一、容器技术的前世今生

1.2 2000年：FreeBSD Jails——全方位系统隔离雏形

1.3 2001年：Linux VServer——系统分区资源安全管控

1.4 2004年：Solaris容器——统一内核的虚拟化隔离

1.5 2005年：OpenVZ——Linux原生全维度隔离

1.6 2006年：Process容器（Cgroups前身）

1.7 2007年：Control Groups 并入Linux内核

1.8 2008年：LXC——首个完整Linux容器实现方案

• 基于原生Linux内核运行，无需额外打补丁，兼容性极强；
• 通过liblxc库提供底层能力，支持Python、Go、Ruby、Lua等多语言API对接；
• 整合隔离与资源管控能力，实现了开箱即用的容器虚拟化环境。

1.9 2011年：Warden——跨平台容器管理方案

1.10 2013年：LMCTFY——谷歌开源容器堆栈

1.11 2013年：Docker——容器技术标准化里程碑

二、Namespace：Linux内核资源隔离核心技术

2.1 Namespace核心原理

• 通用命名空间：编程语言中的命名空间用于代码隔离、封装；
• Linux内核命名空间：用于系统硬件/软件资源隔离，涵盖进程、网络、文件系统、用户、主机名等资源；
• 容器隔离逻辑：同一命名空间内的进程可相互感知、通信，跨命名空间进程完全隔离，无任何交互，最终实现轻量级虚拟化。

2.2 Linux六大核心Namespace分类

2.3 核心实操案例：网络命名空间（NET）

2.3.1 创建网络命名空间

# 创建名为msb的网络命名空间
ip netns add msb

# 查看所有已创建的网络命名空间
ip netns ls

2.3.2 删除网络命名空间

# 删除指定网络命名空间
ip netns delete msb

2.3.3 进入网络命名空间执行命令

# 进入msb命名空间，开启bash终端（exit退出）
ip netns exec msb bash

2.3.4 查看命名空间网卡信息

# 命名空间内查看网卡
ip link

# 宿主机直接查看指定命名空间网卡
ip netns exec msb ip link list

2.3.5 退出网络命名空间

# 退出当前命名空间终端
exit

2.3.6 查看命名空间网络资源

# 查看命名空间路由表
ip netns exec msb route -n

# 查看命名空间防火墙nat规则
ip netns exec msb iptables -t nat -nL

2.3.7 创建虚拟网卡对（veth）

# 创建veth0、veth1虚拟网卡对
ip link add veth0 type veth peer name veth1

# 查看宿主机虚拟网卡
ip a s

2.3.8 迁移虚拟网卡至命名空间

# 将veth1迁移至msb网络命名空间
ip link set veth1 netns msb

# 查看命名空间内网卡信息
ip netns exec msb ip link

2.3.9 删除命名空间内虚拟网卡

# 删除msb命名空间内的veth1网卡
ip netns exec msb ip link delete veth1

# 验证删除结果
ip netns exec msb ip link

2.3.10 配置网卡IP并实现互通

# 1. 重新创建虚拟网卡对并迁移网卡
ip link add veth0 type veth peer name veth1
ip link set veth1 netns msb

# 2. 为命名空间内veth1配置IP
ip netns exec msb ip addr add 192.168.50.2/24 dev veth1

# 3. 启用命名空间内网卡与回环地址
ip netns exec msb ip link set veth1 up
ip netns exec msb ip link set lo up

# 4. 为宿主机veth0配置IP并启用
ip addr add 192.168.50.3/24 dev veth0
ip link set veth0 up

# 5. 宿主机ping容器命名空间网卡（互通验证）
ping 192.168.50.2

# 6. 容器命名空间ping宿主机网卡（互通验证）
ip netns exec msb ping 192.168.50.3

# 7. 配置默认路由，实现外网访问
ip netns exec msb ip route add default via 192.168.50.3

三、CGroups：Linux内核资源管控核心技术

3.1 CGroups核心介绍

3.2 CGroups四大核心功能

• 资源限制：限定进程组最大资源使用量，如内存上限、CPU使用率上限，超出阈值触发OOM或限流，避免资源耗尽；
• 优先级分配：通过调整CPU时间片、磁盘IO带宽权重，控制不同进程组的运行优先级，保障核心业务资源；
• 资源统计：精准统计进程组的CPU占用时长、内存使用量、IO读写次数等数据，适用于资源计费、性能监控；
• 进程控制：支持对进程组批量执行挂起、恢复、终止等操作，简化容器进程管理。

3.3 CGroups实操案例：限制进程CPU资源

3.3.1 安装并启动CGroups服务

# 安装cgroups管理工具
yum -y install libcgroup

# 启动并设置开机自启
systemctl start cgconfig.service
systemctl enable cgconfig.service

3.3.2 查看CGroups子系统与CPU配置

# 查看所有可用资源子系统
lssubsys

# 查看cpu子系统配置文件目录
ls /sys/fs/cgroup/cpu

# 查看默认CPU权重（默认1024）
cat /sys/fs/cgroup/cpu/cpu.shares

3.3.3 配置CPU资源分组

# 编辑cgroups配置文件
vim /etc/cgconfig.conf

# 写入以下配置
group lesscpu {
 cpu{
  cpu.shares=200;
     
group morecpu {
              ares=800;
     

# 重启服务生效
systemctl restart cgconfig   }        
} cpu.sh         cpu{
   }        
}                     

3.3.4 编写压测脚本

#!/bin/bash
a=1
while true
do
        a=$[$a+1]
done

3.3.5 绑定进程至指定分组并验证

# 终端1：低权重分组运行压测脚本
cgexec -g cpu:lesscpu sh /tmp/1.sh

# 终端2：高权重分组运行压测脚本
cgexec -g cpu:morecpu sh /tmp/1.sh

# 终端3：查看CPU占用情况
top

# 查看CPU核心数
lscpu

# 仅保留cpu0核心在线，关闭其他核心
echo 0 > /sys/devices/system/cpu/cpu1/online
echo 1 > /sys/devices/system/cpu/cpu0/online

四、总结