应用程序的安全性一直是人们高度关注的话题。容器是一种为应用程序的执行提供安全环境的解决方案。最早的容器LXC以Linux的cgroup功能和namespace功能为基础实现,可以为Linux上运行的应用程序提供一定的故障隔离能力,增强了应用程序的安全性。虚拟机也是一种可以为应用程序提供安全隔离的执行环境的解决方案,可以提供比容器更强的隔离性,但是容器相比于虚拟机更为轻量,所占用的资源和性能损失都更小,所以用户对容器的关注度也与日俱增。容器的使用热度也越来越高,例如,在云服务中,云服务商往往会在同一个物理主机上运行大量的客户机,这时服务商倾向于选择容器来运行客户所需的服务,因为容器相比虚拟机较为轻量。随着近年来容器的应用越来越普遍的趋势,容器安全的重要性也随之不断上升:用户非常关心自己的服务是否正常运行,数据流和控制流是否安全可靠,不会被其他客户的服务所影响。容器的隔离性是容器安全发展道路中的重要一环,隔离性强的容器设计在某个容器出现故障时不会影响其他容器和操作系统,是支撑容器可靠性、可扩展性的关键。LXC的隔离性是cgroup功能和namespace提供的,依赖于Linux的隔离性。然而,随着操作系统的不断发展,传统的容器的隔离机制面临着新的问题和挑战。例如,操作系统和软件的代码量都在不断膨胀,导致应用程序和内核中存在大量未被发现的漏洞。一个故障的容器可以触发内核中的漏洞,从而影响到运行在同一个内核上其他容器的数据,破坏其他容器的数据完整性,也可以将属于其他容器的资源占为己用,导致其他容器实例也出现故障。一个故障的容器影响其他容器也出现故障的现象称作故障扩散,而故障隔离是防止故障扩散的手段。提升容器的隔离性可以提升故障隔离能力,是保障容器可靠性的有力手段。学术界和工业界的研究者们提出了一系列增强容器隔离性的技术方案。本文全面选取了目前已发表的各类容器技术,并对它们的故障隔离能力进行了分析,分类总结了这些系统的优点和不足。调研结果显示,各类故障隔离手段都有其相应的优缺点:基于虚拟机的容器设计拥有强隔离性然而性能不佳,使用软件手段增强隔离性的设计往往隔离性不够强,使用硬件的设计隔离性很强然而兼容性较差。调研结果显示,gVisor拥有优秀的隔离性、兼容性和可用性,是目前容器隔离的先进技术,也是调研范围内综合表现最佳的容器设计。然而g Visor并不完美,性能不佳是它的缺陷。本文对g Visor进行了详细的性能分析,发现它的性能瓶颈在于I/O系统调用,并基于它进行改进,设计实现了一种新型容器Fast Visor。Fast Visor使用Intel处理器提供的扩展页表快速切换功能对g Visor的I/O系统调用进行了加速,解决g Visor的性能痛点。VMFUNC是Intel处理器的一条指令,运行在虚拟化Guest模式下,可以在不产生VMExit的同时切换EPT。Fast Visor解决了如何在非虚拟化的Host模式下使用VMFUNC指令的一系列挑战,并对g Visor的设计进行了改进,使用了模块虚拟化、模块安全检查、in-kernel context switch等技术。改进过后的Fast Visor保留了g Visor隔离性强、兼容性强的优点,并提供了实现用户定制的隔离需求的功能,进一步提高了安全性,同时优化了g Visor的缺陷——性能。经过全面的安全和性能测试,Fast Visor保留了g Visor的强隔离性,同时在性能上有约15%的显著提升,是一种安全高效的虚拟化容器。