Docker 容器和虚拟化技术这两件事很多刚接触的朋友是把它们混在一起理解的觉得装个 Docker 就等于用了虚拟机。等真正在一台 openEuler 机器上把 Docker UI 这类管理面板跑起来才会发现两者的分界线在资源模型、隔离边界、生命周期管理上完全是两套逻辑。这篇文章就围绕 OpenEuler 部署 Docker UI 这一件事把背后的选型逻辑、环境准备、参数计算、实操命令、加固策略和踩坑记录完整讲一遍。Docker 容器负责进程级的轻量隔离虚拟化负责硬件级的强隔离而 Docker UI 面板则是把 Docker Engine 的 API 用人能看懂的方式渲染出来的一个前端。装面板这件事听起来简单但把它装到能用、能给别人用、能长期稳定用中间隔着防火墙、SELinux、cgroup 版本、证书、权限模型好几道坎。适合已经会用几条 docker 命令、但还没系统梳理过容器运行时环境的读者也适合需要给团队内部搭一套可视化容器管理入口的运维同学。全程按我实际在一台测试机上的操作顺序来写命令可以直接抄。1. 先把容器与虚拟化的边界划清楚1.1 从一次资源评估说起虚机与容器的成本差异年初我接手一个内部环境的整理工作原本是一台物理机上跑了四台虚拟机每台虚机里再装一套 Docker层层套娃。四台虚机各分了 8 核 16G实际负载用 top 一看CPU 长期在 5% 以下内存堆着没释放的缓存。这种情况就是典型的用虚拟化做隔离结果把资源预算全花在空转的操作系统上了。虚拟机的隔离粒度是硬件抽象层Hypervisor 给每台虚机切出独立的虚拟 CPU、内存、磁盘和网卡客户机里跑的是完整的操作系统内核启动要经历 BIOS 模拟、内核引导、init 拉起一整套流程冷启动一分钟起步很正常。容器完全是另一条路。它复用宿主机内核靠 namespace 做视图隔离PID、网络、挂载点、UTS、IPC、用户靠 cgroup 做资源配额和统计。一个容器启动本质上是 fork 一个进程再给它套上一层隔离视图所以秒级甚至百毫秒级就起来了。内存开销上容器里不需要再跑一套 systemd、udev、日志守护进程省下来的就是实实在在的可用内存。我那次整理把四台虚机合并成一台宿主机加十几个容器内存占用从 64G 降到 18G 左右启动时间从分钟级压到秒级。但容器不是万能的。共享内核意味着内核出问题大家一起遭殃隔离强度也不如虚机跑不可信负载或者需要不同内核版本的时候虚机仍然是对的选择。我的实际做法是分层底层用 KVM 虚机做资源的硬边界虚机内部再用 Docker 跑业务容器最上面加一层 UI 面板做日常可视化操作。这个组合在很多内部环境里都成立也是我推荐新手先建立的心智模型。维度虚拟机容器隔离边界硬件抽象层独立内核内核 namespace cgroup启动耗时分钟级秒级以内单实例内存开销数百 MB 起Guest OS数 MB 起进程本体密度单机十几台单机几十到上百个内核版本各实例可不同与宿主机共享适用场景强隔离、异构内核、不可信负载微服务、CI 构建、环境一致性1.2 OpenEuler 上跑容器的几个隐性优势选 OpenEuler 作为容器宿主机除了生态和许可方面的考虑有几个技术点在实际使用中确实省事。它的内核版本比较新对 overlay2 存储驱动、cgroup v2、以及 cgroup namespace 的支持都比较完整这意味着 Docker 的默认配置基本能开箱工作不需要像在老内核上那样反复调存储驱动。overlay2 相比早期的 devicemapper元数据开销小、层数支持多、跨层文件读取快是当前最稳的默认选择。第二个是 systemd 与 cgroup 驱动的一致性。Docker 的 cgroup driver 如果和 systemd 不一致会出现容器资源限制不生效、systemctl status docker里一堆告警的情况。新版本 Docker 默认就用 systemd 驱动和 OpenEuler 的 systemd 版本匹配省掉了改配置这一步。第三个是防火墙和 SELinux 的默认策略。这两样是容器部署里最容易出问题的地方openEuler 默认启用 firewalldSELinux 一般是 permissive 或者关闭状态。firewalld 和 Docker 的 iptables 规则会打架这个坑后面单独讲。SELinux 如果是 enforcing容器挂载宿主机目录会直接 Permission denied需要打:z或者:Z标签。提前知道这两件事能省下大半天排查时间。提示动手前先确认三件事——getenforce看 SELinux 状态systemctl is-active firewalld看防火墙uname -r看内核版本。这三条信息决定了后面要不要额外处理。2. 环境准备与 Docker 引擎安装的取舍2.1 系统基线检查清单装机之后别急着敲 docker 命令先花五分钟做基线检查。我用的是一个固定清单逐项过一遍后面出问题的概率能降一大半。第一项是时间同步容器之间、容器和宿主机之间做 TLS 握手、日志对齐都依赖时间准确timedatectl status看 NTP 是否激活没激活就timedatectl set-ntp true。第二项是磁盘分区df -h确认/var或者准备放 Docker 数据的那块盘有足够空间根分区只剩 10G 的话拉几个镜像就满了。第三项是内存和 swap。容器默认不做内存限制的时候会吃掉宿主机所有可用内存然后触发 OOM Killer 随机杀进程这个行为很难预测。建议在 daemon 层面或者容器层面显式限制。swap 的话如果宿主机开了 swapcgroup 内存限制的语义会变得复杂很多生产环境干脆swapoff -a或者通过--memory-swap显式控制。第四项是主机名和 hosts容器里如果没有正确的主机名解析一些需要反向解析的服务会卡在启动阶段。# 基线检查一把梭 timedatectl status df -h /var /var/lib/docker 2/dev/null free -h getenforce systemctl is-active firewalld uname -r sysctl net.ipv4.ip_forwardnet.ipv4.ip_forward这一项很关键Docker 要做端口映射和容器间转发这个内核参数必须是 1。如果之前有人为了安全把它关了Docker 启动时会报iptables failed或者bridge相关错误。临时开用sysctl -w net.ipv4.ip_forward1持久化写进/etc/sysctl.d/99-docker.conf。2.2 安装源的选择与离线包的处理openEuler 上装 Docker 有两条主流路径。第一条是用系统自带软件源里的引擎包dnf search docker先把包名确认清楚不同小版本的命名可能是docker也可能是docker-engine直接猜包名容易装错。用系统源的好处是依赖关系自动解决、后续可以跟着系统更新走坏处是版本可能偏旧某些新特性用不上。第二条是用上游的二进制包或者离线 rpm 包。内网环境、生产环境不能直连外网的时候这条路径几乎是唯一选择。做法是在一台能联网的同版本机器上用dnf download --resolve把依赖全拉下来拷到目标机dnf install ./*.rpm。注意--resolve参数必须加否则 containerd.io、runc 这些依赖得手动一个个找非常痛苦。# 联网机器上收集离线包 mkdir -p /tmp/docker-offline cd /tmp/docker-offline dnf download --resolve docker-engine docker-compose-plugin # 目标机上安装 cd /tmp/docker-offline dnf install -y ./*.rpm装完先别启动把 daemon 配置写好再启免得来回重启。这里有个顺序上的经验/etc/docker/daemon.json必须在服务启动前就位否则第一次启动会用默认的>systemctl stop docker mkdir -p /data/docker rsync -aHAX --delete /var/lib/docker/ /data/docker/然后写 daemon 配置。下面这份是我在多数场景下的基线参数含义逐条说明>{ data-root: /data/docker, exec-opts: [native.cgroupdriversystemd], log-driver: json-file, log-opts: { max-size: 50m, max-file: 3 }, live-restore: true, default-address-pools: [ {base: 172.30.0.0/16, size: 24} ] }default-address-pools这行值得单独算一笔。Docker 默认给每个 bridge 网络从172.17.0.0/16开始分配/16网段第二个网络就是172.18.0.0/16以此类推。如果你的内网里已经有172.17.x.x的服务或者跟虚机网段撞了容器出网就会时通时不通症状极其诡异。改成从172.30.0.0/16里切/24子网之后理论上能切出 256 个网络每个网络 254 个可用地址对绝大多数单机场景绰绰有余。这个池子的大小要结合你预计创建的 compose 项目数量来定一个 compose 项目默认建一个网络按项目数往上留一倍余量比较稳妥。磁盘容量估算也给个公式镜像总量按平均每个 500MB 乘以预计镜像数容器日志按单容器 50MB × 3 个文件算卷按业务实际数据量估三者相加再乘 1.5 作为水位余量。二十个容器、三十个镜像的规模粗略算下来 15G 镜像 3G 日志 卷准备 40G 到 50G 是比较舒服的区间。3. Docker UI 面板选型为什么不能随便装一个3.1 三类主流方案的对比Docker UI 这个说法在社区里指的是一类东西本质都是 Docker Engine API 的图形化客户端。它们调用/var/run/docker.sock或者tcp://host:2375上的 API把容器列表、镜像、网络、卷、日志这些资源渲染成网页。选型上大致分三类。第一类是通用容器管理面板功能全、支持多节点、有用户体系和 RBAC适合团队共用。第二类是极简型的单机面板只做容器和镜像的增删查代码量小、依赖少、攻击面也小适合个人或者临时环境。第三类是把容器管理和编排、应用模板、GitOps 揉在一起的平台型工具功能强但部署复杂度上一个台阶机器配置不够会很难受。方案类型典型特征资源占用多节点用户与权限适用场景通用管理面板用户体系、RBAC、模板、镜像仓库集成中等200MB 内存起支持完善团队内部共用、多环境统一入口极简单机面板容器与镜像基础操作低30 到 80MB不支持基本没有个人测试机、临时排障平台型工具编排、应用市场、CI 集成高1G 内存起支持完善有专职运维的中大型环境我自己的选择逻辑很简单如果这台机器只给自己用装个极简的就够了多一个组件多一份维护成本如果是给团队开个入口让不熟悉命令行的同学也能看日志、重启容器那必须选有用户体系和权限控制的面板否则等于把 root 权限的遥控器扔在公共区域。3.2 端口与访问路径的规划不管选哪个面板网络规划这一步得先做。面板本身是个 Web 服务会监听一到两个端口常见的是 9443HTTPS 管理界面和 8000边缘代理隧道。规划时问自己三个问题谁能访问、从哪访问、走不走加密。我的习惯是把面板端口绑定到127.0.0.1前面放一个反向代理做 TLS 终止和访问控制对外只暴露反向代理的 443。这样做的好处是端口不直接暴露在网络上扫描器扫不到证书只需要在反向代理维护一份不用管面板自己那套自签证书访问日志统一在反向代理侧方便审计。# 只监听本地回环的绑定写法 docker run -d -p 127.0.0.1:9443:9443 ...这个写法和-p 9443:9443的区别很大后者会在0.0.0.0上监听配合 Docker 直接写 iptables 的行为会绕过 firewalld 的 zone 规则直接放通相当于你以为防火墙拦住了其实是敞开的。绑定到回环之后Docker 写的那条 DNAT 规则只对本地流量生效外网进不来安全性直接拉满。3.3 权限模型别把容器运行时套接字裸奔这里要讲一个很多人忽略的点。把/var/run/docker.sock挂进容器等于把宿主机的 root 权限交给了这个容器。因为通过这个套接字可以创建特权容器、挂载宿主机根目录、读取任意文件逃逸出去只是几步的事。面板本身是可信的但它暴露在网络上有被攻击的风险一旦面板被拿下宿主机也就没了。三种缓解思路按实现成本从低到高排。第一种是收紧网络暴露面只绑回环、前面加认证代理、上 TLS这层成本最低效果也最直接。第二种是上套接字代理一个专门的小容器以只读方式挂载 docker.sock只开放需要的 API 端点面板连代理而不是连真套接字。第三种是换用无根模式或者 TCP 双向 TLS 的远程接入方式复杂度更高。套接字代理的用法大致是这样把它和面板放同一个自定义网络里面板的连接地址填代理的服务名加端口docker network create ui-net docker run -d --name socket-proxy \ --network ui-net \ --restart unless-stopped \ -v /var/run/docker.sock:/var/run/docker.sock:ro \ -e CONTAINERS1 -e IMAGES1 -e NETWORKS1 \ -e VOLUMES1 -e EXEC1 -e INFO1 \ tecnativa/docker-socket-proxy环境变量是白名单机制只写你自己需要的没写的端点会被 403。注意EXEC1能开就尽量别开它允许在容器里执行命令等于绕过了所有镜像层的不可变性保证。POST0是默认值如果你只想让人看不想让人改保持默认就行。4. 实操把面板跑起来并接上引擎4.1 目录、卷与启动参数的逐一解释我用容器化部署面板本身这样升级就是换个镜像标签的事。第一步先建一个命名卷存面板自己的数据包括用户、密码哈希、端点配置、访问令牌。用命名卷而不是绑定目录省得处理权限和 SELinux 标签问题。docker volume create portainer_data第二步启动容器。命令我拆成逐参数解释这些参数都是踩过坑之后留下来的docker run -d \ --name portainer \ --restart unless-stopped \ -p 127.0.0.1:9443:9443 \ -v /var/run/docker.sock:/var/run/docker.sock \ -v portainer_data:/data \ portainer/portainer-ce:latest--restart unless-stopped保证宿主机重启后面板自动起来但手动 stop 之后不会自作主张再启动这个语义比always更贴合运维直觉。-v /var/run/docker.sock这一行是面板能工作的前提它让容器内的进程能访问宿主机的容器运行时。-v portainer_data:/data是持久化目录没有这个容器一删配置全丢重新初始化很麻烦。镜像标签我写的是latest正式环境建议钉死具体版本号比如2.19.4这种避免某天自动拉到不兼容的新版本。启动后docker logs -f portainer看日志正常会输出监听端口的提示。浏览器访问https://127.0.0.1:9443第一次会让你设置管理员密码密码要求至少 12 位我建议直接用密码管理器生成一串随机串存好这玩意儿丢了只能重置数据卷等于配置全重来。4.2 接上已有容器与远程节点初始化向导里会让你选环境类型本地 Docker 就直接选 Docker面板会自动填好套接字路径。这里有个细节如果面板本身跑在容器里套接字路径要填容器内的路径也就是/var/run/docker.sock而不是宿主机的什么别的路径。因为容器已经把这个文件挂进来了容器内看到的路径就是挂载点。接远程节点用 TCP 加 TLS 的方式需要在被管节点上开启 2376 端口并配置证书。这个方式的好处是面板可以统一管理多台机器坏处是证书管理麻烦尤其是节点多了之后。我的折中方案是核心的几台机器用 TCP TLS 接入临时机器用边缘代理方式在被管节点上跑一个 agent 容器主动连回面板的 8000 端口不需要开放入向端口穿透内网比较方便。接入之后面板上能看到容器列表、镜像列表、网络、卷还能进容器看日志、开终端、看资源占用曲线。资源曲线这块要注意面板采的是 Docker stats 接口的数据采样频率不高别拿它当监控系统用做容量规划还是得上专门的监控。4.3 反向代理与证书配置前面说了端口绑回环对外访问靠反向代理。配置文件里几个点必须写对否则会看到空白页或者连接被重置。server { listen 443 ssl; server_name console.example.internal; ssl_certificate /etc/nginx/certs/server.crt; ssl_certificate_key /etc/nginx/certs/server.key; ssl_protocols TLSv1.2 TLSv1.3; location / { proxy_pass https://127.0.0.1:9443; proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection upgrade; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; proxy_ssl_verify off; proxy_read_timeout 300s; } }proxy_pass后面用的是https://因为面板自己监听的就是 HTTPS即使绑在回环上也是加密的。这就带来一个问题面板用的是自签证书Nginx 去连它的时候会校验失败所以需要proxy_ssl_verify off。这一行的代价是反向代理到面板这一段不校验证书但因为走的是本机回环实际风险可以接受。Upgrade和Connection这两行是给 WebSocket 用的。面板的容器终端、日志流式输出都依赖 WebSocket缺了这两行页面上点终端会一直转圈或者提示连接断开但其他页面都正常很容易误判成面板的 bug。proxy_read_timeout调大是因为长时间挂着的日志流会被默认 60 秒超时切断改成 300 秒之后体验好很多。证书这块内网环境用自签或者内部 CA 签发都行签发的时候 SAN 一定要把访问用的域名写进去只写 IP 的话浏览器会报名称不匹配。自签证书在浏览器里会有一个警告页如果是给团队用最好还是走内部 CA把根证书推送到各终端省得每个人都来问一遍怎么跳过警告。5. 部署之后的加固与日常维护5.1 用户分层与最小权限落地面板装好只是开始真正决定它能不能长期用的是权限设计。默认情况下第一个注册的账号是管理员能看能改能删。给团队开放的时候我会按角色拆成三层一层是只读观察者能看容器状态和日志不能做任何变更一层是运维操作员能重启容器、拉镜像、清理无用资源但不能改端点配置和用户一层是管理员一到两个人负责用户和端点管理。这个分层的依据是操作的可逆性。重启容器可逆删容器不可逆改端点配置影响面大所以权限按不可逆程度递增。实际操作中很多人图省事所有人给管理员结果某天有人误删了一个没有挂卷的数据库容器数据就真没了。这种事故我见过不止一次加一层角色控制就能避免。5.2 磁盘水位与资源回收容器环境最容易出事的地方是磁盘。镜像层越堆越多、日志越写越大、卷里的临时数据没人清几个月下来磁盘就满了。我的做法是三道防线。第一道是日志限制前面 daemon.json 里的max-size和max-file已经解决了一大半单个容器最多占 150MB 日志空间。第二道是定期清理用docker system df看空间分布docker image prune清悬空镜像docker builder prune清构建缓存。清理命令别用带-a的全量清理那会把你还在用的镜像删掉容器重启的时候拉不下来就尴尬了。第三道是水位告警宿主机上放一个定时任务磁盘使用率超过 80% 就往内部通知渠道发一条。# 看看空间都花在哪了 docker system df -v # 清悬空镜像和构建缓存不动在用的 docker image prune -f docker builder prune -fdocker system df -v的输出里RECLAIMABLE 那一列是关键它告诉你哪些空间是可以回收的。如果这一列数字很大但清理命令删不掉通常是还有容器引用着这些镜像层得先把容器处理掉。5.3 配置备份与快速恢复面板的配置全在那个命名卷里包括用户、密码哈希、端点、访问令牌。备份思路很简单定期把卷的内容打包出来存到另一台机器上。命名卷在宿主机上的实际路径是/data/docker/volumes/portainer_data/_data用 tar 打包的时候注意保留权限。tar -czf /backup/portainer_data_$(date %F).tar.gz \ -C /data/docker/volumes/portainer_data _data恢复的时候反过来先停容器把内容解回卷目录改好属主再启容器。这里有个坑解包之后文件的所有者可能变成当前用户而容器里跑面板进程的 UID 是固定的权限不对会启动失败。解包后chown -R到正确的 UID 就行具体是多少可以从原环境的目录属主上看。除了卷还有一份东西必须备份你自己写的 compose 文件、daemon.json、反向代理配置。这些散落在各个目录最好统一收拢到一个配置仓库里机器挂了能快速重建。我吃过一次亏面板数据卷备份了但 compose 文件没备份重装之后所有容器的启动参数靠记忆一条条复原折腾了一下午。6. 常见问题与排查实录6.1 页面打不开、502 与空白页按现象分三种情况。第一种是浏览器直接连接超时说明端口根本没通。先ss -lntp | grep 9443看进程有没有监听再确认绑定地址是127.0.0.1还是0.0.0.0。如果绑的是回环从别的机器访问当然超时这种时候别去怀疑防火墙先看绑定地址。第二种是反向代理返回 502说明 Nginx 连不上上游。可能原因有三个面板容器没起来、端口填错、或者面板是 HTTPS 而代理配的是 HTTP。第三种是页面能打开但一片空白浏览器控制台里有一堆资源加载失败。这种情况多半是路径前缀的问题面板假定自己部署在根路径下如果反向代理配了子路径比如/portainer/静态资源路径就对不上页面自然空白。解决办法是给面板分配一个独立域名别用子路径。# 排查三连 docker ps -a | grep portainer docker logs --tail 100 portainer curl -k -I https://127.0.0.1:9443curl -k里的-k是跳过证书校验用来确认面板本身是否活着。如果本地 curl 通、通过代理不通问题就锁定在代理层。6.2 权限拒绝与 SELinux 拦截Permission denied在容器部署里出现频率极高原因分两类。第一类是文件系统权限挂载的目录属主和容器内进程的 UID 不匹配。容器里跑服务的用户往往不是 root比如 UID 1000而宿主机上的目录属主是 root写不进去。解决办法是chown到对应 UID或者在启动参数里加--user指定用户。第二类是 SELinux。enforcing 状态下容器挂载宿主机目录时即使文件权限是 777 也会被拒绝因为 SELinux 看的是安全上下文。报错信息里会带avc: denied用ausearch -m avc -ts recent能查到具体拒绝记录。最省事的处理是给挂载路径加:z后缀让 Docker 自动打上容器可读写的标签:Z是独占标签同一个目录不会被多个容器共享。# 看 SELinux 拒绝日志 ausearch -m avc -ts recent 2/dev/null | tail -20 # 给挂载目录打标签 chcon -Rt container_file_t /data/appdata我不建议图省事直接setenforce 0那是把整个系统的强制访问控制关掉风险比解决一个标签问题大得多。要么正确打标签要么在装机阶段就明确这台机器不做 enforcing别中途关。6.3 容器网络不通与时区错乱网络问题里最常见的是容器能 ping 通 IP 但解析不了域名。原因是/etc/resolv.conf里的 DNS 服务器在容器网络里不可达或者被 Docker 覆盖成了127.0.0.11内置 DNS而上游又没配好。检查方式是在容器里cat /etc/resolv.conf再用getent hosts试解析。如果宿主机用的是本地 DNS 缓存服务监听在127.0.0.53容器里是访问不到的得在 daemon.json 里显式配置dns指向真实的上游地址。另一个高频问题是容器时区不对日志时间戳差 8 小时。这跟容器精简镜像里没带时区数据有关。最轻量的做法是启动时挂载宿主机的时区文件-v /etc/localtime:/etc/localtime:ro或者在构建镜像的时候把 tzdata 装进去并设置TZ环境变量。两种方式我都用临时排障用挂载正式镜像用构建时固化后者不依赖宿主机配置可移植性更好。至于 firewalld 和 Docker 的冲突症状是容器端口在防火墙里没放通却能访问或者放通了反而访问不了。根因是 Docker 自己往 nat 表的 DOCKER 链里写规则优先级高于 firewalld 的规则。最干净的解法就是前面说的容器端口一律绑回环对外统一走反向代理让 firewalld 只管反向代理那一个端口。6.4 镜像拉取慢与仓库配置内网环境拉镜像慢是常态。配置镜像加速的方式是在 daemon.json 里加registry-mirrors数组填内部镜像仓库的地址。配置完重启 Docker 生效用docker info看输出里有没有列出来。注意镜像加速只对 Docker Hub 的镜像生效如果镜像是从别的仓库拉的得改镜像地址前缀或者在 daemon.json 里配insecure-registries内部仓库用自签证书的时候。拉取失败的另一个常见原因是磁盘满了但报错信息显示的是no space left on device之外的奇怪错误比如unexpected EOF。遇到这种情况先df -h看磁盘再看docker system df很多莫名其妙的问题根源都是磁盘。现象高概率原因排查命令处理方式浏览器连接超时端口绑在回环ss -lntp改绑定或走代理反向代理 502上游协议或端口不符curl -k -I核对 http/https 与端口页面空白子路径部署浏览器控制台改用独立域名挂载目录写不进属主或 SELinuxls -ln、ausearchchown 或加:z容器解析不了域名DNS 不可达cat /etc/resolv.confdaemon.json 配 dns日志时间差 8 小时缺时区数据date挂载 localtime 或装 tzdata防火墙规则不生效Docker 直写 iptablesiptables -t nat -L端口绑回环统一代理拉镜像报错磁盘满或仓库不可达df -h、docker info清理空间或改仓库地址我在实际使用中发现这套东西真正难的不是装而是装完之后建立一套不依赖个人记忆的维护习惯。面板的版本号钉死、备份脚本挂到定时任务、磁盘水位加监控、权限按角色分配这四件事做完这套环境基本就能自己活着了。反倒是那些装完就丢在那里的过三个月再去看多半是密码忘了、磁盘满了、或者面板更新到一半卡住。装的时候顺手把维护路径铺好比事后补救省事得多。