Ubuntu 20.04 LTS下Docker安装与优化全指南

1. 为什么选择Ubuntu 20.04 LTS作为Docker运行环境作为长期支持版本Ubuntu 20.04 LTSFocal Fossa在服务器和工作站领域保持着惊人的市场占有率。根据2023年W3Techs的统计数据全球超过37%的Linux生产环境运行在这个版本上。选择它作为Docker宿主机的优势显而易见长达5年的官方支持周期Canonical对LTS版本提供至少5年的安全更新这意味着你的Docker基础环境将获得持续的安全补丁内核版本完美适配默认搭载的5.4 LTS内核包含完整的cgroups v2和overlayfs支持这些都是Docker运行的核心依赖企业级稳定性相比滚动更新的发行版Ubuntu LTS经过更严格的测试验证特别适合需要长期运行的容器环境我在实际运维中发现使用非LTS版本部署Docker时经常遇到内核模块不兼容的问题。例如某个客户在Ubuntu 21.10上部署的Docker集群就曾因为aufs驱动突然被弃用导致大规模容器崩溃。而LTS版本则能避免这类技术断崖。2. 安装前的系统准备2.1 硬件虚拟化支持检查虽然Docker可以运行在没有硬件虚拟化的环境但启用VT-x/AMD-V能显著提升性能。运行以下命令验证grep -E --color vmx|svm /proc/cpuinfo如果输出中包含vmxIntel或svmAMD标记说明CPU支持虚拟化。如果没有输出需要进入BIOS启用VT-x/AMD-V不同主板设置路径不同通常位于Advanced或Security选项卡对于云服务器可能需要联系供应商开启嵌套虚拟化注意某些超极本默认禁用VT-x以节省电量这时需要在电源管理中关闭Intel Virtualization Technology for Directed I/O (VT-d)2.2 系统更新与依赖安装保持系统最新是避免依赖冲突的关键sudo apt update sudo apt upgrade -y sudo apt install -y apt-transport-https ca-certificates curl software-properties-common gnupg lsb-release这里特别说明每个包的作用apt-transport-https允许apt通过HTTPS协议访问仓库ca-certificates确保SSL证书验证正常curl用于下载Docker的GPG密钥software-properties-common提供add-apt-repository命令gnupg处理加密签名验证lsb-release获取系统版本信息3. Docker官方仓库配置3.1 安全密钥添加Docker官方建议始终通过GPG密钥验证软件包真实性curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /usr/share/keyrings/docker-archive-keyring.gpg这个命令做了三件事通过HTTPS下载Docker的GPG公钥使用gpg --dearmor转换密钥格式将密钥保存到系统可信密钥环3.2 仓库源设置根据CPU架构选择正确的仓库源以下以x86_64为例echo deb [archamd64 signed-by/usr/share/keyrings/docker-archive-keyring.gpg] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable | sudo tee /etc/apt/sources.list.d/docker.list /dev/null参数解析archamd64明确指定CPU架构signed-by指向我们刚刚添加的密钥$(lsb_release -cs)自动获取系统代号如focal更新apt缓存sudo apt update4. Docker引擎安装与验证4.1 安装指定版本建议安装特定版本而非最新版以确保稳定性sudo apt install -y docker-ce5:20.10.14~3-0~ubuntu-focal docker-ce-cli5:20.10.14~3-0~ubuntu-focal containerd.io版本号说明5:Docker的epoch版本20.10.14主版本号~3-0~ubuntu-focal针对Ubuntu 20.04的构建版本锁定版本防止意外升级sudo apt-mark hold docker-ce docker-ce-cli containerd.io4.2 服务启动与验证启动Docker服务并设置开机自启sudo systemctl enable --now docker验证安装成功的黄金标准是运行测试容器sudo docker run --rm hello-world预期看到以下输出Hello from Docker! This message shows that your installation appears to be working correctly. ...5. 非root用户权限配置5.1 docker用户组管理默认情况下只有root用户能运行Docker命令这既不安全也不方便。正确做法是将用户加入docker组sudo usermod -aG docker $USER newgrp docker # 立即生效无需重新登录重要安全提示docker组实际上等同于root权限因此仅可信任用户应被加入该组。生产环境中建议结合SELinux/AppArmor使用5.2 权限问题排查如果仍遇到Got permission denied错误按以下步骤排查确认用户是否在docker组groups $USER检查/var/run/docker.sock权限ls -l /var/run/docker.sock正确权限应为srw-rw---- 1 root docker 0 Jul 10 10:30 /var/run/docker.sock若权限不符修正命令sudo chown root:docker /var/run/docker.sock sudo chmod 660 /var/run/docker.sock6. 国内用户特别优化6.1 镜像加速配置创建或修改/etc/docker/daemon.jsonsudo tee /etc/docker/daemon.json -EOF { registry-mirrors: [ https://registry.docker-cn.com, https://hub-mirror.c.163.com, https://mirror.baidubce.com ], exec-opts: [native.cgroupdriversystemd], log-driver: json-file, log-opts: { max-size: 100m }, storage-driver: overlay2 } EOF配置说明registry-mirrors按地理位置选择最优镜像源native.cgroupdriver与systemd更好的集成log-opts防止日志文件无限增长storage-driverUbuntu 20.04推荐使用overlay2应用配置并重启服务sudo systemctl daemon-reload sudo systemctl restart docker6.2 网络问题排查如果遇到镜像拉取超时可以测试镜像服务器连通性curl -I https://registry-1.docker.io/v2/临时使用HTTP代理如有mkdir -p ~/.docker echo {proxies:{default:{httpProxy:http://proxy.example.com:8080,httpsProxy:http://proxy.example.com:8080}}} ~/.docker/config.json7. 生产环境关键配置7.1 存储驱动选择Ubuntu 20.04默认使用overlay2驱动但应根据工作负载特点选择驱动类型适用场景优点缺点overlay2大多数场景性能好支持共享层需要内核≥4.0aufs旧系统兼容稳定性高已弃用性能较差devicemapper直接块设备隔离性强配置复杂需要LVM检查当前驱动docker info | grep Storage Driver7.2 日志与数据管理防止Docker占用所有磁盘空间sudo tee /etc/docker/daemon.json -EOF { data-root: /mnt/docker-data, log-opts: { max-size: 50m, max-file: 3 } } EOF然后迁移现有数据sudo systemctl stop docker sudo rsync -a /var/lib/docker/ /mnt/docker-data/ sudo mv /var/lib/docker /var/lib/docker.bak sudo systemctl start docker8. 常见问题解决方案8.1 启动失败排查如果遇到Failed to start Docker Application Container Engine查看完整日志journalctl -xu docker --no-pager常见错误及修复iptables缺失sudo apt install iptablescgroup挂载问题在/etc/default/grub中添加systemd.unified_cgroup_hierarchy0后sudo update-grub存储驱动冲突清理/var/lib/docker后重新安装8.2 容器网络异常典型症状容器内无法访问外网解决步骤检查DNS配置docker run --rm busybox nslookup example.com重置Docker网络sudo systemctl restart docker docker network prune检查iptables规则sudo iptables -L -n -v --line-numbers9. 进阶配置建议9.1 安全加固措施启用用户命名空间隔离echo dockremap:165536:65536 | sudo tee -a /etc/subuid echo dockremap:165536:65536 | sudo tee -a /etc/subgid然后在daemon.json中添加{ userns-remap: dockremap }限制容器权限docker run --read-only --security-optno-new-privileges -it alpine sh9.2 性能调优参数在/etc/sysctl.conf中添加# 增加连接跟踪表大小 net.netfilter.nf_conntrack_max 524288 # 优化网络性能 net.core.rmem_max 16777216 net.core.wmem_max 16777216 net.ipv4.tcp_keepalive_time 600 # 容器专用配置 fs.inotify.max_user_instances 8192 fs.inotify.max_user_watches 524288 vm.swappiness 10应用配置sudo sysctl -p10. 维护与升级策略10.1 定期维护任务清理无用资源docker system prune -af --volumes检查容器健康状态docker stats --all --format table {{.Name}}\t{{.CPUPerc}}\t{{.MemUsage}}备份关键数据tar -czvf docker-backup-$(date %Y%m%d).tar.gz /mnt/docker-data/10.2 版本升级方案查看可用版本apt-cache madison docker-ce测试环境验证sudo apt install docker-ce新版本 docker-ce-cli新版本滚动升级策略先升级控制节点逐个节点排空drain后升级使用蓝绿部署减少停机时间我在生产环境中发现直接apt upgrade docker-ce有时会导致容器网络中断。更稳妥的做法是提前排空节点停止所有容器执行版本升级重启dockerd服务恢复容器运行