联合文件系统，UnionFS，是一种分层、轻量级并且高性能的文件系统，它支持对文件系统的修改作为一次提交来一层层的叠加，同时可以将不同目录挂载到同一个虚拟文件系统下，uniteseveraldirectoriesintoasinglevirtualfilesystem，联合文件系统是Docker镜像的基础，镜像可以通过分层来进行继承...。

etcd基于Go语言实现，因此，用户可以从项目主页下载源代码自行编译，也可以下载编译好的二进制文件，甚至直接使用制作好的Docker镜像文件来体验，二进制文件方式下载编译好的二进制文件都在github.com，coreos，etcd，releases页面，用户可以选择需要的版本，或通过下载工具下载，例如，下面的命令使用curl工具下载...。

运行一个容器或应用程序的核心是通过Docker服务端，Docker服务的运行目前需要root权限，因此其安全性十分关键，首先，确保只有可信的用户才可以访问Docker服务，Docker允许用户在主机和容器间共享文件夹，同时不需要限制容器的访问权限，这就容易让容器突破资源限制，例如，恶意用户启动容器的时候将主机的根目录映射到容器的目录中...。

在介绍自定义网络拓扑之前，你可能会对一些外部工具和例子感兴趣，JérômePetazzoni编写了一个叫pipework的shell脚本，可以帮助用户在比较复杂的场景中完成容器的连接，playgroundBrandonRhodes创建了一个提供完整的Docker容器网络拓扑管理的Python库，包括路由、NAT防火墙；以及一些提供HT...。

Docker默认的桥接网卡是docker0，它只会在本机桥接所有的容器网卡，举例来说容器的虚拟网卡在主机上看一般叫做veth而Docker只是把所有这些网卡桥接在一起，如下，[root@opnvz~]#brctlshowbridgenamebridgeidSTPenabledinterfacesdocker08000.56847afe...。

可以使用dockerstop来终止一个运行中的容器，此外，当Docker容器中指定的应用终结时，容器也自动终止，例如对于上一章节中只启动了一个终端的容器，用户通过命令或来退出终端时，所创建的容器立刻终止，终止状态的容器可以用dockerps，a命令看到，例如sudodockerps，aCONTAINERIDIMAGECOMMANDCR...。

默认情况下，容器可以主动访问到外部网络的连接，但是外部网络无法访问到容器，容器访问外部实现容器所有到外部网络的连接，源地址都会被NAT成本地系统的IP地址，这是使用的源地址伪装操作实现的，查看主机的NAT规则，$sudoiptables，tnat，nL...ChainPOSTROUTING，policyACCEPT，targetpro...。

容器是Docker又一核心概念，简单的说，容器是独立运行的一个或一组应用，以及它们的运行态环境，对应的，虚拟机可以理解为模拟运行的一整套操作系统，提供了运行态环境和其他系统环境，和跑在上面的应用，本章将具体介绍如何来管理一个容器，包括创建、启动和停止等，...。

Docker底层的核心技术包括Linux上的名字空间，Namespaces，、控制组，Controlgroups，、Union文件系统，Unionfilesystems，和容器格式，Containerformat，我们知道，传统的虚拟机通过在宿主主机中运行hypervisor来模拟一整套完整的硬件环境提供给虚拟机的操作系统，虚拟机系...。

Docker默认的桥接网卡是docker0，它只会在本机桥接所有的容器网卡，举例来说容器的虚拟网卡在主机上看一般叫做veth而Docker只是把所有这些网卡桥接在一起，如下，[root@opnvz~]#brctlshowbridgenamebridgeidSTPenabledinterfacesdocker08000.56847afe...。

CoreOS的设计是为你提供能够像谷歌一样的大型互联网公司一样的基础设施管理能力来动态扩展和管理的计算能力，CoreOS的安装文件和运行依赖非常小，它提供了精简的Linux系统，它使用Linux容器在更高的抽象层来管理你的服务，而不是通过常规的YUM和APT来安装包，同时，CoreOS几乎可以运行在任何平台，Vagrant，Amazo...。

使用Django入门Fig我们现在将使用Fig配置并运行一个Django，PostgreSQL应用，在此之前，先确保Fig已经安装，在一切工作开始前，需要先设置好三个必要的文件，第一步，因为应用将要运行在一个满足所有环境依赖的Docker容器里面，那么我们可以通过编辑Dockerfile文件来指定Docker容器要安装内容，内容如下，...。

控制组是Linux容器机制的另外一个关键组件，负责实现资源的审计和限制。它提供了很多有用的特性；以及确保各个容器可以公平地分享主机的内存、CPU、磁盘IO等资源；当然，更重要的是，控制组确保了当容器内的资源使用产生压力时不会连累主机系统。尽管控制组不负责隔离容器之间相互访问、处理数据和进程，它在防止拒绝服务（DDOS）攻击方面是必不可...