Docker的网络通信

Docker的网络通信

Docker的容器运行在宿主机的虚拟机上。这些虚拟机彼此独立，彼此之间没有任何接口,即容器彼此之间是逻辑隔离的。

1. Docker 容器网络通信的基本原理

Docker容器中的网络接口默认都是虚拟接口。虚拟接口的最大优势是转发效率极高。这是因为Linux 通过在内核中进行数据复制来实现虚拟接口之间的数据转发，即发送接口缓存中的数据包会被直接复制到接收接口的缓存中，而无须通过外部的物理网络设备进行交换。

2.使用命令查看Docker的网络配置信息

docker network”命令用于查看Docker的网络配置信息。下面展示了该命令的帮助信息

利用以下命令查看Docker的网络通信模式

[root@localhost ~]# docker network ls

查看bridg模式的详细信息

[root@localhost ~]# docker network inspect ccea98ffdf6b

从上图可以看出bridge模式默认的子网地址是172.17.0.0/16。默认网关是172.17.0.1

3. Docker的4种网络通信模式

由于Docker 容器彼此之间是逻辑隔离的，所以，在安装 Docker 时会在容器中创建隔离的网络环境。在该隔离的网络模式环境中，运行在宿主机上的各个容器具有完全独立的网络栈，并自Docker 容器的网络环境与宿主机相互隔离。通过使用 Docker 的不同网络模式，可以使 Docke容器共享宿主机的网络命名空间，也可以实现Docker容器间的相互访问。

​ Docker一共提供了4种网络通信模式:bridge、container、host和none。

网络通信模式	是否支持多主机	纵向通信机制	横向通信机制
bridge	否	绑定宿主机端口	通过Linux桥接进行通信
container	否	绑定宿主机端口	通过Linux连接进行通信
host	是	通过宿主机网络进行通信	通过宿主机网络进行通信
none	否	无法通信	只能通过Linux连接进行通信

3.1 bridge模式

bridge模式是Docker默认的网络通信模式，是开发者最常用的模式。

在bridge模式下，Docker引擎会创建独立的网络命名空间。这样就可以保证运行在每一个命名空间中的容器具有独立的网卡等网络资源。
利用bridge 模式，可以非常方便地实现容器与容器之间、容器与宿主机之间的网络隔离。通过使用宿主机上的 docker0 网桥，可以实现 Docker 容器与宿主机(乃至外部网络)的网络通信。

使用brideg模式创建容器

[root@localhost ~]# docker run -it --network=bridge busybox /bin/sh

在容器内执行"ifconfig"命令查看容器的网络信息

在默认情况下，Docker 引擎会自动创建一个bridge 网络。Docker 引擎也为用户提供了自定义bridge网络的方式。利用该方式，用户可以自定义 bridge 网络的子网地址和网关等参数

执行以下命令自定义bridge网络

[root@localhost ~]# docker network create -d bridge --ip-range=192.168.1.0/24 \
> --gateway=192.168.1.1 --subnet=192.168.1.0/24 bridge2

其中参数说明如下

-d：指定网络通信模式，默认是bridge

-ip-range：指定子网IP地址的范围

-gateway：指定网关的IP地址。

-subnet：指定子网的IP地址。

bridge2：指定bridge网络的名称。

查看Docker的网络，可以看见新建的bridge2

[root@localhost ~]# docker network ls

使用bridge2创建一个容器

[root@localhost ~]# docker run -it --network=bridge2 --ip=192.168.1.3 busybox

在容器内执行"ifconfig"命令查看网络信息

3.2 host模式

在使用host模式时，容器与宿主机共享同一个网络命名空间，容器的IP地址与宿主机的IP地址相同。如果宿主机具有公网的IP 地址，则容器也拥有这个公网的IP 地址。即这时容器可以直接使用宿主机的IP 地址与外界进行通信，且容器内服务的端口也可以直接使用宿主机的端口，无须进行任何的转换。
由于在host模式下不再需要宿主机的转发，因此其性能得到了极大的提高。

使用host模式来创建容器

[root@localhost ~]# docker run -it --network=host busybox /bin/sh

这是容器内部网络配置

这是宿主机的网络配置

对比一下容器内的网络信息和宿主机的网络信息，可以发现，容器与宿主机共享了同一个网络命名空间，即容器使用了宿主机的网络配置信息。

尽管使用host模式可以很方便地通过localhost或者127.0.0.1实现容器与宿主机的相互访问并且性能也比较好。但是这种模式也存在以下两个问题。
由于容器使用了宿主机的网络环境，因此网络环境的隔离性功能被减弱，从而造成宿主机和容器争用网络资源。容器本身也不再拥有所有的网络资源，而是与宿主机共享网络资源。
宿主机和容器使用了相同的IP地址，这不利于网络的配置和管理。

3.3 container模式

在container模式下，容器之间会共享网络环境。即一个容器会使用另一个容器的网络命名空间。因此，在这种模式下，容器之间可以通过 localhost 或者 127.0.0.1 进行相互间的访问，从而提高了传输的效率。

container模式节约了网络资源，但是运行在这种模式下的容器不存在网络隔离container网络的隔离性处于bridge网络与host网络之间。

container模式在一些特殊场景中非常有用。例如在 Kubernetes 中创建Pod时，会首先创建Pod的基础容器;而Pod 中的其他容器则采用 container 模式与基础容器进行通信。Pod中的各个容器采用localhost或者127.0.0.1进行通信，从而将 Pod中的所有容器形成一个逻辑整体。

使用busybox的镜像创建一个容器A，并查看容器的网络信息

开启一个新的命令行仓库查看容器 A 的ID。

可以看出容器A的ID是 c98fabc89073。

开启一个新的命令行窗口，并使用container模式创建一个新的容器B。

[root@localhost ~]# docker run -it --network=container:c98fabc89073 busybox /bin/sh

其中参数 --network 用于指定新的容器使用哪一个容易的网络信息，这里指定的是容器A。

查看容器B的网络信息

对比会发现容器A和容器B使用了相同的网络命名空间，这是因为在创建容器B时使用了container模式，使得容器B不再创建自己的网络命名空间，而直接使用容器A的网络命名空间。

3.4 none模式

none模式下的容器具有独立的网络命名空间，但不包含任何网络配置，只能通过 LocalLoopback 网卡与容器进行通信，即只能使用localhost或者127.0.0.1访问容器。

在none模式下需要手动进行网络配置，例如使用pipwork工具指定容器的IP地址等

[root@localhost ~]# docker run -it --network=none busybox /bin/sh

由于none模式不包含任何网络配置，所以在其网络配置信息中就只包含一个127.0.0.1的IP地址。