容器隔离多站点彻底解决防关联需求：Docker实战教程

为什么需要容器隔离多站点？

运营多个网站（如电商店铺、站群、品牌站点）时，防关联的核心是独立的运行环境：每个站点要有独立的IP、文件系统、进程和网络栈。
传统方式用虚拟机太臃肿，共用一个服务器又容易留下cookie或session交叉的痕迹。
Docker容器正好解决了这个问题——它轻量、启动快，每个容器就是一个独立的沙箱，从根源上切断站点间的数据泄露。

准备工作：安装 Docker

在服务器上安装Docker，以下以CentOS 7+和Ubuntu 20.04+为例。

# CentOS
sudo yum install -y yum-utils
sudo yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo
sudo yum install docker-ce docker-ce-cli containerd.io
sudo systemctl start docker
sudo systemctl enable docker

# Ubuntu
sudo apt update
sudo apt install docker.io
sudo systemctl start docker
sudo systemctl enable docker

安装完成后，用 docker --version 验证，然后 docker info 确认服务正常运行。

创建独立容器：逐站点部署

假设你有两个站点 site1.example.com 和 site2.example.com。
为每个站点创建一个独立的Nginx容器，并挂载不同的数据目录和端口。

步骤1：创建站点目录

mkdir -p /data/site1 /data/site2
# 把各自的网页文件放到对应目录，比如 index.html

步骤2：启动第一个容器

docker run -d --name site1 \
  -p 8081:80 \
  -v /data/site1:/usr/share/nginx/html \
  nginx:alpine

• --name site1：容器名称，后面管理方便。
• -p 8081:80：将宿主机的8081端口映射到容器的80端口。
• -v /data/site1:/usr/share/nginx/html：挂载数据卷，站点文件与容器隔离，即使容器删除数据还在。

步骤3：启动第二个容器

docker run -d --name site2 \
  -p 8082:80 \
  -v /data/site2:/usr/share/nginx/html \
  nginx:alpine

两个容器完全独立，文件、端口、进程都不交叉。

配置网络隔离与域名访问

为了让用户通过域名访问，可以在宿主机上配置Nginx反向代理，把不同域名转发到不同容器端口。

安装宿主机Nginx（如果还没装）

sudo apt install nginx  # 或 yum install nginx

编辑反向代理配置

在 /etc/nginx/conf.d/ 下创建 site1.conf 和 site2.conf。

# site1.conf
server {
    listen 80;
    server_name site1.example.com;
    location / {
        proxy_pass http://127.0.0.1:8081;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

# site2.conf
server {
    listen 80;
    server_name site2.example.com;
    location / {
        proxy_pass http://127.0.0.1:8082;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

检查配置 nginx -t 无误后重启：systemctl restart nginx。

现在，访问 site1.example.com 会到达第一个容器，site2.example.com 到达第二个容器，每个站点完全隔离。

避坑与常见问题

端口冲突：规划阶段就给每个站点分配不同端口，并写在文档里。
如果容器启动时端口被占，换一个即可。

数据持久化：一定要用 -v 挂载数据卷，否则删除容器后站点文件会丢失。
日志也可以单独挂载。

资源限制：用 --memory 和 --cpus 限制单个容器占用，防止某个站点拖垮服务器：

docker run -d --name site1 --memory=512m --cpus=0.5 ...

安全更新：定期 docker pull nginx:alpine 拉取新镜像，然后重建容器。
没有漏洞的镜像更安全。

容器间网络：默认bridge网络下容器通过IP可以互通。
如果要求完全物理隔离，可以给每个容器单独创建一个网络：

docker network create net1
docker run -d --name site1 --network net1 ...

这样不同网络的容器互不可见。

效果验证

1. 检查容器运行状态：docker ps 应看到 site1 和 site2 都在运行。
2. 测试域名访问：在浏览器打开 site1.example.com 和 site2.example.com，确认内容不同。
3. 数据隔离验证：修改 /data/site1/index.html，site2应该完全不受影响。
4. 网络隔离验证：进入容器 docker exec -it site1 sh，然后 ping site2（如果不在同一网络则超时）。

通过以上操作，你可以彻底告别多站点关联风险。
如果遇到异常，请优先检查端口映射、挂载路径和反向代理配置——大部分问题都出在这里。

如果你正在处理容器隔离多站点彻底解决防关联需求，建议先按本文步骤在测试环境跑一遍，熟悉后再应用到生产环境。
记好每条命令的含义，以后扩展站点只需要复制容器并修改端口和域名即可。