Linux Overlay如何實現文件系統隔離

Linux OverlayFS是一種聯合文件系統，它可以將多個目錄（稱為“層”）合并為一個統一的視圖。OverlayFS常用于Docker等容器技術中，以實現文件系統的隔離和共享。以下是OverlayFS實現文件系統隔離的基本原理：

基本概念

1. 下層（Lowerdir）：

   • 這是基礎文件系統層，包含容器的只讀文件系統。
   • 通常是鏡像的根文件系統。

2. 上層（Upperdir）：

   • 這是可寫層，用于存儲容器運行時產生的所有更改。
   • 容器內的所有寫操作都會在這個層中進行。

3. 工作層（Workdir）：

   • 這是一個臨時目錄，用于OverlayFS在合并文件系統時的中間操作。
   • 它不是必須的，但在某些情況下可以提高性能。

工作原理

OverlayFS通過以下步驟實現文件系統的隔離：

1. 掛載OverlayFS：

   • 使用mount命令將OverlayFS掛載到目標目錄。
   • 例如：mount -t overlay overlay -o lowerdir=/path/to/lower,upperdir=/path/to/upper,workdir=/path/to/work /path/to/mountpoint

2. 文件查找：

   • 當訪問一個文件或目錄時，OverlayFS首先在上層（upperdir）中查找。
   • 如果在上層找不到，則在下層（lowerdir）中查找。
   • 如果仍然找不到，則返回錯誤。

3. 文件寫入：

   • 所有的寫操作都會在上層（upperdir）中進行。
   • 這確保了基礎鏡像的只讀性不被破壞。

4. 文件刪除：

   • 刪除操作會在上層（upperdir）中進行。
   • 如果上層中沒有該文件，則會從下層（lowerdir）中刪除。

5. 目錄創建：

   • 目錄創建操作會在上層（upperdir）中進行。
   • 這允許容器擁有自己的目錄結構，而不會影響基礎鏡像。

隔離效果

• 只讀隔離：基礎鏡像保持不變，所有寫操作都在上層進行，確保了基礎鏡像的完整性。
• 寫時復制（Copy-On-Write, COW）：雖然OverlayFS本身不直接支持COW，但可以通過其他機制（如Docker的UnionFS）實現。COW意味著只有在實際修改文件時才會復制文件，從而節省存儲空間。

示例

假設有一個基礎鏡像base.img，我們希望在其上運行一個容器，并且希望容器內的更改不會影響基礎鏡像。

1. 創建工作目錄：

   mkdir -p /path/to/lower /path/to/upper /path/to/work /path/to/mountpoint
   

2. 掛載OverlayFS：

   mount -t overlay overlay -o lowerdir=/path/to/base.img,upperdir=/path/to/upper,workdir=/path/to/work /path/to/mountpoint
   

3. 運行容器：

   • 將掛載點作為容器的根文件系統啟動容器。
   • 例如：docker run -it --mount type=bind,source=/path/to/mountpoint,target=/ rootfs

通過這種方式，容器內的所有更改都只會影響上層目錄，而不會影響基礎鏡像，從而實現了文件系統的隔離。

總結

OverlayFS通過將多個目錄合并為一個統一的視圖，并在上層進行所有寫操作，實現了文件系統的隔離。這種機制使得容器可以擁有自己的文件系統，同時保持基礎鏡像的完整性和安全性。