隔離

vmware使用supervisor模擬出硬件，然后在其之上安裝完整的一套操作系統(tǒng)，這套完整的操作系統(tǒng)跑在宿主機操作系統(tǒng)之上，被宿主機操作系統(tǒng)調(diào)度，所以較為重量。

而docker復(fù)用宿主機操作系統(tǒng)的內(nèi)核，作為普通進程調(diào)用，使用linux提供的namespace隔離技術(shù)來實現(xiàn)虛擬化，是一種輕量級虛擬化技術(shù)。namespace表示一個標識符的可見范圍，各namespace互不相干，所以標識符能夠任意定義而不沖突。

linux提供6種namespace：UTS(主機名)、User、Mount(文件系統(tǒng))、Net、IPC、Pid。有了這幾種名稱空間，會讓進程自身覺得跑在一臺獨立的操作系統(tǒng)上，這是操作系統(tǒng)的欺騙性。

docker輕量，一次封裝到處運行，啟動快，所以很適合做擴縮容、微服務(wù)。

網(wǎng)絡(luò)

docker默認會使用bridge網(wǎng)絡(luò)模型，即容器中的有veth的一端，另一端veth連接到bridge網(wǎng)橋上，網(wǎng)橋連接宿主機網(wǎng)絡(luò)，使用NAT來實現(xiàn)和外部通信。veth的原理是這樣，通常成對出現(xiàn)，發(fā)送給veth一端的包可以被另一端接收到。

docker還有其他幾種模型，比如沒net，容器中只有環(huán)回網(wǎng)絡(luò)loopback。聯(lián)合net，多個容器使用相同的veth。hostnet，容器直接使用宿主機網(wǎng)絡(luò)。

鏡像

鏡像是一個可執(zhí)行的軟件包，包含運行應(yīng)用程序所需的一切。

docker的鏡像使用分層結(jié)構(gòu)，就是所謂的“分層存儲，聯(lián)合掛載”。

最下面一層是bootfs，包含bootloader。再往上是根系統(tǒng)鏡像層，再往上是各種鏡像層，除了最上層是可讀寫之外，其余層均為只讀層。所以，如果在頂層鏡像有對下層鏡像數(shù)據(jù)做修改的話，該數(shù)據(jù)會COW(copy on write)復(fù)制到頂層進行，然后再進行修改。所以，可想而知，這種聯(lián)合掛載文件系統(tǒng)的效率不是很高，所以在使用中會用到volume，卷，即脫離于分層存儲的存儲。