- 隔離
vmware使用supervisor模擬出硬件，然后在其之上安裝完整的一套操作系統，這套完整的操作系統跑在宿主機操作系統之上，被宿主機操作系統調度，所以較為重量。
而Docker復用宿主機操作系統的內核，作為普通進程調用，使用linux提供的namespace隔離技術來實現虛擬化，是一種輕量級虛擬化技術。namespace表示一個標識符的可見范圍，各namespace互不相干，所以標識符能夠任意定義而不沖突。
linux提供6種namespace：UTS（主機名）、User、Mount（文件系統）、Net、IPC、Pid。有了這幾種名稱空間，會讓進程自身覺得跑在一臺獨立的操作系統上，這是操作系統的欺騙性。
docker輕量，一次封裝到處運行，啟動快，所以很適合做擴縮容、微服務。
- 網絡
docker默認會使用bridge網絡模型，即容器中的有veth的一端，另一端veth連接到bridge網橋上，網橋連接宿主機網絡，使用NAT來實現和外部通信。veth的原理是這樣，通常成對出現，發送給veth一端的包可以被另一端接收到。
docker還有其他幾種模型，比如沒net，容器中只有環回網絡loopback。聯合net，多個容器使用相同的veth。hostnet，容器直接使用宿主機網絡。
- 鏡像
鏡像是一個可執行的軟件包，包含運行應用程序所需的一切。
docker的鏡像使用分層結構，就是所謂的“分層存儲，聯合掛載”。
最下面一層是bootfs，包含bootloader。再往上是根系統鏡像層，再往上是各種鏡像層，除了最上層是可讀寫之外，其余層均為只讀層。所以，如果在頂層鏡像有對下層鏡像數據做修改的話，該數據會COW（copy on write）復制到頂層進行，然后再進行修改。所以，可想而知，這種聯合掛載文件系統的效率不是很高，所以在使用中會用到volume，卷，即脫離于分層存儲的存儲。
