docker - 我可以基于主机文件系统构建Docker容器吗？

Question

我想使用docker进行网络隔离，仅此而已。
更具体地说，我想运行两个程序，并且仅当通过第二个程序中继连接时才允许网络访问一个程序上的某个端口。一个程序是VNC服务器，第二个程序是具有自定义身份验证方案的Websocket中继。
因此，我正在考虑将它们放入容器中，并使用docker端口映射来控制其网络访问。
我可以设置docker以便直接使用主机的文件系统吗？我想做一些事情，例如访问.Xauthority文件并创建UNIX域套接字(VNC服务器执行此操作)。我知道我可以将主机文件系统挂载到容器中，但是直接将其直接用作容器的文件系统会更简单。我认为。
这可能吗？简单？

Answer 1

不，每个容器都基于打包文件系统层的镜像。无法在docker中禁用文件系统 namespace (与网络，PID和其他可以设置为“主机”的 namespace 不同)。
根据您的要求，如果您不想使用主机卷挂载，并且不想将应用程序打包在镜像中，那么最好学习Linux内核中的网络 namespace ，而docker使用该 namespace 来实现容器隔离。 ip netns命令是一个很好的起点。