确保 Debian 上 Docker 稳定性的实用方案
一 基础架构与版本管理
- 使用受支持的 Debian 稳定版，并保持系统与容器运行时为最新稳定版本；定期执行升级与重启验证。
- 采用 Docker 官方 APT 仓库安装与更新，导入 GPG 密钥，确保软件包完整性与来源可信。
- 安装完成后执行自检，如运行 hello-world 验证引擎可用性。
- 建议将 Docker 服务设置为开机自启，减少重启后人工介入。
示例命令
- sudo apt update && sudo apt upgrade
- sudo apt install -y apt-transport-https ca-certificates curl gnupg lsb-release
- curl -fsSL https://download.docker.com/linux/debian/gpg | sudo gpg --dearmor -o /usr/share/keyrings/docker-archive-keyring.gpg
- echo “deb [arch=$(dpkg --print-architecture) signed-by=/usr/share/keyrings/docker-archive-keyring.gpg] https://download.docker.com/linux/debian $(lsb_release -cs) stable” | sudo tee /etc/apt/sources.list.d/docker.list > /devref
- sudo apt update && sudo apt install -y docker-ce docker-ce-cli containerd.io
- sudo systemctl enable --now docker
- sudo docker run --rm hello-world
二 运行时资源与存储 I/O 限制
- 为每个容器设置 CPU/内存硬限制，避免单容器耗尽主机资源；必要时使用 CPU 份额与 CPU 集合绑定提升隔离与可预期性。
- 对磁盘与网络进行速率限制，防止抖动扩散到其它服务；I/O 限速通过块设备 bps 限制，网络限速可借助 tc 或网络插件实现。
- 选择稳定的 overlay2 存储驱动，并配置合理的日志轮转，避免日志无限增长导致磁盘被占满。
- 持续用 docker stats 观察 CPU、内存、网络、I/O，结合业务峰值进行调优与回归测试。
示例命令
- CPU/内存：docker run -d --name app --cpus=“1.5” -m 1g myapp
- CPU 绑定：docker run -d --name app --cpuset-cpus=“0,1” myapp
- I/O 限速：docker run -d --name app --device-write-bps /dev/sda:10mb myapp
- 日志轮转（/etc/docker/daemon.json）：
{
“log-driver”: “json-file”,
“log-opts”: { “max-size”: “10m”, “max-file”: “3” }
}
- 监控：docker stats app
三 高可用与进程管理
- 以 systemd 托管 Docker 服务，启用自动重启与重启限制，减少异常退出带来的影响。
- 对关键业务容器配置健康检查（HEALTHCHECK），并配合重启策略（如 unless-stopped / on-failure）提升自愈能力。
- 将容器以非 root 用户运行，按需添加最小权限能力，降低被攻破后的影响面。
- 对需要持久化的数据使用 Docker 卷/绑定挂载，避免将关键数据写入容器可写层。
示例要点
- systemd 单元中设置 Restart=always、RestartSec=5、StartLimitIntervalSec=60、StartLimitBurst=3
- Dockerfile 健康检查：HEALTHCHECK --interval=30s --timeout=3s --retries=3 CMD curl -f http://localhost/health || exit 1
- 运行：docker run -d --name web --restart unless-stopped -p 80:80 nginx:stable
四 镜像与部署流程
- 采用 多阶段构建、小基础镜像（如 Alpine 或 Debian slim），减少攻击面与镜像体积。
- 避免使用 latest 标签，使用明确的版本号或 镜像摘要锁定依赖，确保环境一致性。
- 在 CI 中加入 镜像扫描与签名验证，提升供应链安全与可审计性。
- 合理使用 .dockerignore，减少上下文传输与缓存污染，加快构建稳定性。
示例要点
- Dockerfile 多阶段 FROM golang:1.22 AS builder … FROM alpine:3.19 COPY --from=builder /app/app /usr/local/bin/app
- 运行固定摘要：docker run --rm alpine@sha256: sh -c ‘echo ok’
五 监控 日志与故障排查
- 建立主机与容器的多层级监控（如 docker stats、日志聚合、告警），对 CPU/内存/OOM/磁盘/网络设定阈值与事件响应。
- 集中收集与分析 Docker 守护进程与容器日志，保留关键上下文，便于根因分析。
- 规范化变更与回滚流程，任何配置或镜像变更先在测试环境验证，再灰度/滚动升级。
- 常见排障路径：检查服务状态（systemctl）、查看引擎日志（journalctl -u docker）、验证镜像与网络连通性、回退到上一个稳定版本。
示例命令
- 服务与日志：systemctl status docker；journalctl -u docker -f
- 资源与连通性：docker stats；docker inspect ；docker exec -it sh
- 回退与重拉：docker pull repo/app:1.2.3；docker tag repo/app:1.2.3 repo/app:stable；滚动更新服务
