Docker容器化部署与实战指南

Docker 容器化部署与实战指南：分层解剖

导读：Docker 不是"更轻的虚拟机"，而是一组 Linux 内核能力的工程化封装。本文集采用分层解剖的讲法：把 Docker 拆成镜像层、运行时层、网络层、存储层、编排层、治理层，自底向上逐层拆开，每一层只回答两个问题——它解决什么问题，它底层怎么做。读完你获得的不是一堆命令的记忆，而是一张可以按层定位任何 Docker 问题的心理地图。

为什么换一种讲法

市面上的 Docker 教程大多按功能菜单讲：先讲安装，再讲镜像，再讲网络，一章一个命令清单。学完能敲命令，但遇到真实问题就露馅——镜像为什么一Gb多、容器里为什么 ping 不通网关、删除容器为什么数据没了。这些问题的根源都在"层"里：镜像是分层的，网络是叠加的，存储是挂载的。不理解层的结构，就只能背命令；理解了层，命令只是层的操作入口。

所以本文集的组织方式是解剖式的。我们从最底下那层"镜像分层与联合文件系统"开始，因为它是整个 Docker 的地基——容器之所以能秒级启动、镜像之所以能增量分发，全靠这一层。然后往上是运行时层，看 namespace 和 cgroup 这两台隔离引擎如何把一个普通进程"包装"成容器。再往上是网络层和存储层，它们分别解决容器与外界、容器与数据的关系。最上面是编排层和治理层，解决多容器、多主机的生产问题。

Docker 技术栈分层全景

各层一句话预览

• 第 1 章全景：容器和虚拟机的本质区别在哪，Docker 客户端、守护进程、registry 三件套如何协作。
• 第 2 章镜像层：一条 Dockerfile 为什么产出十几层，overlay2 怎么把只读层叠成一个根文件系统，镜像怎么瘦身。
• 第 3 章运行时层：容器就是带了隔离属性的进程。namespace 骗过进程的眼睛，cgroup 管住进程的手脚。
• 第 4 章网络层：四种网络模式的拓扑差异，端口映射在 netfilter 里做了什么，自定义网络为什么自带 DNS。
• 第 5 章存储层：overlay2 的 upperdir、lowerdir、merged 目录分别是什么，卷、绑定挂载、tmpfs 各自的适用场景。
• 第 6 章编排层：Compose 如何用一份声明式文件驱动多容器，Swarm 与 Kubernetes 怎么选。
• 第 7 章治理层：从 rootless 模式到镜像签名，从 stats 到日志驱动，最后一场生产部署实战收束全部知识。

适合谁读

如果你已经装好 Docker、跑过 hello-world，但对"镜像和容器到底是什么关系""为什么容器里的数据和宿主机不通"这类问题答不上来，本文集就是为你写的。每章都从"这一层解决什么问题"切入，配上可复现的命令、真实的 Dockerfile 和输出片段。所有示例都基于 Linux 内核上的 Docker Engine，Windows 与 macOS 用户通过 Docker Desktop 一样可以跟做，只是底层多了一层虚拟机。

怎么用这本教程

三点阅读建议。其一，按章序读：各层之间有依赖关系，运行时层引用镜像层的概念，编排层引用前面所有层，跳读会缺地基。其二，每节的命令都值得亲手敲一遍：本文集的示例全部可以在一台普通 Linux 虚拟机或一台安装了 Docker Desktop 的笔记本上复现，动手过一遍胜过读三遍。其三，读完第 3 章后回头再看第 1 章，你会发现自己对"容器即进程"的理解已经换了一个层次——分层知识会互相印证，这是解剖式学习的复利。

各章结尾都有要点回顾与过渡引导，笔记可以直接落在回顾条目上。遇到问题时，先按第 7 章的方法论把问题归到某一层，再回到对应章节查原理，这比搜索引擎里翻碎片答案快得多。

学 Docker 的正确姿势是拿着手术刀学，不是拿着说明书背。每一层都问一句"它解决什么问题、底层怎么做"，问完七章，Docker 对你就不再是黑盒。