隔離

vmware使用supervisor模擬出硬件，然后在其之上安裝完整的一套操作系統，這套完整的操作系統跑在宿主機操作系統之上，被宿主機操作系統調度，所以較為重量。

而docker復用宿主機操作系統的內核，作為普通進程調用，使用linux提供的namespace隔離技術來實現虛擬化，是一種輕量級虛擬化技術。namespace表示一個標識符的可見范圍，各namespace互不相干，所以標識符能夠任意定義而不沖突。

linux提供6種namespace：UTS(主機名)、User、Mount(文件系統)、Net、IPC、Pid。有了這幾種名稱空間，會讓進程自身覺得跑在一臺獨立的操作系統上，這是操作系統的欺騙性。

docker輕量，一次封裝到處運行，啟動快，所以很適合做擴縮容、微服務。

網絡

docker默認會使用bridge網絡模型，即容器中的有veth的一端，另一端veth連接到bridge網橋上，網橋連接宿主機網絡，使用NAT來實現和外部通信。veth的原理是這樣，通常成對出現，發送給veth一端的包可以被另一端接收到。

docker還有其他幾種模型，比如沒net，容器中只有環回網絡loopback。聯合net，多個容器使用相同的veth。hostnet，容器直接使用宿主機網絡。

鏡像

鏡像是一個可執行的軟件包，包含運行應用程序所需的一切。

docker的鏡像使用分層結構，就是所謂的“分層存儲，聯合掛載”。

最下面一層是bootfs，包含bootloader。再往上是根系統鏡像層，再往上是各種鏡像層，除了最上層是可讀寫之外，其余層均為只讀層。所以，如果在頂層鏡像有對下層鏡像數據做修改的話，該數據會COW(copy on write)復制到頂層進行，然后再進行修改。所以，可想而知，這種聯合掛載文件系統的效率不是很高，所以在使用中會用到volume，卷，即脫離于分層存儲的存儲。