docker_practice/container_security/kernel_ns.md

6 lines
1.3 KiB
Markdown
Raw Normal View History

2014-09-05 08:13:28 +00:00
##Kernel Namespaces
docker容器和lxc容器很相似他们提供的安全特性也差不多。当你用docker run启动一个容器时在后台docker 为容器创建了一个namespace和contril groups的集合。
Namespaces提供了最初也是最直接的隔离在容器中运行的进程不会被运行在主机上的进程和容器发现他们之间相互影响也就小了。
每个容器都有自己的网络堆栈他们不能访问其他容器的sockets接口。不过如果在主机系统上做了相应的设置他们还是可以像跟主机交互一样的和其他容器交互通信。当你指定公共端口或则使用links来连接2个容器时他们就可以相互通信了。相互ping、udp、tcp都没问题也可以根据需要设定更严格的策略从网络架构上来看所有的容器通过主机的网桥接口相互通信就像物理机器通过物理交换机通信一样。
内核提供的namesapce和私有网络的代码有多成熟
内核namesapce从内核2.6.15之后被引入距今已经5年了在很多大型生产系统中被验证。他们的设计和灵感提出的时间更早openvz项目利用namespace重新封装他们的内核并合并到主流内核中。openvz最早的版本在2005所以他们的设计和实现都很成熟。