1. 项目背景与核心目标这个Docker实验项目是面向容器技术学习者的进阶实践内容主要聚焦于Docker在生产环境中的实际应用场景。作为系列实验的第二部分它延续了基础操作的教学同时引入了更贴近企业级部署的复杂场景。我在实际容器化改造项目中多次运用这些技术方案今天将系统性地梳理关键知识点。实验2-4的编号表明这是某个完整课程体系的第四个子实验通常对应网络配置、存储管理、多容器编排或安全加固等进阶主题。根据常见教学体系设计逻辑这个阶段的学习者应该已经掌握Docker基础命令、镜像构建等技能正准备向生产级应用部署迈进。2. 实验环境准备2.1 基础环境配置建议使用Ubuntu 22.04 LTS作为实验环境这是目前最稳定的Docker运行平台之一。不同于开发环境生产级部署需要特别注意以下配置# 卸载旧版本如果存在 sudo apt-get remove docker docker-engine docker.io containerd runc # 设置仓库 sudo apt-get update sudo apt-get install \ ca-certificates \ curl \ gnupg \ lsb-release # 添加Docker官方GPG密钥 sudo mkdir -p /etc/apt/keyrings curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg # 设置稳定版仓库 echo \ deb [arch$(dpkg --print-architecture) signed-by/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu \ $(lsb_release -cs) stable | sudo tee /etc/apt/sources.list.d/docker.list /dev/null重要提示生产环境务必验证GPG密钥指纹可通过官方文档核对密钥ID避免中间人攻击。2.2 Docker引擎安装使用以下命令安装指定版本的Docker引擎sudo apt-get update sudo apt-get install docker-ce5:20.10.17~3-0~ubuntu-jammy docker-ce-cli5:20.10.17~3-0~ubuntu-jammy containerd.io docker-compose-plugin版本锁定非常重要我在实际运维中发现最新版Docker有时会引入不兼容变更。20.10.17版本经过长期验证具有最佳稳定性。3. 核心实验内容实现3.1 自定义网络构建生产环境中默认的bridge网络存在诸多限制我们需要创建自定义网络# 创建带子网定义的自定义网络 docker network create \ --driverbridge \ --subnet172.28.0.0/16 \ --gateway172.28.0.1 \ --opt com.docker.network.bridge.namemybridge \ prod-net关键参数解析--subnet明确指定IP范围避免与宿主网络冲突--opt为网桥命名便于管理prod-net网络名称应符合业务语义3.2 多容器服务编排通过docker-compose实现服务编排是当前行业最佳实践。以下是典型的web应用栈配置version: 3.8 services: web: image: nginx:1.21-alpine networks: prod-net: ipv4_address: 172.28.0.10 volumes: - ./nginx.conf:/etc/nginx/nginx.conf - ./logs:/var/log/nginx deploy: resources: limits: cpus: 0.5 memory: 256M healthcheck: test: [CMD, curl, -f, http://localhost] interval: 30s timeout: 10s retries: 3 app: image: myapp:1.0 networks: prod-net: ipv4_address: 172.28.0.20 depends_on: web: condition: service_healthy environment: - DB_HOSTdb - DB_PORT5432 db: image: postgres:13-alpine networks: prod-net: ipv4_address: 172.28.0.30 volumes: - pgdata:/var/lib/postgresql/data environment: POSTGRES_PASSWORD_FILE: /run/secrets/db_password secrets: - db_password networks: prod-net: external: true volumes: pgdata: secrets: db_password: file: ./db_password.txt这个配置体现了多个生产级特性固定IP分配确保服务可寻址健康检查实现依赖管理资源限制防止单服务耗尽主机资源密钥管理保障敏感信息安全3.3 存储卷优化配置生产环境必须重视数据持久化方案。以下是经过验证的存储配置方案# 创建带标签的卷 docker volume create \ --driver local \ --opt typeext4 \ --opt device/mnt/ssd/pgdata \ --opt orw,noatime \ --label envproduction \ pgdata-prod关键优化点指定物理设备路径避免性能损耗noatime挂载选项减少磁盘写入标签管理便于后期维护4. 生产级监控方案4.1 容器日志收集推荐使用json-file日志驱动配合logrotate{ log-driver: json-file, log-opts: { max-size: 10m, max-file: 3, labels: production } }将此配置放入/etc/docker/daemon.json后重启服务。我在实际运维中发现10MB的日志分片既不会产生太多小文件也不会在故障排查时丢失关键日志。4.2 资源监控部署使用cAdvisorPrometheusGrafana组合# monitoring-stack.yml version: 3.8 services: cadvisor: image: gcr.io/cadvisor/cadvisor:v0.47.0 volumes: - /:/rootfs:ro - /var/run:/var/run:ro - /sys:/sys:ro - /var/lib/docker/:/var/lib/docker:ro devices: - /dev/kmsg:/dev/kmsg networks: - monitor-net deploy: resources: limits: memory: 512M prometheus: image: prom/prometheus:v2.40.5 volumes: - ./prometheus.yml:/etc/prometheus/prometheus.yml networks: - monitor-net ports: - 9090:9090 grafana: image: grafana/grafana:9.4.7 volumes: - grafana-data:/var/lib/grafana networks: - monitor-net ports: - 3000:3000 networks: monitor-net: driver: bridge volumes: grafana-data:配套的prometheus.yml需要配置cAdvisor抓取目标scrape_configs: - job_name: docker static_configs: - targets: [cadvisor:8080]5. 安全加固实践5.1 用户命名空间隔离在/etc/docker/daemon.json中添加{ userns-remap: default }这会为每个容器创建独立的UID/GID映射。实施前需要注意现有数据卷需要重新chown某些需要特权的容器可能需要特殊处理5.2 只读文件系统在docker-compose中配置services: web: read_only: true tmpfs: - /run - /tmp配合以下Dockerfile指令效果更佳RUN chmod a-w /etc \ chmod -R a-w /usr/share/doc \ find /var/log -type f -exec chmod a-w {} \;6. 性能调优技巧6.1 容器内核参数优化创建/etc/sysctl.d/10-docker.conf# 提高连接跟踪表大小 net.netfilter.nf_conntrack_max 131072 # 加快TIME-WAIT回收 net.ipv4.tcp_tw_reuse 1 net.ipv4.tcp_fin_timeout 15 # 容器内进程可打开的文件描述符数 fs.file-max 20971526.2 存储驱动选择对于生产环境推荐overlay2驱动。检查当前配置docker info | grep Storage Driver在/etc/docker/daemon.json中显式指定{ storage-driver: overlay2, storage-opts: [ overlay2.override_kernel_checktrue ] }7. 故障排查手册7.1 容器启动失败排查流程查看详细日志docker logs --details container_id检查退出码含义docker inspect -f {{.State.ExitCode}} container_id交互式调试docker run -it --entrypoint/bin/sh image7.2 网络连通性检查使用nicolaka/netshoot工具容器docker run --net container:target_container -it nicolaka/netshoot在工具容器内可使用tcpdump抓包分析dig检查DNS解析curl测试HTTP连通性8. 持续部署方案8.1 蓝绿部署实现通过标签和网络别名实现无缝切换services: app-green: image: myapp:2.0 networks: prod-net: aliases: - app-current app-blue: image: myapp:1.0 networks: prod-net: aliases: - app-current deploy: replicas: 0切换版本时只需调整replicas数量并更新别名指向。8.2 滚动更新策略在docker-compose中配置deploy: update_config: parallelism: 2 delay: 10s order: start-first failure_action: rollback配合健康检查可实现零停机更新。