Bật ufw rồi mà container vẫn lộ ra Internet: hai luật tường lửa y hệt, một cái vô dụng
Vì sao gói tin tới cổng Docker không bao giờ chạm chuỗi iptables INPUT, cái giá 93 MB cho 20 cổng publish, và hai cách vá đã đo tận nơi.
Bài viết mới nhất
Tổng 1741 bài
Deploy xong, JVM vẫn gọi vào IP của container đã chết suốt 24 giây — vì nó nhớ số cũ
Đo DNS nội bộ của Docker: độ trễ phân giải, round-robin theo bí danh, và cái bẫy cache khiến ứng dụng gọi vào container đã biến mất.
bridge chậm hơn host 18%, nghe ghê — nhưng đó là 14 micro giây, nhỏ hơn một truy vấn CSDL tầm thường
iperf3 qua bridge, host, none và overlay. Số liệu thật, cùng lý do vì sao chênh lệch hiệu năng thường không phải thứ đáng lo nhất.
Docker rootless nuốt trọn --memory 64m mà không một dòng cảnh báo — giới hạn chỉ là cái biển vẽ
Dựng song song hai daemon rootful và rootless rồi đo build, khởi động, thông lượng. Chênh lệch hiệu năng gần bằng 0; chỗ mất mát nằm ở nơi khác.
nginx chạy tốt với 3 trong 14 quyền của root — và --privileged gỡ ba lớp phòng thủ chứ không phải một
Đo từng capability một, đo bộ lọc seccomp tách khỏi capability, và phát hiện --privileged tắt luôn seccomp.
Bật --read-only, ba trong bốn image chết ngay — nhưng mỗi cái chỉ cần đúng vài đường ghi
Đo cái gì gãy khi bật read-only, tìm tập tmpfs nhỏ nhất cho nginx và postgres, và đo tmpfs ăn vào giới hạn bộ nhớ.