Docker的4種網路模式

我們在使用docker run建立Docker容器時，可以用--net選項指定容器的網路模式，Docker有以下4種網路模式：

· host模式:

使用--net=host指定。容器不會獲得一個獨立的network namespace,而是與宿主機共用一個.這就意味著容器不會有自己的網絡卡資訊,而是使用宿主機的,容器除了網路,其他都是隔離的.

· container模式:

使用--net=container:NAME_or_ID指定。與指定的容器使用同一個network namespace,具有同樣的網路配置資訊.兩個容器除了網路,其他都還是隔離的.

· none

使用--net=none指定。獲取獨立的network namespace,但不為容器進行任何網路配置,需要我們手動配置.

· bridge模式:

使用--net=bridge指定，預設網路。Docker啟動後建立一個docker0的網橋,預設建立的容器也是新增到這個網橋中.

自定義網路:

與預設的bridge原理一樣,但自定義網路具備內部DNS發現,可以通過容器名或者主機名容器之間網路通訊.

下面分別介紹一下Docker的各個網路模式。

1 host模式

眾所周知，Docker使用了Linux的Namespaces技術來進行資源隔離，如PID Namespace隔離程序，Mount Namespace隔離檔案系統，Network Namespace隔離網路等。一個Network Namespace提供了一份獨立的網路環境，包括網絡卡、路由、Iptable規則等都與其他的Network Namespace隔離。一個Docker容器一般會分配一個獨立的Network Namespace。但如果啟動容器的時候使用host模式，那麼這個容器將不會獲得一個獨立的Network Namespace，而是和宿主機共用一個Network Namespace。容器將不會虛擬出自己的網絡卡，配置自己的IP等，而是使用宿主機的IP和埠。

例如，我們在10.10.101.105/24的機器上用host模式啟動一個含有web應用的Docker容器，監聽tcp80埠。當我們在容器中執行任何類似ifconfig命令檢視網路環境時，看到的都是宿主機上的資訊。而外界訪問容器中的應用，則直接使用10.10.101.105:80即可，不用任何NAT轉換，就如直接跑在宿主機中一樣。但是，容器的其他方面，如檔案系統、程序列表等還是和宿主機隔離的。

2 container模式

在理解了host模式後，這個模式也就好理解了。這個模式指定新建立的容器和已經存在的一個容器共享一個Network Namespace，而不是和宿主機共享。新建立的容器不會建立自己的網絡卡，配置自己的IP，而是和一個指定的容器共享IP、埠範圍等。同樣，兩個容器除了網路方面，其他的如檔案系統、程序列表等還是隔離的。兩個容器的程序可以通過lo網絡卡裝置通訊。

3 none模式

這個模式和前兩個不同。在這種模式下，Docker容器擁有自己的Network Namespace，但是，並不為Docker容器進行任何網路配置。也就是說，這個Docker容器沒有網絡卡、IP、路由等資訊。需要我們自己為Docker容器新增網絡卡、配置IP等。

4 bridge模式

bridge模式是Docker預設的網路設定，此模式會為每一個容器分配Network Namespace、設定IP等，並將一個主機上的Docker容器連線到一個虛擬網橋上。下面著重介紹一下此模式。

4.1 bridge模式的拓撲

當Docker server啟動時，會在主機上建立一個名為docker0的虛擬網橋，此主機上啟動的Docker容器會連線到這個虛擬網橋上。虛擬網橋的工作方式和物理交換機類似，這樣主機上的所有容器就通過交換機連在了一個二層網路中。接下來就要為容器分配IP了，Docker會從RFC1918所定義的私有IP網段中，選擇一個和宿主機不同的IP地址和子網分配給docker0，連線到docker0的容器就從這個子網中選擇一個未佔用的IP使用。如一般Docker會使用172.17.0.0/16這個網段，並將172.17.42.1/16分配給docker0網橋（在主機上使用ifconfig命令是可以看到docker0的，可以認為它是網橋的管理介面，在宿主機上作為一塊虛擬網絡卡使用）。單機環境下的網路拓撲如下，主機地址為10.10.101.105/24。

Docker完成以上網路配置的過程大致是這樣的：

1. 在主機上建立一對虛擬網絡卡veth pair裝置。veth裝置總是成對出現的，它們組成了一個數據的通道，資料從一個裝置進入，就會從另一個裝置出來。因此，veth裝置常用來連線兩個網路裝置。

2. Docker將veth pair裝置的一端放在新建立的容器中，並命名為eth0。另一端放在主機中，以veth65f9這樣類似的名字命名，並將這個網路裝置加入到docker0網橋中，可以通過brctl show命令檢視。

3. 從docker0子網中分配一個IP給容器使用，並設定docker0的IP地址為容器的預設閘道器。

網路拓撲介紹完後，接著介紹一下bridge模式下容器是如何通訊的。

4.2 bridge模式下容器的通訊

在bridge模式下，連在同一網橋上的容器可以相互通訊（若出於安全考慮，也可以禁止它們之間通訊，方法是在DOCKER_OPTS變數中設定--icc=false，這樣只有使用--link才能使兩個容器通訊）。

容器也可以與外部通訊，我們看一下主機上的Iptable規則，可以看到這麼一條

-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE

這條規則會將源地址為172.17.0.0/16的包（也就是從Docker容器產生的包），並且不是從docker0網絡卡發出的，進行源地址轉換，轉換成主機網絡卡的地址。這麼說可能不太好理解，舉一個例子說明一下。假設主機有一塊網絡卡為eth0，IP地址為10.10.101.105/24，閘道器為10.10.101.254。從主機上一個IP為172.17.0.1/16的容器中ping百度（180.76.3.151）。IP包首先從容器發往自己的預設閘道器docker0，包到達docker0後，也就到達了主機上。然後會查詢主機的路由表，發現包應該從主機的eth0發往主機的閘道器10.10.105.254/24。接著包會轉發給eth0，並從eth0發出去（主機的ip_forward轉發應該已經開啟）。這時候，上面的Iptable規則就會起作用，對包做SNAT轉換，將源地址換為eth0的地址。這樣，在外界看來，這個包就是從10.10.101.105上發出來的，Docker容器對外是不可見的。

那麼，外面的機器是如何訪問Docker容器的服務呢？我們首先用下面命令建立一個含有web應用的容器，將容器的80埠對映到主機的80埠。

docker run -d --name web -p 80:80 fmzhen/simpleweb

然後檢視Iptable規則的變化，發現多了這樣一條規則：

-A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.5:80

此條規則就是對主機eth0收到的目的埠為80的tcp流量進行DNAT轉換，將流量發往172.17.0.5:80，也就是我們上面建立的Docker容器。所以，外界只需訪問10.10.101.105:80就可以訪問到容器中得服務。

除此之外，我們還可以自定義Docker使用的IP地址、DNS等資訊，甚至使用自己定義的網橋，但是其工作方式還是一樣的。

5 自定義網路

自定義網路和Bridge網路模式工作原理一樣. 自定義網路具備內部DNS發現,可以通過容器名或者主機名容器之間網路通訊.啟動Docker容器的時候，使用預設的網路(bridge)是不支援指派固定IP的. 因此，需要建立自定義網路，下面是具體的步驟：

步驟1: 建立自定義網路,並且指定網段：172.18.0.0/16

# docker network create --subnet=172.18.0.0/16 mynetwork

# docker network ls

NETWORK ID NAME DRIVER SCOPE

3c432a644478 bridge bridge local

3f27c251e56f host host local

33896838fad4 mynetwork bridge local

1e4e2d170227 none null local

步驟二:建立Docker容器

# docker run -itd --name networktest1 --net mynetwork --ip 172.18.0.2 busybox

將已有容器連線欸到Docker的網路：

docker network connect 自定義網路名 容器名

斷開一個容器與指定網路的連線:

docker network disconnect 自定義網路名 容器名

注意：一個容器可以同時隸屬與多個docker網路