Docker的网络概念与网络模式

Docker的网络概念与网络模式

写在最前面，docker的网络隔离通过network namespace实现，不同的网络模式都与namespace紧密关联。docker的网络转发通过iptables实现。阅读本文请带着namespace的相关概念，特别是network namespace。

接着我们抛出3个问题：

docker有哪些网络概念？
docker有哪些网络模式？
docker网络对象和网络模式有怎样的联系？

一、docker的网络概念

docker受一个github上的issue启发，引入了容器网络模型（container network model，CNM）[1]，容器网络模型主要包含了3个概念

network：网络，可以理解为一个Driver，是一个第三方网络栈，包含多种网络模式，下文也会详细描述

单主机网络模式（none、host、bridge，joined container）
多主机网络模式（overlay、macvlan、flannel）
sandbox：沙盒，它定义了容器内的虚拟网卡、DNS和路由表，是network namespace的一种实现，是容器的内部网络栈

endpoint：端点，用于连接sandbox和network

container network model
我们可以类比传统网络模型，将network比作交换机，sandbox比作网卡，endpoint比作接口和网线

另外，docker在创建容器时，先调用控制器创建sandbox对象，再调用容器运行时为容器创建network namespace

二、docker的网络模式

这里我们先讨论docker的单主机网络模式，它包括以下4类：

host
bridge
none
joined-container

2.1 host

docker不会为容器创建独有的network namespace；

使用宿主机的默认网络命名空间，共享一个网络栈；

表现为容器内和宿主机的IP一致；

这种模式用于网络性能较高的场景，但安全隔离性相对差一些。

2.2 bridge

桥接模式，有点类型VM-NAT，dockerd进程启动时会创建一个docker0网桥，容器内的数据通过这个网卡设备与宿主机进行数据传输。

docker会为容器创建独有的network namespace，也会为这个命名空间配置好虚拟网卡，路由，DNS，IP地址与iptables规则（也就是sandbox的内容）。

2.3 none

none模式可以说是桥接模式的一种特例，docker会为容器创建独有的network namespace ，但不会为这个命名空间准备虚拟网卡，IP地址，路由等，需要用户自己配置。

2.4 joined-container

容器共享模式，这种模式是host模式的一种延伸，一组容器共享一个network namespace；

对外表现为他们有共同的IP地址，共享一个网络栈；

kubernetes的pod就是使用的这一模式。

关于跨主机的docker网络通信，包含overlay、macvaln，又包含calico、flannel、weave等方案，不过跨主机的docker网络管理更多的是交给kubernetes或swarm等编排工具去实现了。

三、docker网络对象和网络模式的关系

回顾docker网络对象和网络模式的关系其实就是下面这一张表格

每个容器在network namespace中的占比决定了采用哪种网络模式