上周在给一台龙芯 3B6000 的机器部署服务时我遇到了一个不大不小的麻烦官方仓库里的 Docker 版本太旧了。这几乎是所有使用国产平台做实际开发的工程师都会遇到的典型困境——生态的滞后性。你明知道上游社区已经迭代了无数个版本修复了关键的安全漏洞增加了许多实用的新特性但你的生产环境却因为平台适配问题被“焊死”在一个陈旧的版本上。这次我决定不再等待直接动手通过二进制包的方式把最新的 Docker 29.5.1 装了上去。这件事听起来简单不就是下载、解压、复制文件吗但真正做起来你会发现从“能跑起来”到“能稳定、安全地用于生产”中间隔着好几道坎。权限怎么设服务怎么配和现有系统的 cgroup、iptables 如何兼容升级后老镜像和容器会不会出问题这些细节才是决定一次升级是“技术尝鲜”还是“可靠部署”的关键。如果你也正在或即将在龙芯平台上与 Docker 打交道那么接下来的内容可能比你想象中更有价值。我们不仅要解决“装得上”的问题更要理清“用得好”的逻辑。1. 为什么在龙芯平台上二进制安装成了更现实的选择在 x86 或主流的 ARM 服务器上安装 Docker 通常是一行命令的事apt-get install docker.io或者去 Docker 官网加个源。这种便利性建立在庞大的社区和成熟的维护体系之上。然而当你切换到龙芯LoongArch架构情况就完全不同了。1.1 官方源滞后被卡住的生产力目前主流的龙芯操作系统发行版其软件仓库的更新策略普遍偏保守。这背后有合理的考量稳定性优先。对于操作系统核心组件和基础库保守一点能避免兼容性灾难。但像 Docker 这种迭代快、生态活跃的基础设施软件保守就意味着落后。你可能会发现仓库里的 Docker 版本还停留在 20.10 甚至更早。而这个版本与最新的 29.5.1 之间横跨了 Docker Engine 改名为 Moby、containerd 独立、镜像格式、网络模型、安全特性等多个重大变更。直接点说旧版本可能无法运行某些新特性的镜像存在已知的安全漏洞也缺少对新硬件特性的支持。在容器技术已成为事实标准的今天使用一个过于陈旧的版本无异于给自己埋雷。1.2 编译安装理想很丰满现实很骨感面对滞后一个自然的想法是自己从源码编译最新版。这确实是开源精神的体现但在龙芯平台上这条路目前走起来异常坎坷。DockerMoby是一个庞大的 Go 语言项目但它依赖的底层组件如runc、containerd、libnetwork以及更底层的系统库都需要在 LoongArch 架构上成功编译并正确链接。由于 LoongArch 生态仍在快速发展中你极有可能在编译过程中遇到各种依赖缺失、符号未定义、甚至工具链本身的问题。解决这些问题需要深入理解整个构建链条耗费的时间成本极高且最终产出的二进制文件在性能和稳定性上未必经过充分测试。因此对于绝大多数追求效率、需要快速部署的工程师而言从源码编译更像是一个“炫技”选项而非生产可用的方案。1.3 二进制分发在可控与先进之间找到平衡点于是二进制安装包的价值就凸显出来了。它本质上是一个“黑盒”由熟悉构建系统的开发者或社区在相对纯净和标准的环境下编译好打包成可直接运行的文件集合。你无需关心复杂的编译过程只需关注部署和配置。对于 Docker 来说上游 Moby 项目官方并不为 LoongArch 提供预编译的二进制包。但国内一些社区、厂商或开源软件镜像站会有人专门做这件事——他们啃下了编译的硬骨头将成果以二进制包的形式分享出来。我们这次要安装的 Docker 29.5.1 二进制包正是这样的产物。选择二进制包意味着你接受了一个权衡你用“未知的构建者”替代了“已知但陈旧的官方源”以换取软件版本的先进性。因此后续所有的安装和配置步骤核心目标就是将这个“黑盒”安全、可控地集成到你的系统中并通过严格的验证来建立使用它的信心。2. 从下载到验证搭建可信任的二进制运行环境拿到一个二进制包第一步不是急着执行install.sh。在龙芯这样的平台上我们需要更谨慎。2.1 获取与完整性校验假设你已经从某个可信的社区或镜像站找到了针对 LoongArch 架构的docker-29.5.1-loong64.tar.gz包。下载后第一件事是校验其完整性。# 假设提供了 SHA256 校验和文件 echo 预期的校验码 docker-29.5.1-loong64.tar.gz expected.sha256 sha256sum -c expected.sha256如果校验通过说明文件在传输过程中没有损坏。这虽然不能证明包本身无害但排除了最基本的风险。接下来在一个隔离的目录如/tmp/docker-install中解压它先看看里面有什么。mkdir -p /tmp/docker-install cd /tmp/docker-install tar -xzvf /path/to/docker-29.5.1-loong64.tar.gz ls -la一个标准的 Docker 二进制包通常包含以下核心组件dockerDocker 客户端命令行工具dockerdDocker 守护进程containerd容器运行时runc底层容器执行器ctrcontainerd 的调试客户端docker-proxy网络代理组件可能还有一些依赖的库文件2.2 手动放置与系统集成接下来的操作需要root权限。我们不推荐直接运行包内可能存在的安装脚本除非你完全理解它每一步在做什么。更可控的方式是手动放置文件。# 1. 停止旧版 Docker 服务如果存在 systemctl stop docker systemctl stop containerd # 2. 备份旧版本二进制文件非常重要 cp -r /usr/bin/docker* /usr/bin/docker-backup-$(date %Y%m%d) 2/dev/null || true cp -r /usr/bin/containerd* /usr/bin/containerd-backup-$(date %Y%m%d) 2/dev/null || true cp -r /usr/bin/runc /usr/bin/runc-backup-$(date %Y%m%d) 2/dev/null || true # 3. 复制新版二进制文件到系统路径 cp docker/* /usr/bin/ cp containerd/* /usr/bin/ # 如果包内目录结构如此 cp runc /usr/bin/ # 同上 # 4. 确保执行权限 chmod x /usr/bin/docker /usr/bin/dockerd /usr/bin/containerd /usr/bin/runc关键点直接覆盖/usr/bin下的文件是最大胆也最直接的方式。它绕过了包管理器意味着系统不会记录这次“安装”。这要求你必须自己做好版本管理和回滚方案备份就是回滚方案。2.3 初步验证一次成功的“握手”在配置服务之前先进行一次最简验证确保二进制文件本身能在你的系统上运行。# 检查版本这是与二进制包的第一次“对话” docker --version dockerd --version containerd --version # 尝试启动 dockerd 于前台并指定一个临时数据目录不干扰现有安装 dockerd --data-root /tmp/docker-test-data-root DOCKERD_PID$! sleep 5 # 给守护进程一点启动时间 # 使用客户端连接这个临时守护进程 DOCKER_HOSTunix:///var/run/docker.sock docker info # 如果上一步失败可能是 socket 路径不对可以指定 dockerd 的 socket 路径 # dockerd --data-root /tmp/docker-test-data-root --host unix:///tmp/docker-test.sock # 验证完成后清理测试进程 kill $DOCKERD_PID rm -rf /tmp/docker-test-data-root如果docker info能成功返回信息且没有出现Illegal instruction等致命错误说明二进制包与你的系统内核、基础库基本兼容。这是一个非常重要的“绿灯”信号。3. 配置系统服务从一次性运行到后台守护手动启动测试成功只是万里长征第一步。我们需要让 Docker 作为系统服务systemd service在后台稳定运行并处理好日志、存储、网络等配置。3.1 创建或修改 systemd 单元文件大多数 Linux 发行版使用 systemd。我们需要一个服务文件来管理dockerd。# 编辑 Docker 服务文件如果不存在则创建 vim /etc/systemd/system/docker.service以下是基于二进制安装特点的最小化配置示例。注意它与通过包管理器安装生成的默认配置可能不同。[Unit] DescriptionDocker Application Container Engine (Binary Installation) Documentationhttps://docs.docker.com Afternetwork-online.target firewalld.service containerd.service Wantsnetwork-online.target Requirescontainerd.service [Service] Typenotify # 关键指定我们手动安装的 dockerd 二进制路径 ExecStart/usr/bin/dockerd --containerd/run/containerd/containerd.sock ExecReload/bin/kill -s HUP $MAINPID TimeoutSec0 RestartSec2 Restartalways # 注意二进制安装可能没有专门的 docker 用户组需要根据实际情况调整 # User 和 Group 的设置会影响容器内进程的权限和挂载点访问 # Userdocker # Groupdocker # 安全相关设置限制服务能力 CapabilityBoundingSetCAP_CHOWN CAP_DAC_OVERRIDE CAP_FOWNER CAP_FSETID CAP_KILL CAP_SETGID CAP_SETUID CAP_SETPCAP CAP_NET_BIND_SERVICE CAP_NET_RAW CAP_SYS_CHROOT CAP_MKNOD CAP_AUDIT_WRITE CAP_SETFCAP NoNewPrivilegesyes LimitNOFILEinfinity LimitNPROCinfinity LimitCOREinfinity TasksMaxinfinity # 设置工作目录和根目录 WorkingDirectory/usr/bin RootDirectory/ [Install] WantedBymulti-user.target重点解析ExecStart: 明确指向/usr/bin/dockerd。如果二进制包将文件放在其他位置这里必须对应修改。--containerd/run/containerd/containerd.sock: 指定 dockerd 与 containerd 通信的 socket。确保此路径与你的 containerd 配置一致。User和Group: 默认被注释。如果你之前通过包管理器安装过 Docker系统可能存在docker用户和组用于控制对 Docker socket 的访问。二进制安装不会创建这些。你可以取消注释并创建相应用户组或者根据你的安全策略进行调整。CapabilityBoundingSet: 即使使用二进制包通过 systemd 限制其权限也是最佳实践。3.2 配置 containerdDocker 29.5.1 默认使用独立的 containerd 服务。我们需要确保 containerd 也正确运行。# 1. 生成 containerd 的默认配置文件 containerd config default /etc/containerd/config.toml # 2. 重要修改配置文件适配龙芯平台和国内环境 vim /etc/containerd/config.toml需要关注的配置项镜像加速器在[plugins.io.containerd.grpc.v1.cri.registry.mirrors]下添加国内镜像源例如中科大源[plugins.io.containerd.grpc.v1.cri.registry.mirrors.docker.io] endpoint [https://docker.mirrors.ustc.edu.cn]sandbox_image确保 sandbox 镜像如pause镜像的架构是loong64。可能需要寻找或构建对应的镜像。cgroup 驱动默认是cgroupfs。如果你的系统使用systemd来管理 cgroup可通过docker info查看需要修改为SystemdCgroup true。# 3. 创建 containerd 的 systemd 服务文件如果不存在 vim /etc/systemd/system/containerd.service内容可以参考发行版原有的或从 containerd 的 GitHub 仓库获取标准模板。# 4. 启动并设置开机自启 systemctl daemon-reload systemctl enable --now containerd systemctl status containerd3.3 启动 Docker 并验证完整功能# 启动 Docker 服务 systemctl enable --now docker systemctl status docker # 运行经典的验证命令 docker info查看docker info的输出重点关注Server Version: 是否为29.5.1。OSType/Arch: 是否为linux/loong64。Cgroup Driver: 是否与系统一致cgroupfs或systemd。Registry Mirrors: 是否配置了你添加的镜像加速器。Warnings: 是否有关于存储驱动、内存交换限制等警告这些可能需要后续调整内核参数。现在尝试拉取一个镜像。由于龙芯架构是loong64你需要寻找支持该架构的镜像。# 尝试拉取一个多架构镜像中支持 loong64 的或者纯 loong64 的镜像 # 例如一些基础镜像可能已经支持 docker pull --platform linux/loong64 busybox:latest # 运行一个简单的容器 docker run --rm busybox:latest echo Hello, LoongArch!如果这一步成功恭喜你Docker 引擎本身已经基本就绪。但这离“生产就绪”还有距离。4. 生产环境考量安全、存储与网络调优二进制安装跳过了包管理器的自动配置因此所有生产环境需要的调优都需要手动完成。4.1 安全加固权限与审计Docker Socket 权限Docker 守护进程默认监听 Unix socket/var/run/docker.sock该文件默认属于root:root权限为660。任何能访问此 socket 的用户都等同于拥有root权限。建议创建一个docker用户组将需要运行docker命令的非 root 用户加入该组并将 socket 文件的所有组改为docker权限改为660。groupadd docker usermod -aG docker $YOUR_USERNAME chown root:docker /var/run/docker.sock chmod 660 /var/run/docker.sock # 注意重新登录后用户组生效启用用户命名空间映射User Namespace Remapping这是将容器内 root 用户映射到宿主机非 root 用户的重要安全特性。需要在dockerd启动参数或配置文件如/etc/docker/daemon.json中配置。{ userns-remap: default }配置后需要停止 Docker删除旧的/var/lib/docker目录数据会丢失再重启 Docker 以重新初始化存储。这是一项重大变更务必在测试环境先行。日志与审计确保 Docker 和 containerd 的日志被 systemd 的 journal 正确捕获。journalctl -u docker.service -f journalctl -u containerd.service -f考虑配置日志轮转和持久化策略。4.2 存储驱动与数据目录存储驱动选择在docker info中查看当前的Storage Driver。对于龙芯平台overlay2是推荐且最通用的选择。确保内核支持overlay文件系统。grep overlay /proc/filesystems modprobe overlay如果使用devicemapper等需要更复杂的配置。数据目录迁移默认的/var/lib/docker可能位于根分区容易导致磁盘空间不足。可以在/etc/docker/daemon.json中修改{ data-root: /path/to/your/large/disk/docker-data }同样修改后需要迁移数据或重新初始化。4.3 网络与防火墙防火墙放行如果宿主机启用了防火墙如 firewalld、iptables需要放行 Docker 使用的网络接口和端口。# 对于 firewalld firewall-cmd --permanent --zonepublic --add-interfacedocker0 firewall-cmd --permanent --zonepublic --add-port2375/tcp # 如果开放 TCP 端口不推荐生产环境 firewall-cmd --reloadDocker 会操作 iptables 规则来管理容器网络。确保防火墙不会清空 Docker 创建的规则。内核参数调优为了容器网络和稳定运行可能需要调整一些内核参数写入/etc/sysctl.conf或/etc/sysctl.d/下的文件。net.ipv4.ip_forward1 net.bridge.bridge-nf-call-iptables1 net.bridge.bridge-nf-call-ip6tables1 fs.may_detach_mounts1执行sysctl -p使配置生效。4.4 监控与健康检查基础监控配置 Docker 守护进程的监控指标。可以在/etc/docker/daemon.json中启用实验性特性以暴露 metrics谨慎开启。{ metrics-addr: 127.0.0.1:9323, experimental: true }然后使用 Prometheus 等工具抓取。服务健康检查为docker.service和containerd.service配置 systemd 的健康检查如果 systemd 版本支持或者通过定时任务执行docker info等命令来检测服务状态。5. 回滚与长期维护为不确定性做好准备采用二进制安装意味着你主动脱离了发行版的版本管理轨道。因此建立自己的维护和回滚机制至关重要。5.1 建立明确的版本管理清单创建一个简单的文档或脚本记录本次安装的详细信息二进制包来源 URL 和 SHA256 校验码。安装日期。覆盖了哪些系统文件/usr/bin/docker,/usr/bin/containerd等。修改了哪些配置文件/etc/systemd/system/docker.service,/etc/containerd/config.toml,/etc/docker/daemon.json等。安装后进行的任何调优操作内核参数、防火墙规则等。这份清单是未来排查问题和执行回滚的“地图”。5.2 制定简单的回滚流程回滚的核心是恢复旧版二进制文件和配置文件。#!/bin/bash # 示例回滚脚本 rollback-docker.sh 的核心思路 set -e echo 停止 Docker 相关服务... systemctl stop docker systemctl stop containerd echo 恢复备份的二进制文件... cp -f /usr/bin/docker-backup-*/* /usr/bin/ 2/dev/null || echo No binary backup found, skipping. echo 恢复备份的配置文件... # 假设你把旧的 docker.service 备份到了 /etc/systemd/system/docker.service.backup cp -f /etc/systemd/system/docker.service.backup /etc/systemd/system/docker.service 2/dev/null || echo No service file backup, skipping. # 同理恢复 containerd 配置等 echo 重新加载 systemd 并启动服务... systemctl daemon-reload systemctl start containerd systemctl start docker echo 验证版本... docker --version关键在安装新版本之前就必须执行备份操作如本文 2.2 节所示。回滚脚本应提前准备好并经过测试。5.3 持续关注与升级策略关注来源订阅你获取二进制包的社区或镜像站的更新通知。了解新版本何时发布修复了哪些问题。测试先行永远先在测试环境验证新版本二进制包。重点测试与现有编排工具如 Docker Compose的兼容性。运行中的业务容器是否正常。网络、存储等核心功能。灰度升级在生产环境采用分批升级策略先升级非关键节点观察一段时间后再全面推广。在龙芯这样的平台上追求软件新版本有时是一种“奢侈”的主动选择。二进制安装是一条捷径但它把版本管理的责任从发行版转移到了你自己肩上。这次将 Docker 升级到 29.5.1 的过程本质上是一次对基础设施控制权的深度实践。它要求你不仅知道命令怎么敲更要理解服务如何联动、配置如何生效、安全边界在哪里以及如何为每一次主动变更准备好退路。最终技术选型没有绝对的好坏只有是否适合当下的场景和团队的能力。如果你所处的环境对 Docker 新特性有强需求且有能力承担二进制部署带来的额外运维成本那么这条路无疑能让你更快地拥抱变化。反之如果稳定性压倒一切那么等待发行版仓库的更新或许是更稳妥的选择。无论选择哪条路清晰的理解和可控的流程才是应对生态差异最可靠的武器。