docker四種網絡模式

一.爲何要了解docker網絡

當你開始大規模使用Docker時，你會發現須要瞭解不少關於網絡的知識。Docker做爲目前最火的輕量級容器技術，有不少使人稱道的功能，如Docker的鏡像管理。然而，Docker一樣有着不少不完善的地方，網絡方面就是Docker比較薄弱的部分。所以，咱們有必要深刻了解Docker的網絡知識，以知足更高的網絡需求。本文首先介紹了Docker自身的4種網絡工做方式，而後介紹一些自定義網絡模式。

二.docker 網絡理論

Docker使用Linux橋接（參考《Linux虛擬網絡技術》），在宿主機虛擬一個Docker容器網橋(docker0)，Docker啓動一個容器時會根據Docker網橋的網段分配給容器一個IP地址，稱爲Container-IP，同時Docker網橋是每一個容器的默認網關。由於在同一宿主機內的容器都接入同一個網橋，這樣容器之間就可以經過容器的Container-IP直接通訊。

Docker網橋是宿主機虛擬出來的，並非真實存在的網絡設備，外部網絡是沒法尋址到的，這也意味着外部網絡沒法經過直接Container-IP訪問到容器。若是容器但願外部訪問可以訪問到，能夠經過映射容器端口到宿主主機（端口映射），即docker run建立容器時候經過 -p 或 -P 參數來啓用，訪問容器的時候就經過 [宿主機IP]:[容器端口] 訪問容器。

當你安裝Docker時，它會自動建立三個網絡。你可使用如下 docker network ls 命令列出這些網絡：

# docker network ls
NETWORK ID          NAME                DRIVER              SCOPE
857db65319fa        bridge              bridge              local
c16cf8722909        host                host                local
d39a88b56801        none                null                local

三.docker的四類網絡模式

網絡模式	配置	說明
bridge模式	--net=bridge	（默認爲該模式）此模式會爲每個容器分配、設置IP等，並將容器鏈接到一個docker0虛擬網橋，經過docker0網橋以及Iptables nat表配置與宿主機通訊。
host模式	--net=host	容器和宿主機共享Network namespace。
container模式	--net=container:NAME_or_ID	容器和另一個容器共享Network namespace。 kubernetes中的pod就是多個容器共享一個Network namespace。
none模式	--net=none	該模式關閉了容器的網絡功能。

3.1 bridge模式

當Docker進程啓動時，會在主機上建立一個名爲docker0的虛擬網橋，此主機上啓動的Docker容器會鏈接到這個虛擬網橋上。虛擬網橋的工做方式和物理交換機相似，這樣主機上的全部容器就經過交換機連在了一個二層網絡中。

從docker0子網中分配一個IP給容器使用，並設置docker0的IP地址爲容器的默認網關。在主機上建立一對虛擬網卡veth pair設備，Docker將veth pair設備的一端放在新建立的容器中，並命名爲eth0（容器的網卡），另外一端放在主機中，以vethxxx這樣相似的名字命名，並將這個網絡設備加入到docker0網橋中。能夠經過brctl show命令查看。

bridge模式是docker的默認網絡模式，不寫--net參數，就是bridge模式。使用docker run -p時，docker實際是在iptables作了DNAT規則，實現端口轉發功能。可使用iptables -t nat -vnL查看。

bridge模式以下圖所示：

3.2 host模式

若是啓動容器的時候使用host模式，那麼這個容器將不會得到一個獨立的Network Namespace，而是和宿主機共用一個Network Namespace。容器將不會虛擬出本身的網卡，配置本身的IP等，而是使用宿主機的IP和端口。可是，容器的其餘方面，如文件系統、進程列表等仍是和宿主機隔離的。

使用host模式的容器能夠直接使用宿主機的IP地址與外界通訊，容器內部的服務端口也可使用宿主機的端口，不須要進行NAT，host最大的優點就是網絡性能比較好，可是docker host上已經使用的端口就不能再用了，網絡的隔離性很差。

Host模式以下圖所示：

3.3 container模式

這個模式指定新建立的容器和已經存在的一個容器共享一個 Network Namespace，而不是和宿主機共享。新建立的容器不會建立本身的網卡，配置本身的 IP，而是和一個指定的容器共享 IP、端口範圍等。一樣，兩個容器除了網絡方面，其餘的如文件系統、進程列表等仍是隔離的。兩個容器的進程能夠經過 lo 網卡設備通訊。

Container模式示意圖：

3.4 none模式

使用none模式，Docker容器擁有本身的Network Namespace，可是，並不爲Docker容器進行任何網絡配置。也就是說，這個Docker容器沒有網卡、IP、路由等信息。須要咱們本身爲Docker容器添加網卡、配置IP等。

這種網絡模式下容器只有lo迴環網絡，沒有其餘網卡。none模式能夠在容器建立時經過--network=none來指定。這種類型的網絡沒有辦法聯網，封閉的網絡能很好的保證容器的安全性。

None模式示意圖:

四.bridge模式下容器的通訊

4.1 防火牆開啓狀態

在bridge模式下，連在同一網橋上的容器能夠相互通訊（若出於安全考慮，也能夠禁止它們之間通訊，方法是在DOCKER_OPTS變量中設置–icc=false，這樣只有使用–link才能使兩個容器通訊）。

容器也能夠與外部通訊，咱們看一下主機上的Iptable規則，能夠看到這麼一條

這條規則會將源地址爲172.17.0.0/16的包（也就是從Docker容器產生的包），而且不是從docker0網卡發出的，進行源地址轉換，轉換成主機網卡的地址。這麼說可能不太好理解，舉一個例子說明一下。假設主機有一塊網卡爲eth0，IP地址爲192.168.21.10/24，網關爲192.168.21.255。從主機上一個IP爲172.17.0.1/16的容器中ping百度（www.baidu.com）。IP包首先從容器發往本身的默認網關docker0，包到達docker0後，也就到達了主機上。而後會查詢主機的路由表，發現包應該從主機的eth0發往主機的網關192.168.21.255/24。接着包會轉發給eth0，並從eth0發出去（主機的ip_forward轉發應該已經打開）。這時候，上面的Iptable規則就會起做用，對包作SNAT轉換，將源地址換爲eth0的地址。這樣，在外界看來，這個包就是從192.168.21.10上發出來的，Docker容器對外是不可見的。

那麼，外面的機器是如何訪問Docker容器的服務呢？咱們首先用下面命令建立一個含有web應用的容器，將容器的80端口映射到主機的80端口。

docker run -itd --name=nginx_bridge --net=bridge -p 80:80 nginx

而後查看Iptable規則的變化，發現多了這樣一條規則：

-A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.2:80

此條規則就是對主機eth0收到的目的端口爲80的tcp流量進行DNAT轉換，將流量發往172.17.0.2:80，也就是咱們上面建立的Docker容器。因此，外界只需訪問192.168.21.10:80就能夠訪問到容器中的服務。

4.2 防火牆關閉狀態

若是docker網絡使用了bridge模式，也不須要防火牆，那直接關掉FirewallD服務就能夠了。能夠解決諸多由於防火牆網絡問題致使的docker容器端口不通的問題。

• docker網絡官方文檔：https://docs.docker.com/engin...