容器和虚拟机到底有什么区别？
核心差异在隔离粒度：虚拟机隔离硬件资源，容器隔离进程环境。
虚拟机通过Hypervisor模拟完整操作系统内核，每个实例都要跑一套独立OS。容器直接共享宿主机内核，通过Linux的namespace和cgroup实现进程级隔离和资源限制。根据Linux基金会2024年调查数据，同等硬件条件下容器的部署密度是虚拟机的4到8倍，启动时间从分钟级缩短到秒级。
但容器并不能完全替代虚拟机。选择取决于隔离强度需求：
| 维度 | 虚拟机 | 容器 |
|---|---|---|
| 隔离级别 | 内核级，完全独立 | 进程级，共享内核 |
| 启动速度 | 分钟级 | 秒级甚至毫秒级 |
| 资源开销 | 高，每实例含完整OS | 低，共享宿主内核 |
| 适用场景 | 多租户强隔离、异构OS | 微服务、CI/CD、弹性伸缩 |
| 安全边界 | 强，内核漏洞不跨VM传播 | 弱于VM，内核漏洞影响所有容器 |
金融、政务等安全边界要求极高的场景，通常是虚拟机套容器的混合架构。纯容器方案更适合无状态服务和快速迭代的业务。
Docker在容器技术栈里处于什么位置？
Docker是容器技术的普及者，但不是容器技术的全部。
2013年Docker发布，把Linux容器技术从运维工具变成了开发者友好的产品。核心贡献有三个：标准化镜像格式、分层文件系统、一条命令启动容器的体验。但Docker本身是单机工具，解决的是"一台机器上怎么打包和运行容器"，不解决"100台机器上怎么协调1000个容器"。
2015年之后，OCI规范定义了容器镜像格式和运行时接口的行业标准，运行时从Docker Engine拆分出containerd和runc。CNCF 2024年调查显示，生产环境中Docker Engine作为运行时的比例已从2019年的80%降到35%左右。
现在的容器技术栈分4层：
| 层级 | 职责 | 典型组件 |
|---|---|---|
| 用户接口层 | 构建镜像、本地调试 | Docker CLI、Podman、Buildah |
| 高级运行时 | 容器生命周期、镜像拉取 | containerd、CRI-O |
| 低级运行时 | 创建和运行容器进程 | runc、gVisor、Kata Containers |
| 内核特性 | 隔离和资源限制 | namespace、cgroup、seccomp |
Docker在这个栈里的位置是用户接口层。开发阶段用Docker构建镜像仍是主流，但生产环境运行时已逐步切到containerd。
容器运行时经历了哪些演进？
演进主线是"从一体化到分层解耦"。
早期Docker Engine把镜像管理、容器生命周期、网络、存储全部打包在一个守护进程里。大规模生产环境下会遇到单点故障、升级困难、与编排系统耦合过紧三个问题。分层解耦后，低级运行时可以按安全需求替换：
| 低级运行时 | 隔离机制 | 性能开销 | 适用场景 |
|---|---|---|---|
| runc | 标准namespace/cgroup | 最低 | 大多数通用场景 |
| gVisor | 用户态内核拦截系统调用 | 约10%到20%损耗 | 多租户、不可信代码执行 |
| Kata Containers | 轻量级虚拟机 | 启动慢约200ms | 强隔离、合规场景 |
| Firecracker | microVM | 启动约125ms | Serverless、短生命周期任务 |
日常业务用runc足够，处理不可信代码时切gVisor或Kata，Serverless场景用Firecracker。运行时层的可替换性是容器技术成熟的标志之一。
没有评论:
发表评论