Ubuntu 上使用 Overlay 的关键注意事项
一 基础准备与兼容性
- 内核版本建议不低于3.18（OverlayFS 自该版本引入）；执行
uname -r 确认版本。
- 规划目录结构：准备lowerdir（只读层，可为多层，用“:”分隔）、upperdir（可写层）、workdir（工作目录，必须为空且与 upper 位于同一文件系统）、merged（挂载点）。
- 权限与路径：确保挂载点及目录存在且当前用户具备root或sudo权限；挂载参数中的路径需为绝对路径。
- 持久化与场景：Overlay 的“可写”来自 upper，若需重启后保留变更，请确保 upper 位于持久化存储；临时会话可用 tmpfs 作为 upper。
- 容器场景：Docker 默认使用 overlay2，需内核与存储驱动匹配；升级 Docker 与清理旧镜像/容器可避免存储驱动异常。
二 配置与挂载要点
- 手动挂载示例：
mount -t overlay overlay
-o lowerdir=/path/to/lowerdir,
upperdir=/path/to/upperdir,
workdir=/path/to/workdir
/path/to/merged
- 开机自启：在 /etc/fstab 添加一行（注意使用 tab 分隔字段）：
overlay /path/to/merged overlay defaults,lowerdir=/path/to/lowerdir,upperdir=/path/to/upperdir,workdir=/path/to/workdir 0 0
然后执行 sudo mount -a 验证。
- 只读根文件系统（overlayroot）：
- 安装：
sudo apt-get install overlayroot
- 配置：编辑 /etc/overlayroot.conf，设置
overlayroot="tmpfs"（或指定设备/加密设备）。
- 临时可写：引导内核参数加入
overlayroot=disabled 进入可写模式。
- 重要限制：
- workdir 必须为空，且与 upper 在同一文件系统。
- lowerdir 应为只读，避免上层与下层同时可写导致语义不一致。
- 多 lower 时顺序重要：从左到右优先级递减（最左侧优先级最高）。
三 故障排查与稳定性
- 挂载失败：核对
lowerdir/upperdir/workdir 路径、权限与存在性；检查磁盘空间 df -h；必要时对底层文件系统执行 fsck；查看系统日志 tail /var/log/syslog。
- 权限问题：确认挂载点及目录的 owner/group/权限；必要时用
chmod/chown 修正。
- 容器相关：若 Docker 报存储/权限类错误，优先升级到较新版本 Docker 并清理无用镜像/容器；必要时重启服务或主机。
四 性能与安全建议
- 资源限制：对使用 Overlay 的进程可通过 cgroups 限制内存/CPU，例如：
- 创建 cgroup：
sudo cgcreate -g memory:mygroup
- 限制内存：
echo $((1024*1024*100)) | sudo tee /sys/fs/cgroup/memory/mygroup/memory.limit_in_bytes
- 绑定进程：
sudo cgclassify -g memory:mygroup <pid>
- 数据持久化：Overlay 的可写层在 upperdir；容器删除后层内变更默认不保留，需通过**卷（volume）**或绑定挂载持久化数据。
- 临时会话与回滚：需要“用后即弃”的场景可用 tmpfs 作为 upper，重启后自动丢弃变更；overlayroot 亦适合只读根文件系统、快速回滚。
五 常见误区与最佳实践
- 误区：把 workdir 放在与 upperdir 不同的文件系统；将 lowerdir 设为可写；fstab 中选项拼写错误或缺少必选参数。
- 实践：
- 变更前先备份关键数据；变更后用
mount | grep overlay 与 df -h 复核挂载状态。
- 对关键目录（如 /var/log、/var/lib）按需使用独立挂载或卷，避免与 upper 混用导致难排查。
- 容器场景优先使用 overlay2，并保持 Docker/内核版本匹配与定期维护。