docker运行中涉及到哪些系统调用

11

在Linux系统中，系统调用（System Calls）是用户空间程序与内核进行交互的接口，允许程序请求内核执行特权操作，如文件读写、进程控制、内存管理和网络通信等。常见的系统调用包括：

  • 进程管理： fork()、execve()、waitpid() 等。

  • 文件操作： open()、read()、write()、close() 等。

  • 内存管理： mmap()、brk() 等。

  • 网络通信： socket()、bind()、listen()、accept()、connect() 等。

  • 设备控制： ioctl()、select()、poll() 等。

  • 安全管理： setuid()、setgid()、chmod()、chown() 等。

Docker容器运行并接受外部访问的系统调用示例

当使用Docker容器运行一个应用程序并使其能够接受外部访问时，系统会经历一系列系统调用来设置和管理容器的环境、网络和进程。下面我们以启动一个简单的Docker容器（如运行一个NGINX服务器）并使其接受外部HTTP请求为例，分析其中涉及的主要系统调用。

1. 容器的创建与配置

  • clone()： Docker利用clone()系统调用创建新进程，并使用特定的标志（如CLONE_NEWNET、CLONE_NEWNS、CLONE_NEWPID等）来创建新的命名空间，实现容器的隔离。

pid = clone(child_func, stack + STACK_SIZE, CLONE_NEWNET | CLONE_NEWPID | CLONE_NEWNS | SIGCHLD, NULL);

  • unshare()： 用于使当前进程脱离原有的命名空间，加入新的命名空间。

  • setns()： 将进程加入到已有的命名空间。

  • mount()/`umount()： 设置容器的文件系统，挂载需要的目录和设备节点。

2. 配置控制组（cgroups）

  • open()、write()： 通过操作/sys/fs/cgroup下的伪文件系统，限制容器的资源使用，如CPU、内存等。这涉及到文件的打开和写入操作。

int fd = open("/sys/fs/cgroup/memory/docker/<container_id>/memory.limit_in_bytes", O_WRONLY);
write(fd, "104857600", strlen("104857600")); // 限制内存为100MB

3. 设置网络

  • socket()： 创建套接字，用于网络通信。

  • ioctl()： 配置网络接口，如创建虚拟网络接口（veth），设置IP地址等。

  • bind()、connect()： 绑定网络地址，建立连接。

  • setsockopt()： 设置套接字选项，如端口复用等。

  • listen()、accept()： 监听和接受外部连接请求。

4. 启动容器内的进程

  • fork()/vfork()： 创建子进程。

  • execve()： 在子进程中执行新的可执行文件，如启动NGINX服务器。

pid_t pid = fork();
if (pid == 0) {
    // 子进程
    execve("/usr/sbin/nginx", argv, envp);
}

  • waitpid()： 父进程等待子进程的退出。

5. 文件和设备访问

  • open()、read()、write()、close()： 访问容器内的文件系统，读取配置文件，写入日志等。

  • stat()、lstat()、fstat()： 获取文件或目录的状态信息。

6. 权限和用户管理

  • setuid()、setgid()： 更改进程的用户ID和组ID，以降低权限运行，提高安全性。

  • chroot()： 改变根目录，实现文件系统的隔离。

7. 信号处理

  • signal()、sigaction()： 设置信号处理函数，处理如SIGTERM、SIGINT等信号，实现优雅关闭。

8. 进程间通信

  • pipe()、dup()、dup2()： 创建管道，实现进程间的数据传输。

  • shmget()、shmat()、shmdt()： 共享内存的分配和释放。

9. 资源清理

  • kill()： 发送信号终止进程。

  • exit()： 进程退出，释放资源。

  • umount()： 卸载文件系统，清理挂载点。

整体流程概述

  1. Docker Daemon 接受启动容器的请求：

    • 通过套接字通信（socket()、accept()）接收客户端请求。

  2. 创建容器环境：

    • 使用clone()或unshare()创建新的命名空间，实现隔离。

    • 设置cgroups限制资源（open()、write()）。

    • 配置文件系统，使用mount()挂载需要的目录。

  3. 设置网络：

    • 创建虚拟网络接口（socket()、ioctl()）。

    • 配置IP地址和路由（ioctl()、write()到/proc或/sys）。

  4. 启动容器内的主进程：

    • 使用fork()创建子进程。

    • 在子进程中调用execve()执行目标应用程序（如NGINX）。

  5. 应用程序运行并接受外部访问：

    • 应用程序在容器内监听指定端口（socket()、bind()、listen()）。

    • 外部请求通过Docker的端口映射进入容器，应用程序使用accept()接受连接。

  6. 处理请求：

    • 应用程序读取请求数据（read()），处理后发送响应（write()）。

  7. 容器的停止和资源清理：

    • 接收到停止命令或信号（signal()）。

    • 终止进程（kill()、exit()）。

    • 卸载文件系统，释放资源（umount()）。

总结

在整个过程中，Docker通过一系列系统调用与Linux内核交互，完成容器的创建、配置、运行和销毁。其中关键的系统调用包括：

  • clone()、unshare()、setns()： 实现命名空间的隔离。

  • fork()、execve()： 创建并运行新进程。

  • socket()、bind()、listen()、accept()： 设置网络通信，接受外部访问。

  • mount()、umount()： 配置容器的文件系统。

  • open()、read()、write()： 操作文件和设备。

  • ioctl()： 配置网络接口和其他设备。