2. 程式人生 > 實用技巧 >Docker的網路模式和網路隔離

Docker的網路模式和網路隔離

阿新 • • 發佈：2020-09-20

一、Docker的網路模式

docker的網路模式有Bridge、Host、Container、None四種模式

Bridge

當docker程序啟動時，會在主機上建立一個名為docker0的虛擬網橋，此主機上啟動的docker容器預設會連線到這個虛擬網橋上；虛擬網橋的工作方式類似於物理交換機，主機上的所有容器就通過虛擬網橋連在一個二層網路中。
預設，Docker會從docker0子網中分配一個IP給容器使用，並設定docker0的IP地址為容器的預設閘道器。
在主機上建立一對虛擬網絡卡br裝置，docker將br裝置的一端放在新建立的容器中，並命名為eth0(容器內部網絡卡)，另一端放在主機中，以br-xxx這樣類似的名稱命名，並將這個網路裝置加入到docker0(網橋中)。
如果有多個容器之間需要互相通訊，使用Docker Compose

或k8s編排工具。

[root@919 ~]# brctl show
bridge name	bridge id		STP enabled	interfaces
br-3721cd5a380d		8000.0242fae4b5b4	no		
br-c1a81e911a92		8000.0242bf8de935	no		
docker0		        8000.0242ce2c4c07	no

Host

如果啟動容器時使用host模式，那麼這個容器將不會獲取一個獨立的“network namespace”，而是和宿主機共用一個“network namespace”。容器將不會虛擬出自己的網絡卡、配置自己IP等，而是直接使用宿主機的IP和埠；但是，容器的其他方面，如檔案系統、系統程序等還是和宿主機隔離開的。

Container

這個模式指定新建立的容器和已經存在的容器共享一個“network namespace”，而不是和宿主機共享；新建立的容器也不會自己建立網絡卡、IP等。同樣兩個容器除了網路外，其他的還都是屬於隔離；兩個容器的程序可以通過宿主機的lo網絡卡裝置進行通訊。

[root@919 ~]# docker run -it --name centos1 centos1/centos:v1

[root@5b475c57a4b0 /]# ifconfig eth0
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.17.0.2  netmask 255.255.0.0  broadcast 172.17.255.255
        ether 02:42:ac:11:00:02  txqueuelen 0  (Ethernet)
        RX packets 8  bytes 656 (656.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 0  bytes 0 (0.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
[root@5b475c57a4b0 /]# read escape sequence

[root@919 ~]# docker run -it --name centos2 --net=container:centos1 centos1/centos:v1

[root@5b475c57a4b0 /]# ifconfig eth0
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.17.0.2  netmask 255.255.0.0  broadcast 172.17.255.255
        ether 02:42:ac:11:00:02  txqueuelen 0  (Ethernet)
        RX packets 8  bytes 656 (656.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 0  bytes 0 (0.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

None

使用none模式，docker容器擁有自己的network namespace，但是，並不為docker容器進行任何網路配置；也就是說，這個docker容器沒有網絡卡、IP、路由等資訊，需要我們自己為docker容器新增網絡卡、配置IP等。

二、Docker網路隔離、獨立IP設定

在通常情況下，docker使用網橋(Bridge)與NAT的通訊模式

netfilter規則

(1)容器訪問外部網路

# SNAT
iptables -t nat -A POSTROUTING -s 172.17.0.0/16 -o docker0 -j MASQUERADE

(2)外部網路訪問容器

# DNAT
docker run -d -p 80:80 apache

iptables -t nat -A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER

iptables -t nat -A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.2:80

docker網路模式修改

(1)docker程序網路修改
只要修改了程序網路後面的容器都會生效，主從的關係

-b,--bridge:
指定docker使用的網橋裝置，預設情況下docker會自動建立和使用docker0網橋裝置，通過此引數可以使用已經存在的裝置。

[root@919 ~]# ifconfig docker0
docker0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.17.0.1  netmask 255.255.0.0  broadcast 172.17.255.255
        inet6 fe80::42:ceff:fe2c:4c07  prefixlen 64  scopeid 0x20<link>
        ether 02:42:ce:2c:4c:07  txqueuelen 0  (Ethernet)
        RX packets 35126  bytes 6686759 (6.3 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 42464  bytes 86634276 (82.6 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

--bip:
指定docker0的IP和掩碼，使用標準的CIDR形式，如10.10.10.10/24

--dns:
配置容器的DNS，在啟動docker程序時新增，所有容器全部生效

(2)docker容器網路修改
只在啟動的容器生效

--dns:
用於指定啟動的容器的DNS

--net:
用於指定容器的網路通訊方式，有如下四個值

  • bridge：docker預設方式，網橋模式
  • none：容器沒有網路棧
  • container：使用其他容器的網路棧，docker容器會加入其他容器的network namespace
  • host：表示容器使用host的網路，沒有自己獨立的網路棧，容器可以完全訪問host網路，非常不安全。
docker run -it --name centos1 --net=none centos
[root@919 ~]# docker run -it --name centos1 --net=none centos
[root@5b16b5f20c58 /]# ip a 
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever

(3)暴露埠

-p/P選項的使用格式

-p <containerport> # 將指定的容器埠對映至主機所有地址的一個動態埠
-p <hostport>:<containerport> # 對映至指定的主機埠
-p <IP>::<containerport> # 對映至指定的主機的IP的動態埠
-p <IP>:<hostport>:<containerport> # 對映至指定主機的IP的主機埠
-P # 暴露所需要的所有埠

docker port 可以檢視容器當前的對映關係

[root@919 ~]# docker ps
CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS              PORTS                   NAMES
c99a91d6250d        centos              "/usr/sbin/init"    9 minutes ago       Up 9 minutes        0.0.0.0:32768->80/tcp   nginxv3
491ab139e4fd        centos              "/usr/sbin/init"    18 minutes ago      Up 18 minutes                               nginxv2
[root@919 ~]# docker port nginxv3
80/tcp -> 0.0.0.0:32768

(4)自定義docker0網橋的網路地址
修改/etc/docker/daemon.json

	{
		"bip":"192.168.1.5/24",
		"fixed-cidr":"10.20.0.0/16",
		"fixed-cidr-v6":"2001:db8::/64",
		"mtu":"1500",
		"default-gateway":"10.20.1.1",
		"default-gateway-v6":"2001:db8:abcd::89",
		"dns":["10.20.1.2","10.20.1.3"]
	}

常見隔離方式

網路命令空間隔離網路

docker network ls 檢視當前可用的網路型別

docker network create -d <型別> <網路空間名稱>

型別：

overlay network	# 覆蓋型網路,不同的主機之間可以互相通訊，需要藉助一定的裝置
bridge network  # 網橋

建立兩個網路

[root@919 ~]# docker network create -d bridge lamp
3721cd5a380de3f27bc3b32c9dfd34f8262aac0917e30799085fc11d0d0d2068
[root@919 ~]# docker network ls
NETWORK ID          NAME                DRIVER              SCOPE
2f6d2d0b2eb2        bridge              bridge              local
8ff53f37566a        host                host                local
3721cd5a380d        lamp                bridge              local
c1a81e911a92        lnmp                bridge              local
b897072c940a        none                null                local

[root@919 ~]# ifconfig 
br-3721cd5a380d: flags=4099<UP,BROADCAST,MULTICAST>  mtu 1500
        inet 172.18.0.1  netmask 255.255.0.0  broadcast 172.18.255.255
        inet6 fe80::42:faff:fee4:b5b4  prefixlen 64  scopeid 0x20<link>
        ether 02:42:fa:e4:b5:b4  txqueuelen 0  (Ethernet)
        RX packets 3  bytes 182 (182.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 11  bytes 838 (838.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

br-c1a81e911a92: flags=4099<UP,BROADCAST,MULTICAST>  mtu 1500
        inet 172.19.0.1  netmask 255.255.0.0  broadcast 172.19.255.255
        inet6 fe80::42:bfff:fe8d:e935  prefixlen 64  scopeid 0x20<link>
        ether 02:42:bf:8d:e9:35  txqueuelen 0  (Ethernet)
        RX packets 41405  bytes 23602140 (22.5 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 41405  bytes 23602140 (22.5 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

執行容器，分別指定網路為剛才建立的名為lamp和lnmp的網路

[root@919 ~]# docker run -it  --name cento01 --network=lamp centos
[root@744bbf4fa6c0 /]# ifconfig eth0
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.18.0.2  netmask 255.255.0.0  broadcast 172.18.255.255
        ether 02:42:ac:12:00:02  txqueuelen 0  (Ethernet)
        RX packets 1402  bytes 8858081 (8.4 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 1395  bytes 95487 (93.2 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

[root@919 ~]# docker run -it  --name cento02 --network=lnmp centos
[root@0f79003592cd /]# ifconfig eth0
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.19.0.2  netmask 255.255.0.0  broadcast 172.19.255.255
        ether 02:42:ac:13:00:02  txqueuelen 0  (Ethernet)
        RX packets 2011  bytes 8895817 (8.4 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 1673  bytes 115079 (112.3 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

此時兩個容器之間無法進行通訊，但依舊可以連線外網

[root@0f79003592cd /]# ping 172.18.0.2
PING 172.18.0.2 (172.18.0.2) 56(84) bytes of data.
^C
--- 172.18.0.2 ping statistics ---
7 packets transmitted, 0 received, 100% packet loss, time 1005ms

[root@0f79003592cd /]# ping www.baidu.com
PING www.a.shifen.com (182.61.200.7) 56(84) bytes of data.
64 bytes from 182.61.200.7 (182.61.200.7): icmp_seq=1 ttl=54 time=4.48 ms

相關推薦

Docker的網路模式和網路隔離

一、Docker的網路模式 docker的網路模式有Bridge、Host、Container、None四種模式 Bridge

docker 網路模式 和 埠對映

docker 的 網路模式 docker 自帶 3 種 網路模式：分別是bridge網路，host網路，none網路，可以使用 docker network ls 命令檢視。

AJAX---處理網路超時和網路異常

const btn = document.getElementsByTagName(\'button\')[0]; const result = document.querySelector(\'#result\');

網路工程師和網路運維工程師，有什麼區別？

網路工程師 VS. 網路運維工程師，雖然只差了“運維”2個字，但二者的職業發展、薪酬、就業等方面還是有著很大的差異，僅以薪酬為例如下：

docker的容器管理和網路模式

docker 容器操作和網路模式 目錄一： Docker 容器操作1.1 容器建立1.2 檢視容器執行狀態1.3 啟動容器1.4 建立並啟動容器1.5 終止容器執行1.6 容器的進入1.6.1 使用 docker attch 的方法1.6.2 使用docker exec 命令進

python Socket網路程式設計實現C/S模式和P2P

C/S模式 由於網路課需要實現Socket網路程式設計，所以簡單實現了一下，C/S模式分別用TCP/IP協議與UDP協議實現，下面將分別講解。

Docker系列02—Docker 網路模式

一、Docker的四種網路模式 1、Docker 的四種網路模式： 　　Bridge container 橋接式網路模式

網路模式詳解 以及 docker的網路模式

網橋 橋接、nat、host-only 1.先看圖 2.總的來說 橋接 通過使用物理機網絡卡 具有單獨ip

Docker網路模式詳解

一、Docker四種工作模式 安裝Docker時，它會自動建立三個網路，bridge（建立容器預設連線到此網路）、 none 、hosthost：容器將不會虛擬出自己的網絡卡，配置自己的IP等，而是使用宿主機的IP和埠。Container：建立的

Docker 的網路模式

簡述 網路模式決定了容器之間互聯方式，地址資源的分配空間。 使用的過程中需要根據 容器之間聚合的關係，是否需要隔離網路地址和轉發的效率等方面來選擇適合的網路模型。

docker 中配置host_centos8中docker容器網路配置和sshd（二）

技術標籤：docker 中配置host Setup 1 準備工作 在centos8中，預設是啟動了 firewalld的，而且預設是關閉了流量轉交，為了讓docker 映象能上網，需要firewalld如下配置：

Docker四種網路模式

關於docker網路模式有四種，內容如下，至於內容從來哪的，我也不知道,反正網上找的

docker網路模式

檢視預設網路列表 安裝完docker後會自動建立網路，我們可以通過以下命令檢視存在的網路模式：

Docker的4種網路模式

Docker的4種網路模式 我們在使用docker run建立Docker容器時，可以用--net選項指定容器的網路模式，Docker有以下4種網路模式：

Docker 網路模式詳解

一、Docker網路概述 1、Docker網路實現的原理 　　Docker使用Linux橋接，在宿主機虛擬一個Docker容器網橋（docker0），docker啟動一個容器時會根據docker網橋的網段分配給容器一個IP地址，稱為Container-IP，同時D

Docker的資料管理、網路通訊和dockerfile-(2)

Docker的資料管理、網路通訊和dockerfile 一、Docker的資料管理 管理Docker容器中資料主要有兩種方式：資料卷（Data Volumes）和資料卷容器（Data Volumes Containers）。

Docker的4種網路模式詳細介紹

docker run建立Docker容器時，可以用–net選項指定容器的網路模式，Docker有以下4種網路模式：

【docker】4種網路模式

bridge模式 使用--net=bridge指定，Docker的預設設定，這種模式創建出來的docker容器連結到Dcoker網橋上（docker0網橋或者其它自定義的網橋）：

docker容器中網路模式

容器網路相關術語 OVS(OpenVSwitch) 開源虛擬交換機 SDN 軟體定義網路 Overlay Network 多層疊加網路（在現有的網路層上再封裝一層網路，實現IP隧道），實現兩個NAT裝置後端的主機直連通訊

Docker網路模式詳解及容器間網路通訊（6）

Docker網路模式詳解及容器間網路通訊 參考資料 B站狂神說教程 B站清風程式碼教程