Какие утилиты и технологии Linux используются под капотом Docker

Docker использует несколько ключевых технологий Linux для своей работы:

1. Namespaces - изолируют процессы, сеть, файловую систему (PID, NET, MNT, IPC, UTS).
   Пример: unshare --pid --fork --mount-proc создает новый PID namespace.

2. Cgroups (Control Groups) - ограничивают ресурсы (CPU, память, диски).
   Пример: cgcreate -g cpu,memory:/mygroup создает cgroup.

3. Union File Systems (OverlayFS, AUFS) - объединяют слои контейнера в единую ФС.
   Пример монтирования OverlayFS:

   bash

   Копировать

   mount -t overlay overlay -o lowerdir=/lower,upperdir=/upper,workdir=/work /merged

4. Seccomp - фильтрует syscalls для безопасности.
   Docker использует профиль по умолчанию, ограничивающий опасные вызовы.

5. Capabilities - разграничивает привилегии (например, запрет CAP_NET_ADMIN).
   Пример: capsh --drop=cap_net_raw -- -c "ping 8.8.8.8" запретит ping.

6. iptables/nftables - управляет сетевым трафиком между контейнерами.

7. containerd/runc - низкоуровневые рантаймы для управления контейнерами.

Эти технологии вместе обеспечивают изоляцию, безопасность и эффективность контейнеров.