戰(zhàn)指南：鏡像、容器、網(wǎng)絡(luò)與故障排查速查手冊(cè))
搞技術(shù)這么多年Docker 的命令翻來覆去就那些但每次一到關(guān)鍵場(chǎng)景總有人開始現(xiàn)場(chǎng)查文檔。尤其是現(xiàn)在容器化已經(jīng)成了標(biāo)配連寫個(gè)小的演示項(xiàng)目都要起個(gè)數(shù)據(jù)庫容器Docker 用得熟不熟直接決定你排查問題的效率。我整理了一份自己平時(shí)用得最多、也最值得記的 Docker 常用命令偏實(shí)戰(zhàn)向按照鏡像、容器、網(wǎng)絡(luò)存儲(chǔ)、編排、故障排查這幾個(gè)維度來組織。不管你是剛?cè)腴T還是已經(jīng)寫了好幾年服務(wù)這份清單都能讓你少踩一些坑。很多人覺得 Docker 命令隨便搜一下就有一堆但真正用起來你會(huì)發(fā)現(xiàn)網(wǎng)上很多資料要么太老要么只貼命令不講為什么。比如docker run的參數(shù)幾十個(gè)你不可能全記住但你得知道哪些是天天用的哪些是出問題才用的。我這篇不會(huì)把文檔抄一遍而是挑出真實(shí)場(chǎng)景里高頻出現(xiàn)的操作把參數(shù)背后的邏輯講清楚順手把我踩過的坑也一并列出來。1. 鏡像管理一切容器的起點(diǎn)鏡像這塊是最基礎(chǔ)的部分但也是很多人一開始就搞混的地方。鏡像和容器的關(guān)系可以理解成“程序文件”和“運(yùn)行中的進(jìn)程”鏡像是靜態(tài)的容器是運(yùn)行態(tài)。你從倉庫拉鏡像、構(gòu)建鏡像、給鏡像打標(biāo)簽、清理沒用的鏡像這些操作幾乎每天都在發(fā)生。1.1 拉取與查看先搞清楚倉庫里的東西長(zhǎng)什么樣拉鏡像是所有操作的第一步。最常見的命令就是docker pull比如要拉一個(gè)基礎(chǔ)鏡像docker pull ubuntu:22.04這里有個(gè)細(xì)節(jié)值得注意如果你不寫標(biāo)簽?zāi)J(rèn)拉的是latest。latest這個(gè)名字只代表“最新推送的”并不保證穩(wěn)定也不能保證和你的代碼兼容。所以正式項(xiàng)目里我強(qiáng)烈建議任何鏡像都帶上明確的版本號(hào)比如ubuntu:22.04、node:20-alpine別等到某天latest變了內(nèi)容導(dǎo)致服務(wù)起不來的時(shí)候再后悔。拉完鏡像之后用docker images查看本地有哪些鏡像docker images輸出里會(huì)顯示倉庫名、標(biāo)簽、鏡像 ID、創(chuàng)建時(shí)間和大小。偶爾你會(huì)發(fā)現(xiàn)同一個(gè)鏡像有多個(gè)標(biāo)簽其實(shí)它們可能指向同一個(gè)鏡像 ID本質(zhì)上是同一份內(nèi)容只是起了幾個(gè)別名。查看更詳細(xì)的信息可以用docker inspect 鏡像名或ID這個(gè)命令輸出的是一大段 JSON里面包含鏡像的架構(gòu)、環(huán)境變量、默認(rèn)命令、入口點(diǎn)等元信息。很多時(shí)候容器起不來就是因?yàn)殓R像的默認(rèn)Entrypoint或Cmd和你的預(yù)期不一樣inspect就能幫你發(fā)現(xiàn)這些隱藏配置。1.2 構(gòu)建與標(biāo)簽管理把項(xiàng)目變成鏡像的核心操作自己在本地構(gòu)建鏡像時(shí)最常用的是docker builddocker build -t myapp:1.0.0 .-t就是給鏡像起名字和標(biāo)簽myapp是倉庫名1.0.0是標(biāo)簽最后的.表示使用當(dāng)前目錄下的Dockerfile作為構(gòu)建上下文。一個(gè)常見的誤區(qū)是想用 Dockerfile 里的東西去替換本地文件或者反過來。實(shí)際上docker build打包的是構(gòu)建上下文里的文件而不是宿主機(jī)任意路徑的文件。你在 Dockerfile 里寫COPY ./app /app這個(gè)./app是相對(duì)構(gòu)建上下文說的不是相對(duì)宿主機(jī)當(dāng)前目錄的。所以如果你的項(xiàng)目很大構(gòu)建上下文里有很多無關(guān)文件記得寫一個(gè).dockerignore文件和.gitignore一個(gè)道理把node_modules、.git、target這些目錄排除掉構(gòu)建速度會(huì)有肉眼可見的提升。構(gòu)建這塊這兩年有個(gè)重要變化就是默認(rèn)的構(gòu)建引擎已經(jīng)切到了 BuildKit。你不需要額外做什么只要你的 Docker 版本夠新docker build就是在用 BuildKit。它的好處是可以并發(fā)執(zhí)行構(gòu)建步驟、更好地利用緩存、支持跨平臺(tái)構(gòu)建還可以把密文參數(shù)在構(gòu)建時(shí)傳遞而不寫入鏡像層。如果你需要指定平臺(tái)比如在蘋果芯片上構(gòu)建 amd64 的鏡像可以加平臺(tái)參數(shù)docker build --platform linux/amd64 -t myapp:1.0.0 .構(gòu)建完之后如果你想給鏡像換個(gè)標(biāo)簽或者準(zhǔn)備推到遠(yuǎn)程倉庫用docker tagdocker tag myapp:1.0.0 registry.example.com/myapp:1.0.0這個(gè)命令不會(huì)復(fù)制鏡像而是給同一個(gè)鏡像增加一個(gè)引用名稱操作非常輕量。推送到遠(yuǎn)程倉庫用docker pushdocker push registry.example.com/myapp:1.0.0推送前需要先用docker login登錄對(duì)應(yīng)的鏡像倉庫這一步經(jīng)常有人漏了導(dǎo)致 push 的時(shí)候報(bào)權(quán)限錯(cuò)誤。1.3 鏡像清理與瘦身本地磁盤告急時(shí)的救命操作跑時(shí)間長(zhǎng)了本地會(huì)堆積大量鏡像特別是每次構(gòu)建都會(huì)產(chǎn)生新的層和懸空鏡像。懸空鏡像就是那些沒有標(biāo)簽、也沒有被任何容器引用的鏡像層通常用none:none顯示。查看占用空間可以用docker system df這個(gè)命令會(huì)列出鏡像、容器、卷、構(gòu)建緩存各自占了多少空間。清理懸空鏡像docker image prune如果想把沒被任何容器使用的鏡像全都刪掉用docker image prune -a但這里要提醒一下-a很激進(jìn)它會(huì)把所有沒有被容器引用的鏡像都清理掉哪怕你只是暫時(shí)不用它。如果你只是想清理構(gòu)建緩存用docker builder prune這個(gè)也是 BuildKit 時(shí)代才有的命令以前管理構(gòu)建緩存只能靠刪除整個(gè) Docker 數(shù)據(jù)目錄非常痛苦。鏡像瘦身還有一個(gè)思路是在構(gòu)建階段就控制體積。比如優(yōu)先選alpine這類瘦身版基礎(chǔ)鏡像用多階段構(gòu)建把編譯工具鏈和運(yùn)行產(chǎn)物分離開最終只把運(yùn)行所需的內(nèi)容復(fù)制到最終鏡像。這類操作直接影響的是鏡像倉庫的拉取速度和部署效率值得花時(shí)間優(yōu)化。2. 容器生命周期命令日常使用頻率最高的一批鏡像只是靜態(tài)產(chǎn)物真正干活的是容器。創(chuàng)建容器、啟動(dòng)、停止、進(jìn)入容器、看日志、刪容器這些操作構(gòu)成了日常工作的主旋律。這一部分的命令雖然看著簡(jiǎn)單但每個(gè)參數(shù)背后都有具體的場(chǎng)景用對(duì)了能省很多事情。2.1 創(chuàng)建與啟動(dòng)run 命令的常用參數(shù)一定要背熟docker run是使用頻率最高的命令它負(fù)責(zé)從鏡像創(chuàng)建并啟動(dòng)一個(gè)容器。最簡(jiǎn)單的用法docker run -d --name web -p 8080:80 nginx:1.25-d表示后臺(tái)運(yùn)行--name給容器起個(gè)名字-p做端口映射把宿主機(jī)的 8080 端口映射到容器內(nèi)的 80 端口最后是鏡像名。啟動(dòng)后終端會(huì)直接返回一個(gè)容器 ID然后你就可以用其他命令去管理它了。我這里解釋一下-p的底層邏輯因?yàn)楹芏嗳酥挥涀×烁袷讲焕斫鉃槭裁从袝r(shí)映射不上。-p 8080:80宿主機(jī)端口在左容器端口在右。訪問外網(wǎng)的http://宿主機(jī)IP:8080流量會(huì)進(jìn)入容器內(nèi)的 80 端口。如果你只寫-p 80Docker 會(huì)隨機(jī)分配一個(gè)宿主機(jī)端口你反而不容易確定訪問地址。另一個(gè)高頻參數(shù)是-v用于掛載存儲(chǔ)卷docker run -d --name db -v mysql_data:/var/lib/mysql -e MYSQL_ROOT_PASSWORDsecret mysql:8.0-v mysql_data:/var/lib/mysql表示把名為mysql_data的存儲(chǔ)卷掛載到容器內(nèi)的/var/lib/mysql數(shù)據(jù)寫在卷里容器刪了數(shù)據(jù)還在。卷的細(xì)節(jié)后面單獨(dú)講這里只要明白-v就是用來持久化數(shù)據(jù)的。還有一個(gè)容易被忽略但在生產(chǎn)環(huán)境非常關(guān)鍵的參數(shù)docker run -d --name app --restart unless-stopped myapp:1.0.0--restart unless-stopped表示如果容器因?yàn)楫惓Ｍ顺鯠ocker 會(huì)自動(dòng)重啟它。唯一不自動(dòng)重啟的情況是管理員手動(dòng)執(zhí)行了docker stop。這個(gè)參數(shù)對(duì)長(zhǎng)期運(yùn)行的容器來說幾乎是必加的很多人剛起步時(shí)不加結(jié)果服務(wù)器一重啟或者進(jìn)程崩了容器就永遠(yuǎn)停在退出狀態(tài)其他人還得手動(dòng)拉起來。-e用來設(shè)置環(huán)境變量比如剛才的MYSQL_ROOT_PASSWORD。對(duì)于需要注入配置的場(chǎng)景環(huán)境變量是最常用的方式。可以在宿主機(jī)上提前準(zhǔn)備好一個(gè)環(huán)境變量文件然后一次性傳入docker run -d --env-file .env myapp:1.0.0這種方式比直接在命令行寫一串-e要清爽得多而且.env文件可以用 git 管理模板避免密碼暴露在 shell 歷史記錄里。如果只是臨時(shí)跑一個(gè)容器做測(cè)試用完就刪可以用--rmdocker run --rm -it ubuntu:22.04 bash加上--rm后容器退出時(shí)會(huì)自動(dòng)刪除。配合-it交互模式加偽終端可以進(jìn)到容器里操作。這個(gè)組合太適合調(diào)試了不用考慮清理殘留容器的問題。2.2 進(jìn)入容器與日志不重啟服務(wù)解決問題容器運(yùn)行中你需要進(jìn)入容器內(nèi)查看狀態(tài)或者執(zhí)行命令。這時(shí)候用docker execdocker exec -it web bashexec是在運(yùn)行中的容器里再啟動(dòng)一個(gè)新的進(jìn)程-it表示以交互方式進(jìn)入。比如容器里裝的是 alpine 鏡像可能沒有 bash只有 sh那就得換成docker exec -it web sh這里想提醒一個(gè)常見誤區(qū)不要在容器里裝很多調(diào)試工具特別是生產(chǎn)環(huán)境里的容器盡量保持最小化。你需要調(diào)試時(shí)可以用docker exec在運(yùn)行時(shí)安裝臨時(shí)工具或者更推薦的方式是用docker cp把宿主機(jī)上的靜態(tài)編譯工具拷進(jìn)容器用用完再丟掉?？慈罩臼嵌ㄎ粏栴}最直接的方式docker logs web默認(rèn)只顯示標(biāo)準(zhǔn)輸出和標(biāo)準(zhǔn)錯(cuò)誤。如果日志太多加--tail只看最近多少行docker logs --tail 100 web如果服務(wù)一直在打印日志你希望實(shí)時(shí)看加-fdocker logs -f web這個(gè)命令會(huì)持續(xù)輸出日志直到你按 CtrlC 中斷。注意docker logs只能看到容器內(nèi)進(jìn)程寫到標(biāo)準(zhǔn)輸出和標(biāo)準(zhǔn)錯(cuò)誤的內(nèi)容。如果應(yīng)用自己寫日志文件比如寫到了/var/log/app.log那docker logs什么也看不到你得exec進(jìn)去看文件或者在啟動(dòng)容器時(shí)把日志文件重定向到標(biāo)準(zhǔn)輸出很多鏡像的官方 Dockerfile 就是這么設(shè)計(jì)的。如果你想看容器里跑了哪些進(jìn)程docker top web這個(gè)命令相當(dāng)于容器內(nèi)的ps可以快速確認(rèn)進(jìn)程是否存在、PID 是多少。查看容器狀態(tài)和配置信息用docker inspect web同樣是一大段 JSON包含容器的網(wǎng)絡(luò) IP、掛載卷、環(huán)境變量、啟動(dòng)命令、重啟次數(shù)等。排查問題時(shí)優(yōu)先看這里面的State字段它會(huì)告訴你容器當(dāng)前處于running、exited、restarting還是paused狀態(tài)還有退出碼和退出時(shí)間。2.3 停止、刪除與批量操作清理現(xiàn)場(chǎng)的基礎(chǔ)功停止一個(gè)容器docker stop web停止所有容器docker stop $(docker ps -q)docker ps -q只輸出容器的 ID 列表這個(gè)組合非常實(shí)用。docker ps默認(rèn)只顯示運(yùn)行中的容器如果想看所有容器包括已經(jīng)退出的加-adocker ps -a清理已經(jīng)退出的容器docker container prune這個(gè)命令會(huì)刪除所有處于exited狀態(tài)的容器。如果你確定某個(gè)容器沒用了直接刪docker rm web如果有運(yùn)行中的容器要?jiǎng)h得先停再刪或者用強(qiáng)制刪除docker rm -f web-f會(huì)先發(fā) SIGKILL 信號(hào)直接殺掉容器進(jìn)程再刪除。能不用就不用因?yàn)閼?yīng)用可能沒來得及做優(yōu)雅關(guān)閉導(dǎo)致數(shù)據(jù)損壞。如果你用的是--rm啟動(dòng)的容器停止后容器會(huì)被自動(dòng)清理不需要你再手動(dòng)rm。批量刪除所有容器包括運(yùn)行中的可以組合docker rm -f $(docker ps -aq)這個(gè)命令在你要清空整個(gè)環(huán)境做測(cè)試時(shí)非常管用但生產(chǎn)環(huán)境慎用你確認(rèn)沒有任何有用的容器再執(zhí)行。3. 網(wǎng)絡(luò)與存儲(chǔ)兩個(gè)最容易被忽視的模塊容器跑起來只是第一步真正讓它變得好用網(wǎng)絡(luò)和存儲(chǔ)的配置是分不開的。容器之間要通信就得配置網(wǎng)絡(luò)數(shù)據(jù)要持久化就得用存儲(chǔ)卷。很多人命令背得很熟但到網(wǎng)絡(luò)不通、數(shù)據(jù)丟失的時(shí)候才意識(shí)到這兩個(gè)模塊有多重要。3.1 容器網(wǎng)絡(luò)從 bridge 到自定義網(wǎng)絡(luò)Docker 默認(rèn)有三種網(wǎng)絡(luò)模式bridge、host、none。平時(shí)我們用docker run啟動(dòng)容器時(shí)默認(rèn)就是bridge網(wǎng)絡(luò)容器會(huì)獲得一個(gè)虛擬 IP宿主機(jī)可以通過端口映射訪問它。查看當(dāng)前網(wǎng)絡(luò)列表docker network ls查看某個(gè)網(wǎng)絡(luò)里有哪些容器docker network inspect bridge這個(gè)命令會(huì)輸出連接在這個(gè)網(wǎng)絡(luò)下的所有容器及其 IP 地址。多容器服務(wù)部署時(shí)我強(qiáng)烈建議你創(chuàng)建一個(gè)自定義網(wǎng)絡(luò)而不是把所有容器都放在默認(rèn)的bridge里docker network create mynet創(chuàng)建好后在docker run時(shí)指定網(wǎng)絡(luò)docker run -d --name app --network mynet myapp:1.0.0 docker run -d --name db --network mynet -e DB_HOSTdb mysql:8.0自定義網(wǎng)絡(luò)里有一個(gè)非常重要的特性容器之間可以直接用容器名互相訪問。上面例子中app容器訪問數(shù)據(jù)庫只需要配置DB_HOSTdbDocker 內(nèi)置的 DNS 會(huì)自動(dòng)把db解析成對(duì)應(yīng)容器的 IP。這就是容器編排的基礎(chǔ)比你去查 IP 再手動(dòng)配置可靠得多。排查網(wǎng)絡(luò)問題的時(shí)候經(jīng)常用到docker exec app ping db注意有些容器鏡像里沒有ping命令那就用docker exec app getent hosts db如果getent hosts能解析出 IP但網(wǎng)絡(luò)還是不通再看防火墻和網(wǎng)絡(luò)模式。這里有個(gè)經(jīng)驗(yàn)同一臺(tái)宿主機(jī)上優(yōu)先用自定義網(wǎng)絡(luò)而不是host網(wǎng)絡(luò)。host模式雖然性能好一些但容器直接用宿主機(jī)網(wǎng)絡(luò)端口沖突和安全隱患都比較麻煩日常開發(fā)場(chǎng)景不推薦。3.2 存儲(chǔ)卷容器刪了數(shù)據(jù)不能丟用-v掛載數(shù)據(jù)卷是持久化的核心方案。Docker 的存儲(chǔ)卷分兩種一種是 Docker 管理的卷另一種是綁定掛載宿主機(jī)目錄。使用 Docker 卷的方式docker volume create data_vol docker run -d --name db -v data_vol:/var/lib/mysql mysql:8.0查看所有卷docker volume ls查看某個(gè)卷的掛載位置和占用情況docker volume inspect data_vol綁定掛載宿主機(jī)目錄的方式docker run -d --name web -v /opt/site:/usr/share/nginx/html nginx:1.25這種方式的優(yōu)勢(shì)是你可以直接在宿主機(jī)上修改文件容器內(nèi)立刻就能看到非常適合本地開發(fā)。但在生產(chǎn)環(huán)境我更推薦用 Docker 卷因?yàn)樗臄?shù)據(jù)由 Docker 統(tǒng)一管理遷移、備份更容易權(quán)限問題也更少。清理卷時(shí)注意docker volume prune會(huì)刪除所有未被容器引用的卷。這個(gè)命令要謹(jǐn)慎因?yàn)槿绻萜饕呀?jīng)刪了但你以為卷里還有數(shù)據(jù)一旦執(zhí)行 prune數(shù)據(jù)就沒了。刪除單個(gè)卷用docker volume rm data_vol3.3 備份、恢復(fù)與遷移容器間的數(shù)據(jù)搬運(yùn)數(shù)據(jù)卷的備份是一個(gè)經(jīng)常被問到的問題。假設(shè)你有一個(gè)容器db掛載了卷data_vol需要把卷里的數(shù)據(jù)打包備份。一個(gè)很實(shí)用的思路是借助臨時(shí)容器來打包docker run --rm -v data_vol:/source -v $(pwd):/backup alpine tar czf /backup/db_backup.tar.gz -C /source .這條命令的含義是啟動(dòng)一個(gè)臨時(shí) alpine 容器把data_vol掛載到/source把當(dāng)前目錄掛載到/backup然后在容器內(nèi)執(zhí)行tar打包/source目錄的內(nèi)容到/backup/db_backup.tar.gz。因?yàn)橛昧?-rm容器打包完就自動(dòng)刪除了宿主機(jī)的當(dāng)前目錄下就會(huì)生成備份文件?；謴?fù)數(shù)據(jù)的方向反過來即可docker run --rm -v data_vol:/target -v $(pwd):/backup alpine sh -c tar xzf /backup/db_backup.tar.gz -C /target如果你只是想從一個(gè)容器把文件拷到宿主機(jī)或者從宿主機(jī)拷進(jìn)容器用docker cpdocker cp web:/etc/nginx/nginx.conf ./nginx.conf docker cp ./nginx.conf web:/etc/nginx/nginx.confdocker cp不用啟動(dòng)容器的 shell非常適合快速提取配置和日志。4. Compose 編排命令多容器場(chǎng)景的默認(rèn)答案單容器用docker run還行一旦服務(wù)多起來比如應(yīng)用加數(shù)據(jù)庫加緩存加消息隊(duì)列手寫一長(zhǎng)串docker run命令既不直觀也不好維護(hù)。Compose 這個(gè)工具就是干這個(gè)的它用 YAML 文件描述多容器的啟動(dòng)配置一條命令拉起整個(gè)服務(wù)棧。4.1 Compose v2 與舊命令的變化用 Compose 之前你需要寫一個(gè)docker-compose.yml文件。以前大家用的命令是docker-compose up注意有連字符。現(xiàn)在新版 Docker 把 Compose 集成進(jìn)了 Docker CLI直接用docker compose中間是空格。如果你用的是新版 Docker建議直接用docker compose命令更統(tǒng)一也避免和舊版工具混淆。集成后的docker compose和舊版docker-compose大部分子命令是兼容的。如果你是照著老教程操作發(fā)現(xiàn)docker-compose命令提示不存在不用驚慌換成docker compose即可。4.2 常用命令序列一條命令拉起整個(gè)服務(wù)棧最核心的就是docker compose up -d-d表示后臺(tái)運(yùn)行加上它之后Compose 會(huì)根據(jù) YAML 文件里定義的服務(wù)依次創(chuàng)建和啟動(dòng)容器。首次執(zhí)行會(huì)先拉取鏡像再啟動(dòng)之后執(zhí)行時(shí)如果配置沒變化容器會(huì)被復(fù)用只會(huì)重建有改動(dòng)的服務(wù)。查看當(dāng)前 Compose 項(xiàng)目下所有服務(wù)的狀態(tài)docker compose ps查看日志docker compose logs -f如果只想看某個(gè)服務(wù)的日志docker compose logs -f web停止服務(wù)但保留容器和網(wǎng)絡(luò)docker compose stop停止并刪除所有容器、網(wǎng)絡(luò)docker compose down注意down默認(rèn)不會(huì)刪除存儲(chǔ)卷。如果你想把卷也刪了加-vdocker compose down -v這個(gè)操作會(huì)連數(shù)據(jù)一起清掉正式環(huán)境要三思。進(jìn)入了 Compose 項(xiàng)目目錄后服務(wù)之間直接用服務(wù)名互通。比如 YAML 里定義了一個(gè)db服務(wù)那web服務(wù)里配置連接地址時(shí)直接寫db:3306Compose 會(huì)自動(dòng)創(chuàng)建網(wǎng)絡(luò)并完成 DNS 解析這一點(diǎn)和之前講的自定義網(wǎng)絡(luò)是同一個(gè)原理。想進(jìn)入某個(gè)服務(wù)的容器里調(diào)試docker compose exec web sh這個(gè)命令和單容器的docker exec一樣只是通過服務(wù)名找到對(duì)應(yīng)的容器。4.3 多環(huán)境配置與變量管理不同環(huán)境開發(fā)、測(cè)試、生產(chǎn)需要不同的配置Compose 支持用環(huán)境變量插值。在 YAML 文件里可以這樣寫services: app: image: myapp:${TAG:-latest}${TAG:-latest}表示讀取當(dāng)前 shell 環(huán)境變量里的TAG如果沒有設(shè)置就用默認(rèn)值latest。更方便的做法是用.env文件。Compose 會(huì)自動(dòng)讀取項(xiàng)目根目錄下的.env文件里的變量你可以在里面配置TAG1.2.0 DB_PASSWORDsecret然后在 YAML 里引用services: app: image: myapp:${TAG} db: environment: MYSQL_ROOT_PASSWORD: ${DB_PASSWORD}這種做法最大的好處是配置和代碼可以分離提交到版本庫的時(shí)候把.env加入.gitignore避免密碼泄露。5. 故障排查與實(shí)用組合技前面講的都是標(biāo)準(zhǔn)操作但實(shí)際工作里你總會(huì)遇到一些莫名其妙的問題。容器起不來、網(wǎng)絡(luò)不通、磁盤漲滿、日志刷屏這些問題單獨(dú)看都不難難的是快速定位到正確方向。這里我整理了幾個(gè)高頻問題的排查思路和幾個(gè)能大幅提升效率的命令組合。5.1 容器卡在退出狀態(tài)先看退出碼和完整日志容器啟動(dòng)后馬上退出這是遇到最多的一個(gè)問題。第一步永遠(yuǎn)是用docker ps -a看容器的狀態(tài)和退出碼第二步用docker logs看日志。退出碼是一個(gè)很重要的線索。比如退出碼為 1通常是應(yīng)用本身的錯(cuò)誤比如配置參數(shù)不對(duì)、端口被占用、數(shù)據(jù)庫連不上。退出碼為 127通常是命令找不到比如鏡像里沒有你指定的啟動(dòng)命令。退出碼為 137說明容器被強(qiáng)制殺掉了通常是內(nèi)存超限被 OOM Killer 殺掉或者是執(zhí)行了docker kill。如果docker logs輸出很少或者什么也沒有可以用docker inspect看State.ExitCode和Error字段有時(shí)候 Docker 會(huì)直接告訴你啟動(dòng)失敗的原因。再不行就手動(dòng)在前臺(tái)跑一次去掉-d參數(shù)docker run --rm myapp:1.0.0前臺(tái)模式啟動(dòng)時(shí)應(yīng)用日志會(huì)直接打到終端上很多問題一眼就能看出來。這個(gè)方法聽著簡(jiǎn)單但在定位問題時(shí)比反復(fù)看logs要快得多。5.2 清理僵尸容器與懸空鏡像磁盤爆滿的應(yīng)急方案服務(wù)器磁盤滿了很多服務(wù)會(huì)異常這時(shí)候要快速找到誰在占用空間。先看全局概況docker system df然后按占用大小排序找到最大的容器日志文件。容器日志文件默認(rèn)被 Docker 寫在宿主機(jī)的/var/lib/docker/containers/容器ID/目錄下用du可以快速定位du -sh /var/lib/docker/containers/* | sort -rh | head -20找到特別大的日志文件后會(huì)看到形如*-json.log的文件。這個(gè)日志文件如果不加限制會(huì)一直增長(zhǎng)解決方案有兩個(gè)。臨時(shí)處理是清空文件內(nèi)容truncate -s 0 /var/lib/docker/containers/容器ID/*-json.log永久方案是在 Docker 配置里限制日志大小比如在/etc/docker/daemon.json里加{ log-driver: json-file, log-opts: { max-size: 10m, max-file: 3 } }然后重啟 Docker 生效。這個(gè)配置建議在搭建環(huán)境的時(shí)候就加上不然等到磁盤報(bào)警再來處理節(jié)點(diǎn)上的服務(wù)可能已經(jīng)因?yàn)榇疟P寫滿而掛掉了。清理完日志之后批量清理無用資源可以用docker system prune -a --volumes這條命令會(huì)嘗試刪除所有未被使用的鏡像、容器、網(wǎng)絡(luò)、構(gòu)建緩存和卷。它非常激進(jìn)我建議平時(shí)只用docker system prune不帶--volumes的版本卷要單獨(dú)確認(rèn)后再清理。5.3 資源占用分析容器為什么越來越慢容器運(yùn)行變慢最直接的原因就是資源配額或者宿主機(jī)資源不夠。查看容器資源占用docker statsdocker stats會(huì)實(shí)時(shí)顯示所有容器的 CPU、內(nèi)存、網(wǎng)絡(luò) I/O、磁盤 I/O。如果某一個(gè)容器內(nèi)存一路飆升你可以用--memory參數(shù)給它限制內(nèi)存上限docker run -d --memory 512m --memory-swap 512m myapp:1.0.0--memory-swap設(shè)置為和--memory一樣表示禁止使用 swap避免內(nèi)存超限后性能驟降。寫服務(wù)的同學(xué)一定深有體會(huì)沒有限制的應(yīng)用在內(nèi)存泄漏時(shí)能直接把整臺(tái)機(jī)器拖垮加個(gè)配額能保護(hù)旁邊的容器。查看容器內(nèi)進(jìn)程的 CPU 占用更加精細(xì)一些docker top web再配合宿主機(jī)的ps或者top來判斷是不是有其它進(jìn)程干擾。如果是宿主機(jī)上其它非 Docker 進(jìn)程占用了大量 CPU那問題就出在 Docker 外部不要在容器里反復(fù)找原因。5.4 高頻命令組合與快捷操作下面這幾個(gè)組合命令我寫進(jìn)了 shell 的 alias幾乎每天都會(huì)用到。一鍵進(jìn)入容器。如果容器用docker compose管理就dc exec web bash其中dc是docker compose的簡(jiǎn)寫。在命令行里可以這樣設(shè)置alias dcdocker compose一鍵查看所有容器的 IPdocker ps -q | xargs -I {} docker inspect -f {{.Name}} {{.NetworkSettings.IPAddress}} {}一鍵清理退出容器和懸空鏡像docker container prune -f docker image prune -f一鍵停止再刪除 Compose 管理的所有容器docker compose down這幾個(gè)組合背后的思路其實(shí)就一個(gè)單個(gè)命令能做的事組合起來一次性完成減少人肉重復(fù)操作也能避免漏清理。排查問題的時(shí)候減少手動(dòng)步驟就是在降低出錯(cuò)概率。我自己的感受是Docker 命令不需要背全部但常用的核心命令一定要形成肌肉記憶。尤其是run、exec、logs、inspect、compose up這幾個(gè)幾乎每天都要用用熟了之后排查問題的速度會(huì)快很多。另外新版本 Docker 的命令一直在迭代比如docker image prune、docker builder prune這類子命令就是近幾年的新東西如果你還在用很老的命令版本遇到一些提示不存在的情況先確認(rèn)一下 Docker 版本很多問題其實(shí)是版本差異導(dǎo)致的。 Docker常用命令實(shí)戰(zhàn)指南：鏡像、容器、網(wǎng)絡(luò)與故障排查速查手冊(cè)
搞技術(shù)這么多年Docker 的命令翻來覆去就那些但每次一到關(guān)鍵場(chǎng)景總有人開始現(xiàn)場(chǎng)查文檔。尤其是現(xiàn)在容器化已經(jīng)成了標(biāo)配連寫個(gè)小的演示項(xiàng)目都要起個(gè)數(shù)據(jù)庫容器Docker 用得熟不熟直接決定你排查問題的效率。我整理了一份自己平時(shí)用得最多、也最值得記的 Docker 常用命令偏實(shí)戰(zhàn)向按照鏡像、容器、網(wǎng)絡(luò)存儲(chǔ)、編排、故障排查這幾個(gè)維度來組織。不管你是剛?cè)腴T還是已經(jīng)寫了好幾年服務(wù)這份清單都能讓你少踩一些坑。很多人覺得 Docker 命令隨便搜一下就有一堆但真正用起來你會(huì)發(fā)現(xiàn)網(wǎng)上很多資料要么太老要么只貼命令不講為什么。比如docker run的參數(shù)幾十個(gè)你不可能全記住但你得知道哪些是天天用的哪些是出問題才用的。我這篇不會(huì)把文檔抄一遍而是挑出真實(shí)場(chǎng)景里高頻出現(xiàn)的操作把參數(shù)背后的邏輯講清楚順手把我踩過的坑也一并列出來。1. 鏡像管理一切容器的起點(diǎn)鏡像這塊是最基礎(chǔ)的部分但也是很多人一開始就搞混的地方。鏡像和容器的關(guān)系可以理解成“程序文件”和“運(yùn)行中的進(jìn)程”鏡像是靜態(tài)的容器是運(yùn)行態(tài)。你從倉庫拉鏡像、構(gòu)建鏡像、給鏡像打標(biāo)簽、清理沒用的鏡像這些操作幾乎每天都在發(fā)生。1.1 拉取與查看先搞清楚倉庫里的東西長(zhǎng)什么樣拉鏡像是所有操作的第一步。最常見的命令就是docker pull比如要拉一個(gè)基礎(chǔ)鏡像docker pull ubuntu:22.04這里有個(gè)細(xì)節(jié)值得注意如果你不寫標(biāo)簽?zāi)J(rèn)拉的是latest。latest這個(gè)名字只代表“最新推送的”并不保證穩(wěn)定也不能保證和你的代碼兼容。所以正式項(xiàng)目里我強(qiáng)烈建議任何鏡像都帶上明確的版本號(hào)比如ubuntu:22.04、node:20-alpine別等到某天latest變了內(nèi)容導(dǎo)致服務(wù)起不來的時(shí)候再后悔。拉完鏡像之后用docker images查看本地有哪些鏡像docker images輸出里會(huì)顯示倉庫名、標(biāo)簽、鏡像 ID、創(chuàng)建時(shí)間和大小。偶爾你會(huì)發(fā)現(xiàn)同一個(gè)鏡像有多個(gè)標(biāo)簽其實(shí)它們可能指向同一個(gè)鏡像 ID本質(zhì)上是同一份內(nèi)容只是起了幾個(gè)別名。查看更詳細(xì)的信息可以用docker inspect 鏡像名或ID這個(gè)命令輸出的是一大段 JSON里面包含鏡像的架構(gòu)、環(huán)境變量、默認(rèn)命令、入口點(diǎn)等元信息。很多時(shí)候容器起不來就是因?yàn)殓R像的默認(rèn)Entrypoint或Cmd和你的預(yù)期不一樣inspect就能幫你發(fā)現(xiàn)這些隱藏配置。1.2 構(gòu)建與標(biāo)簽管理把項(xiàng)目變成鏡像的核心操作自己在本地構(gòu)建鏡像時(shí)最常用的是docker builddocker build -t myapp:1.0.0 .-t就是給鏡像起名字和標(biāo)簽myapp是倉庫名1.0.0是標(biāo)簽最后的.表示使用當(dāng)前目錄下的Dockerfile作為構(gòu)建上下文。一個(gè)常見的誤區(qū)是想用 Dockerfile 里的東西去替換本地文件或者反過來。實(shí)際上docker build打包的是構(gòu)建上下文里的文件而不是宿主機(jī)任意路徑的文件。你在 Dockerfile 里寫COPY ./app /app這個(gè)./app是相對(duì)構(gòu)建上下文說的不是相對(duì)宿主機(jī)當(dāng)前目錄的。所以如果你的項(xiàng)目很大構(gòu)建上下文里有很多無關(guān)文件記得寫一個(gè).dockerignore文件和.gitignore一個(gè)道理把node_modules、.git、target這些目錄排除掉構(gòu)建速度會(huì)有肉眼可見的提升。構(gòu)建這塊這兩年有個(gè)重要變化就是默認(rèn)的構(gòu)建引擎已經(jīng)切到了 BuildKit。你不需要額外做什么只要你的 Docker 版本夠新docker build就是在用 BuildKit。它的好處是可以并發(fā)執(zhí)行構(gòu)建步驟、更好地利用緩存、支持跨平臺(tái)構(gòu)建還可以把密文參數(shù)在構(gòu)建時(shí)傳遞而不寫入鏡像層。如果你需要指定平臺(tái)比如在蘋果芯片上構(gòu)建 amd64 的鏡像可以加平臺(tái)參數(shù)docker build --platform linux/amd64 -t myapp:1.0.0 .構(gòu)建完之后如果你想給鏡像換個(gè)標(biāo)簽或者準(zhǔn)備推到遠(yuǎn)程倉庫用docker tagdocker tag myapp:1.0.0 registry.example.com/myapp:1.0.0這個(gè)命令不會(huì)復(fù)制鏡像而是給同一個(gè)鏡像增加一個(gè)引用名稱操作非常輕量。推送到遠(yuǎn)程倉庫用docker pushdocker push registry.example.com/myapp:1.0.0推送前需要先用docker login登錄對(duì)應(yīng)的鏡像倉庫這一步經(jīng)常有人漏了導(dǎo)致 push 的時(shí)候報(bào)權(quán)限錯(cuò)誤。1.3 鏡像清理與瘦身本地磁盤告急時(shí)的救命操作跑時(shí)間長(zhǎng)了本地會(huì)堆積大量鏡像特別是每次構(gòu)建都會(huì)產(chǎn)生新的層和懸空鏡像。懸空鏡像就是那些沒有標(biāo)簽、也沒有被任何容器引用的鏡像層通常用none:none顯示。查看占用空間可以用docker system df這個(gè)命令會(huì)列出鏡像、容器、卷、構(gòu)建緩存各自占了多少空間。清理懸空鏡像docker image prune如果想把沒被任何容器使用的鏡像全都刪掉用docker image prune -a但這里要提醒一下-a很激進(jìn)它會(huì)把所有沒有被容器引用的鏡像都清理掉哪怕你只是暫時(shí)不用它。如果你只是想清理構(gòu)建緩存用docker builder prune這個(gè)也是 BuildKit 時(shí)代才有的命令以前管理構(gòu)建緩存只能靠刪除整個(gè) Docker 數(shù)據(jù)目錄非常痛苦。鏡像瘦身還有一個(gè)思路是在構(gòu)建階段就控制體積。比如優(yōu)先選alpine這類瘦身版基礎(chǔ)鏡像用多階段構(gòu)建把編譯工具鏈和運(yùn)行產(chǎn)物分離開最終只把運(yùn)行所需的內(nèi)容復(fù)制到最終鏡像。這類操作直接影響的是鏡像倉庫的拉取速度和部署效率值得花時(shí)間優(yōu)化。2. 容器生命周期命令日常使用頻率最高的一批鏡像只是靜態(tài)產(chǎn)物真正干活的是容器。創(chuàng)建容器、啟動(dòng)、停止、進(jìn)入容器、看日志、刪容器這些操作構(gòu)成了日常工作的主旋律。這一部分的命令雖然看著簡(jiǎn)單但每個(gè)參數(shù)背后都有具體的場(chǎng)景用對(duì)了能省很多事情。2.1 創(chuàng)建與啟動(dòng)run 命令的常用參數(shù)一定要背熟docker run是使用頻率最高的命令它負(fù)責(zé)從鏡像創(chuàng)建并啟動(dòng)一個(gè)容器。最簡(jiǎn)單的用法docker run -d --name web -p 8080:80 nginx:1.25-d表示后臺(tái)運(yùn)行--name給容器起個(gè)名字-p做端口映射把宿主機(jī)的 8080 端口映射到容器內(nèi)的 80 端口最后是鏡像名。啟動(dòng)后終端會(huì)直接返回一個(gè)容器 ID然后你就可以用其他命令去管理它了。我這里解釋一下-p的底層邏輯因?yàn)楹芏嗳酥挥涀×烁袷讲焕斫鉃槭裁从袝r(shí)映射不上。-p 8080:80宿主機(jī)端口在左容器端口在右。訪問外網(wǎng)的http://宿主機(jī)IP:8080流量會(huì)進(jìn)入容器內(nèi)的 80 端口。如果你只寫-p 80Docker 會(huì)隨機(jī)分配一個(gè)宿主機(jī)端口你反而不容易確定訪問地址。另一個(gè)高頻參數(shù)是-v用于掛載存儲(chǔ)卷docker run -d --name db -v mysql_data:/var/lib/mysql -e MYSQL_ROOT_PASSWORDsecret mysql:8.0-v mysql_data:/var/lib/mysql表示把名為mysql_data的存儲(chǔ)卷掛載到容器內(nèi)的/var/lib/mysql數(shù)據(jù)寫在卷里容器刪了數(shù)據(jù)還在。卷的細(xì)節(jié)后面單獨(dú)講這里只要明白-v就是用來持久化數(shù)據(jù)的。還有一個(gè)容易被忽略但在生產(chǎn)環(huán)境非常關(guān)鍵的參數(shù)docker run -d --name app --restart unless-stopped myapp:1.0.0--restart unless-stopped表示如果容器因?yàn)楫惓Ｍ顺鯠ocker 會(huì)自動(dòng)重啟它。唯一不自動(dòng)重啟的情況是管理員手動(dòng)執(zhí)行了docker stop。這個(gè)參數(shù)對(duì)長(zhǎng)期運(yùn)行的容器來說幾乎是必加的很多人剛起步時(shí)不加結(jié)果服務(wù)器一重啟或者進(jìn)程崩了容器就永遠(yuǎn)停在退出狀態(tài)其他人還得手動(dòng)拉起來。-e用來設(shè)置環(huán)境變量比如剛才的MYSQL_ROOT_PASSWORD。對(duì)于需要注入配置的場(chǎng)景環(huán)境變量是最常用的方式。可以在宿主機(jī)上提前準(zhǔn)備好一個(gè)環(huán)境變量文件然后一次性傳入docker run -d --env-file .env myapp:1.0.0這種方式比直接在命令行寫一串-e要清爽得多而且.env文件可以用 git 管理模板避免密碼暴露在 shell 歷史記錄里。如果只是臨時(shí)跑一個(gè)容器做測(cè)試用完就刪可以用--rmdocker run --rm -it ubuntu:22.04 bash加上--rm后容器退出時(shí)會(huì)自動(dòng)刪除。配合-it交互模式加偽終端可以進(jìn)到容器里操作。這個(gè)組合太適合調(diào)試了不用考慮清理殘留容器的問題。2.2 進(jìn)入容器與日志不重啟服務(wù)解決問題容器運(yùn)行中你需要進(jìn)入容器內(nèi)查看狀態(tài)或者執(zhí)行命令。這時(shí)候用docker execdocker exec -it web bashexec是在運(yùn)行中的容器里再啟動(dòng)一個(gè)新的進(jìn)程-it表示以交互方式進(jìn)入。比如容器里裝的是 alpine 鏡像可能沒有 bash只有 sh那就得換成docker exec -it web sh這里想提醒一個(gè)常見誤區(qū)不要在容器里裝很多調(diào)試工具特別是生產(chǎn)環(huán)境里的容器盡量保持最小化。你需要調(diào)試時(shí)可以用docker exec在運(yùn)行時(shí)安裝臨時(shí)工具或者更推薦的方式是用docker cp把宿主機(jī)上的靜態(tài)編譯工具拷進(jìn)容器用用完再丟掉?？慈罩臼嵌ㄎ粏栴}最直接的方式docker logs web默認(rèn)只顯示標(biāo)準(zhǔn)輸出和標(biāo)準(zhǔn)錯(cuò)誤。如果日志太多加--tail只看最近多少行docker logs --tail 100 web如果服務(wù)一直在打印日志你希望實(shí)時(shí)看加-fdocker logs -f web這個(gè)命令會(huì)持續(xù)輸出日志直到你按 CtrlC 中斷。注意docker logs只能看到容器內(nèi)進(jìn)程寫到標(biāo)準(zhǔn)輸出和標(biāo)準(zhǔn)錯(cuò)誤的內(nèi)容。如果應(yīng)用自己寫日志文件比如寫到了/var/log/app.log那docker logs什么也看不到你得exec進(jìn)去看文件或者在啟動(dòng)容器時(shí)把日志文件重定向到標(biāo)準(zhǔn)輸出很多鏡像的官方 Dockerfile 就是這么設(shè)計(jì)的。如果你想看容器里跑了哪些進(jìn)程docker top web這個(gè)命令相當(dāng)于容器內(nèi)的ps可以快速確認(rèn)進(jìn)程是否存在、PID 是多少。查看容器狀態(tài)和配置信息用docker inspect web同樣是一大段 JSON包含容器的網(wǎng)絡(luò) IP、掛載卷、環(huán)境變量、啟動(dòng)命令、重啟次數(shù)等。排查問題時(shí)優(yōu)先看這里面的State字段它會(huì)告訴你容器當(dāng)前處于running、exited、restarting還是paused狀態(tài)還有退出碼和退出時(shí)間。2.3 停止、刪除與批量操作清理現(xiàn)場(chǎng)的基礎(chǔ)功停止一個(gè)容器docker stop web停止所有容器docker stop $(docker ps -q)docker ps -q只輸出容器的 ID 列表這個(gè)組合非常實(shí)用。docker ps默認(rèn)只顯示運(yùn)行中的容器如果想看所有容器包括已經(jīng)退出的加-adocker ps -a清理已經(jīng)退出的容器docker container prune這個(gè)命令會(huì)刪除所有處于exited狀態(tài)的容器。如果你確定某個(gè)容器沒用了直接刪docker rm web如果有運(yùn)行中的容器要?jiǎng)h得先停再刪或者用強(qiáng)制刪除docker rm -f web-f會(huì)先發(fā) SIGKILL 信號(hào)直接殺掉容器進(jìn)程再刪除。能不用就不用因?yàn)閼?yīng)用可能沒來得及做優(yōu)雅關(guān)閉導(dǎo)致數(shù)據(jù)損壞。如果你用的是--rm啟動(dòng)的容器停止后容器會(huì)被自動(dòng)清理不需要你再手動(dòng)rm。批量刪除所有容器包括運(yùn)行中的可以組合docker rm -f $(docker ps -aq)這個(gè)命令在你要清空整個(gè)環(huán)境做測(cè)試時(shí)非常管用但生產(chǎn)環(huán)境慎用你確認(rèn)沒有任何有用的容器再執(zhí)行。3. 網(wǎng)絡(luò)與存儲(chǔ)兩個(gè)最容易被忽視的模塊容器跑起來只是第一步真正讓它變得好用網(wǎng)絡(luò)和存儲(chǔ)的配置是分不開的。容器之間要通信就得配置網(wǎng)絡(luò)數(shù)據(jù)要持久化就得用存儲(chǔ)卷。很多人命令背得很熟但到網(wǎng)絡(luò)不通、數(shù)據(jù)丟失的時(shí)候才意識(shí)到這兩個(gè)模塊有多重要。3.1 容器網(wǎng)絡(luò)從 bridge 到自定義網(wǎng)絡(luò)Docker 默認(rèn)有三種網(wǎng)絡(luò)模式bridge、host、none。平時(shí)我們用docker run啟動(dòng)容器時(shí)默認(rèn)就是bridge網(wǎng)絡(luò)容器會(huì)獲得一個(gè)虛擬 IP宿主機(jī)可以通過端口映射訪問它。查看當(dāng)前網(wǎng)絡(luò)列表docker network ls查看某個(gè)網(wǎng)絡(luò)里有哪些容器docker network inspect bridge這個(gè)命令會(huì)輸出連接在這個(gè)網(wǎng)絡(luò)下的所有容器及其 IP 地址。多容器服務(wù)部署時(shí)我強(qiáng)烈建議你創(chuàng)建一個(gè)自定義網(wǎng)絡(luò)而不是把所有容器都放在默認(rèn)的bridge里docker network create mynet創(chuàng)建好后在docker run時(shí)指定網(wǎng)絡(luò)docker run -d --name app --network mynet myapp:1.0.0 docker run -d --name db --network mynet -e DB_HOSTdb mysql:8.0自定義網(wǎng)絡(luò)里有一個(gè)非常重要的特性容器之間可以直接用容器名互相訪問。上面例子中app容器訪問數(shù)據(jù)庫只需要配置DB_HOSTdbDocker 內(nèi)置的 DNS 會(huì)自動(dòng)把db解析成對(duì)應(yīng)容器的 IP。這就是容器編排的基礎(chǔ)比你去查 IP 再手動(dòng)配置可靠得多。排查網(wǎng)絡(luò)問題的時(shí)候經(jīng)常用到docker exec app ping db注意有些容器鏡像里沒有ping命令那就用docker exec app getent hosts db如果getent hosts能解析出 IP但網(wǎng)絡(luò)還是不通再看防火墻和網(wǎng)絡(luò)模式。這里有個(gè)經(jīng)驗(yàn)同一臺(tái)宿主機(jī)上優(yōu)先用自定義網(wǎng)絡(luò)而不是host網(wǎng)絡(luò)。host模式雖然性能好一些但容器直接用宿主機(jī)網(wǎng)絡(luò)端口沖突和安全隱患都比較麻煩日常開發(fā)場(chǎng)景不推薦。3.2 存儲(chǔ)卷容器刪了數(shù)據(jù)不能丟用-v掛載數(shù)據(jù)卷是持久化的核心方案。Docker 的存儲(chǔ)卷分兩種一種是 Docker 管理的卷另一種是綁定掛載宿主機(jī)目錄。使用 Docker 卷的方式docker volume create data_vol docker run -d --name db -v data_vol:/var/lib/mysql mysql:8.0查看所有卷docker volume ls查看某個(gè)卷的掛載位置和占用情況docker volume inspect data_vol綁定掛載宿主機(jī)目錄的方式docker run -d --name web -v /opt/site:/usr/share/nginx/html nginx:1.25這種方式的優(yōu)勢(shì)是你可以直接在宿主機(jī)上修改文件容器內(nèi)立刻就能看到非常適合本地開發(fā)。但在生產(chǎn)環(huán)境我更推薦用 Docker 卷因?yàn)樗臄?shù)據(jù)由 Docker 統(tǒng)一管理遷移、備份更容易權(quán)限問題也更少。清理卷時(shí)注意docker volume prune會(huì)刪除所有未被容器引用的卷。這個(gè)命令要謹(jǐn)慎因?yàn)槿绻萜饕呀?jīng)刪了但你以為卷里還有數(shù)據(jù)一旦執(zhí)行 prune數(shù)據(jù)就沒了。刪除單個(gè)卷用docker volume rm data_vol3.3 備份、恢復(fù)與遷移容器間的數(shù)據(jù)搬運(yùn)數(shù)據(jù)卷的備份是一個(gè)經(jīng)常被問到的問題。假設(shè)你有一個(gè)容器db掛載了卷data_vol需要把卷里的數(shù)據(jù)打包備份。一個(gè)很實(shí)用的思路是借助臨時(shí)容器來打包docker run --rm -v data_vol:/source -v $(pwd):/backup alpine tar czf /backup/db_backup.tar.gz -C /source .這條命令的含義是啟動(dòng)一個(gè)臨時(shí) alpine 容器把data_vol掛載到/source把當(dāng)前目錄掛載到/backup然后在容器內(nèi)執(zhí)行tar打包/source目錄的內(nèi)容到/backup/db_backup.tar.gz。因?yàn)橛昧?-rm容器打包完就自動(dòng)刪除了宿主機(jī)的當(dāng)前目錄下就會(huì)生成備份文件?；謴?fù)數(shù)據(jù)的方向反過來即可docker run --rm -v data_vol:/target -v $(pwd):/backup alpine sh -c tar xzf /backup/db_backup.tar.gz -C /target如果你只是想從一個(gè)容器把文件拷到宿主機(jī)或者從宿主機(jī)拷進(jìn)容器用docker cpdocker cp web:/etc/nginx/nginx.conf ./nginx.conf docker cp ./nginx.conf web:/etc/nginx/nginx.confdocker cp不用啟動(dòng)容器的 shell非常適合快速提取配置和日志。4. Compose 編排命令多容器場(chǎng)景的默認(rèn)答案單容器用docker run還行一旦服務(wù)多起來比如應(yīng)用加數(shù)據(jù)庫加緩存加消息隊(duì)列手寫一長(zhǎng)串docker run命令既不直觀也不好維護(hù)。Compose 這個(gè)工具就是干這個(gè)的它用 YAML 文件描述多容器的啟動(dòng)配置一條命令拉起整個(gè)服務(wù)棧。4.1 Compose v2 與舊命令的變化用 Compose 之前你需要寫一個(gè)docker-compose.yml文件。以前大家用的命令是docker-compose up注意有連字符。現(xiàn)在新版 Docker 把 Compose 集成進(jìn)了 Docker CLI直接用docker compose中間是空格。如果你用的是新版 Docker建議直接用docker compose命令更統(tǒng)一也避免和舊版工具混淆。集成后的docker compose和舊版docker-compose大部分子命令是兼容的。如果你是照著老教程操作發(fā)現(xiàn)docker-compose命令提示不存在不用驚慌換成docker compose即可。4.2 常用命令序列一條命令拉起整個(gè)服務(wù)棧最核心的就是docker compose up -d-d表示后臺(tái)運(yùn)行加上它之后Compose 會(huì)根據(jù) YAML 文件里定義的服務(wù)依次創(chuàng)建和啟動(dòng)容器。首次執(zhí)行會(huì)先拉取鏡像再啟動(dòng)之后執(zhí)行時(shí)如果配置沒變化容器會(huì)被復(fù)用只會(huì)重建有改動(dòng)的服務(wù)。查看當(dāng)前 Compose 項(xiàng)目下所有服務(wù)的狀態(tài)docker compose ps查看日志docker compose logs -f如果只想看某個(gè)服務(wù)的日志docker compose logs -f web停止服務(wù)但保留容器和網(wǎng)絡(luò)docker compose stop停止并刪除所有容器、網(wǎng)絡(luò)docker compose down注意down默認(rèn)不會(huì)刪除存儲(chǔ)卷。如果你想把卷也刪了加-vdocker compose down -v這個(gè)操作會(huì)連數(shù)據(jù)一起清掉正式環(huán)境要三思。進(jìn)入了 Compose 項(xiàng)目目錄后服務(wù)之間直接用服務(wù)名互通。比如 YAML 里定義了一個(gè)db服務(wù)那web服務(wù)里配置連接地址時(shí)直接寫db:3306Compose 會(huì)自動(dòng)創(chuàng)建網(wǎng)絡(luò)并完成 DNS 解析這一點(diǎn)和之前講的自定義網(wǎng)絡(luò)是同一個(gè)原理。想進(jìn)入某個(gè)服務(wù)的容器里調(diào)試docker compose exec web sh這個(gè)命令和單容器的docker exec一樣只是通過服務(wù)名找到對(duì)應(yīng)的容器。4.3 多環(huán)境配置與變量管理不同環(huán)境開發(fā)、測(cè)試、生產(chǎn)需要不同的配置Compose 支持用環(huán)境變量插值。在 YAML 文件里可以這樣寫services: app: image: myapp:${TAG:-latest}${TAG:-latest}表示讀取當(dāng)前 shell 環(huán)境變量里的TAG如果沒有設(shè)置就用默認(rèn)值latest。更方便的做法是用.env文件。Compose 會(huì)自動(dòng)讀取項(xiàng)目根目錄下的.env文件里的變量你可以在里面配置TAG1.2.0 DB_PASSWORDsecret然后在 YAML 里引用services: app: image: myapp:${TAG} db: environment: MYSQL_ROOT_PASSWORD: ${DB_PASSWORD}這種做法最大的好處是配置和代碼可以分離提交到版本庫的時(shí)候把.env加入.gitignore避免密碼泄露。5. 故障排查與實(shí)用組合技前面講的都是標(biāo)準(zhǔn)操作但實(shí)際工作里你總會(huì)遇到一些莫名其妙的問題。容器起不來、網(wǎng)絡(luò)不通、磁盤漲滿、日志刷屏這些問題單獨(dú)看都不難難的是快速定位到正確方向。這里我整理了幾個(gè)高頻問題的排查思路和幾個(gè)能大幅提升效率的命令組合。5.1 容器卡在退出狀態(tài)先看退出碼和完整日志容器啟動(dòng)后馬上退出這是遇到最多的一個(gè)問題。第一步永遠(yuǎn)是用docker ps -a看容器的狀態(tài)和退出碼第二步用docker logs看日志。退出碼是一個(gè)很重要的線索。比如退出碼為 1通常是應(yīng)用本身的錯(cuò)誤比如配置參數(shù)不對(duì)、端口被占用、數(shù)據(jù)庫連不上。退出碼為 127通常是命令找不到比如鏡像里沒有你指定的啟動(dòng)命令。退出碼為 137說明容器被強(qiáng)制殺掉了通常是內(nèi)存超限被 OOM Killer 殺掉或者是執(zhí)行了docker kill。如果docker logs輸出很少或者什么也沒有可以用docker inspect看State.ExitCode和Error字段有時(shí)候 Docker 會(huì)直接告訴你啟動(dòng)失敗的原因。再不行就手動(dòng)在前臺(tái)跑一次去掉-d參數(shù)docker run --rm myapp:1.0.0前臺(tái)模式啟動(dòng)時(shí)應(yīng)用日志會(huì)直接打到終端上很多問題一眼就能看出來。這個(gè)方法聽著簡(jiǎn)單但在定位問題時(shí)比反復(fù)看logs要快得多。5.2 清理僵尸容器與懸空鏡像磁盤爆滿的應(yīng)急方案服務(wù)器磁盤滿了很多服務(wù)會(huì)異常這時(shí)候要快速找到誰在占用空間。先看全局概況docker system df然后按占用大小排序找到最大的容器日志文件。容器日志文件默認(rèn)被 Docker 寫在宿主機(jī)的/var/lib/docker/containers/容器ID/目錄下用du可以快速定位du -sh /var/lib/docker/containers/* | sort -rh | head -20找到特別大的日志文件后會(huì)看到形如*-json.log的文件。這個(gè)日志文件如果不加限制會(huì)一直增長(zhǎng)解決方案有兩個(gè)。臨時(shí)處理是清空文件內(nèi)容truncate -s 0 /var/lib/docker/containers/容器ID/*-json.log永久方案是在 Docker 配置里限制日志大小比如在/etc/docker/daemon.json里加{ log-driver: json-file, log-opts: { max-size: 10m, max-file: 3 } }然后重啟 Docker 生效。這個(gè)配置建議在搭建環(huán)境的時(shí)候就加上不然等到磁盤報(bào)警再來處理節(jié)點(diǎn)上的服務(wù)可能已經(jīng)因?yàn)榇疟P寫滿而掛掉了。清理完日志之后批量清理無用資源可以用docker system prune -a --volumes這條命令會(huì)嘗試刪除所有未被使用的鏡像、容器、網(wǎng)絡(luò)、構(gòu)建緩存和卷。它非常激進(jìn)我建議平時(shí)只用docker system prune不帶--volumes的版本卷要單獨(dú)確認(rèn)后再清理。5.3 資源占用分析容器為什么越來越慢容器運(yùn)行變慢最直接的原因就是資源配額或者宿主機(jī)資源不夠。查看容器資源占用docker statsdocker stats會(huì)實(shí)時(shí)顯示所有容器的 CPU、內(nèi)存、網(wǎng)絡(luò) I/O、磁盤 I/O。如果某一個(gè)容器內(nèi)存一路飆升你可以用--memory參數(shù)給它限制內(nèi)存上限docker run -d --memory 512m --memory-swap 512m myapp:1.0.0--memory-swap設(shè)置為和--memory一樣表示禁止使用 swap避免內(nèi)存超限后性能驟降。寫服務(wù)的同學(xué)一定深有體會(huì)沒有限制的應(yīng)用在內(nèi)存泄漏時(shí)能直接把整臺(tái)機(jī)器拖垮加個(gè)配額能保護(hù)旁邊的容器。查看容器內(nèi)進(jìn)程的 CPU 占用更加精細(xì)一些docker top web再配合宿主機(jī)的ps或者top來判斷是不是有其它進(jìn)程干擾。如果是宿主機(jī)上其它非 Docker 進(jìn)程占用了大量 CPU那問題就出在 Docker 外部不要在容器里反復(fù)找原因。5.4 高頻命令組合與快捷操作下面這幾個(gè)組合命令我寫進(jìn)了 shell 的 alias幾乎每天都會(huì)用到。一鍵進(jìn)入容器。如果容器用docker compose管理就dc exec web bash其中dc是docker compose的簡(jiǎn)寫。在命令行里可以這樣設(shè)置alias dcdocker compose一鍵查看所有容器的 IPdocker ps -q | xargs -I {} docker inspect -f {{.Name}} {{.NetworkSettings.IPAddress}} {}一鍵清理退出容器和懸空鏡像docker container prune -f docker image prune -f一鍵停止再刪除 Compose 管理的所有容器docker compose down這幾個(gè)組合背后的思路其實(shí)就一個(gè)單個(gè)命令能做的事組合起來一次性完成減少人肉重復(fù)操作也能避免漏清理。排查問題的時(shí)候減少手動(dòng)步驟就是在降低出錯(cuò)概率。我自己的感受是Docker 命令不需要背全部但常用的核心命令一定要形成肌肉記憶。尤其是run、exec、logs、inspect、compose up這幾個(gè)幾乎每天都要用用熟了之后排查問題的速度會(huì)快很多。另外新版本 Docker 的命令一直在迭代比如docker image prune、docker builder prune這類子命令就是近幾年的新東西如果你還在用很老的命令版本遇到一些提示不存在的情況先確認(rèn)一下 Docker 版本很多問題其實(shí)是版本差異導(dǎo)致的。