docker 網絡

四類網絡模式

Docker網絡模式	配置	說明
host	–net=host	容器和宿主機共享Network namespace。
container	–net=container:NAME_or_ID	容器和另一個容器共享Network namespace。 kubernetes中的pod就是多個容器共享一個Network namespace。
none	–net=none	容器有獨立的Network namespace，但並無對其進行任何網絡設置，如分配veth pair 和網橋鏈接，配置IP等。
bridge	–net=bridge	（默認爲該模式）

host模式

       若是啓動容器的時候使用host模式，那麼這個容器將不會得到一個獨立的Network Namespace，
而是和宿主機共用一個Network Namespace。容器將不會虛擬出本身的網卡，配置本身的IP等，
而是使用宿主機的IP和端口。
可是，容器的其餘方面，如文件系統、進程列表等仍是和宿主機隔離的。

       使用host模式的容器能夠直接使用宿主機的IP地址與外界通訊，容器內部的服務端口也能夠使用宿主機的端口，
不須要進行NAT，host最大的優點就是網絡性能比較好，
       可是docker host上已經使用的端口就不能再用了，網絡的隔離性很差。

Host模式以下圖所示：

 

 

bridge模式

       當Docker進程啓動時，會在主機上建立一個名爲docker0的虛擬網橋，
此主機上啓動的Docker容器會鏈接到這個虛擬網橋上。虛擬網橋的工做方式和物理交換機相似，
這樣主機上的全部容器就經過交換機連在了一個二層網絡中。

       從docker0子網中分配一個IP給容器使用，並設置docker0的IP地址爲容器的默認網關。
在主機上建立一對虛擬網卡veth pair設備，Docker將veth pair設備的一端放在新建立的容器中，
並命名爲eth0（容器的網卡），另外一端放在主機中，以vethxxx這樣相似的名字命名，
並將這個網絡設備加入到docker0網橋中。能夠經過brctl show命令查看。

bridge模式是docker的默認網絡模式，不寫--net參數，就是bridge模式。使用docker run -p時，
docker實際是在iptables作了DNAT規則，實現端口轉發功能。能夠使用iptables -t nat -vnL查看。

bridge模式以下圖所示：

 

 

 

container模式

這個模式指定新建立的容器和已經存在的一個容器共享一個 Network Namespace，而不是和宿主機共享。
新建立的容器不會建立本身的網卡，配置本身的 IP，而是和一個指定的容器共享 IP、端口範圍等。
一樣，兩個容器除了網絡方面，其餘的如文件系統、進程列表等仍是隔離的。兩個容器的進程能夠經過 lo 網卡設備通訊。

Container模式示意圖：

 

none模式

使用none模式，Docker容器擁有本身的Network Namespace，可是，並不爲Docker容器進行任何網絡配置。
也就是說，這個Docker容器沒有網卡、IP、路由等信息。須要咱們本身爲Docker容器添加網卡、配置IP等。

這種網絡模式下容器只有lo迴環網絡，沒有其餘網卡。
none模式能夠在容器建立時經過--network=none來指定。
這種類型的網絡沒有辦法聯網，封閉的網絡能很好的保證容器的安全性。

None模式示意圖: