一、docker網路概述

1.1 docker網路實現的原理 ____Docker使用Linux橋接，在宿主機虛擬一個Docker容器網橋(docker0)，Docker啟動一個容器時會根據Docker網橋的網段分配給容器一個IP地址，稱為Container-IP， 同時Docker網橋是 每個容器的預設閘道器。因為在同一宿主機內的容器都接入同一個網橋，這樣容器之間就能夠通過容器的Container-IP直接通訊。 容器內先安裝net-tools工具yum install -y net-tools然後檢視容器IP（container ip） ____Docker網橋是宿主機虛擬出來的，並不是真實存在的網路裝置，外部網路是無法定址到的，這也意味著外部網路無法直接通過Container-IP訪問到容器。如果容器希望外部訪問能多訪問到,可以通過對映容器埠到宿主主機(埠對映)，即docker run建立容器時候通過-p或-P引數來啟用，訪問容器的時候就通過[宿主機IP]:[容器埠]訪問容器。 如下案例： docker run -itd --name test1 -P nginx #使用大寫p進行隨機埠對映 docker run -itd --name test2 -p 43210:80 nginx #使用小寫p加埠進行指定的埠對映 docker ps -a [root@docker ~]# docker ps -a CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES 155ddb0c29b3 nginx "/docker-entrypoint.…" 4 seconds ago Up 3 seconds 0.0.0.0:43210->80/tcp, :::43210->80/tcp test2 0d1f97c0ae26 nginx "/docker-entrypoint.…" 10 minutes ago Up 10 minutes 0.0.0.0:49156->80/tcp, :::49153->80/tcp test1 瀏覽器訪問：http://192.168.80.10:49156/、http://192.168.80.10:43210/ ① 建立容器時啟用埠對映 ② 瀏覽器訪問測試 ③ 原因是通過iptables的DNAT完成ip的轉換 1.2 docker的網路模式 1、Host:容器將不會虛擬出自己的網絡卡，配置自己的IP等，而是使用宿主機的IP和埠。 2、Container:建立的容器不會建立自己的網絡卡，配置自己的IP，而是和一個指定的容器共享IP、埠範圍。 3、None:該模式關閉了容器的網路功能。 4、Bridge:預設為該模式，此模式會為每一個 容器分配、設定IP等，並將容器連線到一個docker0虛擬網橋，通過docker0網橋以及iptables nat表配置與宿主機通訊。 自定義網路：安裝Docker時，它會自動建立三個網路，bridge (建立容器預設連線到此網路)、none 、host 1）安裝Docker時，它會自動建立三個網路，bridge (建立容器預設連線到此網路)、none 、host。 docker network ls 或 docker network list #檢視docker網路列表 NETWORK ID NAME DRIVER SCOPE 3cce31b7db4e bridge bridge local 6f7e4930aab4 host host local 2ded2fffb055 none null local 2）使用docker run 建立Docker容器時，可以用--net或--network 選項指定容器的網路模式 host模式:使用--net=host 指定。 none模式:使用--net=none 指定。 container模式:使用--net=container:NAME_ _or_ ID指定。 bridge模式:使用--net=bridge 指定，預設設定，可省略。

二、docker網路模式詳解

2.1 host模式 相當於Vmware中的橋接模式，與宿主機在同一個網路中，但沒有獨立IP地址。 Docker使用了Linux的Namespaces技術來進行資源隔離，如PID Namespace隔離程序，Mount Namespace隔離檔案系統，Network Namespace隔離網路等。 一個Network Namespace提供了一份獨立的網路環境，包括網絡卡、路由、iptable規則 等都與其他的Network Namespace隔離。 ____一個Docker容器一般會分配一個獨立的Network Namespace 。但如果啟動容器的時候使用host模式，那麼這個容器將不會獲得一個獨立的NetworkNamespace,而是和宿主機共用一個Network Namespace。 容器將不會虛擬出自己的網絡卡、配置自己的IP等，而是使用宿主機的IP和埠。 2.2 container模式 ____在理解了host模式後，這個模式也就好理解了。這個模式指定新建立的容器和已經存在的一個容器共享一個Network Namespace（網路名稱空間），而不是和宿主機共享。新建立的容器不會建立自己的網絡卡，配置自己的IP，而是和一個指定的容器共享IP、埠範圍等。同樣，兩個容器除了網路方面，其他的如檔案系統、程序列表等還是隔離的。兩個容器的程序可以通過 lo網絡卡裝置通訊。 docker inspect -f '{{.State.Pid}}' 155ddb0c29b3 #檢視容器程序PID 22364 ls -l /proc/22364/ns ----------------------------------------------------------------- 總用量 0 lrwxrwxrwx. 1 root root 0 7月 26 17:47 ipc -> ipc:[4026532688] lrwxrwxrwx. 1 root root 0 7月 26 17:47 mnt -> mnt:[4026532683] lrwxrwxrwx. 1 root root 0 7月 26 16:35 net -> net:[4026532691] #檢視此項Network Namespace lrwxrwxrwx. 1 root root 0 7月 26 17:47 pid -> pid:[4026532689] lrwxrwxrwx. 1 root root 0 7月 26 17:47 user -> user:[4026531837] lrwxrwxrwx. 1 root root 0 7月 26 17:47 uts -> uts:[4026532687] ----------------------------------------------------------------- docker run -itd --name test3 --net=container:155ddb0c29b3 centos bash docker inspect -f '{{.State.Pid}}' 3a47d5cb641b 23428 ls -l /proc/23428/ns ----------------------------------------------------------------- 總用量 0 lrwxrwxrwx. 1 root root 0 7月 26 17:56 ipc -> ipc:[4026532783] lrwxrwxrwx. 1 root root 0 7月 26 17:56 mnt -> mnt:[4026532781] lrwxrwxrwx. 1 root root 0 7月 26 17:56 net -> net:[4026532691] #container模式的Network Namespace和上面的一致 lrwxrwxrwx. 1 root root 0 7月 26 17:56 pid -> pid:[4026532784] lrwxrwxrwx. 1 root root 0 7月 26 17:56 user -> user:[4026531837] lrwxrwxrwx. 1 root root 0 7月 26 17:56 uts -> uts:[4026532782] ----------------------------------------------------------------- ① 根據容器pid檢視該容器的Network Namespace ② 建立新容器，模式為container模式 ③ 檢視新建立容器的Network Namespace 和之前的是否一致，可以看出是一致的。 2.3 none模式 使用none模式，Docker 容器擁有自己的Network Namespace， 但是，並不為Docker容器進行任何網路配置。 也就是說，這個Docker容器沒有網絡卡、IP、路由等資訊。這種網路模式下容器只有lo迴環網路，沒有其他網絡卡。這種型別的網路沒有辦法聯網，封閉的網路能很好的保證容器的安全性。 2.4 bridge模式 空格 bridge模式是docker的預設網路模式，不用--net 引數，就是bridge模式。 ____相當於Vmware中的nat 模式，容器使用獨立network Namespace， 並連線到docker0虛擬網絡卡。通過docker0網橋以及iptables nat表配置與宿主機通訊，此模式會為每一個容器分配Network Namespace、 設定IP等， 並將一個主機上的Docker容器連線到一個虛擬網橋上。 (1) 當Docker程序啟動時，會在主機上建立一個名為docker0的虛擬網橋，此主機上啟動的Docker容器會連線到這個虛擬網橋上。虛擬網橋的工作方式和物理交換機類似，這樣主機上的所有容器就通過交換機連在了一個二層網路中。 (2) 從docker0子網中分配一-個IP給容器使用，並設定docker0的IP地址為容器的預設閘道器。在主機上建立—對虛擬網絡卡veth pair裝置。veth裝置總是成對出現的，它們組成了一個數據的通道，資料從一個裝置進入，就會從另一個裝置出來。因此，veth裝置常用來連線兩個網路裝置。 (3) Docker將 veth pair裝置的一-端放在新建立的容器中，並命名為eth0 ( 容器的網絡卡)，另一端放在主機中，以veth* 這樣類似的名字命名，並將這個網路裝置加入到docker0網橋中。可以通過brctl show命令檢視。 (4) 使用docker run -p時，docker 實際是在iptables做了DNAT規則，實現埠轉發功能。可以使用iptables -t nat -vnL 檢視。 2.5 自定義網路模式 ##直接使用bridge模式，是無法支援指定IP執行docker的，例如執行以下命令就會報錯 docker run -itd --name test3 --network bridge --ip 172.17 .0.10 centos:7 /bin/bash 測試如下： 自定義網路模式建立步驟 1）可以先自定義網路，再使用指定IP執行docker docker network create --subnet=172.18.0.0/16 --opt "com.docker.network.bridge.name"="docker1" mynetwork #docker1為執行ifconfig -a命令時，顯示的網絡卡名，如果不使用–opt 引數指定此名稱，那你在使用ifconfig -a命令檢視網路資訊時，看到的是類似br-110eb56a0b22 這樣的名字，這顯然不怎麼好記。 #mynetwork為執行docker network list 命令時，顯示的bridge網路模式名稱。 2）使用指定IP執行docker docker run -itd --name test4 --net mynetwork --ip 172.18.0.10 centos /bin/bash 實際操作： ① 自定義網路docker1 ② 指定IP執行docker ③ 檢視建立的ip