Linux容器运行时深度实战：从Namespace隔离到Cgroups资源管控

容器技术是现代云计算的基石。从Docker到Kubernetes，容器化部署已成为软件架构的主流方式。然而，容器究竟是如何在操作系统层面实现的？本文将深入Linux内核，从Namespace隔离、Cgroups资源管控、UnionFS联合文件系统到容器网络，全方位解析容器运行时的原理与实战。

一、容器本质：进程隔离的艺术

容器并不是一个新概念。早在2000年代，FreeBSD的Jail机制就已经提供了类似的容器化功能。Linux上的容器技术经历了从LXC到Docker再到containerd的演进，但其核心始终是Linux内核提供的两大Namespace和Cgroups机制。

从本质上说，容器只是一个被隔离的进程。当你运行 docker run -it ubuntu bash 时，Docker并非启动了一台虚拟机，而是在宿主机上创建了一个新的进程，通过Namespace限制它的视图，通过Cgroups限制它的资源使用。理解这一点，是深入容器技术的第一步。

二、Namespace：看不见的隔离墙

Linux Namespace是内核提供的一种轻量级资源隔离机制。它允许不同Namespace中的进程拥有独立的系统资源视图，使得一个进程只能看到自己所属Namespace中的资源。当前Linux支持8种Namespace：

2.1 PID Namespace：进程ID的魔法

PID Namespace是最直观的隔离机制。在独立的PID Namespace中，容器内的进程从PID 1开始编号，完全看不到宿主机上的其他进程。这意味着容器内的init进程只从属于容器内的PID Namespace，不可能影响到宿主机。

# 验证PID Namespace隔离
# 在宿主机上查看进程
$ ps aux | grep nginx
# 输出：PID 12345 /usr/sbin/nginx

# 在容器内查看同一进程
$ docker exec