4. CRIU 技术详解：Checkpoint/Restore In Userspace 的架构、内核依赖、支持与限制

CRIU（Checkpoint/Restore In Userspace）是实现容器热迁移与异步迁移的核心底层技术。它能够在用户空间捕获一个运行中进程树的状态（Checkpoint），并将其完整保存到磁盘；随后在相同或兼容的宿主机上恢复执行（Restore），且进程本身几乎感知不到中断。本章深入剖析 CRIU 的架构设计、内核依赖、关键能力与已知限制。

4.1 CRIU 整体架构与核心组件

CRIU 采用用户空间守护进程 + 内核辅助模块的混合架构。其核心组件包括：

• CRIU 主进程（criu）：用户空间命令行工具，负责协调 Checkpoint/Restore 全流程。
• ptrace 引擎：通过 ptrace() 系统调用冻结目标进程、读取寄存器与内存映射。
• /proc 文件系统解析器：从 /proc/[pid]/ 读取进程状态、文件描述符、命名空间、cgroup 等信息。
• 内核模块（criu.ko）：可选加载，用于加速某些内核对象的转储与恢复（如 TCP 连接、Unix socket）。
• 镜像文件生成器：将捕获的状态序列化为 .img 文件，采用 Google Protocol Buffers 格式。
• 恢复引擎：逆向解析镜像文件，重建进程树、内存映射、文件描述符与网络连接。

4.2 内核依赖与系统调用要求

CRIU 对 Linux 内核版本和编译选项有严格依赖。缺少关键内核特性将导致 Checkpoint 或 Restore 失败。

4.3 Checkpoint 与 Restore 核心流程

CRIU 的 Checkpoint 和 Restore 分别遵循严格的阶段化流程，确保状态一致性与可恢复性。

4.3.1 Checkpoint 阶段

1. 冻结（Freeze）：通过 ptrace(PTRACE_SEIZE) 附加到目标进程树，发送 SIGSTOP 信号，暂停所有线程。
2. 收集（Collect）：遍历 /proc/[pid]/ 收集进程状态、内存映射、文件描述符、信号处理、命名空间等。
3. 转储（Dump）：将收集到的状态序列化为 .img 文件，包括内存页（通过 process_vm_readv 读取）。
4. 解冻（Thaw）：发送 SIGCONT 恢复进程执行（若为热迁移，则进程继续运行）。
5. 验证（Verify）：检查镜像文件完整性，生成校验和。

4.3.2 Restore 阶段

1. 解析（Parse）：读取 .img 文件，重建进程树拓扑结构。
2. 创建（Create）：通过 fork() / clone() 创建进程，恢复命名空间、cgroup、挂载点。
3. 恢复内存（Restore Memory）：使用 mmap() 映射内存区域，通过 process_vm_writev 写入内存页内容。
4. 恢复文件描述符（Restore FDs）：重建文件、socket、pipe、eventfd 等描述符。
5. 恢复网络（Restore Network）：重建 TCP 连接（通过 TCP_REPAIR 模式）、Unix socket 队列。
6. 恢复信号与定时器（Restore Signals & Timers）：恢复信号掩码、pending 信号、POSIX 定时器。
7. 恢复执行（Resume）：通过 ptrace(PTRACE_DETACH) 释放进程，进程从暂停点继续执行。

4.4 支持的能力与功能矩阵

CRIU 支持丰富的进程状态保存与恢复能力，但并非所有 Linux 资源都可被完整转储。下表列出主要支持项与当前状态。

4.5 关键限制与避坑指南

在生产环境中使用 CRIU 进行容器迁移时，以下限制需要特别关注：

• 时间敏感应用： Checkpoint 过程会导致进程冻结数十毫秒到数秒（取决于内存大小）。对于需要严格低延迟的应用（如高频交易），冻结时间可能触发超时或连接断开。
• 网络连接中断： 虽然 CRIU 支持 TCP 连接恢复，但恢复后对端可能已经超时关闭连接。建议在迁移前设置较长的 TCP keepalive 间隔。
• 文件系统一致性： CRIU 不会对磁盘文件系统做快照。如果进程在 Checkpoint 时正在写入文件，恢复后文件可能处于不一致状态。建议配合文件系统快照（如 fsfreeze）使用。
• 内核版本兼容性： Checkpoint 和 Restore 必须在相同或兼容的内核版本上进行。跨大版本迁移（如 4.x → 5.x）可能导致恢复失败。建议源和目标宿主机内核版本差异不超过一个 minor 版本。
• 内存开销： Checkpoint 时 CRIU 会将所有内存页读取到用户空间并写入磁盘。对于内存密集型容器（如 64GB+），转储过程可能消耗大量临时磁盘空间和 I/O 带宽。

4.6 CRIU 与 Docker 集成实践

Docker 从 1.11 版本开始内置 CRIU 支持，通过 docker checkpoint 和 docker restore 命令实现容器级 Checkpoint/Restore。底层调用链如下：

# 创建容器时启用 checkpoint 支持
docker run -d --name myapp --security-opt seccomp=unconfined \
  --cap-add=SYS_PTRACE myapp:latest

# 执行 Checkpoint（生成镜像文件）
docker checkpoint create myapp checkpoint1 \
  --leave-running=false \
  --checkpoint-dir=/var/lib/docker/checkpoints/

# 在目标节点执行 Restore
docker start --checkpoint checkpoint1 \
  --checkpoint-dir=/var/lib/docker/checkpoints/ myapp