刚开始学 Docker，容易把两类问题混在一起：一类是“怎样把程序跑起来”，另一类是“它为什么这样运行”。只跟着命令操作，遇到权限、资源或网络问题时仍然很难判断从哪里查起。
这篇把站内已有的容器原理与离线部署文章整理成一条阅读路线。可以按顺序理解，也可以直接从正在遇到的问题进入。
先按问题选入口
| 你现在的问题 | 建议先读 | 阅读时要弄清什么 |
|---|---|---|
| 容器和虚拟机到底有什么区别？ | 从虚拟机到容器 | 进程、文件系统和内核分别在哪里 |
| 为什么容器里看到的进程、网络不一样？ | namespace | 隔离了哪些视图，哪些权限仍然需要限制 |
| 一个容器为什么会影响整台机器？ | cgroup | 资源限制是否真的配置，而非只看容器是否启动 |
| 镜像里有 Linux 文件，为什么还依赖宿主机？ | rootfs | 文件系统与内核的区别 |
| 机器不能联网，应该提前准备什么？ | 离线安装 Docker | 安装包、镜像、版本及后续更新是否都已安排 |
这些文章的环境和命令保留了各自写作时的背景。复现之前，要根据当前系统与软件版本重新核对，不能把历史示例当成今天通用的安装方案。
路线一：先理解容器，再判断运行问题
第一步，分清“程序的运行环境”和“完整虚拟机”。
按照 Docker 对容器的说明，容器是带有所需文件的隔离进程；在 Linux 宿主机上，多个容器共享内核。虚拟机则有自己的操作系统和内核。这个区别有助于理解：镜像里出现发行版目录，并不代表容器获得了一个独立内核。
第二步，把隔离与资源管理分开看。
Docker 安全文档分别讨论 namespace 与 control groups。前者帮助隔离进程所见的环境，后者负责资源计量和限制。因此，“容器里看不到别的进程”不能用来证明“它不会消耗过多内存”。排查时应先判断遇到的是可见性、权限，还是资源问题，再选择对应文章。
第三步，回到文件。
读 rootfs 时，可以围绕三个问题做笔记：程序需要哪些文件？运行产生的数据放在哪里？容器被重新创建后，哪些数据还应保留？把这些问题说清楚，比记住一个镜像拉取命令更能帮助后续部署。
路线二：离线安装前，先准备一份环境清单
不能联网时，缺一个镜像或选错架构，往往要重新走一遍材料传输流程。先记录下面几项，再决定安装方式：
- 目标系统与架构：发行版、内核、CPU 架构，以及该组合当前的支持情况。
- 安装方式与版本：所需版本、可信下载来源，以及是否有适合目标系统的软件包。
- 应用镜像：需要哪些镜像、明确的标签或 digest、怎样传入目标环境。
- 运行约定：持久化数据目录、端口、资源限制，以及谁能管理 Docker。
- 后续维护：怎样取得安全更新，升级失败时怎样恢复。
其中，安装方式需要单独判断。Docker 的二进制安装文档明确说明，静态二进制安装主要适合测试用途，不推荐作为生产环境的默认方案，因为它没有自动安全更新。生产部署应优先评估发行版对应的软件包安装方式，并在离线条件下安排依赖与更新流程。
站内离线安装文章中的 Docker 24.0.7 是历史示例，不代表当前最新版。能启动旧版本，只能说明这套历史步骤在相应环境中的运行情况，不能证明它适合新的生产环境。
学到哪一步，可以继续往下走？
读完一篇后，可以尝试用自己的话回答一个问题：
- 原理入门：容器与虚拟机的内核分别由谁提供？
- namespace：这次排查关心的是哪一种隔离？
- cgroup：应用需要什么资源边界，怎样确认它生效？
- rootfs：哪些内容来自镜像，哪些是需要保留的数据？
- 离线部署：安装、运行、更新和恢复的材料是否齐全？
有一个问题答不清，就回到对应章节；不必为了“学完整套 Docker”提前阅读所有细节。已经有明确部署任务时，也可以先整理环境清单，再带着实际问题补原理。
后续需要组织多个服务时，再阅读离线安装 K3S 的历史记录，并重新核对它与当前环境的适配情况。
资料与继续阅读
本文于 2026 年 11 月 6 日核对了以下 Docker 官方文档；具体支持版本与安装要求以官方后续更新为准。