容器 vs 虚拟机——为什么 Docker 不是「轻量 VM」
Docker 系列 · 第 2/33 篇
上一篇：《Docker 是什么？——从 jar 包部署到镜像一键上线》 · 下一篇：《Docker Engine 与平台架构——Client、daemon、containerd、runc 怎么协作》
开头：老板说「容器就是小虚拟机」，该怎么反驳？
架构评审会上，有人提议：「我们已经有 VMware 了，Docker 不就是虚拟机缩小版吗，再上一套是不是重复建设？」
如果只能答「Docker 更轻」，说服力不够。需要讲清：二者都是虚拟化，但抽象层不同、隔离模型不同、适用场景不同。Docker 不是「小 VM」，而是共享内核的进程级隔离；VM 是硬件虚拟化 + 完整 Guest OS。搞混会导致错误的安全预期和容量规划。
一、常见误解：Docker = 轻量级虚拟机
很多人以为 Docker 实现了「类似虚拟化的技术，让应用跑在轻量容器里」——把容器当成迷你虚拟机。
这是错误的。
Docker 与 KVM 等都属于虚拟化技术，但两条路线：
| 维度 | Docker / 容器 | 虚拟机（VM） |
|---|---|---|
| 抽象层 | 更少 | 更多（Hypervisor + Guest OS） |
| 操作系统 | 共用宿主机内核 | 需要 Guest OS |
| 启动时要做什么 | 不加载新 OS，直接起进程 | 引导完整 Guest OS |
二、架构差异：VMware vs Container
虚拟机（以 VMware 为例） 的栈：
应用 → Guest OS → 虚拟化层 → 宿主机 OS → 物理硬件在宿主机与宿主机操作系统之上，先建虚拟化层，再装虚拟化的操作系统与虚拟磁盘，最后才装应用。
Docker 容器 的栈：
应用 → 容器文件系统（镜像层）→ Docker Engine → 宿主机 OS → 物理硬件在宿主机 OS 之上运行 Docker 引擎，在引擎之上直接运行应用（容器内看到的是镜像提供的 rootfs，不是独立内核）。
因此：
- 新建容器：无需像 VM 那样重新加载操作系统、走完整引导流程 → 通常 秒级
- 新建 VM：加载 Guest OS → often 分钟级
三、与传统 VM 的特性对比
作为轻量级虚拟化方式，Docker 在运行应用时相对传统 VM 有这些特点：
- 启动、停止可在秒级完成
- 对系统资源需求小，单机可运行数千容器
- 镜像分发类似 Git 工作流，指令简明
- Dockerfile 支持自动化构建与部署
- 除应用本身外，额外系统开销小
- 利用 Linux 多种隔离机制（namespace、cgroup 等）；自 1.3 起引入安全选项与镜像签名，提升安全性
对比表（综合）
| 特性 | 容器 | 虚拟机 |
|---|---|---|
| 启动速度 | 秒级 | 分钟级 |
| 硬盘占用 | 一般为 MB 级（镜像层） | 一般为 GB 级（含 Guest OS） |
| 性能 | 接近原生 | 弱于原生（多一层虚拟化） |
| 内存代价 | 很小 | 较多 |
| 单机运行密度 | 可支持上千容器 | 一般几十个 VM |
| 隔离性 | 安全隔离（内核共享） | 完全隔离（独立内核） |
| 迁移性 | 优秀（镜像交付） | 一般（需迁移虚拟磁盘等） |
注意：完全隔离在合规场景仍是 VM 或独立物理机的优势；容器隔离强，但不等于「等价于硬件级 VM 隔离」。选型要看威胁模型与合规要求。
四、与「传统操作系统技术」的对比视角
Docker 是一种轻量级虚拟化方式。相对传统 OS 技术：
- 传统 VM：提供相对封闭的隔离边界，适合多租户、异构 OS、强隔离需求
- Docker：在 Linux 上组合 namespace、cgroup、capability、seccomp 等机制，实现严格且可配置的隔离，并可集成外部安全工具
自 1.3.0 起，Docker 重点加强容器安全控制与镜像安全机制，包括签名与策略，使生产环境使用容器更可控。
五、选型建议（实践向）
| 场景 | 更倾向 |
|---|---|
| 微服务、CI/CD、密度优先、Linux 同质栈 | 容器 |
| 需要 Windows/Linux 混跑不同内核、强合规隔离 | VM 或 VM 上再跑容器 |
| 本地开发环境一致 | 容器（Docker Desktop / Linux Engine） |
| 遗留单体、强依赖特定内核模块 | 评估容器兼容性，必要时 VM |
很多生产架构是 VM 或云主机承载 Docker/K8s，而不是二选一：VM 提供机器级边界，容器提供应用级交付单元。
小结
- Docker 不是轻量级虚拟机；与 KVM 同属虚拟化，但共享宿主机内核、无 Guest OS。
- VM：Hypervisor + Guest OS + 应用；容器：Engine + 镜像 rootfs + 应用。
- 容器在启动速度、密度、迁移、资源开销上通常优于 VM；VM 在隔离强度、异构 OS 上仍有优势。
- 安全上容器可靠，但应理解共享内核带来的威胁模型，并善用 1.3+ 的安全与签名能力。
下一篇进入实操：Docker 安装的三种方式（离线、在线、现成虚拟机环境）。