Docker 容器的網絡鏈接

文章首發於公衆號《程序員果果》

地址：mp.weixin.qq.com/s/DzF-ZwaY4…

1、Docker 容器的網絡基礎

docker0（Linux的虛擬網橋）

經過ifconfig查看docker0的網絡設備，docker守護進程就是經過docker0爲docker的容器提供網絡鏈接的各類服務。

[root@localhost ~]# ifconfig docker0
docker0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.17.0.1  netmask 255.255.0.0  broadcast 0.0.0.0
        inet6 fe80::42:2fff:fe56:7b2e  prefixlen 64  scopeid 0x20<link>
        ether 02:42:2f:56:7b:2e  txqueuelen 0  (Ethernet)
        RX packets 27406  bytes 2657911 (2.5 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 42036  bytes 58020300 (55.3 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
複製代碼

docker守護進程就是經過docker0爲docker容器提供網絡鏈接的各類服務。docker0 就是Linux的虛擬網橋 。

OSI七層模型中的網橋:

Linux虛擬網橋的特色:

• 能夠設置IP地址
• 至關於擁有一個隱藏的虛擬網卡

docker0的地址劃分:

• IP:172.17.42.1 子網掩碼: 255.255.0.0
• MAC: 02:42:ac:11:00:00 到 02:42:ac:11:ff:ff
• 總共提供65534個地址

docker守護進程在一個容器啓動時，實際上它要建立網絡鏈接的兩端。一端是在容器中的網絡設備，而另外一端是在運行docker守護進程的主機上打開一個名爲veth*的一個接口，用來實現docker這個網橋與容器的網絡通訊。

下面咱們看一下實際的過程： 須要查看網橋，須要linux的網橋管理程序，在Ubuntu中經過 apt-get install bridge-utils。

$ sudo brctl show
bridge name    bridge id              STP    enabled    interfaces
docker0        8000.0242ed943d02      no
複製代碼

運行一個docker容器，在容器中查看它的網絡設備(若是沒有ifconfig命令，經過apt-get install -y net-tools)。

root@b2a3136f5425:/# ifconfig
eth0 Link encap:Ethernet HWaddr 02:42:ac:11:00:02 
inet addr:172.17.0.2 Bcast:0.0.0.0 Mask:255.255.0.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:145 errors:0 dropped:0 overruns:0 frame:0
TX packets:60 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0 
RX bytes:184985 (184.9 KB) TX bytes:4758 (4.7 KB)

lo Link encap:Local Loopback 
inet addr:127.0.0.1 Mask:255.0.0.0
UP LOOPBACK RUNNING MTU:65536 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0 
RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)
複製代碼

docker已經自動建立了eth0的網卡，注意觀察ip地址和mac地址。不要退出容器，再運行以下查看網橋的狀態。

$ sudo brctl show
bridge name    bridge id           STP    enabled    interfaces
docker0    8000.0242ed943d02       no                veth95521e6
複製代碼

咱們看到在interface中多了一個veth*的這樣一個接口。經過ifconfig命令一樣能夠看到這個網絡接口。

自定義 docker0

• 修改docker0默認分配的ip地址

sudo ifconfig docker0 192.168.200.1 netmask 255.255.255.0
複製代碼

修改完後，重啓docker服務 sudo service docker restart. 新運行的容器地址就變成了新的ip地址了。

• 添加虛擬網橋

sudo brctl addbr br0
sudo ifconfig br0 192.168.100.1 netmask 255.255.255.0
複製代碼

更改docker守護進程的啓動配置:

vim /etc/default/docker 中添加 DOCKER_OPS的值 -b=br0.
複製代碼

重啓docker服務便可。

2、Docker 容器的互聯

用於測試的Docker鏡像 Dockerfile:

FROM ubuntu:14.04
RUN apt-get install -y ping
RUN apt-get update
RUN apt-get install -y nginx
RUN apt-get install -y curl
EXPOSE 80
CMD /bin/bash
複製代碼

1. 容許全部容器互聯

在同一宿主機下，docker的容器是經過虛擬網橋來進行鏈接的。那麼在默認狀況下，在同一宿主機中運行的容器都是能夠互相鏈接的。
--icc=true 默認
容器的ip地址其實是一個不可靠的鏈接，由於它會隨着容器的啓動而改變。

docker run --link=容器名:別名
複製代碼

查看在容器中產生的哪些影響

$ env

查看環境變量，能夠看到大量以WEBTEST*開頭的環境變量，這些環境變量是在容器啓動時，由docker添加的。咱們還能夠查看在/ect/host文件，這裏添加了webtest的地址映射。當docker重啓啓動容器時 /ect/host所對應的ip地址發生了變化。也就是說， 針對於指定了link選項的容器，在啓動時docker會自動修改ip地址和咱們指定的別名之間的映射 。環境變量也會作出相應的改變。

2. 拒絕全部容器間互聯

Docker守護進程的啓動選項
--icc=false

修改vim /etc/default/docker，在末尾添加配置 DOCKER_OPTS="--icc=false"。
複製代碼

須要重啓docker的服務 sudo service docker restart.即便是link也ping不通。

3. 容許特定容器間的鏈接

Docker守護進程的啓動選項
--icc=false --iptables=true
--link 在容器啓動時添加link
docker利用iptables中的機制，在icc=false時，阻斷全部的docker容器間的訪問，僅僅運行利用link選項配置的容器進行相互的訪問。
注: 若是出現ping不通的狀況，可能爲iptables的問題(DROP規則在docker以前了)。

sudo iptables -L -n    查看iptables規則的狀況
sudo iptables -F    清空iptables規則設置
sudo service docker restart 從新啓用docker的服務
sudo iptables -L -n 再來查看iptables的設置，docker的規則鏈已經在第一位
複製代碼

從新啓動容器便可。

歡迎掃碼或微信搜索公衆號《程序員果果》關注我，關注有驚喜~