컨테이너 (Container)

컨테이너는 애플리케이션과 실행 환경(라이브러리, 설정 등)을 묶어서 격리된 상태로 실행하는 기술이다. (ex. Docker, Kubernetes 등)
쉽게 말해, 프로그램 + 필요 라이브러리 + 설정 파일을 하나의 상자에 담아 어디서든 동일하게 실행할 수 있게 만드는

설치 환경에 종속되지 않으며, 가상머신보다 가볍고 빠르다. 또한, 클라우드 환경에 최적화되어 있다. 컨테이너는 OS 전체를 가상화하지 않고 커널만 공유한다.

 

단일 서버 환경일 경우

일반 리눅스 서버 환경으로 예를 들어보겠다.
리눅스 서버에서 python --version을 통해 알아본 Python의 버전이 3.12라면 해당 서버에서 실행되는 모든 프로젝트는 기본적으로 Python 3.12 환경을 사용한다.
물론 여러 Python 버전을 설치해 PATH를 조정하거나 가상환경을 사용할 수 있지만, 이는 시스템 전반의 의존성과 완전하게 분리된 환경을 보장하지는 않는다.

 

컨테이너를 쓴다면?

하나의 리눅스 서버 안에서 여러 개의 독립된 실행 환경을 동시에 사용할 수 있다. 각 컨테이너는 독립된 파일 시스템, 독립된 프로세스 공간을 가지게 된다.
컨테이너는 하이퍼바이저처럼 OS 전체를 가상화하지는 않는다. 따라서 자원 관리는 호스트 서버에 종속되어 호스트 커널을 공유한다.

컨테이너 아키텍처

컨테이너는 VM과 다르게 운영체제 커널을 공유한다. 그러므로 VM에 비해 빠르고 가볍다는 장점이 있다.
VM은 각각의 Guest OS를 포함하기 때문에 애플리케이션을 실행하기 위해 매번 운영체제 전체를 부팅해야 한다. 반면 컨테이너는 이미 실행 중인 호스트 커널 위에서 독립된 프로세스로 동작하기 때문에 빠르고 가볍다.

 

컨테이너의 프로세스 격리

컨테이너는 새로운 가상 운영체제를 만드는 것이 아니라, 리눅스의 namespace와 cgroups 기능을 활용해 프로세스를 격리한다.

• namespace: 프로세스, 네트워크, 파일 시스템 등 리소스를 논리적으로 격리
• cgroups(control groups): CPU, Memory 등의 리소스 사용량 결정

두 개념이 비슷해보이지만 namespace는 해당 프로세스가 볼 수 있는 범위를 결정하는 격리의 개념이고, cgroups은 해당 프로세스가 쓸 수 있는 사용량을 결정하는 제한의 개념이다.

이 두 기능이 함께 동작하면서, 하나의 프로세스는 독립된 서버 안에서 실행되는 것처럼 동작하게 된다.
예를 들어 하나의 리눅스 서버에서 2개의 컨테이너가 실행 중이라고 가정했을 때, 컨테이너 A에서 ps aux를 실행하면 A 내부 프로세스만 보인다. 
하지만 실제로는 두 컨테이너 모두 같은 리눅스 커널 위에서 실행 중인 프로세스이다.

 

LXC (Linux Containers)

LXC는 리눅 커널의 namespace와 cgroups를 사용하여 격리된 리눅스 환경을 만드는 기술이다. 초기 Docker는 내부적으로 LXC를 사용해 컨테이너를 실행했다. 현재는 libcontainer라는 독자적인 실행 엔진을 개발하여 LXC 없이 자체적으로 동작한다.

LXC는 운영체제 단위 컨테이너라고 불린다. 도커처럼 하나의 애플리케이션만 실행하는 구조가 아니라, VM과 유사한 경량 리눅스 서버처럼 동작할 수 있기 때문이다. 겉보기에는 VM과 매우 비슷하지만, 실제로는 호스트와 동일한 커널을 공유한다는 점에서 차이가 있다.

 

Ubuntu에 LXC 설치 및 컨테이너 생성

LXC가 와닿지 않아서 ubuntu 인스턴스에서 설치해보았다.

sudo apt install lxc

위의 명령어를 통해 설치할 수 있고 lxc-checkconfig을 통해 설치 결과를 확인할 수 있다.

 

테스트 컨테이너 생성

sudo lxc-create -n test-container1 -t download

 

생성 후 아래의 명령어를 통해 컨테이너를 실행할 수 있다.

 

docker exec를 통해 컨테이너 내부에 접속하는 것처럼 아래의 명령어를 통해 컨테이너 내부에 접속 가능하다.

 sudo lxc-attach -n test-container1

 

호스트 서버와 컨테이너 내부에서 uname -r 명령어를 통해 리눅스 커널 버전을 확인해보면 커널 버전이 동일한 것을 볼 수 있다.

 

컨테이너가 실제로 네트워크 namespace를 통해 격리되는지 확인하기 위해, 내부에 Nginx를 설치하고 포트 동작을 비교해보았다.

 

다음 명령어를 통해 nginx를 설치하였으며, 이후 ss -tulnp 명령어로 포트 80이 열려있는지 확인했다.

apt install nginx -y
systemctl start nginx

컨테이너 밖으로 나와서도 동일한 명령어를 실행해봤는데, 호스트에서는 포트 80이 열려있지 않았다.
즉, 이는 컨테이너 내부에서 열린 포트는 해당 namespace 안에서만 유효하다는 것을 뜻한다.

 

이를 통해 컨테이너는 커널을 공유하지만, 네트워크 스택은 독립적으로 격리되어 동작한다는 것을 확인할 수 있었다.