docker底层怎么做到隔离的

Docker底层通过使用linux内核的一些特性来实现隔离。具体来说，Docker通过以下几个机制来实现容器的隔离性：

1. 命名空间（Namespaces）：Docker使用Linux的命名空间功能来为每个容器创建独立的运行环境。这些命名空间包括PID（进程ID）、网络、IPC（进程间通信）、挂载点、用户和UTS（主机名与域名）等。通过使用命名空间，Docker可以确保容器中的进程只能看到它们自己的资源，而不能访问其他容器或主机上的资源。

2. 控制组（Cgroups）：Docker使用Linux的控制组功能来限制容器对系统资源的使用。通过使用控制组，Docker可以对容器的CPU、内存、磁盘和网络等资源进行限制和分配，确保容器之间的资源互相隔离，以及防止一个容器占用过多的系统资源影响其他容器或主机。

3. 文件系统（Filesystem）：Docker使用UNIOn文件系统来创建容器的文件系统。Union文件系统是通过在主机的文件系统上创建一个镜像层，并在其上添加一个可写层来实现的。这样每个容器都有自己的文件系统，对文件的修改只会发生在容器的可写层上，保证了容器之间的文件隔离性。

4. 安全增强（Security Enhancements）：Docker还通过一些安全增强措施来增强容器的隔离性。例如，它可以使用Seccomp（安全计算模式）来限制容器的系统调用，使用AppArmor或SELinux来限制容器对主机资源的访问，以及使用Linux内核的安全功能来保护容器的安全。

通过这些机制的组合使用，Docker能够实现容器的高度隔离性，使得每个容器都可以在相对独立的运行环境中运行，并且不会相互干扰。