Docker 容器和 LXC 容器很相似,所提供的安全特性也差不多.当用 docker run 启动一个容器时,在后台 Docker 为容器创建了一个独立的名字空间和控制组集合. 名字空间提供了最基础也是最直接的隔离,在容器中运行的进程不会被运行在主机上的进程和其它容器发现和作用. 每个容器都有自己独有的网络栈,意味着它们不能访问其他容器的 sockets 或接口.不过,如果主机系统上做了相应的设置,容器可以像跟主机交互一样的和其他容器交互.当指定公共端口或使用 links 来连接 2 个容器时…