你是否遇到过容器 CPU 占满、内存泄漏、IO 爆炸的情况？容器虽然轻量，但也可能拖垮整台宿主机！本篇将带你系统掌握 Docker 的资源限制机制与性能调优实战方法，助你打造高可用、高性能的容器平台。
一、为什么容器容易“吃爆”服务器？
容器默认不限制资源，它会“贪婪”地占用宿主机的 CPU、内存、磁盘和网络资源，造成：
- CPU 满载：某容器的无限循环或异常线程占满核心；
- 内存 OOM：未限制内存的容器吃光宿主机 RAM，触发杀死其他容器或系统进程；
- 磁盘 IO 慢如蜗牛：日志写入疯狂刷盘，导致磁盘延迟；
- 网络带宽争抢：某些容器下载/同步占用所有网络资源。
如果不加控制，单个容器异常行为可能“拖垮”整台主机或集群！
二、Docker 支持的资源限制类型总览
资源类型 | Docker 限制方式 | 参数示例 |
CPU 使用率 | --cpus, --cpu-shares, --cpuset-cpus | --cpus="1.5" |
内存限制 | --memory, --memory-swap | --memory="512m" |
磁盘 IO | --blkio-weight | --blkio-weight=500 |
网络带宽 | 使用 tc 工具（需额外配置） | - |
三、CPU 资源限制详解
3.1 参数说明
- --cpus="1.5"：分配 1.5 个核心（控制容器可用总 CPU 时间百分比）
- --cpu-shares=512：CPU 相对权重（默认 1024）
- --cpuset-cpus="0,2"：容器只能在指定核心上运行
示例：限制容器使用 1 个 CPU 核心
docker run -it --cpus="1" busybox top--cpus 是对 cgroups 的 cpu.cfs_quota_us 和 cpu.cfs_period_us 的抽象配置。
容器 CPU 限制原理示意图
四、内存资源限制实战
4.1 参数说明
- --memory="1g"：限制最大内存为 1GB
- --memory-swap="2g"：包括 swap 的总内存限制
- 如果 --memory-swap = --memory，则禁止使用 swap；
- 如果不设置 swap，可能允许容器继续占用宿主机 swap。
示例：强制容器最多使用 512MB 内存，不允许 swap
docker run -it --memory="512m" --memory-swap="512m" busybox4.2 避免内存 OOM 的误区
- 不设内存限制时，容器使用宿主机全部内存；
- 容器 OOM 时只杀容器本身，不一定影响宿主机；
- 但多个无内存限制容器累积，可引发宿主机崩溃。
五、磁盘 IO 限制
Docker 利用 blkio cgroups 实现磁盘 IO 限制。
参数说明：
- --blkio-weight=100（范围 10~1000，默认 500）：设置容器磁盘访问权重；
- --device-read-bps=/dev/sda:10mb：限制设备读取速率；
- --device-write-iops=/dev/sda:100：限制写入次数。
示例：限制容器磁盘 IO 权重为最低
docker run --blkio-weight=10 busybox注意：需要知道容器实际挂载的物理设备路径（如 /dev/sda）
六、如何限制网络带宽？
Docker 本身不提供直接网络带宽限制参数，需借助 Linux 的 tc（traffic control）工具：
示例：限制容器 eth0 接口下载速率为 1Mbit/s
# 1. 获取容器的 pid
PID=$(docker inspect --format '{{.State.Pid}}' <container_id>)
# 2. 进入容器网络命名空间
nsenter -t $PID -n tc qdisc add dev eth0 root tbf rate 1mbit burst 32kbit latency 400ms更推荐在 Kubernetes 中使用 CNI 插件（如 Calico）进行带宽限制。
七、自动化资源限制实践：Docker Compose + 配置模板
你可以使用 docker-compose.yml 中统一配置：
version: '3.7'
services:
app:
image: myapp:latest
deploy:
resources:
limits:
cpus: '1.0'
memory: 512M
reservations:
cpus: '0.5'
memory: 256M这在 Swarm 或 Kubernetes 模式中自动生效。
八、监控与调优工具推荐
资源限制只是第一步，更关键是实时监控与调优：
工具 | 功能 |
cAdvisor | 实时容器资源使用监控，支持图表 |
Prometheus + Grafana | 可视化监控容器集群资源 |
Docker Stats 命令 | 快速查看容器实时资源使用 |
Sysdig / iotop / iftop | 更细粒度的系统资源分析 |
示例：查看容器资源使用
docker stats --no-stream九、调优建议与陷阱规避
常见问题 | 优化建议 |
容器 CPU 飙高 | 使用 --cpus 限制核心数，必要时绑定 cpuset |
内存泄漏导致 OOM | 设置 --memory 和 --memory-swap，避免滥用 |
容器写入日志太频繁 | 调整日志驱动，设置 IO 限制或集中收集日志 |
容器启动慢 | 镜像尽量精简，避免大层数，减少 I/O 依赖 |
带宽占满 | 借助 CNI/tc 做限速控制 |
十、总结：让每个容器都有“硬性纪律”
容器天生轻量，但必须有“纪律约束”：
- 资源限制 = 技术手段保障稳定性；
- 监控与告警 = 实时掌握系统负载；
- 调优手段 = 根据场景细致优化容器行为；
- 最佳实践 = 将限制模板纳入 DevOps 流程！
资源限制最佳实践清单
- 所有容器设置合理 CPU 和内存上限
- 关键容器设置 IO 优先级，避免磁盘堵塞
- 容器镜像精简，避免启动过慢
- 日志输出非标准输出，可限频集中收集
- 高并发服务设置 ulimit、连接数限制