Docker详解

云是一种服务理念。在云里docker是业务的最小载体

doker是管理容器的引擎，为应用打包、部署平台、而非单纯的虚拟化技术

1.轻量级虚拟化

2.一致性

4.高效的资源利用

5.易于部署和扩展

docker和虚拟机的区别：

虚拟机：真机需要一个操作系统，虚拟机需要一个操作系统，两个操作系统内核完全隔离

docker：docker运行在真实的操作系统之间，但容器间的隔离性差，用策略做安全隔离

docker最大的问题是安全性

一、docker部署

1.部署docker软件仓库

[root@docker ~]# cd /etc/yum.repos.d/ [root@docker yum.repos.d]# vim docker-ce.repo

[docker] name=docker baseurl=Index of /docker-ce/linux/rhel/9/x86_64/stable/ | 清华大学开源软件镜像站 | Tsinghua Open Source Mirror gpgcheck=0

2.下载docker

[root@docker ~]# yum install docker-ce.x86_64

3.启动docker

[root@docker ~]# systemctl enable --now docker

[root@docker ~]# docker info //查看docker版本

4.配置镜像加速器

[root@docker ~]# cd /etc/docker/ [root@docker docker]# vim daemon.json

{

"registry-mirrors": ["https://1gvlg6x3.mirror.aliyuncs.com"]

}

[root@docker docker]# systemctl restart docker

5.加载镜像

[root@docker ~]# docker load -i nginx-latest.tar.gz

此时docker就部署好了，现在运行一个web服务来验证是否部署成功

[root@docker ~]# docker run -d --rm --name webserver -p 80:80 nginx

run -d ：在后台运行

--rm：容器关闭后就将他删掉

-p：暴露的端口，前面是本机的端口，后面是容器的端口

3.在内核参数里将group2降级到 group,且将iptables作为默认的火墙工具

二、docker基本命令

docker image inspect nginx:latest 镜像内容

docker history nginx:latest 镜像结构，查看容器使用的端口

docker image save -o nginx-latest.tar.gz镜像导出

docker load -i nginx-latest.tar.gz 镜像导入

docker rmi nginx:latest 删除镜像

docker rm test 删除容器

docker run -it --name test busybox i：交互式运行，t：打开一个终端

doocker attach test //进入容器（ctrl pq）

docker run -it --name test --network none busybox 在开启docker时让它没有网络（默认使用桥接接口）（--network 指定网络）

[root@node ~]# docker exec -it test /bin/bash 进入到容器的内部

[root@node ~]# docker attach test 容器退出但未停止，可使用这个命令再次进入（ctrl+d ：退出且停止，ctrl+pq：退出但不停止）

docker exec -it test ip ad 在退出但未停止的状态下，可在容器的外部执行命令

docker inspect test 容器运行的信息

docker container prune -f 删除所有停止的容器

容器内容提交（分层提交）

想要容器的内容在容器被删掉后仍然存在，需要提交动作

[root@node ~]# docker commit -m "add zeefile" test busybox:v1生成一个新的镜像

[root@node ~]# docker run -it --name test busybox:v1

每提交一层，再创建新的镜像后上次提交的变为只读层

[root@node ~]# docker cp test:/file1 /mnt 将容器的内容拷贝到本机

[root@node ~]# docker cp /etc/passwd test:/ 将本机的东西拷贝到容器

[root@node ~]# docker logs test 查看容器的日志

三、docker镜像构建

3.1镜像构建过程

commit做的镜像不利于审计，我们一般用docker bulid

1.创建一个docker目录

[root@docker ~]# mkdir docker [root@docker ~]# cd docker/

2.编辑dockerfile文件

[root@docker docker]# vim Dockerfile

FROM busybox RUN touch /zeefile

3.对文件进行构建

[root@docker docker]# docker build -t busybox:v2 .//当前位置

docker build -f （Dockerfile所在位置） -t busybox：v3

[root@docker docker]# docker history busybox:v2

[root@docker docker]# docker run -it --rm --name test1 busybox:v2//此时可以看到zeefile

3.2构建参数

LABEL KEY：指定作者信息

FROM busybox

RUN touch /zeefile

LABEL Mail=1551145187@qq.com

COPY:复制文件

FROM busybox

RUN touch /zeefile

LABEL Mail=1551145187@qq.com

COPY passwd /passwd

ADD：指定压缩文件或url

FROM busybox

RUN touch /zeefile

LABEL Mail=1551145187@qq.com

ADD test.tar.gz /mnt

RUN：在容器构建的过程当中运行什么

FROM busybox

RUN touch /zeefile

LABEL Mail=1551145187@qq.com

ADD test.tar.gz /mnt

RUN mkdir /zee #在构建了镜像以后它会多一个zee目录

CMD：在启动容器时自动运行动作,可以被替代，（在run命令后加sh）

FROM busybox

RUN touch /zeefile

LABEL Mail=1551145187@qq.com

ADD test.tar.gz /mnt

RUN mkdir /zee

CMD ["/bin/sh","-c"," echo hello zee] //-c表示用shell执行什么命令

ENV：指定环境变量

ENV name=zee

CMD ["/bin/sh","-c"," echo $name]

ENTRYPOINT：与CMD类似，但不可被替代

ENV name=zee

CMD ["/bin/sh","-c"," echo $name]

ENTRYPOINT ["/bin/sh","-c"," echo end]

EXPOSE:暴露端口

EXPOSE 80 443

ENV name=zee

CMD ["/bin/sh","-c"," echo $name]

ENTRYPOINT ["/bin/sh","-c"," sleep 1000000"]//常驻程序

WORKDIR：工作目录（不写工作目录运行时在‘/’下）

EXPOSE 80 443

ENV name=zee

CMD ["/bin/sh","-c"," echo $name]

ENTRYPOINT ["/bin/sh","-c"," sleep 1000000"]

WORKDIR /mnt

VOLUME：申明数据卷，让容器将他的某个文件挂载到宿主机，宿主机通过这个文件向容器写东西

EXPOSE 80 443

ENV name=zee

CMD ["/bin/sh","-c"," echo $name]

ENTRYPOINT ["/bin/sh","-c"," sleep 1000000"]

WORKDIR /mnt

VOLUME /zee //宿主机的目录自动生成，可以把docker的数据持久化到宿主机（但此时没有建立数据卷，所以在docker关闭后数据也会随之消失）

3.3镜像构建企业

编辑Dockerfile文件

FROM centos:repo LABEL Mail=lee@timinglee.org ADD nginx-latest.tar.gz /mnt WORKDIR /mnt/nginx-latest.tar.gz RUN yum install gcc make pcre-devel openssl-devel -y RUN ./configure --prefix=/usr/local/nginx --with-http_ssl_mode --with_http_stub_status_mode RUN make RUN make install EXPOSE 80 443 VOLUME ["/usr/local/nginx/html"] CMD ["/usr/local/nginx/sbin/nginx","-g","daemon off"]

此时构建镜像报错，因为容器无法下载软件，于是我们用本地的方式使容器可以下载软件

下载httpd

[root@docker docker]# dnf install httpd -y

将端口改为8888，80端口被占用

[root@docker docker]# vim /etc/httpd/conf/httpd.conf

[root@docker docker]# systemctl start httpd 在虚拟机多加一个rhel7.9镜像，创建目录，将目录挂载在sr1（新加的镜像）下

[root@docker docker]# mkdir /var/www/html/rhel7.9

[root@docker docker]# mount /dev/sr1 /var/www/html/rhel7.9/

将镜像提交

[root@docker docker]# docker commit -m "add repo" centos centos:repo

此时再构建镜像

[root@docker docker]# docker build -t nginx:v1 .

3.4镜像优化方案

四、docker仓库

4.1pull原理

1.docker客户端发送请求给索引（index）

2.索引根据认证给客户端一个token（令牌）

3.此时客户端直接连接库

4.库被连接的时候它会向索引去询问即会根据客户端持有的token跟index核实身份合法性

5.index确认此token的合法性

4.2搭建docker的私有仓库

1.拉取registry 镜像，查看镜像开启的端口

[root@docker ~]# docker history registry:latest

2.将端口暴露出来

[root@docker ~]# docker run -d -p 5000:5000 --restart=always registry

3.此时仓库就已经开了，就可以给仓库里推东西了，此时使用的使https需要认证，如果要用http的方式，则需要修改daemon.json文件

[root@docker ~]# vim /etc/docker/daemon.json

{ "insecure-registries": ["http://172.25.254.100:5000"] } [root@docker ~]# systemctl restart docker.service

[root@docker ~]# docker tag nginx:latest 172.25.254.100:5000/nginx:latest [root@docker ~]# docker push 172.25.254.100:5000/nginx:latest

4.查看数据上传在哪里

[root@docker ~]# docker inspect unruffled_kare

5.要看仓库里有哪些镜像

[root@docker ~]# curl 172.25.254.100:5000/v2/_catalog {"repositories":["nginx"]}

4.3docker仓库数据传输加密

给镜像仓库添加认证key

1.创建一个目录

[root@docker ~]# mkdir certs

2.在这个目录中建立加密文件，且要给仓库名（仓库地址）做解析 [root@docker ~]# vim /etc/hosts

[root@docker ~]# openssl req -newkey rsa:4096 -nodes -sha256 \
​
> -keyout certs/zee.org.key \
> -addext "subjectAltName = DNS:reg.zee.org" \#添加证书扩展信息
> -x509 -days 365 -out certs/zee.org.crt

3.建立启动registry仓库

docker run -d -p 443:443 --restart=always -v /root/certs:/certs

-e REGISTRY_HTTP_ADDR=0.0.0.0:443

-e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/zee.org.crt

-e REGISTRY_HTTP_TLS_KEY=/certs/zee.org.key registry:latest

4.此时上传镜像会报错，没有认证，要用这个仓库需要docker加载它的证书

[root@docker ~]# mkdir -p /etc/docker/certs.d/reg.zee.org [root@docker ~]# cp /root/certs/zee.org.crt /etc/docker/certs.d/reg.zee.org/ca.crt

[root@docker ~]# systemctl restart docker.service

此时就可以推送上去，其他主机要想使用镜像仓库也需要有/etc/docker/certs.d/reg.zee.org/ca.crt证书

五、搭建docker-hub仓库

1.解压缩 软件包

2.解压缩后，会有harbor的目录，进入目录，将harbor.yml.tmpl复制为harbor.yml

[root@dockerhub harbor]# cp harbor.yml.tmpl harbor.yml

3.重新生成一个证书

4.进入复制好的harbor.yml文件

hostname: reg.zee.org//改为证书中的DNS

certificate: /data/certs/zee.org.crt private_key: /data/certs/zee.org.key//修改认证文件路径

harbor_admin_password: zee//修改密码

5.将生成的证书复制到data下的certs下

6.启动

./install.sh --with-chartmuseum

7.管理harbor仓库

[root@dockerhub ~]# docker compose up -d

[root@dockerhub ~]# docker compose stop

六、Docker网络

docker安装后会有三种网络

bridge、host、none

6.1docker原生bridge网络

企业9中默认使用的是nftable，我们需要将它换为iptable

grubby --update-kernel ALL --args iptables=true

[root@dockerhub ~]# docker network rm//删除

[root@dockerhub ~]# docker network ls//查看docker网络情况

运行一个容器，并将它的网络模式改为桥接，进入容器后，可以ping通外网，因为，此时容器的网关是docker0，相当于将宿主机当作路由器，dokcer0相当于路由器对内的接口，docker0通过内核路由功能到达eth0，到达eth0做地址伪装，伪装为eth0的ip，然后就可以出去了（如果我们将iptables的地址伪装功能禁用，此时容器仍然可以ping通外网，因为他还有dockerproxy功能）

docker run -it --name webserver --network bridge busybox

6.2docker自定义网络

bridge

overlay

macvlan

6.2.1自定义桥接

原生有桥接，为什么要自定义桥接：docker桥接的ip与开启的允许有关，ip是一直变动的，（但容器名称不变，所以不论是k8s还是容器都是通过容器名称进行通信）原生的桥接网络当中没有dns插件，所以无法通过名称通信，所以我们要建立一个bridge

[root@dockerhub ~]# docker network create mynet1 -d bridge

建立好后使用自定的桥接就可以实现使用名称进行通信

6.2.2如何让不同的自定义网络互通

不同的网络通过火墙策略隔离， 所以不同的网络不能互相通信

本来两个容器使用的是两个不同的网络栈，如果我们要他们能够相互之间通信，我们需要给其中一个容器增加一块网卡，此时就可使得容器间通信

[root@dockerhub ~]# docker network create mynet1 -d bridge

[root@dockerhub ~]# docker network create mynet2 -d bridge

[root@dockerhub ~]# docker run -it --name test --network mynet1 busybox

[root@dockerhub ~]# docker run -it --name test1 --network mynet2 busybox

[root@dockerhub ~]# docker network connect mynet1 test1

6.2.3joined容器网络

两个容器共享同一个网络栈，业务耦合度高，两个业务彼此运行

[root@dockerhub ~]# docker run -it --name test1 --network container:test busybox//第二个容器使用的是第一容器的网络，他们的ip相同，它访问的是自己的回环接口

实例

[root@dockerhub ~]# docker run -d --name mysqladmin --network mynet1 \

-e PMA_ARBITRARY=1 \ -p 80:80 phpmyadmin:latest

[root@dockerhub ~]# docker run -d --name mysql --network container:mysqladmin

-e MYSQL_ROOT_PASSWORD='zee'

mysql:5.7

[root@dockerhub ~]# docker exec -it mysql bash

6.3容器访问外网

将nftables改为iptables，修改的文件是

[root@dockerhub entries]# cd /boot/loader/entries/

[root@dockerhub entries]# cat e2916e407318490f9720641b4712dd0b-5.14.0-162.6.1.el9_1.x86_64.conf title Red Hat Enterprise Linux (5.14.0-162.6.1.el9_1.x86_64) 9.1 (Plow) version 5.14.0-162.6.1.el9_1.x86_64 linux /vmlinuz-5.14.0-162.6.1.el9_1.x86_64 initrd /initramfs-5.14.0-162.6.1.el9_1.x86_64.img $tuned_initrd options root=/dev/mapper/rhel-root ro resume=/dev/mapper/rhel-swap rd.lvm.lv=rhel/root rd.lvm.lv=rhel/swap rhgb quiet selinux=0 net.ifnames=0 iptables=true grub_users $grub_users grub_arg --unrestricted grub_class rhel

运行一个容器，可以看到这个容器将真机作为路由器，而在真机的nat表中可以看到，对172.17.0.0做了地址伪装，所以容器可以访问外网，当我在iptables策略中将此策略删除则无法对外网进行通信

[root@dockerhub ~]# iptables -t nat -D POSTROUTING 1

重启docker后策略就会回来

[root@dockerhub ~]# iptables -t nat -nL

由此我可以知道是通过iptables策略进行通讯

6.4外网访问docker容器

DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 to:172.17.0.2:80

4990 ? Sl 0:00 /usr/bin/docker-proxy -proto tcp -host-ip 0.0.0.0 -host-port 80 -container-ip 172.17.0.2 -container-port 80 4999 ? Sl 0:00 /usr/bin/docker-proxy -proto tcp -host-ip :: -host-port 80 -container-ip 172.17.0.2 -container-port 80

此时将第二条策略删掉，依然能够访问，双保险，不单走火墙策略还会走docker-proxy