以上示例中，即使删除了所有容器，数据卷也保留在宿主机中，这大大保证了数据的安全性。

# 4. 备份数据卷

企业中，业务数据不容有失，人们通常会对数据进行一次备份或多次备份，以保证数据的安全性。

下面创建一个名为 **data-volume** 的 **CentOS** 容器，准备对其挂载的两个数据卷/ `var/volume1` 和 `/var/volume2` 进行备份操作。示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6fb8d6e7.png)
以上示例中，容器已经创建完成，数据卷也成功挂载。

下面在容器挂载目录中创建文件并添加内容，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6fbbe34e.png)
以上示例分别在容器挂载目录 **volume1** 与 **volume2** 中创建了 **a.txt** 与 **b.txt** 两个文件，并在文件中添加了内容。

简而言之，备份数据卷就是使用 `-volumes-from` 参数来创建一个挂载数据卷的容器，从宿主机挂载要存放备份数据的目录到容器的备份目录，并备份数据卷中的数据。

完成后使用 `--rm` 参数删除容器，此时备份数据已经保存在当前的目录下。

示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6fce7dc3.png)
以上示例成功将容器中 `/var/volume1/a.txt `文件备份到宿主机中，并在备份之后将容器删除。

宿主机中 `/root/backup/backup1.tar`文件就是备份数据，只是该文件经过了压缩。

下面以同样的方式对容器中 `/var/volume2/b.txt` 文件进行备份，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6fd04778.png)
此时，两份文件都已备份到宿主机中。

下面解压备份文件，并查看其目录结构，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6fd03930.png)
在以上示例中，仍可以看到备份之前的路径。

另外，也可以使用一条命令完成多个文件备份，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b6fd2ba10.png)
以上示例中仅通过一条命令就成功备份了两份数据，通常在需要备份多份数据时将会使用此方式。


容器数据卷的使用


# 🌟 前言

> 当企业开始大规模使用 **Docker** 时，工程师就需要掌握很多关于网络的知识。
>  
> **Docker** 作为目前流行的轻量级容器技术，有很多令人称道的功能，如前面介绍的 **Docker** 镜像管理。
>  
> 然而，**Docker** 也有很多不完善的地方，网络方面就是 **Docker** 比较薄弱的部分。
>  
> 作为初学者的我们来说很有必要深入了解 **Docker** 的网络知识，以适应更高的网络需求。

# 1. 容器网络概述

## 🍑 容器网络概述

容器网络主要用于容器与容器、容器与外网、容器与宿主机之间的通信及互联。

宿主机接通外网，再与容器之间搭建网桥，使容器与宿主机网络联通，以达到容器连接外网的目的，如图所示👇
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf421c36.png)
用户可以创建一个或多个网络，一个容器可以加入一个或多个网络。

同一个网络中的容器可以相互通信，不同网络中的容器相互隔离。

在创建容器之前，用户可以先创建网络，然后再将容器添加到网络，即创建容器与创建网络是分开的。

**Docker** 的本地网络实现是利用了 **Linux** 的 **Network Namespace** 和虚拟网络设备（主要是 **Virtual Ethernet Pair**），在本地主机和容器内分别创建一个虚拟接口，并使它们彼此连通。

**Docker** 使用 **Linux** 的 **Namespace** 技术来进行资源隔离，例如，**PID Namespace** 隔离进程、**Mount Namespace** 隔离文件系统、**Network Namespace** 隔离网络等。

**Network Namespace** 为容器提供了独立的网络环境。

**Virtual Ethernet Pair** 简称 **VETH Pair**，是一对端口，所有从这对端口进入的数据包都将从另一端出来，反之也是一样。

## 🍑 查看容器网络

用户要对容器网络进行配置，首先要熟练掌握命令，下面详细介绍容器网络管理命令。

查看容器网络的命令格式为：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf2471b2.png)
参数介绍如下👇

- `-f`，`--filter filter`

> 过滤条件。

- `--format string`

> 格式化打印结果。

- `--no-trunc`

> 不缩略显示。

- `-q`，`--quiet`

> 只显示网络对象的 **ID**。

首先，查看所有容器网络，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf254c27.png)
如以上示例所示，容器网络也有其固定的 **ID** 号，**DRIVER** 表示容器网络的驱动程序，**SCOPE** 表示容器网络的作用域。

默认情况下，容器创建完成后，会自动创建 **bridge**、**host**、**none** 三种网络模式。

接着，通过在命令中添加过滤条件查看容器网络，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf24c64b.png)
以上示例通过 **-f** 参数添加了 `'driver=host'` 过滤条件，成功过滤出了 **host** 网络。

通常 **Docker** 所显示的容器 **ID** 号、镜像 **ID** 号等都是通过缩略之后的结果，只要在命令中添加对应的参数即可显示完整 **ID** 号。

通过在命令中添加参数，以不缩略的形式列出所有容器网络，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf396add.png)
以上示例在命令中添加了 `--no-trunc` 参数，以不缩略的形式列出了所有容器网络。

最后，通过在命令中添加参数，列出所有网络的 **ID** 号，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf258c77.png)
以上示例在命令中添加了 **-q** 参数，列出了所有容器网络的 **ID** 号。

## 🍑 创建容器网络

创建网络的命令格式为：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf342232.png)
参数介绍如下👇

- `-d`，`--driver string`

> 指定网络模式（默认为bridge）。

- `--subnet strings`

> 指定子网网段。

- `--ip-range strings`

> 指定容器的IP地址范围，格式同subnet参数。

- `--gateway strings`
  子网的 **IPV4** 或 **IPV6** 网关。

创建一个容器网络，并指定它的网络模式，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf35326d.png)
以上示例创建了一个命名为 **test-bridge** 的新容器网络，并指定它的网络模式为 **bridge** 网络。

其余网络属性配置方式与之相同，这里不再赘述。

## 🍑 删除容器网络

下面将讲解删除容器网络的操作，在生产环境中建议再三确认之后再执行删除操作。

删除容器网络与删除容器同样都需要在命令中添加 **rm** 参数。

删除容器网络的命令格式为：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf342801.png)
首先，查看是否有需要删除的容器网络，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf362fb7.png)
接着，将需要删除的容器网络进行删除，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf40bb27.png)
最后，查看容器网络是否被删除，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf254c27.png)
从以上示例中，可以看到容器网络 **test-bridge** 已经成功删除。

## 🍑 容器网络详细信息

查看容器网络详细信息的命令格式为：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf46338b.png)
参数介绍如下👇

- `-f`， `--format string`

> 使用给定的模板格式化输出。

示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf478443.png)
以上示例查看了 **none** 网络的详细信息，包括容器网络名称、容器网络 **ID** 容器网络创建时间等。

## 🍑 配置容器网络

配置容器网络就是为用户创建的容器添加网络配置，只需要在运行容器的命令中添加指定的网络参数。

配置容器网络的命令格式为：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf478cb3.png)
示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf560976.png)
以上示例通过在运行容器中添加 `--network` 参数，指定了容器的 **host** 网络模式。

其中，反斜杠 `"\"` 表示命令没有输入完，上下两行为同一条命令，这种命令输入方式适合在输入长命令时使用。

下面查看容器信息，验证该容器网络是否为 **host** 模式，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf577a98.png)
以上示例通过 **docker inspect** 命令中添加 **grep** 参数过滤出了该容器的网络模式为 **host** 的信息。

下面运行一个不指定网络模式的容器，并查看其网络模式信息，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf593a5f.png)
由以上示例可见，不指定网络模式，**Docker** 会默认使用 **bridge** 网络模式。

## 🍑 容器网络连接与断开

容器网络连接与断开的命令格式为：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf598c4f.png)
下面通过示例讲解容器网络的连接与断开，首先创建一个容器，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf5b6174.png)
以上示例运行了一个连接 **host** 网络的容器。

然后将该容器与 **host** 网络断开，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf5c46a2.png)
以上示例使该容器与 **host** 网络断开。

在命令中使用 **ID** 号即可，并且断开网络之前需要先关闭该容器。

下面再次执行断开网络命令，观察执行结果，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf802df9.png)
以上示例中，再次执行断开命令时发生报错，提示网络已断开。

下面将该容器添加到 **none** 网络中，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf6d2ed0.png)
以上示例中，供执行了两次连接 **none** 网络的命令。

第一次执行命令使容器成功连接了 **none** 网络，再次执行命令连接时报错，提示容器已在 **none** 网络中。

# 2. none网络

顾名思义，**none** 网络就是什么都没有的网络。

在这种模式下，**Docker** 容器网络拥有自己的网络命名空间，但并不为 **Docker** 容器进行任何网络配置。

也就是说，这个模式下的容器除了本地环回接口，没有其他任何 **网卡**、**IP**、**路由** 等信息，如图所示👇
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf6ede23.png)
没有网络配置的情况下，**Docker** 开发者才能在此基础上做其他无限多可能的网络定制开发。

用户可以自己为 **Docker** 容器添加网卡、配置 **IP** 地址等。

这也正体现了 **Docker** 开放的设计理念。

下面使用默认网络模式创建一个 **BusyBox** 容器。示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf6ef0d5.png)
以上示例运行了一个被命名为 **test-default** 的 **BusyBox** 容器，并且此时已进入容器。

下面在容器终端中查看容器 **IP** 地址，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf727118.png)
从以上示例中可以看到，**Docker** 为容器分配了 **IP** 地址。

下面通过 **ping** 命令测试容器网络是否能够联通外网，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf86b227.png)
以上示例中，通过 **ping** 协议连通了外网，说明容器能够正常上网，。

作为对比验证，再运行一个 **BusyBox** 容器，将网络设置为 **none** 模式，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf84b73d.png)
通过以上示例的对比验证，可以很清晰地理解 **Docker** 容器 **none** 网络就是没有网络。

没有网络意味着安全性非常高，这样的网络模式通常可以用在一些对安全性要求较高，并且不需要联网的应用中，如用来产生随机密码的应用。

# 3. host 网络

一个 **Docker** 容器一般会被分配一个独立的网络命名空间，但如果启动容器时选择了 **host** 模式，那么这个容器将不会分配一个独立的网络命名空间，而是和宿主机共享同一个网络命名空间。

容器将使用宿主机的 **IP** 地址和 **端口号**，如图所示👇
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf7edb23.png)
下面在宿主机上运行一个网络模式为 **host** 的 **Web** 应用容器，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf81485c.png)
上述示例运行了一个命名为 **test-host** 的 **Nginx** 容器，并指定网络模式为 **host**，使其在后台运行。

下面查看容器信息，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf83b13d.png)
从以上示例中，可以看出网络模式为 **host**。

下面再查看宿主机的 **80** 端口状态，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf9268d5.png)
从以上示例中可以看出 **80** 端口被 **Nginx** 进程占用。

创建容器时并没有指定端口映射，容器默认使用了宿主机的 **80** 端口，证明在 **host** 模式下宿主机与容器共用端口。

下面通过 **curl** 工具测试容器网站是否能够被访问，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf9436e3.png)
下面是浏览器的访问测试结果，如图所示👇
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf9a601d.png)

# 4. bridge网络

在 **bridge** 模式下，**Docker** 守护进程创建了一个虚拟以太网桥 **Docker0**，附加在其上的网卡之间能自动转发数据包。

默认情况下，守护进程会创建一对对等接口，将其中一个接口设置为容器的 **eth0** 接口，另一个接口 **veth** 放置在宿主机的命名空间中，从而将宿主机上的所有容器都连接到这个内部网络上。

同时，守护进程还会从网桥的私有地址空间中分配一个IP地址和子网给该容器。如图所示👇
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf98d48f.png)
下面通过 **brctl show** 命令可以查看容器网桥信息，在这之前需要安装网桥工具管理包，否则命令不生效，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf996540.png)
安装完成之后，即可查看容器网桥信息，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccf9c42dc.png)
下面运行一个网络模式为 **bridge** 的容器，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccfa244a0.png)
以上示例在后台运行了一个命名为 **test-nginx** 的 **Nginx** 容器，并指定它的网络模式为 **bridge**，将宿主机的 **8000** 端口映射到了容器的 **80** 端口。

下面接着查看容器网桥信息，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccfa9cb26.png)从以上示例中可以看到，网桥 **Docker0** 上挂载了网络接口，**vethaaf8a5e** 就是新创建的 **Nginx** 容器的虚拟网卡，名称以 **veth** 开头。

下面运行一个 **BusyBox** 容器，并设置网络模式为 **bridge**，查看其网卡信息，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccfab90fc.png)
上述示例中，**veth70a4bee** 就是 **BusyBox** 容器的虚拟网卡，名称同样以 **veth** 开头。

**Docker** 采用 **NAT**（**Network Address Translation**，网络地址转换）方式，将容器内部服务监听的端口与宿主机的某一个端口进行映射，使宿主机以外的网络可以将网络报文发送至容器内部。

访问容器时，需要访问宿主机的 **IP** 及端口。

因为增加了网络层，所以会影响网络的传输效率，如图所示👇
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccfadb0f8.png)
在同一个服务器中，可能运行着多个业务，若这些业务都使用默认端口将会产生冲突，这时就需要容器映射不同的端口。

下面在宿主机中安装 **Apache** 服务，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccfaee543.png)
安装完成之后，启动 **Apache** 服务，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccfb0315a.png)
以上示例在宿主机中启动了一个 **Apache** 服务。

下面通过查看端口的形式验证 **Apache** 是否正常运行，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccfb3f1df.png)
以上示例查看宿主机 **80** 端口，可以看到 **80** 端口被 **Apache** 占用，服务正常运行。

下面创建一个 **Nginx** 容器，并配置端口映射，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccfbda814.png)
以上示例在后台运行了一个命名为 **test-nginx** 的 **Nginx** 容器，并将容器 **80** 端口映射到宿主机的 **8000** 端口。

下面测试用户通过宿主机的 **8000** 端口是否能够访问容器中的 **Nginx** 服务，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccfc1ba09.png)
从以上示例可以看出，通过宿主机的 **8000** 端口可以正常访问 **Nginx** 容器。

下面再访问宿主机的 **Apache** 服务，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0ccfc33ff5.png)
从以上示例可以看出，通过宿主机 **80** 端口可以正常访问 **Apache** 服务。

有了端口映射，容器与容器、容器与宿主机的业务就不会出现冲突，保证了业务都能够被正常访问。


容器网络的 “梦华录”

容器云平台网络架构设计


# 🌟 前言

> 本篇文章将讲讲如何 **停止、删除容器** 和 **对容器进行资源限制**
> ![在这里插入图片描述](http://pic.nexopera.tech/62e0b8c995e8b.png)

# 1. 停止和删除容器

## 🍑 停止容器

> 在工作中，有时会需要将容器暂停，例如，要为容器文件系统做一个快照时。使用 **docker pause** 与 **docker unpause** 命令可以对容器进行暂停与激活操作，并且暂停状态的容器不会占用宿主机 **CPU** 资源。

当不再需要业务运行时，就要将容器关闭，这时可以使用 **docker stop** 命令。当遇到特殊情况而无法关闭容器时，还可以使用 **docker kill** 命令强制终止容器，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8c9a10dc.png)
以上示例使用 **docker kill** 命令强制终止了容器。

企业中通常有大量的容器需要操作，一个一个操作会浪费大量的人力及时间成本。在这种情况下，可以将 **Docker** 命令与正则表达式结合起来，实现对容器的批量操作。

首先查看运行状态容器的 **ID** 号，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8c97aa4d.png)
接着使用 **正则表达式** 根据运行状态容器的 **ID** 号关闭正在运行的容器，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8c993611.png)
以上示例运用 **docker stop** 命令与正则表达式批量终止了运行中的容器，该命令还有另一种编写方式，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8c976427.png)
另外，使用类似方法还可以对容器进行批量删除、启动等操作。

**docker stop 与 docker kill 的区别如下👇**

- **docker stop** 执行时，首先给容器发送一个TERM信号，让容器做一些退出前必须做的保护性、安全性操作，然后让容器自动停止运行，如果在一段时间内容器没有停止运行，再执行 **kill -9** 指令，强制终止容器。
- **docker kill** 执行时，不论容器是什么状态，在运行什么程序，直接执行 **kill -9** 指令，强制终止容器。

## 🍑 删除容器

> 容器以其轻量级的特点受人欢迎，通常一些容器使用不久就会闲置，长期积累会导致不必要的资源浪费，所以要及时清理无用的容器。
>  
> 与 **docker rmi** 命令不同，**docker rm** 命令用于删除容器，下面将介绍删除容器的几种方法。

### 🍇 删除容器方法一

首先，查看所有容器及其状态，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8c982c03.png)
从以上示例中可以看到，目前宿主机中有三个处于终止状态的容器，以及一个处于运行状态的容器。

然后，结合正则与 **docker rm** 命令列出处于终止状态的容器并进行删除，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8ca82f12.png)
以上示例使用 **docker rm** 命令结合正则表达式实现了批量删除容器，并回显删除的容器 **ID**。

最后，查看并确认容器已删除，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8cb3b12e.png)
从示例中可以看到，处于终止状态的容器已经被删除，运行状态的容器并没有被删除。

### 🍇 删除容器方法二

首先，查看所有容器及其状态，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8cabf9f5.png)
从以上示例中可以看到，宿主机中有三个处于终止状态的容器，以及一个处于运行状态的容器。

接着，使用 **docker rm** 命令结合正则表达式列出所有容器 **ID** 号并删除容器，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8cad8432.png)
从以上示例中可以看到，命令的执行时发生了报错，提示无法删除一个正在运行的容器，可以使用 **-f** 参数强制执行。

然后，查看当前容器状态，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8cacf68b.png)
上述示例中可以看到，**docker rm** 命令结合正则表达式删除了三个终止状态的容器，运行中的容器没有被删除。
最后，根据报错提示在命令中添加一个 **-f** 参数，表示强制删除，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8cad7f4a.png)
从以上示例中可以看到，处于运行状态中的容器已经被删除。

### 🍇 删除容器方法三

首先，查看当前容器及其状态，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8cb8c99d.png)
接着，使用 **docker rm** 命令结合 **docker ps -q -f status=exited** 命名筛选出处于终止状态的容器 **ID** 号，并删除容器，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8cbcd864.png)
上述示例中，命令已经执行成功。

最后，查看容器是否被删除，示例代码如下。
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8cc08ccc.png)
上述示例中可以看到，处于终止状态的容器都已经被删除。

### 🍇 删除容器方法四

从 **Docker1.13** 版本开始，用户可以使用 **docker container prune** 命令删除处于终止状态的容器。

首先，查看当前容器及其状态，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8cc2422f.png)
接着，使用命令开始删除所有处于终止状态的容器，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8cc3fb00.png)
从以上示例中可以看到，当 **docker container prune** 命令执行之后，系统会向用户发出警告信息，并询问是否要继续。

**docker container prune** 会直接删除所有处于终止状态的容器，为了防止用户的误操作，将有用的容器删除，命令执行时会有警告信息与询问信息。

这时，如果确认要删除，可输入 **“y”** ，否则，输入 **“n”** 即可阻止命令执行。示例删除了所有处于终止状态的容器，命令执行成功之后返回一个释放内存的值。

最后，查看当前容器及其状态，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8cc49bb6.png)
从以上示例中可以看到，处于终止状态的容器已经被删除，而处于运行状态的容器并没有受到影响。

# 2. 容器资源限制

在默认情况下，**Docker** 没有对容器进行硬件资源的限制。使用 **Dcoker** 运行容器时，一台主机上可能会运行成百上千个容器，这些容器虽然相互隔离，但是在底层使用着相同的 **CPU**、**内存**和 **磁盘** 等资源。

如果不对容器使用的资源进行限制，那么容器对宿主机资源的消耗可能导致其他容器或进程不能够正常运行，严重时可能导致服务完全不可用。

> 本节将介绍如何对容器配置 **CPU**、**内存**、**Block IO** 等资源的限制。

## 🍑 限制容器内存资源

> 在 **Linux** 服务器上，如果内核检测到没有足够的内存（**Memory**）来执行重要的系统功能，内核会提示**OOME**（Out of Memory Error，内存溢出）并开始终止进程以释放内存，这称为 **OOM** 操作。
>  
> 任何进程都有可能被终止，包括 **Docker** 和其他重要的应用程序。如果终止了系统关键进程，可能导致整个系统瘫痪。
>  
> 设置限制内存上限虽然能保护主机，但是也可能会导致容器里的服务运行不畅。如果为服务设置的内存上限太小，服务在正常工作时可能出现资源不足；
>  
> 如果设置过大，则会因为调度器算法浪费内存。因此，合理的做法是遵循以下原则。

1. 为应用做内存压力测试，了解正常业务需求下内存的使用情况，然后再进入生产环境。
2. 限制容器的内存使用上限。
3. 尽量保持主机的资源充足，一旦通过监控发现资源不足，就进行扩容或者对容器进行迁移。
4. 内存资源充足的情况下，尽量不要使用 **Swap**（交换分区），**Swap** 的使用会导致内存计算变得复杂，对调度器造成压力。

**下面介绍Docker启动参数中的内存限制参数。**

- `-m`，`--memory`

> 设置容器可使用的最大内存，最小值是4MB。

- `--memory-swap`

> 设置容器可使用内存+Swap的最大值。

- `--memory-swapiness`

> 默认情况下，用户可以设置一个0~100的值，代表允许内存与交换分区置换的比例。

```
--memory-reservation
```

> 设置一个内存使用的 **soft limit**（非强制性限制），如果 **Docker** 发现主机内存不足，会执行 **OOM** 操作。这个值必须小于 **–memory** 设置的值。

- `--kernel-memory`

> 容器能够使用的内核内存的大小，最小值为 **4MB**。

- `--oom-kill-disable`

> 设置是否在运行 **OOM** 时候终止容器进程。
>  
> 宿主机会在内存不足时，随机关闭一些进程，而该参数会保护容器进程不被关闭。只有通过设置 **-memory** 限制容器内存，才可以使用该参数，否则容器会耗尽主机内存，而且导致主机应用被终止。

> ❗注：`--memory-swap` 只有在设置了 **-memory** 时才有意义。
>  
> 使用 **Swap** 允许容器在耗尽所有可用的内存时，将多余的内存需求写入磁盘。两者的关系如表所示。

![在这里插入图片描述](http://pic.nexopera.tech/62e0b8cccab84.png)
以上两个参数默认值都为 **-1**，即对容器使用 **内存** 和 **Swap** 没有限制。

下面使用 **progrium/stress** 镜像来介绍如何为容器分配内存，该容器可以模拟进行压力测试。示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8cd290db.png)
以上示例运行了一个容器，分配可用最大内存为 **300MB**，可用 **Swap** 为 **100MB**。

> 其中，**–vm 1** 参数表示启动一个内存工作线程
>
> **–vm-bytes 280M** 参数表示每个线程分配 **280MB** 内存。
>
> 可以看到系统不断地给容器分配内存、释放内存，一直循环。由于使用的内存 **380MB**，在最大使用量（**400MB**）之内，容器正常运行。

下面测试内存使用超出限额的情况，实例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8cd5411d.png)
从以上示例中可以看到，容器使用的内存超过了限额，容器里的进程被终止掉了，其中，**signal 9** 就是终止进程信号，最后容器退出。

如果在创建容器时仅指定 **-m** 参数，不设置 **-memory-swap** 参数，那么 **-memory-swap** 默认是 **-m** 的两倍，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8cd38f01.png)
在以上示例中，容器最多使用 **100MB** 内存和 **100MB Swap**。

## 🍑 限制容器CPU资源

> 主机上的进程会通过时间分片机制使用 **CPU**。**CPU** 用频率来量化，也就是每秒执行的运算次数。为容器限制 **CPU** 资源并不是改变 **CPU** 的频率，而是改变每个容器能使用的 **CPU** 时间片。
>  
> 理想状态下，**CPU** 应该一直处于运算状态，并且进程的计算量不会超过 **CPU** 的处理能力。
>  
> **Docker** 允许用户为每个容器设置一个数字，代表容器的 **CPU share**（共享），默认情况下每个容器的 **share** 值是 **1000**。这个 **share** 值是相对的，本身并不能代表任何确定的意义。当主机上有多个容器运行时，每个容器占用的 **CPU** 时间比例为它的 **share** 值在总额中的比例。
>  
> 例如，主机上有两个一直使用 **CPU** 的容器（为了方便理解，不考虑主机上运行的其他进程），其 **CPU share** 都为 **1000**，那么两个容器 **CPU** 使用率都是 **50%**；
>  
> 如果把其中一个容器的 **share** 值设置为 **500**，那么两者 **CPU** 的使用比为 **2:1**；如果删除 **share** 值为 **1000** 的容器，剩下来容器的 **CPU** 使用率将会是 **100%**。

**Docker** 为容器设置 **CPU** 资源限制的参数是 **-c** 或 **–cpu-shares**，其值是一个整数。运行两个容器 **test01** 与 **test02**，并设置 **CPU** 权重，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8ce2e2cd.png)
以上示例中分别为 **test01** 与 **test02** 设置 **CPU share** 为 **1000** 与 **2000**。

接着，使用 **docker stats** 查看容器占用 **CPU** 情况，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8d06f42e.png)
从以上示例中可以看到，两个容器 **CPU** 的使用占比约为 **2:1**，与先前设置的 **share** 值相吻合。

此时将 **share** 值为 **2000** 的 **test02** 容器暂停，再来查看 **CPU** 使用情况，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8ce0d63c.png)
设置 **CPU** 资源限制还可以使用 **–cpuset-cpus** 参数，它能够指定容器使用某一颗 **CPU**。这里使用 **CPU** 测试镜像 **agileek/cpuset-test** 进行测试，其功能是将 **CPU** 用满，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8ce363a0.png)
使用宿主机 **top** 命令查看 **CPU** 使用情况，可以看到 **CPU1** 已经被占满，而 **CPU0** 没有受到影响，如图所示：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8ce725d0.png)

## 🍑 限制容器 Block IO

> **Block IO** 表示磁盘的读写，**Docker** 可以用配置 **bps**（每秒读写的数据量）和 **iops**（每秒读写的次数）的方式限制容器对磁盘读写的带宽。

**下面介绍限制 bps 与 iops 的参数。**

- `--device-read-bps`

> 限制读某个设备的bps。

- `--device-write-bps`

> 限制写某个设备的bps。

- `--device-read-iops`

> 限制读某个设备的iops。

- `--device-write-iops`

> 限制写某个设备的iops。

默认情况下，所有容器对磁盘读写的带宽是相同的，通过配置 **-blkio-weight** 参数的值（10-1000）可以指定容器 **Block IO** 的优先级。**–blkio-weight** 与 **-cpu-shares** 类似，默认值都是 **500**。

下面运行的两个容器 **test01** 与 **test02**，其中，**test01** 读写磁盘的带宽是 **test02** 的两倍。
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8d16f7d0.png)
从以上示例中可以看到，容器 **test01** 的相对权重值是 **800**，而 **test02** 的相对权重值是 **400**，故 **test01** 读写磁盘的带宽是 **test02** 的两倍。

下面运行一个容器，限制其对 **/dev/sda** 写入的速率不高于 **20MB/s**。因为容器文件系统在宿主机的 **/dev/sda** 上，在容器中写文件相当于对宿主机的 **/dev/sda** 进行写入操作。

示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/04e68e0d22df4030a8f65ef3bfc1336a.png)
以上示例运行了一个 **CentOS** 容器，并限制其写 **/dev/sda** 的速率为 **20MB/s**。

下面通过命令查看该容器的写入速率，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8cf2ed61.png)
从以上示例中可以看到，设置了写入限制的容器，写入速率为 **19.4MB/s**，没有超过写入限制的 **20MB/s**。

作为对比，下面运行一个不限制写入速率的容器，示例代码如下：
![在这里插入图片描述](http://pic.nexopera.tech/62e0b8cf49d55.png)
以上示例中，一个不限制读写速率的容器，写入速率是 **61.3MB/s**。

其他参数使用方法与之类似，大家可以自己尝试做一下🤗。

# 3. 总结

> 这两篇文章，首先介绍了如何获取 **Docker** 帮助手册；然后通过大量的实验讲解了操作 **Docker** 容器的方法，包括进入、停止、删除容器等，以及容器各种状态之间如何转换；
>
> 最后介绍了 **Docker** 容器的资源限制，包括 **限制内存**、**CPU**、**BLOCK IO** 三种方法。


如何安全的进入、停止、删除容器

Nexopera是一个专注于Linux、网络和运维等领域的博客网站。将为读者提供广泛的相关文章，涵盖操作系统、服务器管理、网络配置、安全性等多个主题。如果你是初学者，希望这里有适合你的内容。