Docker从入门到实战：镜像、容器与网络详解

Docker实战全解：从镜像构建到网络通信的深度实践

在今天这个AI模型快速迭代的时代，你有没有遇到过这样的场景？明明在本地跑得好好的GLM多模态推理服务，一上服务器就报错：CUDA版本不匹配、Python依赖缺失、FFmpeg找不到动态库……更别提团队协作时，“在我机器上能跑”成了最经典的甩锅台词。

而Docker的出现，正是为了终结这些混乱。它不像传统虚拟机那样笨重，也不依赖复杂的环境配置脚本，而是把整个运行时打包成一个“标准化集装箱”——无论是在开发者的MacBook、测试环境的CentOS，还是生产环境的GPU云主机，只要拉取同一个镜像，就能获得完全一致的行为表现。

这背后到底是怎么实现的？我们不妨从一次真实的部署任务说起。

假设你现在要上线一个名为GLM-4.6V-Flash-WEB的视觉语言模型服务，支持图文问答和内容审核功能。这个模型对延迟敏感，要求单卡GPU即可完成推理，并通过Web界面提供交互能力。如果用传统方式部署，你需要手动安装PyTorch、配置ONNX Runtime、处理CUDA驱动兼容性问题……但使用Docker，一切变得简单得多：

docker run -d \ --gpus all \ -p 8080:8080 \ -v /data/models:/models \ --name glm-inference \ registry.gitcode.com/aistudent/glm-4.6v-flash-web:latest

一条命令，搞定所有依赖。而这只是冰山一角。

架构核心：镜像、容器与仓库三位一体

Docker的设计哲学源自海运标准集装箱——不管里面装的是咖啡豆还是电子产品，运输方式都是一样的。同理，无论是Nginx、MySQL，还是我们的GLM模型服务，都可以被封装为统一格式的“镜像”。

镜像（Image）——只读模板

镜像是静态的文件集合，包含了操作系统基础层、运行时环境、依赖库、模型权重以及启动脚本。比如：
-pytorch/pytorch:1.13-cuda11.7-runtime
-nginx:alpine
-glm-4.6v-flash-web:latest

你可以把它理解为一个高度压缩的应用快照。

容器（Container）——运行实例

容器是镜像的动态运行态。每个容器拥有独立的文件系统、网络栈和进程空间，彼此隔离。就像同一份代码在不同终端运行出多个进程一样。

例如上面那条启动命令，就会基于指定镜像创建并运行一个名为glm-inference的容器实例。

仓库（Repository）——分发中心

镜像存放在仓库中，分为公共仓库（如 Docker Hub）和私有仓库（如阿里云ACR、华为云SWR）。国内用户推荐配置镜像加速器以提升拉取速度。

在CentOS上快速搭建Docker环境

虽然Docker支持多种操作系统，但在生产环境中，CentOS仍然是主流选择之一。以下是完整的安装流程。

系统准备

建议使用 CentOS 7 或 Stream 8+，确保内核版本 ≥ 3.10：

cat /etc/redhat-release uname -r

安装步骤

遵循官方指南，结合国内网络优化：

# 卸载旧版本（如有） sudo yum remove docker docker-client docker-client-latest docker-common \ docker-latest docker-logrotate docker-engine # 安装工具包 sudo yum install -y yum-utils # 添加阿里云镜像源 sudo yum-config-manager \ --add-repo \ http://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo # 安装Docker引擎 sudo yum install -y docker-ce docker-ce-cli containerd.io # 启动并设置开机自启 sudo systemctl start docker sudo systemctl enable docker

配置镜像加速（关键！）

由于国际网络限制，直接访问Docker Hub速度极慢。登录 阿里云容器镜像服务控制台，获取专属加速地址后写入配置：

sudo mkdir -p /etc/docker sudo tee /etc/docker/daemon.json <<-'EOF' { "registry-mirrors": ["https://<your-code>.mirror.aliyuncs.com"] } EOF sudo systemctl daemon-reload sudo systemctl restart docker

这样后续docker pull操作将走国内节点，速度可提升数倍。

为什么Docker比虚拟机快这么多？

很多人第一次听说Docker时都会疑惑：它和VMware这类虚拟机有什么区别？答案在于架构层级的不同。

简单来说，虚拟机模拟了一整套硬件设备并运行完整操作系统；而Docker利用Linux内核提供的命名空间（Namespace）和控制组（Cgroup）技术，在进程级别实现资源隔离，没有额外的操作系统开销。

这也意味着，你在笔记本上调试好的GLM服务，可以直接部署到边缘服务器上，几乎零迁移成本。

常用命令实战手册

掌握核心命令是高效使用Docker的前提。以下是你日常开发中最常接触的操作。

查看信息

docker version # 查看版本 docker info # 查看系统状态（镜像数量、存储驱动等） docker <command> --help # 获取帮助

镜像管理

# 查看本地镜像 docker images # 搜索远程镜像 docker search pytorch # 下载镜像（支持GPU版） docker pull pytorch/pytorch:1.13-cuda11.7-runtime # 删除镜像 docker rmi <image_id>

特别提醒：对于大模型服务，务必确认是否已安装nvidia-container-toolkit，否则--gpus all参数无效。

容器生命周期控制

# 创建并启动容器（交互式） docker run -it ubuntu:20.04 /bin/bash # 后台运行GLM服务 docker run -d \ --gpus all \ -p 8080:8080 \ -v /host/data:/workspace \ --name glm-server \ glm-4.6v-flash-web:latest

常用参数说明：
--d：后台运行
--it：交互模式
---name：命名容器
--p：端口映射（主机:容器）
--v：挂载数据卷
---gpus all：启用GPU

容器状态查看与操作

# 查看运行中的容器 docker ps # 查看所有容器（含停止的） docker ps -a # 查看日志（实时刷新） docker logs -f glm-server # 进入正在运行的容器（推荐方式） docker exec -it glm-server /bin/bash # 查看详细信息（JSON格式） docker inspect glm-server # 文件拷贝 docker cp ./input.jpg glm-server:/workspace/ docker cp glm-server:/output.json ./

注意：不要用docker attach连接主进程，一旦断开可能导致容器退出。

清理无用资源

随着使用时间增长，会产生大量悬空镜像和已停止容器。定期清理有助于释放磁盘空间：

# 删除所有未使用的容器 docker rm -f $(docker ps -aq) # 删除悬空镜像 docker rmi $(docker images -q -f dangling=true)

镜像背后的秘密：UnionFS与分层加载

你以为镜像只是一个打包文件？其实它的设计非常精巧。

分层结构原理

Docker采用联合文件系统（UnionFS），将镜像拆分为多个只读层：

Layer 7: ADD model.bin → 应用数据 Layer 6: COPY app.py → 用户代码 Layer 5: RUN pip install torch → 依赖安装 Layer 4: ENV PORT=8080 → 环境变量 Layer 3: WORKDIR /app → 工作目录 Layer 2: FROM python:3.9-slim → 基础运行时 Layer 1: base OS → 操作系统层

当多个镜像共享相同基础层时（如都基于python:3.9-slim），只需存储一份副本，极大节省磁盘空间。

写时复制（Copy-on-Write）

容器启动时，会在镜像顶部添加一个可写层。所有修改（如日志写入、临时文件生成）都发生在这层，原始镜像保持不变。

这意味着你可以安全地重启或替换容器，而不影响底层数据。

构建缓存优势

Docker在构建过程中会缓存每一层的结果。只有当前层内容发生变化时，才会重新构建该层及其后续层。这对GLM这类大型模型尤其重要——你修改了API接口逻辑，但不需要重新下载几GB的模型权重。

查看分层详情：

docker image inspect registry.gitcode.com/aistudent/glm-4.6v-flash-web:latest

数据持久化：容器数据卷实战

容器天生是“无状态”的——一旦删除，内部所有数据都将丢失。但对于AI服务而言，模型权重、用户上传图片、Jupyter Notebook工作区都需要长期保存。

解决方案就是数据卷（Volume）。

三种挂载方式对比

实战：持久化部署GLM模型

# 创建专用数据卷 docker volume create glm-model-data # 启动容器并挂载 docker run -d \ --gpus all \ -p 8080:8080 \ -v glm-model-data:/workspace \ --name glm-prod \ registry.gitcode.com/aistudent/glm-4.6v-flash-web:latest

即使误删容器，执行docker run --volumes-from glm-prod ...仍可恢复数据。

权限控制技巧

# 只读挂载（防止篡改模型） -v /models:/app/models:ro # 指定用户权限（避免权限冲突） -v /data:/app/data:Z

其中:Z标记适用于SELinux环境，确保容器能正确访问挂载目录。

自动化构建：Dockerfile详解

手动提交镜像（docker commit）虽快，但不可复现。真正的工程化做法是编写Dockerfile，实现一键构建。

编写你的第一个Dockerfile

以打包GLM视觉模型为例：

# 使用官方PyTorch镜像作为基础 FROM pytorch/pytorch:1.13-cuda11.7-runtime # 设置工作目录 WORKDIR /app # 复制依赖文件并安装 COPY requirements.txt . RUN pip install --no-cache-dir -r requirements.txt # 复制项目代码 COPY . . # 暴露服务端口 EXPOSE 8080 # 启动命令 CMD ["python", "app.py"]

构建与验证

# 构建镜像 docker build -t my-glm-service:1.0 . # 启动测试 docker run -d -p 8080:8080 my-glm-service:1.0 # 访问API文档 curl http://localhost:8080/docs

CMD vs ENTRYPOINT：容易踩坑的地方

两者都能定义启动命令，但行为略有不同：

• CMD提供默认参数，可被docker run覆盖
• ENTRYPOINT设定固定入口，参数追加在其后

例如：

ENTRYPOINT ["python", "app.py"] CMD ["--port", "8080"]

此时运行docker run img --port 9000，最终执行的是python app.py --port 9000。

发布你的镜像

构建完成后，可以推送到公共或私有仓库供团队共享。

推送到DockerHub

# 打标签 docker tag my-glm-service:1.0 username/glm-web:v1 # 登录 docker login # 推送 docker push username/glm-web:v1

同步至阿里云镜像服务

# 打标签（替换为你的命名空间） docker tag my-glm-service:1.0 registry.cn-beijing.aliyuncs.com/aistudent/glm:v1 # 推送 docker push registry.cn-beijing.aliyuncs.com/aistudent/glm:v1

之后团队成员只需docker pull即可快速部署，无需重复配置环境。

网络通信：如何让服务之间互相发现？

默认情况下，每个容器都有独立IP（如172.17.0.x），但无法通过名称互访。这对于前后端分离的Web服务来说是个问题。

默认bridge网络局限

Docker自带docker0网桥，所有容器默认接入此网络。但它仅支持IP通信，且DNS解析受限。

推荐方案：自定义网络

# 创建桥接网络 docker network create --driver bridge glm-net # 将服务加入同一网络 docker run -d --network glm-net --name api-server my-api docker run -d --network glm-net --name web-ui nginx

此时两个容器可通过容器名直接通信，如curl http://api-server:8080/health。

跨网络连接策略

有时需要让已有容器接入另一网络：

docker network connect another-network web-ui

适用于微服务架构中跨模块调用的场景，比如前端UI调用认证服务和推理API。

图形化管理：Portainer上手体验

如果你更习惯可视化操作，Portainer是一个轻量级的选择。

docker volume create portainer_data docker run -d \ -p 9000:9000 \ --name portainer \ --restart=always \ -v /var/run/docker.sock:/var/run/docker.sock \ -v portainer_data:/data \ portainer/portainer-ce

访问http://<your-ip>:9000，即可通过网页管理容器、镜像、网络和卷，特别适合新手快速入门。

生产环境建议开启HTTPS和账号认证。

总结：Docker为何成为AI工程师的必备技能？

回到最初的问题：Docker到底解决了什么？

• ✅环境一致性：开发=测试=生产
• ✅部署效率：秒级启动，一键发布
• ✅资源利用率：无虚拟化开销，适合边缘部署
• ✅持续交付：完美融入CI/CD流水线

对于像 GLM-4.6V-Flash-WEB 这类高性能AI服务而言，Docker不仅简化了部署流程，更为模型的灰度发布、A/B测试、弹性扩缩容提供了坚实基础。

掌握镜像构建、数据卷管理、网络配置这些核心技能，已经不再是“加分项”，而是现代AI工程实践的基本功。当你下次面对一个新的模型项目时，不妨先问一句：它的Dockerfile写好了吗？