docker runBạn gõ một dòng, và mười hai việc xảy ra sau lưng bạn

Bạn gõ đúng một dòng, đợi khoảng năm giây, mở trình duyệt và thấy trang chào của nginx. Cảm giác là "xong rồi". Thực tế là mười hai việc vừa xảy ra và bạn mới nhìn thấy đúng một trong số đó.

$ docker run -d --name web -p 8080:80 nginx:1.29-alpine
Unable to find image 'nginx:1.29-alpine' locally
1.29-alpine: Pulling from library/nginx
612c0c1df4c5: Pull complete
583599bb7d38: Pull complete
aee4e54b3865: Pull complete
82736a35d0e7: Pull complete
4a8b0b2a5b19: Pull complete
781ff50d2644: Pull complete
453da7dbc73e: Pull complete
6a0ac1617861: Pull complete
e8fc446e336c: Download complete
6192e1e6a438: Download complete
Digest: sha256:5616878291a2eed594aee8db4dade5878cf7edcb475e59193904b198d9b830de
Status: Downloaded newer image for nginx:1.29-alpine
9718e1e039ec8b1837ff4df1ac32b126ab814a2cd990ce2eec229deccf7d16e9

Chuỗi 64 ký tự cuối cùng là ID đầy đủ của container. Mọi lệnh sau này bạn chỉ cần 12 ký tự đầu, hoặc cái tên web. Tờ này đi ngược từ dòng lệnh đó, mổ từng mảnh một.

Lệnh trên có bốn phần tuỳ chọn và một phần bắt buộc. Mỗi phần đụng vào một tầng khác nhau của hệ thống — và đây là lý do người mới hay sửa nhầm chỗ khi gặp lỗi.

Điểm dễ bỏ qua nhất là -d. Nó không có nghĩa "chạy nền cho gọn". Nó quyết định terminal của bạn có bị gắn vào tiến trình chính hay không — và kéo theo chuyện điều gì xảy ra khi bạn nhấn Ctrl+C.

Mở http://localhost:8080 trên trình duyệt. Gói tin không đi thẳng vào nginx. Nó qua năm chặng, và biết năm chặng đó là biết chỗ để soi khi hỏng.

Hai chặng đầu nằm hoàn toàn trên máy chủ và không liên quan gì tới Docker. Chặng thứ ba là chỗ Docker chen vào: một luật DNAT viết bởi daemon lúc container khởi động.

$ docker port web
80/tcp -> 0.0.0.0:8080
80/tcp -> [::]:8080

$ ss -ltn | grep 8080
LISTEN 0      4096         0.0.0.0:8080       0.0.0.0:*
LISTEN 0      4096            [::]:8080          [::]:*

0.0.0.0 nghĩa là mọi địa chỉ của máy này, gồm cả IP công cộng. Trên một VPS, dòng đó có nghĩa là cả Internet gõ được vào cổng 8080. Đọc kỹ dòng này là thói quen đáng rèn.

$ docker inspect -f '{{range $k,$v := .NetworkSettings.Networks}}{{$k}} {{$v.IPAddress}}{{end}}' web
bridge 172.17.0.2

$ docker exec web ip addr show eth0
2: eth0@if275: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue state UP
    link/ether 66:a9:0a:46:eb:40 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0

Ký hiệu eth0@if275 là dấu vết của một cặp giao diện ảo: eth0 bên trong container nối với giao diện số 275 bên ngoài, cắm vào cầu docker0. Cầu đó chính là cổng 172.17.0.1 — địa chỉ mà nginx ghi vào log khi bạn gọi từ máy chủ.

$ docker logs web | tail -1
172.17.0.1 - - [23/Aug/2026:02:04:37 +0000] "HEAD / HTTP/1.1" 200 0 "-" "curl/8.5.0" "-"

Nginx không thấy 127.0.0.1, cũng không thấy IP thật của bạn. Nó thấy cổng của cầu.

Từ lúc bạn nhấn Enter (image đã có sẵn trên máy) tới lúc nginx nhận request đầu tiên là khoảng hơn một giây. Bên trong khoảng đó có tám mốc rõ ràng.

Mốc đáng chú ý nhất là mốc thứ sáu: runc gọi clone() với các cờ tạo namespace, rồi exec nginx, rồi tự thoát. Sau đó không còn runc nào trên máy — thứ ở lại là shim, đúng như Tờ 02 đã mổ xẻ.

$ docker ps
CONTAINER ID   IMAGE               STATUS         PORTS
9718e1e039ec   nginx:1.29-alpine   Up 2 seconds   0.0.0.0:8080->80/tcp, [::]:8080->80/tcp

$ docker stats --no-stream web
CONTAINER ID   NAME   CPU %   MEM USAGE / LIMIT     MEM %   PIDS
9718e1e039ec   web    0.00%   6.082MiB / 11.68GiB   0.05%   7

Cách ly của container không phải phép màu. Nó là sáu cơ chế của nhân Linux gọi là namespace, và bạn đếm được chúng bằng số hiệu.

$ docker exec web ls -l /proc/1/ns
cgroup -> cgroup:[4026532677]
ipc    -> ipc:[4026532675]
mnt    -> mnt:[4026532673]
net    -> net:[4026532678]
pid    -> pid:[4026532676]
time   -> time:[4026531834]
user   -> user:[4026531837]
uts    -> uts:[4026532674]

$ readlink /proc/self/ns/{time,user}
time:[4026531834]
user:[4026531837]

$ docker exec web ps -ef | head -3
PID   USER     TIME  COMMAND
    1 root      0:00 nginx: master process nginx -g daemon off;
   30 nginx     0:00 nginx: worker process

Bên trong, nginx là tiến trình số 1. Bên ngoài, cùng tiến trình đó mang một số PID lớn của máy chủ. Cùng một tiến trình, hai cái tên, tuỳ bạn đứng ở đâu mà nhìn.

Image là chỉ đọc. Mọi thay đổi trong lúc container chạy rơi vào một lớp ghi riêng nằm trên cùng, và docker diff cho bạn xem đúng lớp đó.

$ docker exec web sh -c 'echo "ghi thu" > /tmp/ghichu.txt'
$ docker diff web
C /var/cache/nginx
A /var/cache/nginx/scgi_temp
A /var/cache/nginx/client_temp
A /var/cache/nginx/proxy_temp
C /etc/nginx/conf.d/default.conf
A /run/nginx.pid
C /tmp
A /tmp/ghichu.txt

A là thêm mới, C là đã đổi, D là đã xoá. Nhìn danh sách này là biết ngay: chính nginx cũng ghi vào lớp đó ngay lúc khởi động — nó sửa default.conf để bật IPv6 và tạo mấy thư mục đệm.

$ docker stop web
web

$ docker ps -a
CONTAINER ID   STATUS                        PORTS     NAMES
9718e1e039ec   Exited (0) 1 second ago (trống)   web

$ docker start web
web

$ docker exec web cat /tmp/ghichu.txt
ghi thu

Chú ý cột PORTS trống khi container đã dừng. Luật chuyển tiếp cổng chỉ tồn tại cùng tiến trình; dừng container là cổng 8080 trên máy chủ được trả lại ngay lập tức.

Đây là câu hỏi phổ biến nhất trong tuần đầu học Docker, và nó có bốn nguyên nhân hoàn toàn khác nhau. Chẩn đoán phải đi từ ngoài vào trong, không được đoán mò.

Nhánh khó thấy nhất là nhánh thứ ba: container chạy, cổng đã công bố, nhưng công bố nhầm số cổng bên trong. Triệu chứng rất dễ đánh lừa vì docker ps trông vẫn khoẻ mạnh.

$ docker run -d --name web -p 8080:8081 nginx:1.29-alpine
a917880484a3958c0a07f60ae08af512f2758f00e30357e73…

$ docker ps
CONTAINER ID   STATUS        PORTS
a917880484a3   Up 1 second   80/tcp, 0.0.0.0:8080->8081/tcp, [::]:8080->8081/tcp

$ curl -sS http://localhost:8080
curl: (56) Recv failure: Connection reset by peer

Đọc cột PORTS cho ra toàn bộ câu chuyện: 80/tcp đứng riêng nghĩa là image có khai cổng 80 nhưng không ai công bố nó; còn 0.0.0.0:8080->8081/tcp là chuyển tiếp tới một cổng mà bên trong không có ai nghe. Sửa bằng cách đổi thành -p 8080:80.

Năm câu, không giới hạn thời gian. Mỗi câu giải thích cả đáp án đúng lẫn vì sao các đáp án kia sai.