Linux 容器化核心原理：Namespace 隔离与 cgroups 资源控制及 LXC 实战

案例：

# 生成 10MB 镜像文件（8k 块×1280 块=10MB）
dd if=/dev/zero of=fdimage.img bs=8k count=1280
# 转换文件为大写
dd if=test.txt of=test_ucase.txt conv=ucase

2. mkfs 命令（格式化文件系统）

作用：在设备 / 镜像上创建文件系统（如 ext4）俗称格式化。

语法：

mkfs [-V] [-t fstype] [fs-options] filesys [blocks]

案例：

# 格式化镜像为 ext4
mkfs -t ext4 fdimage.img

3. df 命令（查看磁盘使用）

作用：显示文件系统磁盘占用。

常用参数：

• -h：人类可读格式。
• -T：显示文件系统类型。

案例：

df -h # 查看系统磁盘使用
df -Th # 查看磁盘系统类型

4. mount 命令（挂载设备 / 镜像）

作用：将设备 / 镜像挂载到目录（挂载点）。

语法：

mount [-l] mount [-t vfstype] [-o options] device dir

参数：

• -l：显示已加载的文件系统列表。
• -t：指定加载的文件系统类型。
• -o options：描述设备或档案的挂接方式。
  • loop：将一个文件当作硬盘分区挂接至系统。
  • ro：以只读方式挂接设备。
  • rw：以读写方式挂接设备。

案例：

mkdir -p /mnt/test # 创建挂载点
mount fdimage.img /mnt/test # 挂载镜像

5. unshare 命令（命名空间隔离）

作用：创建独立的 Namespace 环境（如 PID、Mount 隔离）使用与父程序不共享的名称空间运行程序。

unshare [options] program [arguments]

关键参数：

• -i, --ipc：不共享 IPC 空间
• -m, --mount：不共享 Mount 空间
• -n, --net：不共享 Net 空间
• -p, --pid：不共享 PID 空间
• -u, --uts：不共享 UTS 空间
• -U, --user：不共享用户
• --fork：执行 unshare 的进程 fork 一个新的子进程
• --mount-proc：执行子进程前，将 proc 优先挂载过去

mount-proc 是因为 Linux 下的每个进程都有一个对应的/proc 目录，该目录包含了大量的有关当前进程的信息。创建一个新的 PID namespace 后，如果想让子进程中的 top、ps 等依赖/proc 文件系统的命令工作，还需要挂载/proc 文件系统。

案例：

# PID 隔离并启动 bash
unshare --fork --pid --mount-proc /bin/bash

cgroups

**cgroups（Control Groups，控制组）**是 Linux 内核提供的一种精细化资源管理技术，用于对一组进程（任务）的系统资源（CPU、内存、IO 等）进行限制、统计和隔离。

信息查看

版本查看：

cat /proc/filesystems

子系统查看：

cat /proc/cgroups

挂载信息查看：

mount |grep cgroup

查看进程控制组的信息：

cat /proc/$$/cgroup

内存管理

内存管理的核心是限制进程组的最大内存使用量，当进程尝试占用内存超过限制时，会触发 OOM（Out of Memory）机制终止进程。

基于 /sys/fs/cgroup/memory 开展操作：

1. 创建内存控制组：进入内存 cgroup 根目录，创建自定义控制组目录。

cd /sys/fs/cgroup/memory
mkdir test_memory

2. 配置内存限制：通过 memory.limit_in_bytes 文件设置最大内存使用量。

# 计算 20MB 对应的字节数
expr 20 \* 1024 \* 1024
# 写入内存限制
echo "20971520" > test_memory/memory.limit_in_bytes

3. 生成内存压力进程：使用 stress 工具创建占用超量内存的进程。

stress -m 1 --vm-bytes 50M

4. 关联进程到控制组：通过 test_memory/tasks 文件，将压力进程的 PID 写入。

# 先通过 pidstat 找到 stress 进程的 PID
pidstat -r -C stress -p ALL 1
# 将 PID 写入 tasks，关联控制组
echo 62518 > test_memory/tasks

CPU 管理

CPU 管理的核心是通过'时间配额'限制进程组的 CPU 使用率，基于 Linux CFS（完全公平调度器）实现。

CPU 使用率由两个参数决定，公式如下： CPU 使用率 = (cpu.cfs_quota_us) / (cpu.cfs_period_us) * 100%

• cpu.cfs_period_us：调度周期（单位：微秒），默认值为 100000 微秒。
• cpu.cfs_quota_us：周期内的 CPU 时间配额（单位：微秒），默认值为 -1（无限制）。

基于 /sys/fs/cgroup/cpu 开展操作：

1. 创建 CPU 控制组：

cd /sys/fs/cgroup/cpu
mkdir test_cpu

2. 生成 CPU 压力进程：

stress -c 1

3. 验证初始 CPU 使用率：

pidstat -u -C stress -p ALL 1

4. 配置 CPU 使用率限制：例如限制为 30%，则设置 cpu.cfs_quota_us=30000。

echo 30000 > test_cpu/cpu.cfs_quota_us

5. 关联进程到控制组：

# 找到 stress 进程的 PID
pidstat -u -C stress -p ALL 1
# 关联控制组
echo 62577 > test_cpu/tasks

LXC

LXC 是 Linux 容器技术（Linux Containers）的缩写，是一种操作系统级虚拟化技术，旨在通过 Linux 内核原生功能（cgroups、namespaces）实现轻量级的资源隔离与进程管理。

LXC 命令行工具集

通过 lxc-* 系列命令管理容器生命周期：

检查与安装

检查：

# 一、检查是否安装
systemctl status lxc
lxc-ls -f
lxc-destroy -n xxx
# 二、卸载软件
apt-get purge --auto-remove lxc lxc-templates
# 三、检查服务已经没有该服务了
systemctl status lxc

安装：

# 一、安装
apt install lxc lxc-templates bridge-utils -y
# 二、检查服务是否正常运行
systemctl status lxc

Demo

以'创建 Ubuntu 容器（命名 lxchost1）'为例，覆盖从初始化到删除的完整流程：

1. 检查 LXC 环境有效性

# 1. 确认 LXC 服务已启动
systemctl status lxc
# 2. 检查系统对 LXC 的功能支持
lxc-checkconfig
# 3. 查看可用容器模板
ls /usr/share/lxc/templates/

2. 创建容器

# Ubuntu 系统创建 Ubuntu 16.04（xenial）容器，架构 amd64
lxc-create -t ubuntu -n lxchost1 -- -r xenial -a amd64
# 若 CentOS 上创建 Ubuntu 容器，需用'download'模板
# lxc-create --name centos-ubuntu --template=download -- --dist=ubuntu --release=xenial --arch=amd64

3. 查看容器初始状态

lxc-ls -f

4. 启动容器并验证

# 1. 后台启动容器
lxc-start -n lxchost1 -d
# 2. 再次查看状态
lxc-ls -f
# 3. 查看容器详细信息
lxc-info -n lxchost1

5. 进入容器并操作

方式 1：SSH 登录（需知道容器 IP）

ssh [email protected]
ip addr
df -h
ps -ef

方式 2：lxc-attach 直接执行命令（无需 SSH）

# 在宿主机执行容器内命令
lxc-attach -n lxchost1 --clear-env -- echo "Hello bit"
# 直接进入容器终端
lxc-attach -n lxchost1

6. 停止与删除容器

# 1. 停止运行中的容器
lxc-stop -n lxchost1
# 2. 删除已停止的容器
lxc-destroy -n lxchost1

关键注意事项

• 容器隔离性：容器根文件系统（/var/lib/lxc/<容器名>/rootfs）与宿主机完全独立，修改容器内文件不影响宿主机。
• 模板差异：Ubuntu 默认模板支持直接创建 Ubuntu 容器，CentOS 若需创建非 CentOS 容器，需用'download'模板并指定 --dist、--release、--arch。
• 缓存复用：容器模板缓存存于 /var/cache/lxc/，重复创建相同系统 / 版本的容器时，无需重新下载。
• 服务依赖：CentOS 安装后需启动 libvirtd 服务（LXC 依赖其虚拟化功能），Ubuntu 无需额外启动该服务。