由于Docker 容器彼此之间是逻辑隔离的,所以,在安装 Docker 时会在容器中创建隔 离的网络环境。在该隔离的网络模式环境中,运行在宿主机上的各个容器具有完全独立的网 络栈,并自Docker 容器的网络环境与宿主机相互隔离。通过使用 Docker 的不同网络模 式,可以使 Docke容器共享宿主机的网络命名空间,也可以实现Docker容器间的相互访问。
Docker一共提供了4种网络通信模式:bridge、container、host和none。下表对比了 这4种模式的特点。
网络通信模式 | 是否支持多主机 | 纵向通信机制 | 横向通信机制 |
bridge | 否 | 绑定宿主机端口 | 通过 Linux桥接进行通信 |
container | 否 | 绑定宿主机端口 | 通过 Linux桥接进行通信 |
host | 是 | 通过宿主机网络进行通信 | 通过宿主机网络进行通信 |
none | 否 | 无法通信 | 只能通过Linux 连接进行通信 |
下面分别介绍这四种模式。
1、bridge模式
bridge模式是Docker默认的网络通信模式,是开发者最常用的模式。
在bridge模式下,Docker引擎会创建独立的网络命名空间。这样就可以保证运行在每 一个命名空间中的容器具有独立的网卡等网络资源。
利用bridge 模式,可以非常方便地实现容器与容器之间、容器与宿主机之间的网络隔 离。通过使用宿主机上的 docker0 网桥,可以实现 Docker 容器与宿主机(乃至外部网络)的 网络通信。下面通过示例演示如何使用bridge模式。
1.1、使用bridge模式创建容器
(1)使用busybox的镜像创建容器。
[root@centos7-7 ~]# docker run -it --network=bridge busybox /bin/sh
这里的--network=bridge可以不写,默认就是bridge模式。
busybox是一个集成了一百多个最常用Linux命令和工具(如cat、echo等)的软件工具箱。
(2)在容器内执行“ifconfig”命令查看容器的网络信息
/ # ifconfig
eth0 Link encap:Ethernet HWaddr 02:42:AC:11:00:02
inet addr:172.17.0.2 Bcast:0.0.0.0 Mask:255.255.0.0
inet6 addr: fe80::42:acff:fe11:2/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:8 errors:0 dropped:0 overruns:0 frame:0
TX packets:8 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:656 (656.0 B) TX bytes:656 (656.0 B)
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
inet6 addr: ::1/128 Scope:Host
UP LOOPBACK RUNNING MTU:65536 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)
1.2、用户自定义bridge网络
在默认情况下,Docker 引擎会自动创建一个bridge 网络。Docker 引擎也为用户提供 了自定义bridge网络的方式。利用该方式,用户可以自定义 bridge 网络的子网地址和网关 等参数。
用户自定义的bridge网络是在生产环境中最推荐的方式
(1)执行以下命令自定义bridge 网络
[root@centos7-7 ~]# docker network create -d bridge --ip-range=192.168.1.0/24 --gateway=192.168.1.1 --subnet=192.168.1.0/24 bridge2
eed6a75f5f232f7967c0604afaa005f342290837a71eaec0d22e1dd412e2fb9b
其中的参数说明如下。
- -d:指定网络通信模式,默认是bridge。
- --ip-range;指定子网IP地址的范围。
- --gateway:指定网关的IP地址。
- --subnet:指定子网的IP地址。
- bridge2:指定bridge 网络的名称。
(2)查看Docker的网络,可以看到新创建的bridge2
[root@centos7-7 ~]# docker network ls
NETWORK ID NAME DRIVER SCOPE
889237ef785e bridge bridge local
eed6a75f5f23 bridge2 bridge local
19a27d2aa051 host host local
70bd87d82194 none null local
(3)使用 bridge2创建一个容器,这里通过参数--p 指定了容器的IP地址。
[root@centos7-7 ~]# docker run -it --network=bridge2 --ip=192.168.1.5 busybox
(4)在容器内执行“ifconfig”命令查看网络信息。
[root@centos7-7 ~]# docker run -it --network=bridge2 --ip=192.168.1.5 busybox
/ # ifconfig
eth0 Link encap:Ethernet HWaddr 02:42:C0:A8:01:05
inet addr:192.168.1.5 Bcast:0.0.0.0 Mask:255.255.255.0
inet6 addr: fe80::42:c0ff:fea8:105/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:24 errors:0 dropped:0 overruns:0 frame:0
TX packets:8 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:2666 (2.6 KiB) TX bytes:656 (656.0 B)
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
inet6 addr: ::1/128 Scope:Host
UP LOOPBACK RUNNING MTU:65536 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)
2、host模式
在使用host模式时,容器与宿主机共享同一个网络命名空间,容器的IP地址与宿主机的 IP地址相同。如果宿主机具有公网的IP 地址,则容器也拥有这个公网的IP 地址。即这时容 器可以直接使用宿主机的IP 地址与外界进行通信,且容器内服务的端口也可以直接使用宿主 机的端口,无须进行任何的转换。
由于在host模式下不再需要宿主机的转发,因此其性能得到了极大的提高。图4-11 说 明了host模式的工作机制。
使用host模式来创建容器,如以下命令所示。
[root@centos7-7 ~]# docker run -it --network=host busybox /bin/sh
对比一下容器内的网络信息和宿主机的网络信息,如下 所示,可以发现,容器与 宿主机共享了同一个网络命名空间,即容器使用了宿主机的网络配置信息。
尽管使用host模式可以很方便地通过localhost或者127.0.0.1实现容器与宿主机的相互 访问并且性能也比较好。但是这种模式也存在以下两个问题。
- 由于容器使用了宿主机的网络环境,因此网络环境的隔离性功能被减弱,从 而造成宿主机和容器争用网络资源。容器本身也不再拥有所有的网络资源,而是与宿 主机共享网络资源。
- 宿主机和容器使用了相同的IP地址,这不利于网络的配置和管理。
3、container模式
在container模式下,容器之间会共享网络环境。即一个容器会使用另一个容器的网络 命名空间。因此,在这种模式下,容器之间可以通过 localhost 或者 127.0.0.1 进行相互间 的访问,从而提高了传输的效率。
container节约了网络资源,但是运行在这种模式下的容器不存在网络隔离,container网络的隔离性处于bridge网络与host网络之间。
container模式的工作机制如下图所示。
下面来演示如何使用container 模式。
(1)使用busybox的镜像创建一个容器box1,并查看容器的网络信息。
[root@centos7-7 ~]# docker run -it --name box1 busybox /bin/sh
/ # ifconfig
eth0 Link encap:Ethernet HWaddr 02:42:AC:11:00:02
inet addr:172.17.0.2 Bcast:0.0.0.0 Mask:255.255.0.0
inet6 addr: fe80::42:acff:fe11:2/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:8 errors:0 dropped:0 overruns:0 frame:0
TX packets:8 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:656 (656.0 B) TX bytes:656 (656.0 B)
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
inet6 addr: ::1/128 Scope:Host
UP LOOPBACK RUNNING MTU:65536 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)
(2)开启一个新的命令行终端查看容器 box1 的ID。从以下信息中可以看到容器 box1的ID是 2c59e8a84593。
[root@centos7-7 ~]# docker ps -a
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
2c59e8a84593 busybox "/bin/sh" About a minute ago Up About a minute box1
(3)再开启一个新的命令行终端,并使用container模式创建一个新的容器 box2。
[root@centos7-7 ~]# docker run -it --name box2 --network=container:2c59e8a84593 busybox /bin/sh
其中,参数--network用于指定新容器使用哪一个容器的网络信息,这里指定的是使用容器box1的网络信息。
(4)查看容器B的网络信息
[root@centos7-7 ~]# docker run -it --name box2 --network=container:2c59e8a84593 busybox /bin/sh
/ # ifconfig
eth0 Link encap:Ethernet HWaddr 02:42:AC:11:00:02
inet addr:172.17.0.2 Bcast:0.0.0.0 Mask:255.255.0.0
inet6 addr: fe80::42:acff:fe11:2/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:8 errors:0 dropped:0 overruns:0 frame:0
TX packets:8 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:656 (656.0 B) TX bytes:656 (656.0 B)
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
inet6 addr: ::1/128 Scope:Host
UP LOOPBACK RUNNING MTU:65536 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)
(5)对比容器box1和容器box2的网络信息,会发现容器box1和box2使用了相同的网络命名空间这是因为在创建容器box2时使用了container模式,使得容器box2不再创建自己的网络命名空间,而直接使用容器box1的网络命名空间。
4、none模式
none模式下的容器具有独立的网络命名空间,但不包含任何网络配置,只能通过 Local Loopback 网卡与容器进行通信,即只能使用localhost或者127.0.0.1访问容器。
在none模式下需要手动进行网络配置,例如使用pipwork工具指定容器的IP地址等。
下面使用none模式来创建一个容器。
[root@centos7-7 ~]# docker run -it --network=none busybox /bin/sh
/ #
/ # ifconfig
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
inet6 addr: ::1/128 Scope:Host
UP LOOPBACK RUNNING MTU:65536 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)
由于none模式不包含任何网络配置,所以在其网络配置信息中就只包含一个127.0.0.1 的IP地址