容器和虚拟机比较

• 虚拟机在基础架构之上有一个虚拟机监控的程序，在它上面会有不同的操作系统，在不同的操作系统之上再运行独立的应用程序；
• 采用容器技术的好处是运行相同的应用程序，使用容器额外开销比较少，这也是它比较受欢迎的原因；

docker有个后台进程使用containerd，它是专门用来管理容器以及容器镜像的一个应用，当然这个容器镜像要符合OCI(开放容器标准)，它会通过runc进行一个解包的处理，runc是专门用来运行容器中应用的。

容器技术的核心功能

命名空间(Namespace)

Linux命名空间提供了一种内核级别隔离系统资源的方法，通过将系统的全局资源放在不同的Namespace中来实现资源隔离的目的。

• 文件系统隔离
• 进程隔离
• 网络资源隔离
• 用户和用户组隔离
• 主机名和域名隔离
• 进程间通信隔离

控制组(CGroup)

Linux控制组是一个内核功能，用于限制，记录和隔离一个或多个进程，对CPU、内存、磁盘I/O、以及网络的使用量及访问。

• 限制进程组可以使用的资源数量
• 进程组的优先级控制，比如给特定进程组分配特定的CPU使用率
• 记录进程组使用的资源数量
• 进程组控制，比如将进程组挂起和恢复

其实进程和进程之间是运行在同一个操作系统之上的，所谓的隔离是逻辑上的隔离，通过这两种技术可以起到限制进程使用资源的目的。

启动了一个apache pod。

这是当前k8s集群里使用到的容器，其中很多是系统容器不需要管。

容器列表里面有很多pause这样的容器镜像所启动的容器，所启动的apache容器和某一个pause容器共享一个网络命名空间。

查看某个容器的描述，

这是进程的相关配置，其中entrypoint.sh是apache的启动脚本，

这个是命名空间配置，隔离apchae所使用的命名空间，pid是apache进程本身在整个进程树上是根进程，network是apache进程通信的网络隔离。

网络命名空间依赖446476这个进程，

可以看到apache本身的进程是446531，很明显apache的网络是由446476这个进程所影响的，那这个进程是什么？

看下这个进程的状态，

发现这个进程目前处理sleeping状态，本身不干活，那么它存在的意义是什么？

集群节点上运行着linux操作系统，在上面运行所有的容器在逻辑上是隔离的，是因使用了命名空间和控制组这样的技术。

当前机器本身就是k8s集群的一个node节点，

直接通过ps命令可以看到apache和pause这样的进程，因为它是运行在本机操作系统上的进程，但是pause进程在启动的时候，会创建各种各样的命名空间，从而把pause这个进程隔离起来，从而把它视为运行在一个独立的操作系统上的一个进程，然后它进入了一个休眠的状态，它的任务已经完成了。

后面启动的apache进程在某些命名空间上会attach到这个pause命名空间，2个命名空间关联起来，apache也可以把自己看作一个独立在操作系统中的一个进程。

pause创建了命名空间，apache的进程关联到这个命名空间中。

k8s的pause首先会启动pause这个进程去创建一个命名空间，然后在k8s的pause里面，无论有多少个container，都会共享同一个命名空间，比如共享一个网络命名空间，它有独立的端口范围、主机名，路由。

从pod的角度来看它就是一个pod在运行，其实这个pod里面的所有的容器通过共享命名空间来实现一个独立的封装，也就是说封装在pod里面的这些进程它们彼此之间都是可以共享同一个命名空间。

首先模拟一下启动pause这样一个进程从而创建各种各样的命名空间，

做了一个docker镜像用来模拟pause容器，

把容器里面的8080端口暴露在主机的80端口上，运行容器了之后，直接删除镜像，

这个容器本身有它独立的命名空间，后面就需要一个应用的容器关联到这个pod上，这里用了一个python的容器 ，python比较容易启动web服务，

新启动的python的容器，本身会attach到pause容器上，本身和pause容器共享同一个网络命名空间，

python容器把80应用跑起来了，进入python里面，发现机器名和pause共享同一个机器名，因为在run python的时候并没有指定host name，而是运行pause的时候指定的，

在python容器中启动一个web服务，

当把web server跑在apache容器上，它实际上和pause容器共享了同一个网络命名空间，

再启动一个python容器，

依然使用8080端口，会有端口冲突。

在一个容器里面生成新文件，在另外一个容器里面是没有这个文件的，说明文件系统是独立的，但是网络空间却是共享的。

总结

• 容器是通过命名空间相互隔离的系统进程
• K8s pod是一个抽象的概念，使用Pause容器创建命名空间并与用户进程容器共享
• 在一个K8s pod中用户进程容器之间通过网络命名空间交换网络数据
• 在一个K8s Pod中用户进程容器共享同一主机名、端口范围、网络路由
• 一个node上启了10个pause，并且每个pause里面有10个容器，其实本质上来讲在操作系统上启动了100个进程，只不过通过命名空间的方式把它们进行分组进行隔离。