linux的namespace、docker網絡模式

1.linux Namespace

　　docker容器本質上是宿主機的進程，Docker通過namespace實現了資源隔離.

 1.概念

　　namespace 是 Linux 內核用來隔離內核資源的方式。通過 namespace 可以讓一些進程只能看到與自己相關的一部分資源，而另外一些進程也只能看到與它們自己相關的資源，這兩撥進程根本就感覺不到對方的存在。具體的實現方式是把一個或多個進程的相關資源指定在同一個 namespace 中。

　　Linux namespaces 是對全局系統資源的一種封裝隔離，使得處於不同 namespace 的進程擁有獨立的全局系統資源，改變一個 namespace 中的系統資源只會影響當前 namespace 里的進程，對其他 namespace 中的進程沒有影響。

 

2.用途

　　實際上，Linux 內核實現 namespace 的一個主要目的就是實現輕量級虛擬化(容器)服務。在同一個 namespace 下的進程可以感知彼此的變化，而對外界的進程一無所知。這樣就可以讓容器中的進程產生錯覺，認為自己置身於一個獨立的系統中，從而達到隔離的目的。也就是說 linux 內核提供的 namespace 技術為 docker 等容器技術的出現和發展提供了基礎條件。
　　我們可以從 docker 實現者的角度考慮該如何實現一個資源隔離的容器。比如是不是可以通過 chroot 命令切換根目錄的掛載點，從而隔離文件系統。為了在分布式的環境下進行通信和定位，容器必須要有獨立的 IP、端口和路由等，這就需要對網絡進行隔離。同時容器還需要一個獨立的主機名以便在網絡中標識自己。接下來還需要進程間的通信、用戶權限等的隔離。最后，運行在容器中的應用需要有進程號(PID)，自然也需要與宿主機中的 PID 進行隔離。也就是說這六種隔離能力是實現一個容器的基礎，下面是linux提供的能力：

 

 上表中的前六種 namespace 正是實現容器必須的隔離技術。

 

2.docker網絡模式

1.實現原理

　　Docker使用Linux橋接，在宿主機虛擬一個Docker容器網橋(docker0)，Docker啟動一個容器時會根據Docker網橋的網段分配給容器一個IP地址，稱為Container-IP，同時Docker網橋是每個容器的默認網關。因為在同一宿主機內的容器都接入同一個網橋，這樣容器之間就能夠通過容器的Container-IP直接通信。

　　Docker網橋是宿主機虛擬出來的，並不是真實存在的網絡設備，外部網絡是無法尋址到的，這也意味着外部網絡無法通過直接Container-IP訪問到容器。如果容器希望外部訪問能夠訪問到，可以通過映射容器端口到宿主主機（端口映射），即docker run創建容器時候通過 -p 或 -P 參數來啟用，訪問容器的時候就通過[宿主機IP]:[容器端口]訪問容器。

 

2.四類網絡模式

1. bridge模式 --net=bridge  (默認值)

　　當Docker進程啟動時，會在主機上創建一個名為docker0的虛擬網橋，此主機上啟動的Docker容器會連接到這個虛擬網橋上。虛擬網橋的工作方式和物理交換機類似，這樣主機上的所有容器就通過交換機連在了一個二層網絡中，容器直接通過ip可以互相通信(可以通過ping測試)。

　　從docker0子網中分配一個IP給容器使用，並設置docker0的IP地址為容器的默認網關。在主機上創建一對虛擬網卡veth pair設備，Docker將veth pair設備的一端放在新創建的容器中，並命名為eth0（容器的網卡），另一端放在主機中，以vethxxx這樣類似的名字命名，並將這個網絡設備加入到docker0網橋中。可以通過brctl show命令查看。

　　bridge模式是docker的默認網絡模式，不寫--net參數，就是bridge模式。使用docker run -p時，docker實際是在iptables做了DNAT規則，實現端口轉發功能。可以使用iptables -t nat -vnL查看。

如下圖：

例如：

(1)啟動nginx

docker run -p 80:80 nginx

(2)檢查容器

docker inspect a5

網絡信息如下：

 

2. host模式  --net=host

　　如果啟動容器的時候使用host模式，那么這個容器將不會獲得一個獨立的Network Namespace，而是和宿主機共用一個Network Namespace。容器將不會虛擬出自己的網卡，配置自己的IP等，而是使用宿主機的IP和端口。但是，容器的其他方面，如文件系統、進程列表等還是和宿主機隔離的。

　　使用host模式的容器可以直接使用宿主機的IP地址與外界通信，容器內部的服務端口也可以使用宿主機的端口，不需要進行NAT，host最大的優勢就是網絡性能比較好，但是docker host上已經使用的端口就不能再用了，網絡的隔離性不好。

 Host模式如下圖所示：

 

例如：(直接啟動，無需用-p指定端口。直接使用和宿主機同一個端口和IP。)

docker@default:~$ docker run -d --net=host nginx
fe607548d6f1faca06b0d9e02f1305f2d0d5c4691202c18f82000b42fa4a6732

inspect檢查容器信息：

 

3.none模式 --net=none

　　使用none模式，Docker容器擁有自己的Network Namespace，但是，並不為Docker容器進行任何網絡配置。也就是說，這個Docker容器沒有網卡、IP、路由等信息。需要我們自己為Docker容器添加網卡、配置IP等。

　　這種網絡模式下容器只有lo回環網絡，沒有其他網卡。none模式可以在容器創建時通過--network=none來指定。這種類型的網絡沒有辦法聯網，封閉的網絡能很好的保證容器的安全性。

示意圖如下：

 例如：

docker@default:~$ docker run -d --net=none nginx
371686158b33958ec3c71b6fb3db2c5309f8515e07b0d76aac0bc8b0745d293a
docker@default:~$ docker inspect 37

 

查看網絡信息如下：

 

4.container模式 --net=container:容器ID或name

　　這個模式指定新創建的容器和已經存在的一個容器共享一個 Network Namespace，而不是和宿主機共享。新創建的容器不會創建自己的網卡，配置自己的 IP，而是和一個指定的容器共享 IP、端口范圍等。同樣，兩個容器除了網絡方面，其他的如文件系統、進程列表等還是隔離的。兩個容器的進程可以通過 lo 網卡設備通信。

示意圖如下：

 例如：

docker run -d --net=container:371686158b33 nginx

 

補充：docker的隔離是指容器與容器直接隔離，比如兩個容器直接的進程相互隔離，但是宿主機是能看到docker內部進程的。容器內的進程，與相對應的宿主進程，有相同的uid、gid擁有

 （1）宿主機查看rabbitmq進程

docker@default:~$ ps aux | grep rabbitmq | grep -v grep
999       2953  0.0  0.1   4292  1508 ?        Ss   13:43   0:00 /bin/sh /usr/lib/rabbitmq/bin/rabbitmq-server
999       3213  2.8  7.1 2218532 72236 ?       Sl   13:43   0:57 /usr/lib/erlang/erts-8.2.1/bin/beam -W w -A 64 -P 1048576 -t 5000000 -stbt db -zdbbl 128000 -K true -B i -- -root /usr/lib/erlang -progname erl -- -home /var/lib/rabbitmq -- -pa /usr/lib/rabbitmq/lib/rabbitmq_server-3.6.11/ebin -noshell -noinput -s rabbit boot -sname rabbit@my-rabbit -boot start_sasl -config /etc/rabbitmq/rabbitmq -kernel inet_default_connect_options [{nodelay,true}] -sasl errlog_type error -sasl sasl_error_logger tty -rabbit error_logger tty -rabbit sasl_error_logger tty -rabbit enabled_plugins_file "/etc/rabbitmq/enabled_plugins" -rabbit plugins_dir "/usr/lib/rabbitmq/plugins:/usr/lib/rabbitmq/lib/rabbitmq_server-3.6.11/plugins" -rabbit plugins_expand_dir "/var/lib/rabbitmq/mnesia/rabbit@my-rabbit-plugins-expand" -os_mon start_cpu_sup false -os_mon start_disksup false -os_mon start_memsup false -mnesia dir "/var/lib/rabbitmq/mnesia/rabbit@my-rabbit" -kernel inet_dist_listen_min 25672 -kernel inet_dist_listen_max 25672

（2）docker容器內部查看進程

root@my-rabbit:/# ps aux | grep rabbitmq | grep -v grep
rabbitmq     1  0.0  0.1   4292  1508 ?        Ss   13:43   0:00 /bin/sh /usr/lib/rabbitmq/bin/rabbitmq-server
rabbitmq   115  0.0  0.0  30540   252 ?        S    13:43   0:00 /usr/lib/erlang/erts-8.2.1/bin/epmd -daemon
rabbitmq   233  3.0  7.1 2218532 72236 ?       Sl   13:43   0:56 /usr/lib/erlang/erts-8.2.1/bin/beam -W w -A 64 -P 1048576 -t 5000000 -stbt db -zdbbl 128000 -K true -B i -- -root /usr/lib/erlang -progname erl -- -home /var/lib/rabbitmq -- -pa /usr/lib/rabbitmq/lib/rabbitmq_server-3.6.11/ebin -noshell -noinput -s rabbit boot -sname rabbit@my-rabbit -boot start_sasl -config /etc/rabbitmq/rabbitmq -kernel inet_default_connect_options [{nodelay,true}] -sasl errlog_type error -sasl sasl_error_logger tty -rabbit error_logger tty -rabbit sasl_error_logger tty -rabbit enabled_plugins_file "/etc/rabbitmq/enabled_plugins" -rabbit plugins_dir "/usr/lib/rabbitmq/plugins:/usr/lib/rabbitmq/lib/rabbitmq_server-3.6.11/plugins" -rabbit plugins_expand_dir "/var/lib/rabbitmq/mnesia/rabbit@my-rabbit-plugins-expand" -os_mon start_cpu_sup false -os_mon start_disksup false -os_mon start_memsup false -mnesia dir "/var/lib/rabbitmq/mnesia/rabbit@my-rabbit" -kernel inet_dist_listen_min 25672 -kernel inet_dist_listen_max 25672
rabbitmq   322  0.3  0.1   4184  1304 ?        Ss   13:43   0:06 erl_child_setup 1048576
rabbitmq   347  0.0  0.0  11428   984 ?        Ss   13:44   0:00 inet_gethost 4
rabbitmq   348  0.0  0.1  13548  1548 ?        S    13:44   0:00 inet_gethost 4