Docker的網絡模式和跨主機通訊

Docker的四種網絡模式

Bridge模式



當Docker進程啓動時，會在主機上建立一個名爲docker0的虛擬網橋，此主機上啓動的Docker容器會鏈接到這個虛擬網橋上。虛擬網橋的工做方式和物理交換機相似，這樣主機上的全部容器就經過交換機連在了一個二層網絡中。

從docker0子網中分配一個IP給容器使用，並設置docker0的IP地址爲容器的默認網關。在主機上建立一對虛擬網卡veth pair設備，Docker將veth pair設備的一端放在新建立的容器中，並命名爲eth0（容器的網卡），另外一端放在主機中，以vethxxx這樣相似的名字命名，並將這個網絡設備加入到docker0網橋中。能夠經過brctl show命令查看。

bridge模式是docker的默認網絡模式，不寫--net參數，就是bridge模式。使用docker run -p時，docker實際是在iptables作了DNAT規則，實現端口轉發功能。可使用iptables -t nat -vnL查看。

bridge模式以下圖所示：



演示：

docker run -tid --net=bridge --name docker_bri1

ubuntu-base:v3

docker run -tid --net=bridge --name docker_bri2

ubuntu-base:v3

brctl show
docker exec -ti docker_bri1 /bin/bash
docker exec -ti docker_bri1 /bin/bash

ifconfig –a
route –nHost模式



若是啓動容器的時候使用host模式，那麼這個容器將不會得到一個獨立的Network Namespace，而是和宿主機共用一個Network Namespace。容器將不會虛擬出本身的網卡，配置本身的IP等，而是使用宿主機的IP和端口。可是，容器的其餘方面，如文件系統、進程列表等仍是和宿主機隔離的。

Host模式以下圖所示：



演示：

docker run -tid --net=host --name docker_host1 ubuntu-base:v3
docker run -tid --net=host --name docker_host2 ubuntu-base:v3

docker exec -ti docker_host1 /bin/bash
docker exec -ti docker_host1 /bin/bash

ifconfig –a
route –n

Container模式



這個模式指定新建立的容器和已經存在的一個容器共享一個 Network Namespace，而不是和宿主機共享。新建立的容器不會建立本身的網卡，配置本身的 IP，而是和一個指定的容器共享 IP、端口範圍等。一樣，兩個容器除了網絡方面，其餘的如文件系統、進程列表等仍是隔離的。兩個容器的進程能夠經過 lo 網卡設備通訊。

Container模式示意圖：



演示：

docker run -tid --net=container:docker_bri1

--name docker_con1 ubuntu-base:v3

docker exec -ti docker_con1 /bin/bash
docker exec -ti docker_bri1 /bin/bash

ifconfig –a
route -nNone模式



使用none模式，Docker容器擁有本身的Network Namespace，可是，並不爲Docker容器進行任何網絡配置。也就是說，這個Docker容器沒有網卡、IP、路由等信息。須要咱們本身爲Docker容器添加網卡、配置IP等。

Node模式示意圖:

演示：

docker run -tid --net=none --name

docker_non1 ubuntu-base:v3

docker exec -ti docker_non1 /bin/bash

ifconfig –a
route -n

跨主機通訊

Docker默認的網絡環境下，單臺主機上的Docker容器能夠經過docker0網橋直接通訊，而不一樣主機上的Docker容器之間只能經過在主機上作端口映射進行通訊。這種端口映射方式對不少集羣應用來講極不方便。若是能讓Docker容器之間直接使用本身的IP地址進行通訊，會解決不少問題。按實現原理可分別直接路由方式、橋接方式（如pipework）、Overlay隧道方式（如flannel、ovs+gre）等。

直接路由



經過在Docker主機上添加靜態路由實現跨宿主機通訊：


 

Pipework

Pipework是一個簡單易用的Docker容器網絡配置工具。由200多行shell腳本實現。經過使用ip、brctl、ovs-vsctl等命令來爲Docker容器配置自定義的網橋、網卡、路由等。
 

• 使用新建的bri0網橋代替缺省的docker0網橋
• bri0網橋與缺省的docker0網橋的區別：bri0和主機eth0之間是veth pair

 

Flannel(Flannel + UDP 或者 Flannel + VxLAN)

Flannel實現的容器的跨主機通訊經過以下過程實現：
 

• 每一個主機上安裝並運行etcd和flannel；
• 在etcd中規劃配置全部主機的docker0子網範圍；
• 每一個主機上的flanneld根據etcd中的配置，爲本主機的docker0分配子網，保證全部主機上的docker0網段不重複，並將結果（即本主機上的docker0子網信息和本主機IP的對應關係）存入etcd庫中，這樣etcd庫中就保存了全部主機上的docker子網信息和本主機IP的對應關係；
• 當須要與其餘主機上的容器進行通訊時，查找etcd數據庫，找到目的容器的子網所對應的outip（目的宿主機的IP）；
• 將原始數據包封裝在VXLAN或UDP數據包中，IP層以outip爲目的IP進行封裝；
• 因爲目的IP是宿主機IP，所以路由是可達的；
• VXLAN或UDP數據包到達目的宿主機解封裝，解出原始數據包，最終到達目的容器。

Flannel模式以下圖所示： 


演示：

/opt/bin/etcdctl get /coreos.com/network/config
/opt/bin/etcdctl ls /coreos.com/network/subnets
/opt/bin/etcdctl get

/coreos.com/network/subnets/172.16.49.0-24