Docker для разработчиков: что происходит внутри контейнера

Docker для разработчиков: что происходит внутри контейнера

В статье узнаем как Docker запускает контейнеры, из чего они состоят, как взаимодействуют с ядром Linux и почему контейнеры работают быстро и эффективно.

Docker уже давно стал стандартом для разработки, тестирования и развертывания приложений. Благодаря контейнерам разработчики могут запускать программы в одинаковом окружении независимо от операционной системы, настроек компьютера или версии библиотек. Однако многие используют Docker ежедневно, не задумываясь о том, что происходит после выполнения команды docker run.

Полный курс по Докер вы можете найти здесь

Что такое контейнер на самом деле?

Многие представляют контейнер как небольшую виртуальную машину, внутри которой находится полноценная операционная система. На самом деле это распространенное заблуждение.

Контейнер не содержит собственного ядра операционной системы. Вместо этого он использует ядро хостовой системы. Именно поэтому контейнеры намного легче виртуальных машин и занимают значительно меньше памяти.

Фактически контейнер представляет собой обычный процесс Linux, который работает в изолированном окружении. Для самого процесса кажется, что он единственный в системе, хотя на самом деле рядом могут одновременно работать десятки или даже сотни других контейнеров.

Что происходит после команды docker run?

Когда разработчик запускает контейнер, Docker выполняет целую цепочку действий.

Сначала Docker проверяет, существует ли необходимый образ локально. Если его нет, начинается загрузка из Docker Hub или другого реестра.

После этого создается новый слой записи (Writable Layer), в который будут попадать все изменения файловой системы. Сам образ при этом остается неизменным.

Далее Docker подготавливает изолированное окружение, создает необходимые пространства имен (Namespaces), ограничивает использование ресурсов через Control Groups (cgroups), настраивает файловую систему, сеть и только после этого запускает основной процесс контейнера.

Если этот процесс завершится, контейнер также остановится. Именно поэтому внутри контейнера обычно запускается только одно основное приложение.

Изоляция процессов с помощью Namespaces

Главная задача контейнера — создать ощущение отдельной операционной системы. Для этого Linux использует механизм Namespaces.

Каждый Namespace изолирует определенную часть системы.

PID Namespace отвечает за процессы. Контейнер видит только собственные процессы и не знает о существовании остальных.Network Namespace создает отдельный сетевой стек. Контейнер получает собственный IP-адрес, сетевые интерфейсы и таблицы маршрутизации.Mount Namespace изолирует файловую систему.UTS Namespace позволяет каждому контейнеру иметь собственное имя хоста.IPC Namespace разделяет механизмы взаимодействия процессов.User Namespace позволяет отображать пользователей контейнера на пользователей хостовой системы.

Благодаря этим механизмам процессы внутри контейнера не могут напрямую взаимодействовать с процессами других контейнеров.

Ограничение ресурсов через cgroups

Изоляции недостаточно. Необходимо также контролировать использование ресурсов.

Если один контейнер начнет использовать всю оперативную память или загрузит процессор на 100%, остальные приложения могут перестать нормально работать.

Для решения этой задачи Linux использует механизм Control Groups, более известный как cgroups.

С помощью cgroups Docker может ограничивать:

использование процессора;объем оперативной памяти;скорость чтения и записи диска;сетевые ресурсы;количество одновременно работающих процессов.

Например, контейнер можно ограничить двумя гигабайтами оперативной памяти.

docker run —memory=2g nginx

Если приложение попытается использовать больше памяти, ядро Linux завершит процесс.

Файловая система контейнера

Образы Docker состоят из множества слоев. Каждый слой содержит изменения относительно предыдущего.

Когда создается контейнер, Docker объединяет все слои в единую файловую систему при помощи Union File System.

Сверху создается отдельный слой записи, куда попадают новые файлы, изменения существующих файлов и удаление данных.

После удаления контейнера этот слой также удаляется, если данные не были сохранены в Volume.

Почему изменения внутри контейнера исчезают?

Новички часто сталкиваются с ситуацией, когда после удаления контейнера все созданные файлы пропадают.

Причина заключается в том, что данные хранятся во временном слое записи. После удаления контейнера этот слой уничтожается вместе со всеми изменениями.

Для хранения постоянных данных используются Docker Volumes.

docker run -v my_volume:/app/data my_application

В этом случае данные сохраняются отдельно от контейнера и продолжают существовать даже после его удаления.

Как контейнер подключается к сети?

По умолчанию Docker создает виртуальную сеть bridge.

Каждый новый контейнер подключается к этой сети через виртуальный сетевой интерфейс.

Docker автоматически назначает контейнеру внутренний IP-адрес и настраивает маршрутизацию между контейнерами.

Если необходимо открыть порт наружу, используется публикация портов.

docker run -p 8080:80 nginx

Теперь обращения к порту 8080 на компьютере будут автоматически перенаправляться внутрь контейнера на порт 80.

Почему контейнеры запускаются так быстро?

Главное преимущество Docker заключается в отсутствии необходимости загружать отдельную операционную систему.

Виртуальной машине требуется запуск собственного ядра, драйверов, служб и множества системных процессов.

Контейнеру же достаточно создать изолированное окружение и запустить основной процесс. Благодаря этому запуск обычно занимает считанные секунды, а иногда и доли секунды.

Контейнер — это всего лишь процесс

Самая важная мысль, которую стоит запомнить: контейнер не является отдельной операционной системой. Это обычный процесс, работающий под управлением ядра Linux, но помещенный в изолированное окружение.

Именно сочетание Namespaces, cgroups, многослойной файловой системы и сетевой виртуализации позволяет Docker создавать легкие, быстрые и безопасные контейнеры.

Понимание этих механизмов помогает лучше разбираться в работе Docker, быстрее находить причины ошибок, грамотно настраивать окружение и эффективнее использовать контейнеры в реальных проектах.

Источник