Docker網絡詳解——原理篇

安裝Docker時，它會自動創建三個網絡，bridge（創建容器默認連接到此網絡）、 none 、host

網絡模式	簡介
Host	容器將不會虛擬出自己的網卡，配置自己的IP等，而是使用宿主機的IP和端口。
Bridge	此模式會為每一個容器分配、設置IP等，並將容器連接到一個docker0虛擬網橋，通過docker0網橋以及Iptables nat表配置與宿主機通信。
None	該模式關閉了容器的網絡功能。
Container	創建的容器不會創建自己的網卡，配置自己的IP，而是和一個指定的容器共享IP、端口范圍。
自定義網絡	略

一、默認網絡

當你安裝Docker時，它會自動創建三個網絡。你可以使用以下docker network ls命令列出這些網絡：

[root@server1 ~]# docker network ls
NETWORK ID          NAME                DRIVER              SCOPE
0147b8d16c64        bridge              bridge              local
2da931af3f0b        host                host                local
63d31338bcd9        none                null                local

Docker內置這三個網絡，運行容器時，你可以使用該--network標志來指定容器應連接到哪些網絡。

該bridge網絡代表docker0所有Docker安裝中存在的網絡。除非你使用該docker run --network=選項指定，否則Docker守護程序默認將容器連接到此網絡。

我們在使用docker run創建Docker容器時，可以用 --net 選項指定容器的網絡模式，Docker可以有以下4種網絡模式：

• host模式：使用 --net=host 指定。
• none模式：使用 --net=none 指定。
• bridge模式：使用 --net=bridge 指定，默認設置。
• container模式：使用 --net=container:NAME_or_ID 指定。

下面分別介紹一下Docker的各個網絡模式。

1.1 Host模式

相當於Vmware中的橋接模式，與宿主機在同一個網絡中，但沒有獨立IP地址。

眾所周知，Docker使用了Linux的Namespaces技術來進行資源隔離，如PID Namespace隔離進程，Mount Namespace隔離文件系統，Network Namespace隔離網絡等。

一個Network Namespace提供了一份獨立的網絡環境，包括網卡、路由、Iptable規則等都與其他的Network Namespace隔離。一個Docker容器一般會分配一個獨立的Network Namespace。但如果啟動容器的時候使用host模式，那么這個容器將不會獲得一個獨立的Network Namespace，而是和宿主機共用一個Network Namespace。容器將不會虛擬出自己的網卡，配置自己的IP等，而是使用宿主機的IP和端口。

例如，我們在172.25.6.1/24的機器上用host模式啟動一個ubuntu容器

[root@server1 ~]# docker run -it --network=host ubuntu

可以看到，容器的網絡使用的時宿主機的網絡，但是，容器的其他方面，如文件系統、進程列表等還是和宿主機隔離的。

1.2 Container模式

在理解了host模式后，這個模式也就好理解了。這個模式指定新創建的容器和已經存在的一個容器共享一個Network Namespace，而不是和宿主機共享。新創建的容器不會創建自己的網卡，配置自己的IP，而是和一個指定的容器共享IP、端口范圍等。同樣，兩個容器除了網絡方面，其他的如文件系統、進程列表等還是隔離的。兩個容器的進程可以通過lo網卡設備通信。

1.3 None模式

該模式將容器放置在它自己的網絡棧中，但是並不進行任何配置。實際上，該模式關閉了容器的網絡功能，在以下兩種情況下是有用的：容器並不需要網絡（例如只需要寫磁盤卷的批處理任務）。

overlay

在docker1.7代碼進行了重構，單獨把網絡部分獨立出來編寫，所以在docker1.8新加入的一個overlay網絡模式。Docker對於網絡訪問的控制也是在逐漸完善的。

1.4 Bridge模式

相當於Vmware中的Nat模式，容器使用獨立network Namespace，並連接到docker0虛擬網卡（默認模式）。通過docker0網橋以及Iptables nat表配置與宿主機通信；bridge模式是Docker默認的網絡設置，此模式會為每一個容器分配Network Namespace、設置IP等，並將一個主機上的Docker容器連接到一個虛擬網橋上。下面着重介紹一下此模式。

二、Bridge模式

2.1 Bridge模式的拓撲

當Docker server啟動時，會在主機上創建一個名為docker0的虛擬網橋，此主機上啟動的Docker容器會連接到這個虛擬網橋上。虛擬網橋的工作方式和物理交換機類似，這樣主機上的所有容器就通過交換機連在了一個二層網絡中。接下來就要為容器分配IP了，Docker會從RFC1918所定義的私有IP網段中，選擇一個和宿主機不同的IP地址和子網分配給docker0，連接到docker0的容器就從這個子網中選擇一個未占用的IP使用。如一般Docker會使用172.17.0.0/16這個網段，並將172.17.0.1/16分配給docker0網橋（在主機上使用ifconfig命令是可以看到docker0的，可以認為它是網橋的管理接口，在宿主機上作為一塊虛擬網卡使用）。單機環境下的網絡拓撲如下，主機地址為10.10.0.186/24。

2.2 Docker：網絡模式詳解

Docker完成以上網絡配置的過程大致是這樣的：

（1）在主機上創建一對虛擬網卡veth pair設備。veth設備總是成對出現的，它們組成了一個數據的通道，數據從一個設備進入，就會從另一個設備出來。因此，veth設備常用來連接兩個網絡設備。

（2）Docker將veth pair設備的一端放在新創建的容器中，並命名為eth0。另一端放在主機中，以veth65f9這樣類似的名字命名，並將這個網絡設備加入到docker0網橋中，可以通過brctl show命令查看。

brctl show
bridge name     bridge id               STP enabled     interfaces
docker0        8000.02425f21c208          no

（3）從docker0子網中分配一個IP給容器使用，並設置docker0的IP地址為容器的默認網關。

# 運行容器
[root@server1 ~]# docker run --name=nginx_bridge --net=bridge -p 80:80 -d nginx        
9582dbec7981085ab1f159edcc4bf35e2ee8d5a03984d214bce32a30eab4921a
# 查看容器
[root@server1 ~]# docker ps
CONTAINER ID        IMAGE          COMMAND                  CREATED             STATUS              PORTS                NAMES
9582dbec7981        nginx          "nginx -g 'daemon ..."   3 seconds ago       Up 2 seconds        0.0.0.0:80->80/tcp   nginx_bridge

# 查看容器網絡;
[root@server1 ~]# docker inspect 9582dbec7981
"Networks": {
    "bridge": {
        "IPAMConfig": null,
        "Links": null,
        "Aliases": null,
        "NetworkID": "9e017f5d4724039f24acc8aec634c8d2af3a9024f67585fce0a0d2b3cb470059",
        "EndpointID": "81b94c1b57de26f9c6690942cd78689041d6c27a564e079d7b1f603ecc104b3b",
        "Gateway": "172.17.0.1",
        "IPAddress": "172.17.0.2",
        "IPPrefixLen": 16,
        "IPv6Gateway": "",
        "GlobalIPv6Address": "",
        "GlobalIPv6PrefixLen": 0,
        "MacAddress": "02:42:ac:11:00:02"
    }
}

# 查看網橋信息，會看到有有一個容器
[root@server1 ~]# docker network inspect bridge
[
    {
        "Name": "bridge",
        "Id": "9e017f5d4724039f24acc8aec634c8d2af3a9024f67585fce0a0d2b3cb470059",
        "Created": "2019-06-09T23:20:28.061678042-04:00",
        "Scope": "local",
        "Driver": "bridge",
        "EnableIPv6": false,
        "IPAM": {
            "Driver": "default",
            "Options": null,
            "Config": [
                {
                    "Subnet": "172.17.0.0/16"
                }
            ]
        },
        "Internal": false,
        "Attachable": false,
        "Ingress": false,
        "Containers": {
            "9582dbec7981085ab1f159edcc4bf35e2ee8d5a03984d214bce32a30eab4921a": {
                "Name": "nginx_bridge",
                "EndpointID": "81b94c1b57de26f9c6690942cd78689041d6c27a564e079d7b1f603ecc104b3b",
                "MacAddress": "02:42:ac:11:00:02",
                "IPv4Address": "172.17.0.2/16",
                "IPv6Address": ""
            }
        },
        "Options": {
            "com.docker.network.bridge.default_bridge": "true",
            "com.docker.network.bridge.enable_icc": "true",
            "com.docker.network.bridge.enable_ip_masquerade": "true",
            "com.docker.network.bridge.host_binding_ipv4": "0.0.0.0",
            "com.docker.network.bridge.name": "docker0",
            "com.docker.network.driver.mtu": "1500"
        },
        "Labels": {}
    }
]

2.3 bridge模式下容器的通信

在bridge模式下，連在同一網橋上的容器可以相互通信（若出於安全考慮，也可以禁止它們之間通信，方法是在DOCKER_OPTS變量中設置--icc=false，這樣只有使用--link才能使兩個容器通信）。

Docker可以開啟容器間通信（意味着默認配置--icc=false），也就是說，宿主機上的所有容器可以不受任何限制地相互通信，這可能導致拒絕服務攻擊。進一步地，Docker可以通過--ip_forward和--iptables兩個選項控制容器間、容器和外部世界的通信。

容器也可以與外部通信，我們看一下主機上的Iptable規則，可以看到這么一條

-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE

這條規則會將源地址為172.17.0.0/16的包（也就是從Docker容器產生的包），並且不是從docker0網卡發出的，進行源地址轉換，轉換成主機網卡的地址。這么說可能不太好理解，舉一個例子說明一下。假設主機有一塊網卡為eth0，IP地址為10.10.101.105/24，網關為10.10.101.254。從主機上一個IP為172.17.0.1/16的容器中ping百度（180.76.3.151）。IP包首先從容器發往自己的默認網關docker0，包到達docker0后，也就到達了主機上。然后會查詢主機的路由表，發現包應該從主機的eth0發往主機的網關10.10.105.254/24。接着包會轉發給eth0，並從eth0發出去（主機的ip_forward轉發應該已經打開）。這時候，上面的Iptable規則就會起作用，對包做SNAT轉換，將源地址換為eth0的地址。這樣，在外界看來，這個包就是從10.10.101.105上發出來的，Docker容器對外是不可見的。

那么，外面的機器是如何訪問Docker容器的服務呢？我們首先用下面命令創建一個含有web應用的容器，將容器的80端口映射到主機的80端口。

docker run --name=nginx_bridge --net=bridge -p 80:80 -d nginx

然后查看Iptable規則的變化，發現多了這樣一條規則：

-A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.2:80

此條規則就是對主機eth0收到的目的端口為80的tcp流量進行DNAT轉換，將流量發往172.17.0.2:80，也就是我們上面創建的Docker容器。所以，外界只需訪問10.10.101.105:80就可以訪問到容器中的服務。

除此之外，我們還可以自定義Docker使用的IP地址、DNS等信息，甚至使用自己定義的網橋，但是其工作方式還是一樣的。