3天吃透Docker与K8s面试必问点，拒绝纸上谈兵
看了一堆教程还是不会写项目？别慌，这可能是你离offer最近的距离。很多候选人背了无数八股文，面试官一追问实战细节就卡壳，尤其是Docker与Kubernetes（K8s）这块，绝对是后端与运维岗位的面试必问项。
在Stack Overflow上，关于“Docker容器无法连接宿主机服务”的提问高达数千条，核心原因往往不是网络配置复杂，而是对底层网络模型理解不深。今天这篇内容，不整虚的，直接拆解大厂面试官最爱问的5个核心考点，给你标准答案和可落地的代码，帮你把知识点真正装进脑子里。
考点梳理：面试官到底在考什么
很多新手以为Docker就是打包工具，K8s就是编排工具，这没错，但太浅了。面试官问“请描述一下Docker的工作原理”，其实是在考察你对隔离机制和网络模型的理解深度。
高频考点一：Docker镜像分层与存储驱动 镜像为什么这么小？因为它是分层的。每一层只记录变化。Overlay2文件系统是主流，它通过合并只读层和可写层实现高效存储。如果你说“镜像就是一堆文件打包”，直接挂掉。
高频考点二：容器网络模型 这是重灾区。Bridge、Host、None，这三种模式的区别，以及跨节点通信原理。面试官喜欢问：“两个不同节点上的容器如何通信？”如果你只答“通过Service”，那不够，必须提到CNI插件、Overlay网络或Flannel的隧道机制。
高频考点三：K8s核心组件交互 API Server、Etcd、Scheduler、Controller Manager、Kubelet，这五个组件谁负责什么？数据流向是怎样的？比如：Pod状态变更，是Kubelet上报给API Server，还是API Server主动拉取？（答案是主动拉取，通过Watch机制）。
高频考点四：健康检查机制 Liveness、Readiness、Startup Probe的区别。很多候选人混淆这三个。Liveness是“死没死”，Readiness是“能不能接流量”，Startup是“启动慢不慢”。
高频考点五：故障排查实战 “容器重启频繁怎么办？”“Pod一直处于Pending状态怎么查？”这类问题没有标准代码，考的是你的排查思路：kubectl logs、kubectl describe、检查资源配额、检查节点状态。
标准答法：如何组织语言拿高分
回答技术问题，不要像背书一样罗列定义，要用**“结论+原理+场景”**的结构。
针对镜像分层的回答模板： “Docker镜像采用分层存储结构，主要优势是节省空间和加速构建。底层基于UnionFS文件系统，如Overlay2。构建镜像时，如果指令不变，层会被缓存。在CI/CD中，我们常利用这一点，将依赖安装放在前面，代码拷贝放在后面，以最大化缓存命中率。”
针对容器网络的回答模板： “K8s中Pod间通信分两种情况。同节点内，通过Linux Bridge直接通信，延迟极低。跨节点通信，默认使用Flannel插件，建立VXLAN隧道，实现逻辑上的二层网络。生产环境中，为了性能，常配置Calico或Cilium，使用BGP或eBPF技术，避免隧道开销。Service则是通过iptables或IPVS规则，将ClusterIP流量转发到后端Pod。”
针对健康检查的回答模板： “Liveness Probe用于检测容器是否存活，失败则重启，防止死锁。Readiness Probe用于检测是否就绪，失败则从Service后端摘除，防止流量打给未启动完的服务。Startup Probe用于慢启动应用，如大型Java应用，它通过后才开始其他探测。配置时，timeoutSeconds和failureThreshold要合理，避免误杀。”
关键点： 提到具体技术名词（Overlay2、VXLAN、BGP、eBPF、iptables、IPVS），会显得你很懂行。
代码实现：从YAML到调试脚本
光说不练假把式。这里给出一个典型的K8s Deployment YAML，以及一个常用的故障排查Shell脚本。
1. 生产级Deployment示例
apiVersion: apps/v1
kind: Deployment
metadata:name: web-applabels:app: web-app
spec:replicas: 3selector:matchLabels:app: web-apptemplate:metadata:labels:app: web-appspec:containers:- name: webimage: my-registry/web-app:1.2.3ports:- containerPort: 8080resources:requests:cpu: "250m"memory: "256Mi"limits:cpu: "500m"memory: "512Mi"livenessProbe:httpGet:path: /healthport: 8080initialDelaySeconds: 30periodSeconds: 10readinessProbe:httpGet:path: /readyport: 8080initialDelaySeconds: 5periodSeconds: 5env:- name: LOG_LEVELvalue: "info"
---
apiVersion: v1
kind: Service
metadata:name: web-app-svc
spec:type: ClusterIPselector:app: web-appports:- port: 80targetPort: 8080
逐行讲解：
replicas: 3：高可用基础，单点故障时自动补齐。resources：必须设置requests和limits。不设置limits可能导致节点资源耗尽，引发OOM Killer。cpu单位m代表毫核，memory单位Mi代表兆字节。livenessProbevsreadinessProbe：Liveness初始延迟30秒，给应用足够启动时间；Readiness初始延迟5秒，快速接入流量。路径不同，因为健康检查和就绪检查逻辑可能不同。
2. 故障排查Shell脚本
当Pod状态异常时，这个脚本能帮你快速收集信息：
#!/bin/bash
# debug-pod.sh
POD_NAME=$1
NAMESPACE=$2if [ -z "$POD_NAME" ]; thenecho "Usage: $0 <pod-name> [namespace]"exit 1
fiif [ -z "$NAMESPACE" ]; thenNAMESPACE="default"
fiecho "=== Pod Details ==="
kubectl get pod $POD_NAME -n $NAMESPACE -o wideecho -e "\n=== Pod Describe ==="
kubectl describe pod $POD_NAME -n $NAMESPACEecho -e "\n=== Recent Logs (Last 50 lines) ==="
kubectl logs $POD_NAME -n $NAMESPACE --tail=50echo -e "\n=== Events ==="
kubectl get events -n $NAMESPACE --sort-by='.lastTimestamp' | tail -10
使用场景：
面试官问“如何排查Pod Pending？”
你可以回答：“我先用kubectl describe pod查看Events，通常会有调度失败的原因，比如Insufficient cpu/memory，或者PVC未绑定。如果是ImagePullBackOff，就查日志看是镜像名错还是权限问题。如果是CrashLoopBackOff，就查应用日志，看是不是配置错误或代码bug。上面这个脚本可以一键收集这些信息，提高效率。”
追问与延伸：深挖底层与实战坑点
面试官不会只问基础，一定会追问“为什么”和“遇到过什么坑”。
追问1：为什么不用Docker Engine直接管理容器，而要用K8s？ 答： Docker Engine是单机容器引擎，K8s是集群编排平台。Docker解决“怎么跑”，K8s解决“怎么管、怎么扩、怎么高可用”。K8s通过声明式API，让你定义期望状态，系统自动收敛到该状态。
追问2：K8s中ConfigMap和Secret的区别？Secret安全吗？ 答： ConfigMap存非敏感配置，Secret存敏感信息。Secret在Etcd中默认是Base64编码，不是加密。生产环境必须启用Etcd静态加密（Static Encryption）或动态加密（Dynamic Encryption），并严格限制RBAC权限。Base64只是编码，不是加密，任何有权限读Etcd的人都能解密。
追问3：Service的iptables和IPVS模式区别？ 答： iptables基于规则链，规则数随Pod数线性增长，大规模集群下性能下降。IPVS基于哈希表，O(1)查找性能，支持更多负载均衡算法（如least_conn）。K8s 1.20后，IPVS成为推荐模式，尤其适合大规模集群。
追问4：Pod启动失败，状态为Init:0/1，怎么排查？
答： 检查Init Container的日志。kubectl logs <pod> -c <init-container-name>。常见原因是Init容器依赖的外部服务（如数据库）未就绪，或脚本执行权限问题。
避坑指南：
- 不要在生产环境使用
image: latest：不可复现，无法回滚。 - 不要忽略
terminationGracePeriodSeconds：默认30秒，如果应用关闭慢，会被强杀，导致数据丢失。 - PVC不要绑定特定节点：使用
StorageClass和Dynamic Provisioning，提高灵活性。
记忆口诀：快速回顾核心知识点
为了方便记忆，整理了一组口诀，建议截图保存，面试前快速过一遍。
Docker核心： 镜像分层Overlay，缓存加速构建快。 网络三种Bridge通，Host直通None隔。 容器隔离Namespace，Cgroup限资源配。
K8s组件： APIServer中枢点，Etcd存储数据存。 Scheduler调度选，Controller维持状。 Kubelet节点跑，CRI接口连引擎。
网络通信： 同节点Bridge直连，跨节点Flannel隧道。 Service虚拟IP转，iptables或IPVS选。 DNS解析SRV记录，头名服务找后端。
健康检查： Liveness死重启，Readiness接流量。 Startup慢启动，三者逻辑要分清。 超时阈值合理设，避免误杀与漏检。
排查思路： Pending查Events，资源配额节点限。 CrashLoop查Logs，配置代码找原因。 ImagePull查权限，网络连通镜像源。
进阶技巧： HPA自动扩缩容，基于CPU或自定义。 PDB驱逐保护，滚动更新保可用。 NetworkPolicy隔离，最小权限原则守。 Observability三支柱，Metrics Logs Trace全。
最后提醒： 面试中，如果遇到不会的问题，不要硬编。可以说：“这个细节我印象不深，但我的排查思路是先看...，再看...，我会通过...来验证。” 展示你的思维过程，比背诵答案更重要。
这个知识点你面试被问过吗？留言说说
