隔離

vmware使用supervisor模擬出硬件，然后在其之上安裝完整的一套操作系統(tǒng)，這套完整的操作系統(tǒng)跑在宿主機操作系統(tǒng)之上，被宿主機操作系統(tǒng)調度，所以較為重量。

而docker復用宿主機操作系統(tǒng)的內核，作為普通進程調用，使用linux提供的namespace隔離技術來實現(xiàn)虛擬化，是一種輕量級虛擬化技術。namespace表示一個標識符的可見范圍，各namespace互不相干，所以標識符能夠任意定義而不沖突。

linux提供6種namespace：UTS(主機名)、User、Mount(文件系統(tǒng))、Net、IPC、Pid。有了這幾種名稱空間，會讓進程自身覺得跑在一臺獨立的操作系統(tǒng)上，這是操作系統(tǒng)的欺騙性。

docker輕量，一次封裝到處運行，啟動快，所以很適合做擴縮容、微服務。

網(wǎng)絡

docker默認會使用bridge網(wǎng)絡模型，即容器中的有veth的一端，另一端veth連接到bridge網(wǎng)橋上，網(wǎng)橋連接宿主機網(wǎng)絡，使用NAT來實現(xiàn)和外部通信。veth的原理是這樣，通常成對出現(xiàn)，發(fā)送給veth一端的包可以被另一端接收到。

docker還有其他幾種模型，比如沒net，容器中只有環(huán)回網(wǎng)絡loopback。聯(lián)合net，多個容器使用相同的veth。hostnet，容器直接使用宿主機網(wǎng)絡。

鏡像

鏡像是一個可執(zhí)行的軟件包，包含運行應用程序所需的一切。

docker的鏡像使用分層結構，就是所謂的“分層存儲，聯(lián)合掛載”。

最下面一層是bootfs，包含bootloader。再往上是根系統(tǒng)鏡像層，再往上是各種鏡像層，除了最上層是可讀寫之外，其余層均為只讀層。所以，如果在頂層鏡像有對下層鏡像數(shù)據(jù)做修改的話，該數(shù)據(jù)會COW(copy on write)復制到頂層進行，然后再進行修改。所以，可想而知，這種聯(lián)合掛載文件系統(tǒng)的效率不是很高，所以在使用中會用到volume，卷，即脫離于分層存儲的存儲。