1、前言
Docker做爲目前最火的輕量級容器技術，有不少使人稱道的功能，如Docker的鏡像管理。然而，Docker一樣有着不少不完善的地方，網絡方面就是Docker比較薄弱的部分。所以，咱們有必要深刻了解Docker的網絡知識，以知足更高的網絡需求。html
咱們在使用docker run建立Docker容器時，能夠用--net選項指定容器的網絡模式，Docker有如下4種網絡模式：linux
- host模式，使用--net=host指定。
容器將不會虛擬出本身的網卡，配置本身的IP等，而是使用宿主機的IP和端口。nginx
- container模式，使用--net=container:NAME_or_ID指定。
建立的容器不會建立本身的網卡，配置本身的IP，而是和一個指定的容器共享IP、端口範圍。web
- none模式，使用--net=none指定。
該模式關閉了容器的網絡功能。docker
- bridge模式，使用--net=bridge指定，默認設置。
此模式會爲每個容器分配、設置IP等，並將容器鏈接到一個docker0虛擬網橋，經過docker0網橋以及Iptables nat表配置與宿主機通訊。json
注意：使用docker network ls命令列出這些docker內置的網絡模式。安全
Docker 網絡模型服務器
2、host模式
衆所周知，Docker使用了Linux的Namespaces技術來進行資源隔離，如PID Namespace隔離進程，Mount Namespace隔離文件系統，Network Namespace隔離網絡等。一個Network Namespace提供了一份獨立的網絡環境，包括網卡、路由、Iptable規則等都與其餘的Network Namespace隔離。一個Docker容器通常會分配一個獨立的Network Namespace。但若是啓動容器的時候使用host模式，那麼這個容器將不會得到一個獨立的Network Namespace，而是和宿主機共用一個Network Namespace。容器將不會虛擬出本身的網卡，配置本身的IP等，而是使用宿主機的IP和端口。網絡
例如，咱們在10.10.101.105/24的機器上用host模式啓動一個含有web應用的Docker容器，監聽tcp80端口。tcp
當咱們在容器中執行任何相似ifconfig命令查看網絡環境時，看到的都是宿主機上的信息。而外界訪問容器中的應用，則直接使用10.10.101.105:80便可，不用任何NAT轉換，就如直接跑在宿主機中同樣。可是，容器的其餘方面，如文件系統、進程列表等仍是和宿主機隔離的。
下面關於網絡命令空間的介紹來源：https://yq.aliyun.com/articles/53624
那麼什麼是網絡名稱空間？通常的說法是包括了Linux共享的一組網絡接口和路由表條目的裝置。您能夠修改路由表條目使用策略路由。（這裏有我寫的介紹和可能的策略路由用例），但這並無從根本上改變網絡接口和路由表/條目共享整個操做系統。網絡名字空間改變這一基本假設。經過網絡名字空間，你能有不一樣並獨立的網絡接口和路由表，它們各自獨立運做 這個概念經過一些例子來講明多是最好的。沿途我會介紹一些新想法。首先，我須要提供一些假設。 假設 在這個例子中，我會使用Ubuntu Server 12.04.3 LTS.請注意不一樣的Linux發行版對網絡名字空間支持上的不一樣。Ubuntu支持這個，可是RedHat不支持。（我不肯定Fedora，若是你知道，能夠在評論中說出來。）若是你想使用網絡名字空間,請確保你的Linux發行版支持。 另外，我回假設你使用root帳戶運行，或者你會在必要的時候加上sudo來執行命令行。 建立和列出網絡名字空間 建立一個網絡名字空間是至關容易的。僅僅須要使用這個命令： 1 ip netns add <new namespace name> 打個比方,你想要建立一個名爲「blue」的名字空間。你會使用這個命令: 1 ip netns add blue 使用這個命令驗證網絡名字空間是否建立: 1 ip netns list 你應該能看到你的網絡名字空間被列出，你可使用它們了。 給網絡名字空間分配接口 建立網絡名字空間僅僅是個開始，接下來的部分是給名字空間指定接口。而後爲網絡鏈接配置這些接口。有一個注意，就是在我以前探索網絡名字空間的時候發現，你沒法把物理接口分配給一個名字空間。到底怎樣才呢個使用它們呢，而後呢？ 原來你只能分配虛擬以太網接口(veth)到網絡名稱空間。虛擬以太網接口是一個有趣的結構。它老是一對一對的，他們像一個相連的管道——不管什麼從其中一個veth接口進去，就會從另外一個等同的接口出來。所以,您可使用veth接口把一個網絡名名字空間連接到存在物理接口的「默認」或「全局」網絡名字空間。 讓咱們來看看這是如何實現的。首先,您要建立一對veth: 1 ip link add veth0 type veth peer name veth1 我發現一些站點重複這個命令去建立veth1而後連接到veth0，可是個人測試代表，只要使用上面這個命令，會建立一對端口，而且自動創建鏈接。固然，你能夠用其它名字代替veth0和veth1，若是你須要的話。 你可使用這個命令驗證veth對被建立。 1 ip link list 你應該看到一對veth接口（使用你在上面的命令中指定的名稱）列出。如今它們都屬於」默認」或「全局」名字空間，和物理接口一道。 假設你想把全局名字空間連接到blue名字空間。這樣作，你須要移動一個veth接口道blue名字空間中，可使用這個命令。 1 ip link set veth1 netns blue 若是你再次運行ip link list 命令，你會看到veth1接口從列表中消失了。如今它在blue名字空間中，所以你須要運行下面的命令來看。 1 ip netns exec blue ip link list 哇哦！這是一個有點複雜的命令，讓咱們慢慢講： 在第一部分，ip nets exec，這是在不一樣網絡名字空間執行命令的方法。 接下來是這個命令應該運行在的特定名稱空間。（在這個例子中，是blue名字空間） 最後，你須要實際的命令在遠程名字空間中執行。在這個例子中，你想要查看在blue名字空間的接口，所以你運行 ip link list。 當你運行那個命令，你就能看到一個迴環接口和你剛纔移入的veth1接口。 在網絡名字空間配置接口 如今，veth1已經移動到藍色的名稱空間，咱們須要去實際配置那個接口。再一次，咱們會使用 ip netns exec 命令，這一次在blue名字空間中配置veth1接口。 1 ip netns exec blue ifconfig veth1 10.1.1.1/24 up 和以前同樣，這個命令的格式以下： 1 ip netns exec <network namespace> <command to run against that namespace> 在這個例子裏，你使用ifconfig給veth1接口指定了一個IP地址，而且開啓了這個接口。（註解：你可使用 ip addr ， ip route ，以及 ip link 命令來完成相同的事情） 一旦veth1接口開啓，你能僅僅經過一些不一樣的命令驗證blue名字空間中的網絡設置是徹底隔離的。打個比方，讓咱們肯定你的」全局」名字空間有物理接口在 172.16.1.0/24 範圍，你的veth1接口在一個隔離的名字空間，而且分配了10.1.1.0/24範圍。你可使用這些命令驗證網絡名字空間是如何保證網絡配置隔離的： ip addr list 在全局名字空間沒有顯示任何10.1.1.0/24有關的接口或者地址。 ip netns exec blue ip addr list 將僅僅顯示10.1.1.0/24有關的接口和地址，也不會顯示任何來自全局名字空間的接口或地址。 一樣的，ip route list 在每一個名稱空間將顯示不一樣的路由表條目,包括不一樣的默認網關。 連接網絡名字空間到物理網絡 這部分花了我一些時間。我無法解釋爲何，可是它這樣運做了。一旦我搞懂了，一旦我搞懂了,它是顯而易見的。讓網絡名字空間連接到物理網絡的就是使用網橋。在個人例子中，我是用一個Open vSwitch(OVS)橋，可是一個標準Linux網橋也能工做的很好。把一個或多個物理接口和veth接口同樣放到網橋中，而後，啪，它們就能用了。固然,若是你有不一樣的名字空間,你可能想要/須要將它們鏈接到不一樣的物理網絡或不一樣的vlan。
3、container模式
在理解了host模式後，這個模式也就好理解了。這個模式指定新建立的容器和已經存在的一個容器共享一個Network Namespace，而不是和宿主機共享。新建立的容器不會建立本身的網卡，配置本身的IP，而是和一個指定的容器共享IP、端口範圍等。一樣，兩個容器除了網絡方面，其餘的如文件系統、進程列表等仍是隔離的。兩個容器的進程能夠經過lo網卡設備通訊。
聯盟式容器是指使用某個已存在容器的網絡接口的容器，接口被聯盟內的各容器共享使用；所以，聯盟式容器彼此間徹底隔離，例如：
聯盟式容器彼此雖然共享同一個網絡名稱空間，但其它名稱空間如User、Mount等仍是隔離的。
聯盟式容器彼此間存在端口衝突的可能性，所以，一般只會在多個容器上的程序須要程序loopback接口互相通訊，或對已存的容器的網絡屬性進行監控時才使用此模式的網絡模型。
bridge模式：（默認沒有設置網絡模式工做在bridge模式），咱們啓動兩個容器，兩個容器之間互相隔離，並擁有本身的私有IP，並能夠互相通訊，等會會介紹：
docker run --name b1 -it --rm busybox docker run --name b2 -it --rm busybox
container模式：
docker run --name b1 -it --rm busybox docker run --name b2 -it --rm --network container:b1 busybox
此時咱們在b2中使用ifconfig命令，能夠看到b2與b1IP相同，彼此之間也能夠通訊，效果如同一個主機上的兩個進程。
4、none模式
此模式下容器不參與網絡通訊，運行於此類容器中的進程僅能訪問本地環回接口，僅適用於進程無須網絡通訊的場景中，例如備份，進程診斷及各類離線任務等。
--network none:設置模式容器工做在none模式下。
在此模式下使用ifconfig -a 顯示只有lo網卡。
5、Bridge模式（默認網絡模式）
橋接式容器通常擁有兩個接口：一個環回接口和一個鏈接至主機上某橋設備的以太網接口，在上面的圖片就能夠看到。
docker daemon啓動時默認會建立一個名爲docker0的網絡橋，docker0網卡扮演二層交換機與網卡設備，不給IP就是交換機，給了IP便可以當交換機也能夠當網卡。
而且咱們之後在此模式下建立的容器爲橋接式容器，咱們每次啓動一個容器，就會爲這個容器分配一對網卡設備，其中一個網卡在容器上，另一個網卡在宿主機上，在宿主機上的網卡接口橋接至docker0。
--network bridge：設置容器工做在bridge模式下，即爲將容器接口添加至docker0橋。
docker0橋爲NAT橋，所以，橋接式容器可經過此橋接口訪問外部網絡，但防火牆規則阻止一切從外部網絡訪問橋接式容器的請求，固然也有解決辦法，後面會介紹外部訪問容器。
這裏容器使用獨立network Namespace，並鏈接到docker0虛擬網卡（默認模式）。經過docker0網橋以及Iptables nat表配置與宿主機通訊；bridge模式是Docker默認的網絡設置，此模式會爲每個容器分配Network Namespace、設置IP等，並將一個主機上的Docker容器鏈接到一個虛擬網橋上。
經常使用參數的用法
--name：設置容器名 docker run --name t1 -it busybox:latest --rm：退出容器即刻刪除容器 docker run --name Nginx -it --network bridge --rm nginx --network:設置網絡模式，默認bridge模式 docker run --name t1 -it --network bridge --rm busybox:latest --hostname:爲容器設置指定主機名 docker run --name t1 -it --network bridge --hostname t1.magedu.com --rm busybox:latest 注意：使用hostname命令查看主機名 --dns：設置dns服務器 docker run --name t1 -it --network bridge --hostname t1.magedu.com --dns 114.114.114.114 --rm busybox:latest --dns-search：設置dns搜索域 docker run --name t1 -it --network bridge --hostname t1.magedu.com --dns 114.114.114.114 --dns-search ilinux.io --rm busybox:latest --add-host：在/etc/hosts文件中添加主機與ip的解析記錄 docker run --name t1 -it --network bridge --hostname t1.magedu.com --dns 114.114.114.114 --dns-search ilinux.io --rm --add-host "docker.com:172.16.0.100" busybox:latest
6、 bridge模式的拓撲
當Docker server啓動時，會在主機上建立一個名爲docker0的虛擬網橋，此主機上啓動的Docker容器會鏈接到這個虛擬網橋上。虛擬網橋的工做方式和物理交換機相似，這樣主機上的全部容器就經過交換機連在了一個二層網絡中。接下來就要爲容器分配IP了，Docker會從RFC1918所定義的私有IP網段中，選擇一個和宿主機不一樣的IP地址和子網分配給docker0，鏈接到docker0的容器就從這個子網中選擇一個未佔用的IP使用。如通常Docker會使用172.17.0.0/16這個網段，並將172.17.42.1/16分配給docker0網橋（在主機上使用ifconfig命令是能夠看到docker0的，能夠認爲它是網橋的管理接口，在宿主機上做爲一塊虛擬網卡使用）。單機環境下的網絡拓撲以下，主機地址爲10.10.101.105/24。
Docker完成以上網絡配置的過程大體是這樣的：
1. 在主機上建立一對虛擬網卡veth pair設備。veth設備老是成對出現的，它們組成了一個數據的通道，數據從一個設備進入，就會從另外一個設備出來。所以，veth設備經常使用來鏈接兩個網絡設備。
2. Docker將veth pair設備的一端放在新建立的容器中，並命名爲eth0。另外一端放在主機中，以veth65f9這樣相似的名字命名，並將這個網絡設備加入到docker0網橋中，能夠經過brctl show命令查看。
3. 從docker0子網中分配一個IP給容器使用，並設置docker0的IP地址爲容器的默認網關。
7、bridge模式下容器的通訊
在bridge模式下，連在同一網橋上的容器能夠相互通訊（若出於安全考慮，也能夠禁止它們之間通訊，方法是在DOCKER_OPTS變量中設置–icc=false，這樣只有使用–link才能使兩個容器通訊）。
Docker能夠開啓容器間通訊（意味着默認配置--icc=true），也就是說，宿主機上的全部容器能夠不受任何限制地相互通訊，這可能致使拒絕服務攻擊。進一步地，Docker能夠經過--ip_forward和--iptables兩個選項控制容器間、容器和外部世界的通訊。
容器也能夠與外部通訊，咱們看一下主機上的Iptable規則，能夠看到這麼一條（查看規則：iptables -t nat -vnL）：
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
這條規則會將源地址爲172.17.0.0/16的包（也就是從Docker容器產生的包），而且不是從docker0網卡發出的，進行源地址轉換，轉換成主機網卡的地址。這麼說可能不太好理解，舉一個例子說明一下。假設主機有一塊網卡爲eth0，IP地址爲10.10.101.105/24，網關爲10.10.101.254。從主機上一個IP爲172.17.0.1/16的容器中ping百度（180.76.3.151）。IP包首先從容器發往本身的默認網關docker0，包到達docker0後，也就到達了主機上。而後會查詢主機的路由表，發現包應該從主機的eth0發往主機的網關10.10.105.254/24。接着包會轉發給eth0，並從eth0發出去（主機的ip_forward轉發應該已經打開）。這時候，上面的Iptable規則就會起做用，對包作SNAT轉換，將源地址換爲eth0的地址。這樣，在外界看來，這個包就是從10.10.101.105上發出來的，Docker容器對外是不可見的。
上面添加規則來實現外部訪問略爲麻煩，咱們還有一種更好的方法，端口映射：
爲docker run命令使用-p選項便可實現端口映射，無須手動添加規則
-p選項的使用格式 -p <containerPort> ---將指定的容器端口映射至主機全部地址的一個動態端口（隨機端口） -p <hostPort>:<containerPort> ---將容器端口<containerPort>映射至指定的主機端口<hostPort> -p <ip>::<containerPort> ---將指定的容器端口<containerPort>映射至主機指定<ip>的動態端口 -p <ip>:<hostPort>:<containerPort> ---將指定的容器端口<containerPort>映射至主機指定<ip>的端口<hostPort> "動態端口"指隨機端口，具體的映射結果可以使用docker port命令查看
那麼，外面的機器是如何訪問Docker容器的服務呢？咱們首先用下面命令建立一個含有web應用的容器，將容器的80端口映射到主機的80端口。
docker run --name=nginx_bridge --net=bridge -p 80:80 -d nginx
而後查看Iptable規則的變化，發現多了這樣一條規則：
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.2:80
此條規則就是對主機eth0收到的目的端口爲80的tcp流量進行DNAT轉換，將流量發往172.17.0.2:80，也就是咱們上面建立的Docker容器。因此，外界只需訪問10.10.101.105:80就能夠訪問到容器中的服務。
除此以外，咱們還能夠自定義Docker使用的IP地址、DNS等信息，甚至使用本身定義的網橋，可是其工做方式仍是同樣的。
參考：
https://www.cnblogs.com/zuxing/articles/8780661.html
https://yq.aliyun.com/articles/53624
https://www.cnblogs.com/jsonhc/p/7823286.html