docker網絡是docker非常重要的一部分知識，也是docker集群必備的，所以這篇文章就詳細說一下有關docker網絡的相關知識。
首先安裝Docker時，它會自動創建三個網絡，bridge（創建容器默認連接到此網絡）、 none 、host
| 網絡模式 | 簡介 |
|---|---|
| Host | 容器將不會虛擬出自己的網卡，配置自己的IP等，而是使用宿主機的IP和端口。 |
| Bridge | 此模式會為每一個容器分配、設置IP等，並將容器連接到一個docker0虛擬網橋，通過docker0網橋以及Iptables nat表配置與宿主機通信。 |
| None | 該模式關閉了容器的網絡功能。 |
| Container | 創建的容器不會創建自己的網卡，配置自己的IP，而是和一個指定的容器共享IP、端口范圍。 |
| 自定義網絡 | 略 |
下面分別介紹一下Docker的各個網絡模式。
一、docker四種網絡模式
1.1 Host模式
相當於Vmware中的NAT模式，與宿主機在同一個網絡中，但沒有獨立IP地址。
眾所周知，Docker使用了Linux的Namespaces技術來進行資源隔離，如PID Namespace隔離進程，Mount Namespace隔離文件系統，Network Namespace隔離網絡等。
一個Network Namespace提供了一份獨立的網絡環境，包括網卡、路由、Iptable規則等都與其他的Network Namespace隔離。一個Docker容器一般會分配一個獨立的Network Namespace。但如果啟動容器的時候使用host模式，那么這個容器將不會獲得一個獨立的Network Namespace，而是和宿主機共用一個Network Namespace。容器將不會虛擬出自己的網卡，配置自己的IP等，而是使用宿主機的IP和端口。
例如，我們在172.25.6.1/24的機器上用host模式啟動一個ubuntu容器
1.2 Container模式
在理解了host模式后，這個模式也就好理解了。這個模式指定新創建的容器和已經存在的一個容器共享一個Network Namespace，而不是和宿主機共享。新創建的容器不會創建自己的網卡，配置自己的IP，而是和一個指定的容器共享IP、端口范圍等。同樣，兩個容器除了網絡方面，其他的如文件系統、進程列表等還是隔離的。兩個容器的進程可以通過lo網卡設備通信。
1.3 None模式
該模式將容器放置在它自己的網絡棧中，但是並不進行任何配置。實際上，該模式關閉了容器的網絡功能，在以下兩種情況下是有用的：容器並不需要網絡（例如只需要寫磁盤卷的批處理任務）。
1.4 Bridge模式
相當於Vmware中的Briage模式，容器使用獨立network Namespace，並連接到docker0虛擬網卡（默認模式）。通過docker0網橋以及Iptables nat表配置與宿主機通信；bridge模式是Docker默認的網絡設置，此模式會為每一個容器分配Network Namespace、設置IP等，並將一個主機上的Docker容器連接到一個虛擬網橋上。下面着重介紹一下此模式。
二、Bridge模式
2.1 Bridge模式的拓撲
當Docker server啟動時，會在主機上創建一個名為docker0的虛擬網橋，此主機上啟動的Docker容器會連接到這個虛擬網橋上。虛擬網橋的工作方式和物理交換機類似，這樣主機上的所有容器就通過交換機連在了一個二層網絡中。接下來就要為容器分配IP了，Docker會從RFC1918所定義的私有IP網段中，選擇一個和宿主機不同的IP地址和子網分配給docker0，連接到docker0的容器就從這個子網中選擇一個未占用的IP使用。如一般Docker會使用172.17.0.0/16這個網段，並將172.17.0.1/16分配給docker0網橋（在主機上使用ifconfig命令是可以看到docker0的，可以認為它是網橋的管理接口，在宿主機上作為一塊虛擬網卡使用）。單機環境下的網絡拓撲如下，主機地址為10.10.0.186/24。
2.2 Docker：網絡模式詳解
Docker完成以上網絡配置的過程大致是這樣的：
（1）在主機上創建一對虛擬網卡veth pair設備。veth設備總是成對出現的，它們組成了一個數據的通道，數據從一個設備進入，就會從另一個設備出來。因此，veth設備常用來連接兩個網絡設備。
（2）Docker將veth pair設備的一端放在新創建的容器中，並命名為eth0。另一端放在主機中，以veth65f9這樣類似的名字命名，並將這個網絡設備加入到docker0網橋中
（3）從docker0子網中分配一個IP給容器使用，並設置docker0的IP地址為容器的默認網關。
運行容器：
進入容器查看：
你會發現每當你創建一個容器，系統都會在本機創建一個veth虛擬網卡，然后在docker容器內部創建一個與之配對的eth0（默認根據docker0網段分配一個ip地址給容器），以此來完成容器與容器，容器與主機之間的通信。
畫圖說明就是這個樣子：
2.3 bridge模式下容器的通信
在bridge模式下，連在同一網橋上的容器可以相互通信（若出於安全考慮，也可以禁止它們之間通信，方法是在DOCKER_OPTS變量中設置–icc=false，這樣只有使用–link才能使兩個容器通信）。
Docker可以開啟容器間通信（意味着默認配置–icc=true），也就是說，宿主機上的所有容器可以不受任何限制地相互通信，這可能導致拒絕服務攻擊。進一步地，Docker可以通過–ip_forward和–iptables兩個選項控制容器間、容器和外部世界的通信。
容器也可以與外部通信，我們看一下主機上的Iptable規則，可以看到這么一條
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
這條規則會將源地址為172.17.0.0/16的包（也就是從Docker容器產生的包），並且不是從docker0網卡發出的，進行源地址轉換，轉換成主機網卡的地址。這么說可能不太好理解，舉一個例子說明一下。假設主機有一塊網卡為eth0，IP地址為10.10.101.105/24，網關為10.10.101.254。從主機上一個IP為172.17.0.1/16的容器中ping百度（180.76.3.151）。IP包首先從容器發往自己的默認網關docker0，包到達docker0后，也就到達了主機上。然后會查詢主機的路由表，發現包應該從主機的eth0發往主機的網關10.10.105.254/24。接着包會轉發給eth0，並從eth0發出去（主機的ip_forward轉發應該已經打開）。這時候，上面的Iptable規則就會起作用，對包做SNAT轉換，將源地址換為eth0的地址。這樣，在外界看來，這個包就是從10.10.101.105上發出來的，Docker容器對外是不可見的。
那么，外面的機器是如何訪問Docker容器的服務呢？我們首先用下面命令創建一個含有web應用的容器，將容器的80端口映射到主機的80端口。
docker run --name=nginx_bridge --net=bridge -p 80:80 -d nginx
然后查看Iptable規則的變化，發現多了這樣一條規則：
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.2:80
此條規則就是對主機eth0收到的目的端口為80的tcp流量進行DNAT轉換，將流量發往172.17.0.2:80，也就是我們上面創建的Docker容器。所以，外界只需訪問10.10.101.105:80就可以訪問到容器中的服務。
除此之外，我們還可以自定義Docker使用的IP地址、DNS等信息，甚至使用自己定義的網橋，但是其工作方式還是一樣的。
三、自定義網絡
以上我們使用的都是默認的bridge網絡，利用默認的docker0虛擬網卡作為路由器以及veth-pair技術將各個容器聯通，但有個很大的缺點就是這些容器只能通過ip ping通，不可以通過容器名進行Ping通，而且還會將所有容器全部放在一個網段當中不易管理，這其實在以后的很多實際生產環境當中是很不方便的，因此今天我們還要講一個生產環境當中最常用的一個docker網絡，也就是自定義網絡。
3.1創建自定義網絡mynet
3.2查看創建好的自定義網絡
通過docker network inspect mynet可以看到關於mynet的詳細信息。
3.3啟動容器並指定網絡為mynet
啟動tomcat01和tomcat02 --net mynet，會發現mynet自定義網絡中添加了tomcat01和tomcat02。
3.4測試容器間通信
會發現無論是ping ip還是容器名，只要是在同一個自定義網絡下的容器都可以ping通
3.5如何實現不同網絡下的容器互通
以上是同一個自定義網絡的容器之間相互通信，如果想要實現不同網絡之間的互通就要用到docker network connect命令
首先創建兩個默認docker0下的兩個容器
然后用我們剛才mynet下的容器去Ping該容器，發現無法ping通
用docker network connect命令將兩個不同虛擬網絡下的容器進行聯通操作
然后查看mynet網絡，會發現不同網絡的tomcat01被添加到mynet當中
再次ping測試，發現兩個不同網絡的容器也可以ping通了
至此docker網絡就講解的差不多了，了解了這部分知識以后，對以后的docker集群的搭建和維護工作會有很大的幫助，希望這篇文章可以幫助到學習docker的小伙伴們。