Docker的四種網路模式Bridge模式

當Docker程序啟動時，會在主機上建立一個名為docker0...



Docker的四種網路模式

Bridge模式


當Docker程序啟動時，會在主機上建立一個名為docker0的虛擬網橋，此主機上啟動的Docker容器會連線到這個虛擬網橋上。虛擬網橋的工作方式和物理交換機類似，這樣主機上的所有容器就通過交換機連在了一個二層網路中。

從docker0子網中分配一個IP給容器使用，並設定docker0的IP地址為容器的預設閘道器。在主機上建立一對虛擬網絡卡veth pair裝置，Docker將veth pair裝置的一端放在新建立的容器中，並命名為eth0（容器的網絡卡），另一端放在主機中，以vethxxx這樣類似的名字命名，並將這個網路裝置加入到docker0網橋中。可以通過brctl show命令檢視。

bridge模式是docker的預設網路模式，不寫--net引數，就是bridge模式。使用docker run -p時，docker實際是在iptables做了DNAT規則，實現埠轉發功能。可以使用iptables -t nat -vnL檢視。

bridge模式如下圖所示：

#docker run -tid --net=bridge --name docker_bri1 ubuntu-base:v3
#docker run -tid --net=bridge --name docker_bri2 ubuntu-base:v3

#brctl show
#docker exec -ti docker_bri1 /bin/bash
#docker exec -ti docker_bri1 /bin/bash

#ifconfig –a
#route –n

Host模式


如果啟動容器的時候使用host模式，那麼這個容器將不會獲得一個獨立的Network Namespace，而是和宿主機共用一個Network Namespace。容器將不會虛擬出自己的網絡卡，配置自己的IP等，而是使用宿主機的IP和埠。但是，容器的其他方面，如檔案系統、程序列表等還是和宿主機隔離的。

Host模式如下圖所示：

#docker run -tid --net=host --name docker_host1 ubuntu-base:v3
#docker run -tid --net=host --name docker_host2 ubuntu-base:v3

#docker exec -ti docker_host1 /bin/bash
#docker exec -ti docker_host1 /bin/bash

#ifconfig –a
#route –n

Container模式


這個模式指定新建立的容器和已經存在的一個容器共享一個 Network Namespace，而不是和宿主機共享。新建立的容器不會建立自己的網絡卡，配置自己的 IP，而是和一個指定的容器共享 IP、埠範圍等。同樣，兩個容器除了網路方面，其他的如檔案系統、程序列表等還是隔離的。兩個容器的程序可以通過 lo 網絡卡裝置通訊。

Container模式示意圖：

#docker run -tid --net=container:docker_bri1 --name docker_con1 ubuntu-base:v3

#docker exec -ti docker_con1 /bin/bash
#docker exec -ti docker_bri1 /bin/bash

#ifconfig –a
#route -n

None模式


使用none模式，Docker容器擁有自己的Network Namespace，但是，並不為Docker容器進行任何網路配置。也就是說，這個Docker容器沒有網絡卡、IP、路由等資訊。需要我們自己為Docker容器新增網絡卡、配置IP等。

Node模式示意圖:

演示：
 

#docker run -tid --net=none --name docker_non1 ubuntu-base:v3
#docker exec -ti docker_non1 /bin/bash

#ifconfig –a
#route -n

跨主機通訊

Docker預設的網路環境下，單臺主機上的Docker容器可以通過docker0網橋直接通訊，而不同主機上的Docker容器之間只能通過在主機上做埠對映進行通訊。這種埠對映方式對很多叢集應用來說極不方便。如果能讓Docker容器之間直接使用自己的IP地址進行通訊，會解決很多問題。按實現原理可分別直接路由方式、橋接方式（如pipework）、Overlay隧道方式（如flannel、ovs+gre）等。

直接路由


通過在Docker主機上新增靜態路由實現跨宿主機通訊：


 

Pipework

Pipework是一個簡單易用的Docker容器網路配置工具。由200多行shell指令碼實現。通過使用ip、brctl、ovs-vsctl等命令來為Docker容器配置自定義的網橋、網絡卡、路由等。
 

• 使用新建的bri0網橋代替預設的docker0網橋
• bri0網橋與預設的docker0網橋的區別：bri0和主機eth0之間是veth pair

Flannel(Flannel + UDP 或者 Flannel + VxLAN)

Flannel實現的容器的跨主機通訊通過如下過程實現：
 

• 每個主機上安裝並執行etcd和flannel；
• 在etcd中規劃配置所有主機的docker0子網範圍；
• 每個主機上的flanneld根據etcd中的配置，為本主機的docker0分配子網，保證所有主機上的docker0網段不重複，並將結果（即本主機上的docker0子網資訊和本主機IP的對應關係）存入etcd庫中，這樣etcd庫中就儲存了所有主機上的docker子網資訊和本主機IP的對應關係；
• 當需要與其他主機上的容器進行通訊時，查詢etcd資料庫，找到目的容器的子網所對應的outip（目的宿主機的IP）；
• 將原始資料包封裝在VXLAN或UDP資料包中，IP層以outip為目的IP進行封裝；
• 由於目的IP是宿主機IP，因此路由是可達的；
• VXLAN或UDP資料包到達目的宿主機解封裝，解出原始資料包，最終到達目的容器。

Flannel模式如下圖所示： 


演示：
 

#/opt/bin/etcdctl get /coreos.com/network/config
#/opt/bin/etcdctl ls /coreos.com/network/subnets
#/opt/bin/etcdctl get /coreos.com/network/subnets/172.16.49.0-24