📚 课程目录第2章 Docker核心技术面试

第2章：Docker核心技术面试（容器原理·镜像分层·运行时隔离）

本章拆解Docker三大核心考点：容器原理（Namespace/Cgroups）、镜像分层（UnionFS/写时复制）、运行时隔离（进程/网络/文件系统）。面试官期望你从底层原理延伸到实际应用场景，阿里云等大厂尤其关注源码级理解。

面试问题：Docker容器和传统虚拟机有什么区别？容器是如何实现“轻量级”的？

考察点：是否理解Namespace（命名空间）与Cgroups（控制组）的底层机制；能否讲清共享主机内核与Hypervisor虚拟化的本质差异。

回答框架：

简短示例回答：容器本质上是宿主机上的进程，依靠Namespace隔离进程视角（如PID/网络/Mount），Cgroups分配资源limits，共享同一内核，因此启动快、资源占用小；而虚拟机包含完整Guest OS，通过Hypervisor虚拟化硬件，隔离更彻底但开销大。

可能追问：容器逃逸如何防范？/ 如何查看进程所属的Namespace？/ Cgroups的子系统有哪些？

避坑提醒：❌ 不要说“容器是轻量级虚拟机”，容易暴露概念混淆；强调共享内核意味着隔离性比虚拟机弱，安全边界依赖宿主机加固。

面试问题：Docker镜像为什么是分层结构？分层如何实现存储效率？

考察点：对UnionFS（联合文件系统）、写时复制（Copy-on-Write）、镜像层复用机制的理解。

回答框架：

简短示例回答：镜像采用分层结构，每层只读，基于UnionFS（如OverlayFS）挂载在一起。容器启动时在最上层叠加可写层，写入修改时才复制数据到该层，多个容器共享相同基础层，大幅减少存储占用和镜像拉取时间。

可能追问：如何减少镜像大小？/ 多阶段构建的原理？/ AUFS与OverlayFS的区别？

避坑提醒：❌ 不要混淆镜像层数与Dockerfile行数，层数不等于指令数（RUN只有一次提交一层）；建议使用多阶段构建精简最终层。

面试问题：Docker通过哪些机制实现容器间网络和文件系统的隔离？

考察点：是否了解Linux内核提供的7种Namespace（尤其是PID、Network、Mount、UTS、IPC、User、Cgroup），以及Network Namespace的典型场景（bridge/host/none）。

回答框架：

简短示例回答：Docker利用Linux的Network Namespace为每个容器创建独立网络栈（网卡、路由、iptables）；Mount Namespace隔离文件系统挂载点，使容器只能访问自身文件层。配合PID/UTS等Namespace实现完整的进程、网络、文件系统隔离。

可能追问：如何让多个容器共享网络？/ Cgroups如何限制磁盘IO？/ User Namespace如何提升安全性？

避坑提醒：❌ 避免只回答“容器间完全隔离”，实际上共享内核时/proc、/sys等是全局的，需要通过chroot或rootfs进一步限制；面试官期望你指出这些细节。

项目名称	企业级微服务容器化迁移与运维平台
业务背景	传统单体应用部署于虚拟机，资源利用率低，扩容慢；需迁移至容器化架构，实现快速迭代与弹性伸缩
规模指标	100+ 微服务、200+ 容器实例、日均部署 50+ 次、镜像仓库存储 2TB+
技术栈	Docker 20.10 / Kubernetes 1.24 / Harbor / Jenkins / Prometheus + Grafana / ELK
核心难点	① 镜像构建速度慢（基础层未缓存）；② 容器网络性能瓶颈（iptables规则过多）；③ 日志/监控数据量大导致存储成本飙升
面试高频追问	「你们如何优化镜像大小？」「如何实现容器间网络隔离与互通？」「遇到容器逃逸风险如何处理？」
可迁移回答话术	“我们采用多阶段构建，将编译环境与运行环境分离，利用基础镜像层缓存，最终镜像大小降低60%。网络层面改用Calico的BGP模式替代iptables，减少延迟。安全上启用User Namespace映射，限制root权限。”

💡 面试进阶提示： 阿里云等基础架构团队面试会深入询问Namespace的源代码实现（如clone系统调用参数）；互联网公司更关注实战案例，如镜像加速、容器网络排障。建议结合项目中的具体数字（镜像大小、部署频率）增强说服力。

⚠️ 常见雷区： 切忌只背概念没有项目落地；回答“镜像分层”时最好结合Dockerfile举例；被追问“容器隔离”时主动提及Linux Capabilities与Seccomp安全策略可加分。