1. Docker Swarm 技术概述
Docker Swarm 是 Docker 官方提供的容器编排工具，它允许用户将多个 Docker 主机集群化，形成一个统一的资源池。与 Kubernetes 相比，Swarm 的最大优势在于其简单易用和与 Docker 生态系统的无缝集成。我在实际生产环境中使用 Swarm 已有三年多时间，发现它特别适合中小规模部署场景。
Swarm 的核心思想是将多个物理或虚拟 Docker 主机抽象为一个逻辑主机。当你部署服务时，Swarm 调度器会自动决定在哪个节点上运行容器，并处理服务发现、负载均衡等基础设施问题。这种设计让开发者可以像操作单机 Docker 一样操作整个集群。
重要提示：虽然 Swarm 已经内置在 Docker Engine 中，但在生产环境使用前，建议先在小规模测试环境验证所有功能。
2. Swarm 核心架构解析
2.1 节点角色与通信机制
Swarm 集群由两种节点组成：
- 管理节点（Manager）：负责集群状态维护、任务调度和 API 访问
- 工作节点（Worker）：实际运行容器的工作负载
管理节点之间通过 Raft 协议实现高可用。我建议生产环境至少部署 3 个管理节点，这样即使一个节点故障，集群仍能正常运作。节点间通信使用 TLS 1.2 加密，这是默认启用的安全特性。
2.2 服务部署模型
Swarm 采用声明式服务模型。你只需要定义"服务应该是什么状态"，Swarm 会自动维持这个状态。例如：
bash复制docker service create --name web --replicas 3 -p 80:80 nginx
这条命令会创建一个包含 3 个 nginx 实例的服务，Swarm 会自动将它们分布到不同节点。
3. 生产环境部署实践
3.1 集群初始化最佳实践
初始化 Swarm 集群时，有几个关键参数需要注意：
bash复制docker swarm init --advertise-addr <MANAGER-IP> --default-addr-pool 10.10.0.0/16
--advertise-addr指定其他节点连接用的 IP--default-addr-pool定义服务网络的 IP 范围
我在实际部署中发现，提前规划好网络地址空间能避免后期扩容时的冲突问题。建议为服务网络和覆盖网络分配不同的子网。
3.2 服务滚动更新策略
Swarm 的滚动更新功能非常实用。以下是一个带健康检查的更新示例：
bash复制docker service update \
--image nginx:1.19 \
--update-parallelism 2 \
--update-delay 10s \
--health-cmd "curl -f http://localhost || exit 1" \
--health-interval 5s \
web
这个配置表示：
- 每次更新 2 个副本
- 每次更新间隔 10 秒
- 使用 curl 检查服务健康状态
- 每 5 秒检查一次健康状态
4. 网络与存储方案
4.1 多主机网络设计
Swarm 默认创建两种网络：
- ingress：处理入口流量，使用路由网格(Routing Mesh)技术
- docker_gwbridge：连接所有节点的桥接网络
对于需要隔离的环境，我习惯创建自定义覆盖网络：
bash复制docker network create --driver overlay --subnet 10.10.1.0/24 my_net
4.2 持久化存储方案
Swarm 支持多种存储方案：
- 本地卷：适合单节点持久化数据
- NFS/GlusterFS：适合多节点共享存储
- 云提供商块存储：如 AWS EBS、Azure Disk
生产环境推荐使用类似以下的挂载方式：
bash复制docker service create \
--name db \
--mount type=volume,source=pgdata,destination=/var/lib/postgresql/data \
postgres
5. 监控与日志管理
5.1 集群监控方案
推荐监控组合：
- cAdvisor：容器资源监控
- Prometheus：指标收集
- Grafana：可视化展示
部署示例：
bash复制docker service create \
--name cadvisor \
--mode global \
--mount type=bind,source=/,destination=/rootfs,readonly=true \
--mount type=bind,source=/var/run,destination=/var/run \
--mount type=bind,source=/sys,destination=/sys,readonly=true \
google/cadvisor
5.2 集中式日志处理
对于日志收集，我通常采用 ELK 栈：
- Filebeat 运行在每个节点上收集日志
- 发送到 Logstash 进行处理
- 最终存储在 Elasticsearch 中
- 通过 Kibana 展示
6. 安全加固措施
6.1 TLS 证书管理
Swarm 使用自动生成的 TLS 证书，但生产环境建议：
- 使用自己的 CA 签发证书
- 定期轮换证书
- 限制管理节点访问
6.2 服务访问控制
重要服务应该配置访问限制：
bash复制docker service create \
--name api \
--limit-cpu 2 \
--limit-memory 512M \
--reserve-cpu 1 \
--reserve-memory 256M \
--restart-condition on-failure \
my_api_image
7. 常见问题排查
7.1 服务无法启动
典型排查步骤：
- 检查节点资源是否充足
- 查看服务日志：
docker service logs -f 服务名 - 验证镜像是否可拉取
- 检查端口冲突
7.2 网络连接问题
常见原因：
- 覆盖网络未正确创建
- 防火墙阻止了 Swarm 端口（2377/tcp, 7946/tcp+udp, 4789/udp）
- 节点时间不同步导致 TLS 验证失败
8. 性能优化技巧
8.1 调度策略调优
Swarm 默认使用 spread 策略，也可以使用 binpack：
bash复制docker service create \
--name optimized \
--placement-pref 'spread=node.labels.az' \
nginx
8.2 资源限制建议
根据经验，建议：
- 每个节点预留 10% CPU 和内存给系统进程
- 对关键服务设置资源保留(reserve)
- 使用内存限制防止 OOM
9. 与 CI/CD 流水线集成
9.1 蓝绿部署实现
通过标签实现蓝绿部署：
bash复制docker service update \
--image myapp:v2 \
--container-label version=v2 \
myapp
9.2 回滚机制
Swarm 内置回滚功能：
bash复制docker service rollback myapp
也可以手动指定旧版本：
bash复制docker service update --image myapp:v1 myapp
10. 生产环境经验总结
经过多个生产项目实践，我总结了以下关键经验：
- 集群规模超过 50 个节点时，建议考虑 Kubernetes
- 定期备份 Swarm 集群的 Raft 日志
- 使用标签(node labels)组织节点
- 监控 etcd 的性能指标
- 为每个服务设置适当的健康检查
最后分享一个实用技巧：使用 docker stack deploy 配合 compose 文件管理服务，比单独使用 service 命令更易于维护。例如：
yaml复制version: '3.8'
services:
web:
image: nginx:latest
deploy:
replicas: 3
resources:
limits:
cpus: '0.5'
memory: 512M
restart_policy:
condition: on-failure