Docker网络与资源控制

提兵百万西湖上，立马吴山第一峰！这篇文章主要讲述Docker网络与资源控制相关的知识，希望能为你提供帮助。
Docker网络与资源控制壹、Docker网络 (一)、Docker的网络实现原理

docker rm $(docker ps -a -q)#批量清理后台停止的容器格式： docker run -d --name test1 -P nginx#-P不指定，随机映射端口（从32768开始） docker run -d --name test2 -p 43999:80 nginx#-p指定映射端口 docker ps-a 浏览器访问：http://192.168.80.17:49153与http://192.168.80.17:43999#查看容器的输出和日志信息 docker logs 容器的ID/名称

文章图片

文章图片

(二)、Docker的网络模式

Host：容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。

文章图片

Container：创建的容器不会创建自己的网卡，配置自己的IP，而是和一个指定的容器共享IP、端口范围。

文章图片

None：该模式关闭了容器的网络功能。

文章图片

Bridge：默认为该模式，此模式会为每一个容器分配、设置IP等，并将容器连接到一个docker0虚拟网桥，通过docker0网桥以及iptables nat表配置与宿主机通信。

文章图片

自定义网络

docker network ls 或 docker network list#查看docker网络列表

文章图片

(三)、Docker指定容器的网络模式
使用docker run创建Docker容器时，可以用--net 或--network选项指定容器的网络模式

host模式：使用--net=host 指定。
none模式：使用--net=none 指定。
container模式：使用--net=container:NAME_or_ID指定。
bridge模式：使用--net=bridge 指定，默认设置，可省略。

贰、Docker网络模式详解 host模式

#新建一个容器 docker run -itd --name jzm1 nginx:latest /bin/bash docker ps -a docker inspect -f .State.Pid ea247844a2fa#查看容器进程号ls -l /proc/6590/ns

文章图片

docker run -itd --name jzm2 --net=container:ea247844a2fa nginx:latest /bin/bash docker ps -a docker inspect -f .State.Pid c90799105427 ls -l /proc/6737/ns

文章图片

none模式
bridge模式

当Docker进程启动时，会在主机上创建一个名为dockex0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。
从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。在主机上创建一对虚拟网卡veth pair设备。veth设备总是成对出现的，它们组成了一个数据的通道，数据从一个设备进入，就会从另一个设备出来。因此，veth设备常用来连接两个网络设备。.
Docker将 veth pair设备的一- 端放在新创建的容器中，并命名为eth0 ( 容器的网卡)，另一端放在主机中，以veth *这样类似的名字命名，并将这个网络设备加入到docker0网桥中。可以通过brctl show 命令查看。
使用docker run -p时，docker实际是在iptables做了DNAT规则，实现端口转发功能。可以使用iptables -t nat -vnL 查看。

文章图片

文章图片

自定义网络
直接使用bridge模式，是无法支持指定ip运行docker的，例如执行以下命令就会报错

docker run -itd --name test3 --network bridge --ip 172.17.0.10 centos:7 /bin/bash

创建自定义网络可以先自定义网络，再使用指定IP运行docker

docker network create --subnet=172.20.0.0/16 --opt "com.docker.network.bridge.name "="nanjing" mynetwork

docker run -itd --name jzm4 --net mynetwork --ip 172.20.0.10 centos:7 /bin/bash docker exec -it 94e51429dd6e bash ifconfig#该命令需要安装net-tools

文章图片

文章图片

叁、资源控制一、对CPU资源的控制
cgroups有四大功能：

资源限制:可以对任务使用的资源总额进行限制
优先级分配:通过分配的cpu时间片数量以及磁盘IO带宽大小，实际上相当于控制了任务运行优先级
资源统计:可以统计系统的资源使用量，如cpu时长，内存用量等
任务控制: cgroup可以对任务执行挂起、恢复等操作

1、设置CPU使用率上限

Linux通过CFS（Completely Fair Scheduler，完全公平调度器）来调度各个进程对CPU的使用。CFS默认的调度周期是100ms。
我们可以设置每个容器进程的调度周期，以及在这个周期内各个容器最多能使用多少CPU时间。
使用--cpu-period即可设置调度周期；
使用--cpu-quota即可设置在每个周期内容器能使用的CPU时间。两者可以配合使用。
CFS周期的有效范围是1ms~1s，对应的--cpu-period的数值范围是1000~1000000。
容器的CPU配额必须不小于1ms，即--cpu-quota的值必须> =1000。

查看CPU使用率

docker run -itd --name jzm1 centos:7 /bin/bashdocker ps -a CONTAINER IDIMAGECOMMANDCREATEDSTATUSPORTSNAMES a41f321fa939centos:7"/bin/bash"6 seconds agoUp 5 secondsjzm1cd /sys/fs/cgroup/cpu/docker/a41f321fa939883a3996ca5b6710b23965d2ce37915c4e2341c593910ac38c5d/cat cpu.cfs_period_us cpu.cfs_quota_us 100000 -1 ---------------------------------------------- #cpu.cfs_period_us：cpu分配的周期(微秒，所以文件名中用 us 表示），默认为100000。 #cpu.cfs_quota_us：表示该control group限制占用的时间（微秒），默认为-1，表示不限制 -----------------------------------------------

文章图片

测试CPU使用率

docker exec -it 23f23129d461 bashvi cpu.sh #!/bin/bash i=0 while true do let i++ donechmod +x cpu.sh ./cpu.sh & 另一个终端使用top查看

文章图片

文章图片

设置CPU使用率

#设置50%的比例分配CPU使用时间上限 docker run -itd --name jzm2 --cpu-quota 50000 centos:7 /bin/bash #可以重新创建一个容器并设置限额或者 cd /sys/fs/cgroup/cpu/docker/fbfc08e652c8e70117ff9ec32c4cf66ae3e7740366e9eef36338634ff1cc5c69/ echo 50000 > cpu.cfs_quota_us #修改参数cat cpu.cfs_quota_us cpu.cfs_period_us 50000 100000docker exec -it fbfc08e652c8 bash ./cpu.sh另一个终端使用top查看

文章图片

文章图片

2、设置CPU资源占用比（设置多个容器时才有效）

Docker通过--cpu-shares指定CPU份额，默认值为1024，值为1024的倍数。示例：创建两个容器为test1 和test2，若只有这两个容器，设置容器的权重，使得test1和test2的CPU资源占比为1/3和2/3。docker run -itd --name test1 --cpu-shares 1024 centos:7 docker run -itd --name test2 --cpu-shares 512 centos:7#分别进入容器，进行压力测试 docker exec -it 897d52d126e1 bash yum install -y epel-release yum install stress -y stress -c 4 #产生四个进程，每个进程都反复不停的计算随机数的平方根#查看容器的运行状态（动态更新） docker stats CONTAINER IDNAMECPU %MEM USAGE / LIMITMEM %NET I/OBLOCK I/OPIDS 897d52d126e1test2122.38%177.7MiB / 3.686GiB4.71%30.4MB / 165kB0B / 50.1MB7 54107a0a0eaftest1275.43%177.6MiB / 3.686GiB4.71%30.5MB / 211kB0B / 50MB7#查看容器运行状态（动态更新） docker stats

文章图片

文章图片

二、对内存使用的限制

#创建指定物理内存的容器 -m(--memory=)选项用于限制容器可以使用的最大内存 docker run -itd --name jzm1 -m 512m centos:7 /bin/bash docker stats#创建指定物理内存和swap的容器 docker run -itd --name jzm2 -m 512m --memory-swap 1g centos:7 /bin/bash强调一下，--memory-swap是必须要与--memory一起使用的正常情况下，--memory-swap的值包含容器可用内存和可用swap 所以-m 300m --memory-swap=1g 的含义为:容器可以使用300M 的物理内存，并且可以使用700M (1G - 300M）的swap 如果--memory-swap设置为0或者不设置，则容器可以使用的swap大小为-m值的两倍如果--memory-swap的值和-m值相同，则容器不能使用swap 如果--memory-Swap值为-1，它表示容器程序使用的内存受限，而可以使用的swap空间使用不受限制（宿主机有多少，swap容器就可以使用多少)

三、对磁盘IO配额的限制
设置限制项

--device-read-bps：限制某个设备上的读速度bps（数据量），单位可以是kb、mb（M）或者gb。例：docker run -itd --name jzm1 --device-read-bps /dev/sda:1Mcentos:7 /bin/bash--device-write-bps：限制某个设备上的写速度bps（数据量），单位可以是kb、mb（M）或者gb。例：docker run -itd --name jzm2 --device-write-bps /dev/sda:1mb centos:7 /bin/bash--device-read-iops：限制读某个设备的iops（次数） --device-write-iops：限制写入某个设备的iops（次数）

创建容器，并限制写速度