播面

在 Docker 的架构中，宿主机（Host）、Docker 守护进程（Docker Daemon，即 dockerd）与 Docker 客户端（Docker Client，即 docker 命令行工具）三者之间的通信是典型的客户端-服务器（C/S）架构。

它们之间的通信协议和机制可以从协议类型、传输介质（Socket）和工作流程三个维度来深度解析：

一、 核心通信协议：Docker Engine API

无论底层的物理介质是什么，Docker Client 和 Daemon 之间传输的数据协议都是 Docker Engine API。

• 协议类型：基于 HTTP 协议 的 RESTful API。
• 数据格式：请求和响应体通常为 JSON 格式。
• 示例：当你在客户端输入 docker ps 时，客户端实际上是向 Daemon 发送了一个 GET /containers/json 的 HTTP 请求，Daemon 返回一个包含容器列表的 JSON 数组，客户端解析并格式化输出。

二、 通信机制（传输介质/Socket）

根据 Docker Client 和 Daemon 是否在同一台机器上，通信机制主要分为以下三种：

1. 本地通信：Unix 域套接字 (Unix Domain Socket) —— 默认机制

当 Docker Client 和 Docker Daemon 运行在同一台宿主机上时，默认使用这种方式。

• 机制：使用 Unix Domain Socket（IPC，进程间通信的一种）。
• 路径：在 Linux 上，默认文件路径为 /var/run/docker.sock。
• 特点：
  • 高效率：不需要经过网络协议栈（TCP/IP），直接在内核缓冲区复制数据，速度极快。
  • 安全性：受 Linux 文件权限控制。默认情况下，只有 root 用户和 docker 组的用户才能读写该 Socket 文件。

2. 跨主机/网络通信：TCP 套接字 (TCP Socket)

当 Docker Client 需要控制远程宿主机上的 Docker Daemon 时使用。

• 机制：基于 TCP/IP 协议栈的传统网络通信。
• 端口：
  • 默认非加密端口：tcp://0.0.0.0:2375（极不安全，不建议生产环境开启）。
  • 默认加密端口（TLS）：tcp://0.0.0.0:2376（推荐）。
• 安全机制 (TLS)：为了防止未授权访问和监听，生产环境下必须启用 TLS/mTLS（双向认证）。客户端和服务器端都需要配置证书（CA、Server Cert、Client Cert）。

3. 远程安全通道：SSH 通信 (Docker 18.09+)

这是一种现代且更安全的远程连接方式。

• 机制：Docker Client 通过 SSH 协议连接到远程宿主机，然后将流量转发到远程宿主机的 /var/run/docker.sock。
• 优点：不需要在 Daemon 端暴露 TCP 端口，直接复用宿主机现有的 SSH 安全通道和密钥认证机制。
• 连接示例：docker -H ssh://user@remote-host ps。

三、 三者之间的架构与通信流程

为了更直观，我们可以看一个完整的通信链条（以在宿主机运行 docker run 为例）：

+----------------------------------------------------------------------------------+
| 宿主机 (Host)                                                                     |
|                                                                                  |
|  +-----------------+             (Unix Socket)             +------------------+  |
|  |  Docker Client  | <===================================> |  Docker Daemon   |  |
|  |    (docker)     |       /var/run/docker.sock            |    (dockerd)     |  |
|  +-----------------+                                       +------------------+  |
|          ^                                                           |           |
|          | (用户输入命令)                                             | (调用/管理)  |
|          |                                                           v           |
|    [ docker run ]                                          +------------------+  |
|                                                            |     containerd   |  |
|                                                            +------------------+  |
|                                                                      |           |
|                                                                      v           |
|                                                            +------------------+  |
|                                                            |   runc (容器)    |  |
|                                                            +------------------+  |
+----------------------------------------------------------------------------------+

详细步骤解析：

1. 用户发起请求：用户在宿主机终端输入 docker run -d nginx。
2. 客户端解析与发送：
   • docker 客户端解析命令。
   • 读取环境变量（如 DOCKER_HOST），确定通信方式（默认读取 /var/run/docker.sock）。
   • 将命令转化为 HTTP POST 请求，例如：POST /v1.41/containers/create。
3. Daemon 接收与处理：
   • dockerd 监听 /var/run/docker.sock，接收到该 HTTP 请求。
   • Daemon 进行权限验证、参数解析。
4. 向下调用（宿主机内部机制）：
   • dockerd 自身不直接创建容器，它通过 gRPC 协议 调用更底层的 containerd。
   • containerd 再调用 runc（符合 OCI 标准的运行时），通过 Linux Kernel 的 Namespaces 和 Cgroups 创建并隔离容器进程。
5. 响应返回：
   • 容器创建成功后，dockerd 将结果（如容器 ID）包装成 JSON 格式，通过 Unix Socket 返回给 docker 客户端。
   • 客户端将结果格式化后打印在宿主机屏幕上。

四、 总结