在低配服务器上运行Docker推荐什么配置？

在低配服务器（通常指 1核/2G内存或更低配置的云服务器，如阿里云 ECS t5/t6系列、腾讯云 CVM S3/S4系列等）上运行 Docker，核心挑战在于资源争抢和OOM（Out Of Memory）风险。Docker 本身是轻量级的，但如果不加限制地运行容器，极易导致宿主机崩溃。

以下是针对低配环境的实战配置建议，分为 系统层优化、Docker 守护进程配置、容器资源限制 和 存储驱动选择 四个维度。

一、 系统层基础优化

低配服务器的内核参数默认值往往是为通用场景设计的，需要针对性调整以支持高并发和内存高效利用。

1. 开启 Swap（交换空间）

   • 重要性：⭐⭐⭐⭐⭐
   • 原因：物理内存不足时，Swap 是防止 OOM Kill 的最后一道防线。虽然磁盘 IO 慢，但在“保活”层面至关重要。
   • 操作：创建至少 2G-4G 的 Swap 文件。

     fallocate -l 2G /swapfile
     chmod 600 /swapfile
     mkswap /swapfile
     swapon /swapfile
     # 写入 fstab 确保重启生效
     echo '/swapfile none swap sw 0 0' >> /etc/fstab

   • 调优：修改 vm.swappiness=10，避免过度使用 Swap 导致系统卡顿，仅在内存极度紧张时才启用。

2. 内核参数优化 (/etc/sysctl.conf)

   • 增加文件描述符限制，防止连接数过多报错。

     fs.file-max = 655350
     net.core.somaxconn = 1024
     vm.max_map_count = 262144

   • 执行 sysctl -p 生效。

二、 Docker 守护进程配置 (daemon.json)

这是最关键的部分。默认配置下，Docker 可能会占用大量内存用于镜像缓存和元数据管理。

{
  "storage-driver": "overlay2",
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "3"
  },
  "live-restore": true,
  "iptables": false,
  "default-ulimits": {
    "nofile": {
      "Name": "nofile",
      "Hard": 65535,
      "Soft": 65535
    }
  }
}

关键项解析：

• storage-driver: overlay2：

  • 必须使用 Overlay2。它是目前 Linux 上性能最好、最稳定的存储驱动。避免使用 devicemapper（已废弃且性能差）或 aufs（兼容性差）。
  • 注意：如果你的系统是 CentOS 7 或 Ubuntu 18.04 以下，可能需要手动安装 kernel-modules-extra 来支持 Overlay2。

• log-opts (日志轮转)：

  • 极其重要！ 默认情况下，Docker 容器日志会无限增长。在低配服务器上，一个繁忙的 Web 服务可能在几小时内就占满整个磁盘，导致系统无法写入新数据而崩溃。
  • 设置 max-size: 10m 表示单个日志文件最大 10MB，max-file: 3 表示保留最近 3 个文件。总日志占用不超过 30MB。

• live-restore: true：

  • 当 Docker 守护进程重启时（例如更新 Docker 版本），保持正在运行的容器继续运行，避免服务中断。这在维护低配服务器时很有用。

• iptables: false（可选，需谨慎）：

  • 如果你使用云厂商的安全组（Security Group）来控制端口访问，可以关闭 Docker 内部的 iptables 规则生成，减少 CPU 开销和网络延迟。
  • 警告：关闭后，容器间的网络隔离由宿主机的防火墙或其他工具（如 Calico/Cilium）负责，需确保你的网络模型兼容。对于单机 Docker，建议保持默认或谨慎测试。

三、 容器资源限制（强制约束）

原则：永远不要信任容器的自我约束。 必须在启动时明确限制 CPU 和内存。

1. 使用 Docker Compose 示例（推荐）

version: '3.8'
services:
  web-app:
    image: nginx:alpine  # 尽量使用 alpine 或 distroless 镜像
    restart: always
    deploy:
      resources:
        limits:
          cpus: '0.50'       # 限制最多使用 50% 的单个 CPU 核心
          memory: 256M       # 限制最大内存为 256MB
        reservations:
          cpus: '0.25'       # 预留 25% CPU，保证基本响应
          memory: 128M       # 预留 128MB 内存，防止启动失败
    ports:
      - "80:80"
    volumes:
      - ./html:/usr/share/nginx/html:ro

2. 命令行方式

docker run -d 
  --name myapp 
  --cpus="0.5" 
  --memory="256m" 
  --memory-swap="512m" 
  nginx:alpine

• --memory-swap：设置为内存的 2 倍，允许容器在内存紧张时使用部分 Swap，避免被立即杀死。
• --cpus：低配服务器通常是单核或多核低频，限制 CPU 可防止某个容器跑满 CPU 导致其他服务无响应。

四、 镜像与运行时选择

1. 镜像选择：

   • 首选 Alpine Linux 基础镜像：体积最小（约 5MB），攻击面小。例如 nginx:alpine, python:3.9-alpine。
   • 次选 Distroless 镜像：Google 提供的无操作系统组件的镜像，仅包含应用及其依赖，进一步减小体积和安全风险。
   • 避免使用完整 OS 镜像：如 ubuntu:latest, centos:7，它们包含大量不需要的库和工具，浪费宝贵的磁盘和内存。

2. 避免使用复杂编排工具：

   • 在低配服务器上，不要部署 Kubernetes (K8s)。K8s 的控制平面（etcd, kube-apiserver, scheduler, controller-manager）至少需要 2C4G 以上才能稳定运行。
   • 推荐使用 Docker Compose：轻量、易管理、资源开销极小。

3. 定期清理无用资源：

   • 添加定时任务（cronjob）清理未使用的镜像、容器和卷：

     docker system prune -af --volumes

   • 或者使用工具如 docker-cleanup 自动处理。

五、 监控与告警（轻量级）

低配服务器一旦出问题很难排查，因此需要轻量级监控：

• Prometheus + Node Exporter：资源占用极低，可采集系统指标。
• cAdvisor：专门监控容器资源使用情况。
• 简单脚本监控：如果连 Prometheus 都嫌重，可以写一个简单的 bash 脚本，每 5 分钟检查一次 docker stats 中内存最高的容器，超过阈值则记录日志或发送告警。

总结 checklist

通过以上配置，你可以在 1核2G 甚至更低的服务器上稳定运行多个轻量级服务（如 Nginx、Node.js、Python Flask、Redis 等）。记住：节制是低配服务器生存的第一法则。