问下 Linux docker 相关知识

[wszgrcy]

事情是这样的，我在研究 openwrt 跑在 docker 的过程中，给实体机挂载了两块硬盘

其中 ext4 分区的都挂载成功

只有 ntfs 的不成功

排查了一晚上后，突然想到是不是给 op 开了特权的原因………结果一登陆果然，因为有特权➕自动挂载脚本，ntfs 分区给我挂载进容器里了……

这里有几个问题

1.为啥 ntfs 不能多挂载？

2.特权模式到底有哪些特权，能不能大佬发个资料让我学习下。因为我对 docker 仅限于普通的使用，没研究那种原理级别的(还有一个因为特权模式导致的主机重启，不知道能不能解决………)

1. docker 中的 op,如果访问，性能降低多少，之前公司大佬说过，如果纯计算型了，那么接近无损，但是如果有并发量之类了解，损失可能就在 15 左右，不知道是不是

[liuxu]

2-1 是个好问题，值得研究一下，得分析下 cgroup 性能各性能衰减，放到我的代办列表里面了，找时间花个两周搞一搞

解决下你的问题，不要用 docker 跑 openwrt，docker 主要用来跑单进程的，openwrt 是整个系统，建议你用 virtualbox，这样你的所有的问题都不需要解决了

[wszgrcy]

@liuxu 因为是 arm 架构，所以只能用 docker...本来想写 3 的，好像自动格式化格式错了

[yolee599]

@wszgrcy OpenWrt 有 x86 版本，可以用 vbox 安装的啊

[kele1997]

docker 的特权模式应该就是宿主机上的 root 用户吧。普通模式的话就是有个 usermap，容器内的 root 对应外部的普通用户

[kele1997]

15%的损耗是 docker nat 网络转发端口的损耗，你可以试试 -net=host 物理网络试试（估计就算损耗 15%也没啥影响，反正也跑不满）

[wszgrcy]

@yolee599 我的意思是，设备是 arm 架构的……😭

[yanqiyu]

@kele1997 docker 的特权模式对应的不是用户，而是 root capabilities 以及 seccomp 的东西。至少在支持 rootless 之前 docker 是这样做的...你可以通过 docker 里面的 root 用户创建文件，外面看所有者还是 root 。但是要是你通过非特权 docker 里面的进程访问设备，就会被 seccomp 拦下来。