Docker 網絡模式詳解

一、Docker 網絡概述

1、Docker 網絡實現的原理

　　Docker 使用Linux橋接，在宿主機虛擬一個Docker容器網橋（docker0），docker 啟動一個容器時會根據docker網橋的網段分配給容器一個IP地址，稱為Container-IP，同時Docker網橋是每個容器的默認網關。

　　因為在同一宿主機內的容器都接入同一個網橋，這樣容器之間就能夠通過容器的Container-IP直接通信。

　　Docker網橋是宿主機虛擬出來的，並不是真實存在的網絡設備，外部網絡時無法尋址到的，這也意味着外部網絡無法直接通過Container-IP訪問到容器。

　　如果容器希望外部訪問能夠訪問到，可以通過映射容器端口到宿主機（端口映射），即docker run 創建容器的時候通過-p或-P參數來啟用，訪問容器的時候就通過[宿主機IP]:[容器端口]訪問容器。

　　1.1 隨機映射端口（從32768開始）

docker run -d --name test1 -P nginx（鏡像）

 

　　1.2 指定映射端口

docker run -d --name test2 -p 1212:80 nginx

　　1.3 瀏覽器訪問測試

 

二、Docker的網絡模式

　　Host： 容器不會虛擬出自己的網卡，配置主機的IP等，而是使用宿主機的IP和端口

　　Container： 創建的容器不會創建自己的網卡，配置自己的IP，而是和一個指定的容器共享IP，端口范圍

　　None：該模式關閉了容器的網絡功能

　　Bridge： 默認為該模式，此模式會為每一個容器分配，設置IP等，並將容器連接到一個docker0 的虛擬網橋，通過docker0 網橋以及iptables nat 表配置與宿主機通信

　　自定義網絡

1、默認網絡

　　當你安裝Docker時，它會自動創建三個網絡bridge （創建容器默認連接到此網絡）、none、host。你可以使用以下docker network ls 或者docker network list 命令列出這些網絡

2、使用docker run 創建docker 容器時，可以用--net 或--network 選項指定容器的網絡模式

　　host模式：使用--net=host 指定

　　none模式：使用--net=none 指定

　　container模式：使用--net=container:NAME__or_ID 指定

　　bridge模式：使用--net=bridge 指定，默認設置，可省略

三、Docker 網絡模式詳解

1、host 模式

　　host模式：使用--net=host 指定

　　相當於VMware 中的橋接模式，與宿主機在同一個網絡中，但是沒有獨立IP地址

　　Docker 使用了Linux 的Namespace 技術來進行資源隔離，如 PID Namespace 隔離進程，Mount Namespace 隔離文件系統，Network Namespace 隔離網絡等。一個Network Namespace 提供了一份獨立的網絡環境，包括網卡，路由，iptable 規則等都與其他Network Namespace 隔離。一個Docker 容器一般會分配一個獨立的Network Namespace。

　　但是如果啟動容器的時候使用host 模式，那么這個容器將不會獲得一個獨立的Network Namespace ，而是和宿主機共用一個Network Namespace 。容器將不會虛擬出自己的網卡，配置自己的IP等，而是使用宿主機的IP和端口范圍。此時容器不再擁有隔離的、獨立的網絡棧。不擁有端口資源。

2、container 模式

　　在理解了host 模式后，這個模式也就好理解了。

　　這個模式指定新創建的容器和已經存在的一個容器共享一個Network Namespace （網絡命名空間），而不是和宿主機共享。

　　新創建的容器不會創建自己的網卡，配置自己的IP，而是和一個指定的容器共享IP、端口范圍等。同樣，兩個容器除了網絡方面，其他的如文件系統、進程列表等還是隔離的。兩個容器的進程可以通過lo 網卡設備通信。

docker inspect -f '{{.State.Pid}}' 155ddb0c29b3                         #查看容器進程PID
22364
ls -l /proc/22364/ns                                                 #查看容器的進程、網絡、文件系統等命名空間編號
-----------------------------------------------------------------
總用量 0
lrwxrwxrwx. 1 root root 0 7月  26 17:47 ipc -> ipc:[4026532688]
lrwxrwxrwx. 1 root root 0 7月  26 17:47 mnt -> mnt:[4026532683]
lrwxrwxrwx. 1 root root 0 7月  26 16:35 net -> net:[4026532691]       #查看此項Network Namespace
lrwxrwxrwx. 1 root root 0 7月  26 17:47 pid -> pid:[4026532689]
lrwxrwxrwx. 1 root root 0 7月  26 17:47 user -> user:[4026531837]
lrwxrwxrwx. 1 root root 0 7月  26 17:47 uts -> uts:[4026532687]
-----------------------------------------------------------------
docker run -itd --name test3 --net=container:155ddb0c29b3 centos bash
docker inspect -f '{{.State.Pid}}' 3a47d5cb641b
23428
ls -l /proc/23428/ns
-----------------------------------------------------------------
總用量 0
lrwxrwxrwx. 1 root root 0 7月  26 17:56 ipc -> ipc:[4026532783]
lrwxrwxrwx. 1 root root 0 7月  26 17:56 mnt -> mnt:[4026532781]
lrwxrwxrwx. 1 root root 0 7月  26 17:56 net -> net:[4026532691]       #container模式的Network Namespace和上面的一致
lrwxrwxrwx. 1 root root 0 7月  26 17:56 pid -> pid:[4026532784]
lrwxrwxrwx. 1 root root 0 7月  26 17:56 user -> user:[4026531837]
lrwxrwxrwx. 1 root root 0 7月  26 17:56 uts -> uts:[4026532782]
————————————————

 

 

3、none 模式

　　使用none模式，Docker 容器擁有自己的Network Namespace ，但是，並不為Docker 容器進行任何網絡配置。

　　也就是說，這個Docker 容器沒有網卡、IP、路由等信息。這種網絡模式下容器只有lo回環網絡，沒有其他網卡。這種類型的網絡沒有辦法聯網，封閉的網絡能很好的保證容器的安全性。

4、bridge 模式

 　　bridge 模式是docker 的默認網絡模式，不用--net 參數，就是bridge模式。

　　相當於VMware 中的nat 模式，容器使用獨立network Namespace ，並連接到docker0 虛擬網卡。通過docker0 網橋以及iptables nat 表配置與宿主機通信，此模式會為每一個容器分配Network Namespace、設置IP等，並將一個主機上的Docker 容器連接到一個虛擬網橋上。

　　4.1 當Docker進程啟動時，會在主機上創建一個名為docker0 的虛擬網橋，此主機上啟動的Docker 容器會連接到這個虛擬網橋上。虛擬網橋的工作方式和物理交換機類似，這樣主機上的所有容器就通過交換機連在了一個二層網絡中。

　　4.2 從docker0 子網中分配一個IP給容器使用，並設置docker0的IP地址為容器的默認網關。在主機上創建一對虛擬網卡veth pair 設備。veth 設備總是成對出現的，它們組成了一個數據的通道，數據從一個設備進入，就會從另一個設備出來。因此，veth 設備常用來連接兩個網絡設備。

　　4.3 Docker 將veth pair 設備的一端放在新創建的容器中，並命名為eth0 （容器的網卡），另一端放在主機中，以veth*這樣類似的名字命名，並將這個網絡設備加入到docker0 網橋中。可以通過brctl show 命令查看。

　　4.4 使用docker run -p 時，docker 實際是在iptables 做了DNAT 規則，實現端口轉發功能。可以使用iptables -t nat -nL 查看。

5、自定義網絡模式

#直接使用bridge模式，是無法支持指定IP運行docker的，例如執行以下命令就會報錯
docker run -itd --name test4 --network bridge --ip 172.17.0.10 centos:7 /bin/bash 

#可以先自定義網絡，再使用指定IP運行docker
docker network create --subnet=172.20.0.0/16 --opt "com.docker.network.bridge.name"="docker1" mynetwork
 
#docker1 為執行 ifconfig -a 命令時，顯示的網卡名，如果不使用 --opt 參數指定此名稱，那你在使用 ifconfig -a 命令查看網絡信息時，看到的是類似br-110eb56a0b22 這樣的名字，這顯然不怎么好記。
#mynetwork為執行docker network list命令時，顯示的bridge網絡模式名稱
  
docker run -itd --name test5 --net mynetwork --ip 172.20.0.10 centos:7 /bin/bash
ifconfig                                 #該命令需要安裝net-tools