Containerd命令行管理工具

Thu, 27 Nov 2025 10:51:50 +0800

Containerd 命令行管理工具

Kubernetes 从 Docker 转向 containerd 的原因

架构层面的原因

kubelet 启动一个容器的流程:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


kubelet
 │
 │ (调用 CRI 接口)
 ▼
dockershim (K8s 维护的 CRI 转换层)
 │
 │ (调用 Docker Engine API)
 ▼
Docker Engine
 │
 │ (调用 containerd API)
 ▼
containerd
 │
 │ (调用 OCI 接口)
 ▼
runc (OCI runtime)
 │
 └─> 真正创建 Linux 容器 (namespace, cgroups, rootfs...)

Docker Engine 是一个完整平台（构建镜像、管理网络、Volume、Swarm 等），这些对 K8s 来说都是多余的。
dockershim 只是为了把 CRI（K8s 语言）翻译成 Docker API（Docker 语言）。
实际执行容器的，依然是 containerd + runc。

当 kubelet 直接使用 containerd 时，调用链简化为：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


 kubelet
 │
 │ (调用 CRI 接口)
 ▼
containerd (内置 CRI 插件)
 │
 │ (调用 OCI 接口)
 ▼
runc (OCI runtime)
 │
 └─> 真正创建 Linux 容器 (namespace, cgroups, rootfs...)

减少维护成本

kubernetes 从 1.24 开始，默认使用 containerd 作为容器运行时。不再去维护中间dockershim

性能提升

少一层调用，性能和稳定性更好。

ctr – Containerd自带的命令行管理工具

1
2


# 列出所有命名空间
sudo ctr namespaces list

1
2


# 镜像相关命令
sudo ctr -n=k8s.io images -h

ctr 上传、拉取镜像时不支持登陆认证，只能通过–user携带用户密码操作

1
2
3


sudo ctr -n=k8s.io images pull \
 --user <username>:<password> \
 myregistry.example.com/myrepo/nginx:latest

nerdctl (最接近docker CLI)

基本和docker CLI命令一致，只是在命令前添加了nerdctl前缀

安装nerdctl

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38


#!/bin/bash
set -e

VERSION=${VERSION:-2.2.0}

# 自动识别架构
ARCH=$(uname -m)
if [[ "$ARCH" == "x86_64" ]]; then
 ARCH="amd64"
elif [[ "$ARCH" == "aarch64" ]]; then
 ARCH="arm64"
else
 echo "Unsupported architecture: $ARCH"
 exit 1
fi

DOWNLOAD_URL="https://github.com/containerd/nerdctl/releases/download/v${VERSION}/nerdctl-${VERSION}-linux-${ARCH}.tar.gz"

echo "Downloading nerdctl v$VERSION for $ARCH"
wget "$DOWNLOAD_URL" -O nerdctl.tgz

echo "Extracting..."
tar -xzf nerdctl.tgz

# 解压后会得到 nerdctl、containerd、runc 等二进制
# 一般 nerdctl 位于当前目录的 nerdctl
TARGET_DIR="/usr/local/bin"

echo "Moving binaries to $TARGET_DIR (require sudo)"
sudo mv nerdctl "${TARGET_DIR}/"


echo "Cleaning up…"
rm -f nerdctl.tgz

echo "🎉 nerdctl installation completed!"
echo "Version check:"
sudo ${TARGET_DIR}/nerdctl --version

To list local Kubernetes containers:

1

nerdctl --namespace k8s.io ps -a

容器网络影响宿主机入网问题排查

Wed, 26 Nov 2025 10:38:20 +0800

容器网络影响宿主机入网问题排查

问题描述

发现172.27.0.0/16，172.26.0.0/16 网段的服务无法访问宿主机的服务

问题排查

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


docker network ls
NETWORK ID NAME DRIVER SCOPE
8eacdcbf22d7 7b-full_default bridge local
f22af6f77037 bridge bridge local
4a56201be716 host host local
6e36d25cdbb0 llama2-13b-lora_default bridge local
fb2839792d18 llama3-8b_lora_default bridge local
d1f916892b02 none null local
2c9c2578ecce tgi_default bridge local
446845acbad5 v2-9b_default bridge local
d1301d605f3c v2-27b-it_default bridge local
c3d523d51ee4 v3-8b_default bridge local
1d3cf7bd9665 v4-9b_default bridge local
59aecf59ca81 v31-8b_default bridge local
42cca879c18f webui-docker_default bridge local

发现1d3cf7bd9665、1d3cf7bd9665占用了172.27.0.0/16，172.26.0.0/16 网段，导致路由冲突。Linux 内核的路由机制会优先选择最匹配的路由，它会覆盖默认路由，流量会被错误的流向docker。

解决方法

修改docker 配置，不使用冲突网段

1
2
3
4
5
6
7
8
9


{
 "bip": "192.168.100.1/24",
 "default-address-pools": [
 {
 "base": "192.168.200.0/20",
 "size": 24
 }
 ]
}

创建容器时使用特定网络

docker network create –subnet=xx.xx.xx.xx/24 my_custom_network

如果必须保留冲突网段，修改宿主机路由，让外部网络优先

1
2


ip route del 172.27.0.0/16
ip route add 172.27.0.0/16 via <外部网关> metric 100

Docker on HRunning

Containerd命令行管理工具

Containerd 命令行管理工具

Kubernetes 从 Docker 转向 containerd 的原因

架构层面的原因

减少维护成本

性能提升

ctr – Containerd自带的命令行管理工具

nerdctl (最接近docker CLI)

安装nerdctl

容器网络影响宿主机入网问题排查

容器网络影响宿主机入网问题排查

问题描述

问题排查

解决方法

修改docker 配置，不使用冲突网段

创建容器时使用特定网络

如果必须保留冲突网段，修改宿主机路由，让外部网络优先