Πώς λειτουργεί το Docker στο κάτω επίπεδο;

Question

Accepted Answer

Το Docker χρησιμοποιεί χαρακτηριστικά του Linux kernel — **namespaces** (απομόνωση), **cgroups** (έλεγχος πόρων), και **union filesystems** (διαστρωματωμένες εικόνες) — για να δημιουργήσει ελαφρά containers. Η κατανόηση των υποκείμενων μηχανισμών εξηγεί πώς τα containers επιτυγχάνουν απομόνωση και απόδοση.

## Namespaces — απομόνωση

```text
Linux NAMESPACES isolate what a process can SEE — giving each container its own view:
  PID namespace     → its own process tree (container sees only its processes)
  NET namespace     → its own network interfaces, IPs, ports
  MNT namespace     → its own filesystem mounts
  UTS namespace     → its own hostname
  IPC, USER namespaces → isolated IPC, user/group ID mapping
→ Namespaces are WHY a container feels like a separate machine (isolated view),
  while actually sharing the host kernel.
```

## cgroups — έλεγχος πόρων

```text
Control Groups (CGROUPS) LIMIT and account for resource usage per container:
  → CPU, memory, disk I/O, network bandwidth
→ cgroups are WHY you can set resource limits (-m, --cpus) — the kernel enforces them.
```

## Union filesystem — διαστρωματωμένες εικόνες

```text
UNION/OVERLAY filesystems (overlayfs) stack image LAYERS:
  → read-only image layers + a thin writable container layer on top, merged into one view
  → layers are SHARED between images/containers (one copy on disk) → space-efficient
→ This is WHY images are layered, cached, and shareable, and containers are lightweight.
```

## Η αρχιτεκτονική

```text
Docker CLI → Docker DAEMON (dockerd) → containerd → runc (creates containers using
  namespaces + cgroups). The daemon manages images, containers, networks, volumes.
→ Containers are just ISOLATED PROCESSES on the host (not VMs) — using kernel features,
  sharing the host kernel → lightweight and fast.
```

## Γιατί έχει σημασία

Η κατανόηση του τρόπου λειτουργίας του Docker στο κάτω επίπεδο είναι πολύτιμη γνώση σε επίπεδο senior, επειδή **αποσαφηνίζει τα containers** και εξηγεί τα βασικά τους χαρακτηριστικά (απομόνωση, απόδοση, έλεγχος πόρων), εμβαθύνοντας την ικανότητα να συλλογιζόμαστε, να διαμορφώνουμε και να αντιμετωπίζουμε προβλήματα σε συστήματα με containers.

Η κρίσιμη διαπίστωση είναι ότι **τα containers δεν είναι VMs — είναι απομονωμένες διεργασίες στον host** χρησιμοποιώντας χαρακτηριστικά του Linux kernel, γι' αυτό είναι ελαφρά και γρήγορα (μοιράζονται το kernel του host αντί να εκτελούν ξεχωριστά λειτουργικά συστήματα).

Η κατανόηση των **τριών βασικών μηχανισμών** εξηγεί τα χαρακτηριστικά: τα **namespaces** απομονώνουν τι μπορεί να δει μια διεργασία (το δικό της δέντρο διεργασιών, δίκτυο, σύστημα αρχείων, όνομα host — γι' αυτό ένα container νοιώθει σαν ξεχωριστό μηχάνημα παρά να μοιράζεται το kernel), τα **cgroups** περιορίζουν και λογαριάζουν τη χρήση πόρων (γι' αυτό μπορείτε να ορίσετε όρια CPU και μνήμης — το kernel τα επιβάλλει), και τα **union/overlay filesystems** στοιβάζουν επίπεδα εικόνας (γι' αυτό οι εικόνες είναι στοιβαγμένες, με προσωρινή αποθήκευση και κοινή χρήση, και τα containers είναι ελαφρά — επίπεδα μόνο για ανάγνωση που μοιράζονται σε containers με ένα λεπτό επίπεδο για εγγραφή στην κορυφή).

Η κατανόηση της **αρχιτεκτονικής** (CLI → daemon → containerd → runc, με το daemon να διαχειρίζεται τα πάντα) παρέχει την πλήρη εικόνα του τρόπου λειτουργίας του Docker.

Αυτή η βαθύτερη κατανόηση βοηθάει να συλλογιστούμε τα όρια απομόνωσης (και τις συνέπειές τους για την ασφάλεια, αφού τα containers μοιράζονται το kernel), εξηγεί τα χαρακτηριστικά απόδοσης και αποδοτικότητας, και βοηθάει στην αντιμετώπιση προβλημάτων.

Επειδή η κατανόηση των υποκείμενων μηχανισμών (namespaces, cgroups, union filesystems) εξηγεί *γιατί* τα containers συμπεριφέρονται όπως συμπεριφέρονται — η απομόνωσή τους, η αποδοτικότητα, ο έλεγχος πόρων, και το σημαντικό γεγονός ότι μοιράζονται το kernel του host (με επιπτώσεις στην ασφάλεια) — και εμβαθύνει την ικανότητα να εργάζεστε με συστήματα με containers με αυτοπεποίθηση, η κατανόηση του τρόπου λειτουργίας του Docker στο κάτω επίπεδο είναι πολύτιμη γνώση σε επίπεδο senior που σας ανυψώνει από τη χρήση του Docker σε πραγματική κατανόηση, ένα θέμα που αντανακλά το βάθος που αναμένεται για ρόλους senior και είναι χρήσιμο για συλλογισμό σχετικά με τη συμπεριφορά containers, τα όρια ασφάλειας και την απόδοση.