docker核心技术基础教程10：x11docker，docker

时下随着虚拟化技术的不断完善进步，Docker使得我们的生活变得越来越方便。但是docker一般情况下只提供了傻傻地黑白终端界面，吓跑了很多初学者。还有很多人除了跑服务外还想跑一些图形程序，跑个小游戏啥的。还有很多人听说图形界面不安全希望通过docker提供一个隔离的环境，以保障自己VPS的安全。那么有没有什么方法可以解决这些问题呢？在偶遇x11docer之前，我都是告诉他们不要运行图形界面，命令行终端就够了。今天虫虫就给大家来介绍一个优雅的docker GUI解决方案，那就是本文的主角x11docker。

x11docker是什么？x11docker是一款允许在Docker容器中运行图形应APP的软件。和虚拟机一样Docker允许在隔离的容器环境中运行应用程序，但是Docker更轻便，需要资源更少，可以随用随建，随不用随删。但是Docker默认是不提供对GUI的支持的。x11docker则解决了这个问题，它通过在主机系统上运行X显示服务器，给Docker提供了了GUI的支持。

此外，x11docker对Docker和X window提供安全增强，实现以容器隔离并预防X widows安全漏洞，通沙盒环境运行图形程序，以保护主机系统的安全。

软件可以安装在可部署的Docker镜像中，可以运行或部署由于依赖性问题而难以在多个系统上安装的软件，要处理的文件可以在主机和容器之间共享。

x11docker主要在Linux上运行，支持基于Windows WSL子系统在Windows上运行（部分功能受限）。注意x11docker还不支持macOS。

通过运行一个附加的X服务器来避免X安全漏洞。

将容器功能被限制到最小化。

容器用户与主机用户相同，以避免容器的root用户。

系统只依赖于一个X服务器和Docker，没有其他依赖项目。

除了一些可选功能外，Docker镜像中没有依赖项。

x11docker jess/cathode

x11docker --desktop --size 320x240 x11docker/lxde（需要嵌套的X服务器Xephyr）

除以上特点之外，还提供大的大量的可选功能扩展：

持久化的共享主机文件夹和容中持久化的HOME目录。

基于Pulseaudio和ALSA声音功能。

基于OpenGL的硬件加速。

剪贴板共享。

通过CUPS的打印机支持。

网络摄像头支持。

本地化语言设置。

Wayland支持。

支持在容器中的启动系统DBus和init，包括tini，runit，OpenRC，SysVinit和systemd。也支持elogind。

的安装很简单，只需运行一个x11docker shell脚本就会启动安装。

安装选项

以root身份，可以在系统上安装，更新和删除x11docker：

x11docker --install : 在当前目录安装x11docker和x11docker-gui。

x11docker --update : 从github下载并安装最新版本。

x11docker --update-master : 从github下载并安装最新的主版本。

x11docker --remove : 删除x11docker安装的所有文件。

将x11docker和x11docker-gui复制到/usr/bin。在/usr/share/icons中创建一个图标。在/usr/share/application中创建x11docker.desktop。将README.md，CHANGELOG.md和LICENSE.txt复制到/usr/share/doc/x11docker。

运行以下命令即可，如果没有用到sudo，去掉sudo部分即可。

一般情况下建议使用bash x11docker和bash x11docker-gui一起运行。但是也支持最小的安装，对于最小化安装，先使用chmod x x11docker给它赋予执行权限。再将其mv到/usr/bin即可，x11docker脚本本身之外其他文件都不是必须的。

x11docker-gui是x11docker的可选图形前端。它也是从控制台运行。x11docker-gui依赖kaptain包。可以通过各发行版的包管理工具进行安装。如果系统上未安装kaptain，x11docker-gui使用x11docker/kaptain镜像。

x11docker也支持在终端命令行下使用，使用方法为：x11docker IMAGENAME [COMMAND]即可。使用方法和选项通过—help可以列出。

对于图形桌面环境，添加选项-d，--desk

在没有X的情况下运行使用选项-t， --tty

使用选项-i， --interactive启动交互式TTY。

要使用新的X服务器运行Docker镜像：

x11docker [OPTIONS] IMAGE [COMMAND]

x11docker [OPTIONS] -- IMAGE [COMMAND [ARG1 ARG2 ...]]

x11docker [OPTIONS] -- DOCKER_RUN_OPTIONS -- IMAGE [COMMAND [ARG1 ARG2 ...]]

要在新的X服务器上运行主机应用程序：

x11docker [OPTIONS] --exe COMMAND

x11docker [OPTIONS] --exe -- COMMAND [ARG1 ARG2 ...]

要仅运行新的空X服务器：

x11docker [OPTIONS] --xonly

注意:DOCKER_RUN_OPTIONS只是添加到docker run命令而没有x11docker的检查。

如果没有专门指定X服务器选项，x11docker会根据已安装的依赖项以及执行的选项在—desktop，--gpu和—wayland中自动选择一个。

在X中使用选项--xorg的提示。

使用选项-t，--tty可以无X的情况下运行。

x11docker默认以无缝模式运行单个应用程序，即常规桌面上的单个窗口。如果要在映像中运行桌面环境，请添加选项--desktop。

选项--xpra和--nxagent支持无缝模式。也支持不台安全选项--hostdisplay。

如果没有安装xpra和nxagent， x11docker找到了诸如Xephyr这样的桌面X服务器，它会尽量避免使用不安全的选项--hostdisplay并使用主机窗口管理器运行Xephyr。

可以使用选项--wm = WINDOWMANAGER指定主机窗口管理器，例如--wm = openbox。

除了--hostdisplay之外的所有X服务器选项都支持带--desktop的桌面模式。

在Docker删除后，其运行系统中的更改都将会丢失。对于持久数据存储，需要和主机共享目录：

选项-m， --home：在~/.local/share/x11docker/IMAGENAMEE中创建一个主机目录，该目录与容器共享并作为其HOME目录挂载。容器主目录中的文件和配置更改将保持不变。 x11docker创建一个从~/.local/share/x11docker到~/ x11docker的软链接。

选项--sharedir DIR在容器中的同一位置挂载主机目录。 --sharedir DIR:ro限制为只读访问权限。

选项--homedir DIR与--home类似，但允许指定用于数据存储的主机目录。

$HOME的特殊情况：

请注意，如果HOME为空，x11docker将容器中的/etc /skel文件复制到HOME。这允许提供定制的用户设置。

使用选项-g,--gpu可以实现OpenGL的硬件加速。

在大多数情况下，在主机上使用开源驱动程序时，该功能开箱可用。

封闭源NVIDIA驱动程序需要一些设置并支持更少的x11docker X服务器选项。

使用选项-c，--clipboard可以实现剪贴板共享。

可以使用--xpra和--hostdisplay进行图像剪辑。

某些X服务器选项需要依赖主机上的xclip包。

选项-p，--pulaudio和--alsa可以共享声音。

对于--pulseaudio声音，需要在主机和图像中使用pulseaudio。

对于--alsa的ALSA声音,可能需要指定声卡，例如：--alsa=Generic。可以通过-l获得可用声卡列表。为了支持dmix这样的虚拟ALSA设备，镜像需要依赖ALSA库，例如debian图像中的libasound2。

主机上的网络摄像头可以通过选项--webcam共享。

如果图像中的网络摄像头应用程序失败，需要在镜像中安装mesa-utils（debian）或mesa-demos（arch）。

guvcview需要--pulseaudio或--alsa。

chees和gnome-ring需要依赖--init = systemd或--dbus-system。

打印机通过选项—printer对主机打印机共享。

需要主机上的CUPS，大多数Linux默认支持CUPS打印机服务器。

容器需要依赖libcups2（debian）或libcups（arch）包。

x11docker本地化语言设置，提供专门选项--lang。

不带参数的--lang将容器中的LANG设置为与主机上的LANG相同。与--lang = $LANG相同

如果镜像中已存在所需的区域语言的设置并启用它，x11docker将检查容器并启动。

如果x11docker找不到相应区域语言的设置，则会在容器启动时创建它。比如:

--lang = de代表德语， --lang = zh_CN代表中文， --lang = ru代表俄语， --lang = $LANG代表和你宿主服务语言环境一致。

为了支持中文，日文和韩文等东亚字符，需要在镜像中中安装类似字体，比如fonts-arphic-uming。

要运行Wayland而不是X服务器x11docker提供选项--wayland， -- weston， --kwin和--hostwayland。

选项--wayland自动设置Wayland环境以及一些相关的环境变量。

选项--kwin和--weston运行Wayland合成器kwin_wayland或weston。

如果未指定该选项，--wayland添加选项--dbus和--env QT_QPA_PLATFORM = wayland。

选项--hostwayland可以在主机Wayland桌面上运行单个应用程序，如Gnome 3，KDE 5和Sway。比如：在Wayland上的xfce4-terminal：

x11docker --wayland x11docker/xfce xfce4-termina

x11docker支持多个启动系统作为容器中的PID 1，并提供选项--init。容器中的启动解决了Docker僵尸进程回收的问题。默认情况下，它在/usr/bin/docker-init中使用tini。还支持tini，systemd，SysVinit，runit，OpenRC和elogind。

某些桌面环境和应用程序需要运行DBus守护程序和DBus用户会话。使用--dbus运行DBus用户会话守护程序。使用--dbus-system运行DBus系统守护程序。

如果启动失败或大约需要90秒，请安装init系统并使用该系统运行DBus。例如。在image中安装systemd并使用--init = systemd运行。

使用--hostdbus连接到主机DBus用户会话。

使用--sharedir/run/dbus/system_bus_socket共享主机DBus系统套接字。

DBus使用init systems systemd，openrc，runit和sysvinit（选项--init）自动启动。

x11docker可以使用标准系统实用程序运行，而无需对主机或映像进行额外依赖。作为核心程序只需要一个X服务器，还有在X上运行Docker容器。x11docker在启动时检查所选选项的依赖关系，并显示终端消息。

在主机上安装xpra Xephyr weston Xwayland xdotool xauth xclip xrandr xdpyinfo，或保持不变。

对x服务器依赖包情况详见下表：

注意，只有选项--hostdisplay和--xorg才能使用专有的NVIDIA驱动程序支持-gpu。

各个附加功能的依赖详见下表：

x11docker的范围是运行容器化GUI应用程序，同时保留和改进容器隔离。主要的安全改进包括：

x11docker通过运行单独的X服务器以避免X安全漏洞。

一般解决方案是通过享显示器的主机X套接字:0，但是这样一来会破坏容器的隔离性，允许键盘记录和远程主机控制。 （为了兼容x11docker也提供了不太安全的对这种方案的支持，该选项为 --hostdisplay）。

使用MIT-MAGIC-COOKIE进行身份验证，与文件~/.Xauthority分开存储。

x11docker通创建与主机用户类似的容器用户，以避免容器中的root用户。

可以使用--user = USERID指定另一个用户或使用--user = UID：GID指定不存在的用户。

禁用可能的root密码并删除/etc/sudoers中的条目。

如果想在容器中使用root权限，请使用选项--sudouser，它在x11docker中使用su和sudo使用密码。还可以使用--user = root运行。

o如果要使用图像中指定的USER，请设置选项--user = RETAIN。在这种情况下，x11docker不会更改etc / passwd或/ etc / sudoers。选项 - 家庭将无法使用。

设置docker运行选项--cap-drop = ALL --security-opt = no-new-privileges。

可以使用x11docker选项--cap-default禁用此限制，或使用--sudouser减少此限制。

如果选择的选项降低了容器隔离，x11docker会在终端中显示警告消息。请注意，x11docker不会检查自定义DOCKER_RUN_OPTIONS。

最重要的：

--hostdisplay共享显示的主机X套接字:0而不是运行第二个X服务器。

提供所谓的不受信任的cookie会减少滥用的危险，但不要依赖于此。

如果另外使用--gpu或--clipboard，则会启用选项--hostipc和受信任的cookie，并且不会保留针对X安全漏洞的保护。

如果你不关心容器隔离，x11docker –hostdisplay。

--gpu允许访问GPU硬件。这可能会被滥用来从主机（palinopsia bug）获取窗口内容并使GPU rootkit成为可能。

--pulseaudio和--alsa允许从主机捕获音频输出和麦克风输入。

还有相当特殊的选项可降低安全性，但不需要经常使用：

--sudouser允许在x11dockerfor容器中通过su和sudo。如果应用程序以某种方式突破容器，则可能会损害到主机系统。

--cap-default禁用x11docker的容器安全性加固，并回退到默认的Docker容器功能。

- dbus-system，--init = systemd | sysvinit | openrc | runit允许x11docker丢弃的某些容器功能。

--init = systemd也共享对/sys/fs/cgroup的访问权限。某些进程将在容器中以root身份运行。

--hostipc设置docker run选项--ipc = host。 （允许MIT-SHM /共享内存。禁用IPC命名空间。）

--hostnet设置docker run选项--net = host。 （共享主机网络堆栈。禁用网络命名空间。容器可以监视网络流量。）

对于x11docker容器，可能的SELinux限制因使用docker run选项--security-opt label = type：container_runtime_t而降级，以允许访问新的X unix套接字。

禁用用户名称空间重新映射以允许选项--home和--homedir，而不会出现文件所有权问题。例外：未对--user = RETAIN禁用用户名称空间重新映射。

x11docker提供了几种不同的X服务器选项。涉及的每个X服务器可能都有其各自的漏洞。 x11docker仅涵盖X11协议产生的众所周知的X安全漏洞。

x11docker通过对docker增强容器隔离，并允许使用容器作为沙箱，可以很好地保护主机系统免受恶意软件攻击或软件故障导致的问题。沙盒一方面可以用于安全隔离环境运行软件，也可以作为：

兼容性环境，用于运行由于依赖性问题而难以在主机上安装的软件。

开发环境，用于收集库，编译器等以保持主机洁净。

开发环境，以减轻意外/错误行为造成的损害。

软件安全层，在最坏的情况下，运行一些可能是恶意的软件。比如，启用了Javascript的Internet浏览器或带有Windows应用程序的wine。

x11docker已经限制了进程功能。还可以通过选项--limit限制对CPU和RAM的访问。默认情况下--limit限制为可用CPU的50%和当前空闲RAM的50%。可以使用--limit = FACTOR指定另一个量，其中FACTOR大于零且小于或等于1。

注意：默认情况下允许Internet访问。可以使用--no-internet禁用联网。

x11docker在通过MSYS2，Cygwin和WSL在MS Windows上运行。虽然它可以支持大部分的功能，但由于系统限制，Linux上可用的一些功能，并且不能保证在windows下可靠：

在Windows上将X服务器VcXsrv安装到C/Program Files/VcXsrv（选项--vcxsrv）。

替代方案：Cygwin提供X服务器Xwin（选项--xwin）。在Cygwin中安装xinit包。只能在Cygwin中使用。

对于声音选项--pulseaudio在C：/cygwin64中安装带有pulseaudio包的Cygwin。它也适用于MSYS2和WSL。

诸如如"./x11docker: line 2: $'\r': command not found" 的错误消息表示不同换行系统导致的错误，需要运行dos2unix x11docker

并非所有x11docker选项都在MS Windows上实现。例如。 --webcam和--printer不起作用。

windows中的防火墙设置可能会导致访问X服务器的容器应用程序出现问题。

要进行故障排除，请在终端中运行x11docker或x11docker-gui。

如果某些内容不安全，丢失或出错，x11docker会显示警告。

使用选项-v，--verbose查看完整的日志文件输出。

选项-D，--debug提供较少详细的输出。

可以在~/.cache/x11docker/x11docker.log中找到最新的日志文件。

某些应用程序失败并带有后备选项--hostdisplay。添加--clipboard以禁用某些安全限制。如果这不能解决问题，请安装其他X服务器。

确保x11docker版本与x11docker --update（最新版本）或x11docker --update-master（最新版本）保持同步。

镜像可能具有USER规范，并且是为该用户设计的。 x11docker设置容器用户，该用户可能与用户设置的不匹配。

使用docker inspect -format'{{.Config.User}}'IMAGENAME检查镜像中的USER规范。

如果是，请尝试使用--user = RETAIN以在镜像中指定USER运行。

某些应用程序需要比x11docker默认提供的更多权限或功能。

减少容器隔离，例如：

x11docker选项：--cap-default --hostipc --hostnet --sys-admin。

docker运行选项：--cap-add ALL --security-opt seccomp = unconfined --privileged

例如：x11docker --cap-default --hostipc --hostnet --sys-admin - --cap-add ALL --security-opt seccomp = unconfined --privileged - IMAGENAME

尝试减少容器隔离。如果有效，请逐个删除选项，直到剩下所需的选项。

如果--cap-add ALL可以解决，再查找真正需要的功能并仅添加该功能。

如果—privileged可以解决问题，则应用程序可能需要/dev中的设备。找出具体的设备并与之分享，方法为：--device /dev/snd。还可以尝试--sharedir /dev/udev/data:ro。

不要使用--privileged作为解决方案。它允许过多访问主机会严重破坏容器隔离。调查容器确实需要的权限。

可以使用--user = root以root身份运行容器应用程序。

一些应用程序需要DBus。在镜像中安装dbus并尝试选项--dbus。如果还不行，可以尝试选项--dbus-system。

一些应用程序需要systemd。在镜像中安装systemd并尝试选项--init = systemd。

x11docker的一些实例见下表，列出了通过x11docker运行的一些界面程序，所有的实例镜像都可以在docker hub上找到。

对于系统镜像会持续更新，调整你的Dockerfile并重建。可以自定义添加一些应用程序到x11docker示例镜像中，并它们创建新的Dockerfile。比如：

# xfce desktop with VLC media player

FROM x11docker/xfce

RUN apt-get update && apt-get install -y vlc

最后我们展示一些x11docker运行的截图，以馈读者：

x11docker --desktop x11docker/lxqt

深度桌面

x11docker --desktop --gpu --systemd --pulseaudio x11docker/deepin

3D plasma

x11docker --desktop --gpu x11docker/plasma