Docker网络知识

最新推荐文章于 2022-10-25 18:34:16 发布

夜舞精狼

最新推荐文章于 2022-10-25 18:34:16 发布

阅读量580

点赞数

分类专栏： docker

本文链接：https://blog.csdn.net/a913909626/article/details/119234530

版权

docker 专栏收录该内容

7 篇文章 0 订阅

订阅专栏

1. 虚拟化网络

Network Namespace 是 Linux 内核提供的功能，是实现网络虚拟化的重要功能，它能创建多个隔离的网络空间，它们有独自网络栈信息。不管是虚拟机还是容器，运行的时候仿佛自己都在独立的网络中。而且不同Network Namespace的资源相互不可见，彼此之间无法通信。

假如我们的物理机有4块物理网卡，我们要创建4个名称空间，而这些设备是可以单独关联至某个单独的名称空间使用的

在这里插入图片描述
如上图所示，把第一块网卡分配给第一个名称空间，第二块分给第二个名称空间，第三块分给第三个名称空间，第四块分给第四个名称空间。此时其它名称空间都是看不见当前所在名称空间的，因为一个设备只能属于一个名称空间。

这种方式使得每一个名称空间都能配置IP地址，并且与外部网络直接通信，因为它们使用的是物理网卡。

但如果我们所拥有的名称空间数量超过物理网卡数量呢？这个时候我们可以使用虚拟网卡设备，用纯软件的方式来模拟一组设备来使用。Linux内核级支持2种级别设备的模拟，一种是二层设备（交换机），一种是三层设备（路由器）。

Linux内核模拟的二层设备，每个网络接口设备是成对出现的，可以模拟为一根网线的两端，其中一端模拟主机的虚拟网卡，另一端模拟虚拟交换机，就相当于让一个主机连到一个交换机上去。Linux内核原生支持二层虚拟网桥设备，即用软件虚拟交换机的功能。如下图所示：
在这里插入图片描述
此时如果再有一个名称空间，它也创建了一对虚拟网卡，一端连接名称空间，一端连接虚拟交换机，就相当于两个名称空间连接到了同一个交换机网络中，如果两个名称空间的网卡地址配置在同一网段内，他们之间是可以互相通信的。如下图所示：
在这里插入图片描述
从网络通信的物理设备到网卡都是用纯软件的方式来实现，这种实现方式就叫做虚拟化网络。

2. 单节点容器间通信

在同一个物理机上的两个容器想通信，就可以在在这台主机上建立一个虚拟交换机，让两个容器各自用纯软件的方式创建一对虚拟网卡，一半在容器上，一半在虚拟交换机上，从而实现通信。如下图所示：
在这里插入图片描述
因为两个命名空间的网卡地址在同一个网段，这是单节点容器间最简单的通信方式，其中当然还有复杂情况，比如我们期望构建的容器要跨交换机通信？不在同一个网段需要通信？该怎么办呢？如下图所示：
在这里插入图片描述
做两个虚拟交换机，两个交换机上各自连接不同的容器，如上图所示，此时如果要C1和C3通信又该如何实现呢？其实我们可以通过名称空间创建一对网卡，一端连SW1，另一端连SW2，这样一来两个交换机就连起来了，照理说这样一来C1和C3这两个处于不同交换机的容器就可以实现通信了。

但是还存在一个问题，那就是如果C1和C3在不同网络呢？这个时候我们就需要用到路由转发功能，也就是我们得在两台交换机之间加一个路由器，其实Linux内核本身就是支持路由转发的，只需要我们将路由转发功能打开即可。此时我们可以再启动一个容器，这个容器里面就跑一个内核，并将其路由转发功能打开，这样一来就模拟了一台路由器，通过这台路由器来实现路由转发。如下图所示：
在这里插入图片描述

3. 不通节点容器间通信

在这里插入图片描述
如上图所示，此时如果C1要与C5要进行通信该如何实现？如果我们采用桥接的方式，很容易产生广播风暴，因此，在大规模的虚拟机或容器的场景中，使用桥接的方式无疑是自取灭亡，所以我们不应该使用桥接的方式来实现通信。

我们既不能桥接，又需要与外部来实现通信，那就只能使用NAT技术了。通过DNAT将容器的端口暴露到宿主机上，通过访问宿主机的端口来实现访问容器内部的目的，而在请求端我们需要做SNAT将数据包通过宿主机的真实网卡转发出去。但这样做的话，因为要进行两次NAT转换，所以效率会比较低。

此时可以采用一种叫做Overlay Network（叠加网络）的技术来实现不同节点间容器的相互通信功能。
在这里插入图片描述
Overlay Network会将报文进行隧道转发，也就是在报文发出去之前要为其添加一个IP首部，也就是上图的1.1和1.2这部分，这里的1.1是源，1.2是目标，当宿主机2收到报文后解封装发现要找的目标容器是C2，于是把包转发给C2。

4. docker容器网络

docker在安装后自动提供3种网络，可以使用docker network ls命令查看

[root@localhost ~]# docker network ls
NETWORK ID     NAME      DRIVER    SCOPE
71a98d5ed9c5   bridge    bridge    local
6a17fc5f7b75   host      host      local
a7ef3b7be0e1   none      null      local

docker使用Linux桥接，在宿主机虚拟一个docker容器网桥(docker0)，docker启动一个容器时会根据docker网桥的网段分配给容器一个IP地址，称为Container-IP，同时docker网桥是每个容器的默认网关。因为在同一宿主机内的容器都接入同一个网桥，这样容器之间就能够通过容器的Container-IP直接通信。

5. docker的4种网络模式

网络模式	配置	说明
host	–network host	容器和宿主机共享Network namespace
container	–network container:NAME_OR_ID	容器和另外一个容器共享Network namespace
none	–network none	容器有独立的Network namespace，但并没有对其进行任何网络设置，如分配veth pair 和网桥连接，配置IP等
bridge	–network bridge	默认模式

在这里插入图片描述

5.1 bridge模式

当docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。

从 docker0子网中分配一个IP给容器使用，并设置 docker0 的IP地址为容器的默认网关。在主机上创建一对虚拟网卡 veth pair 设备，docker 将 veth pair 设备的一端放在新创建的容器中，并命名为 eth0（容器的网卡），另一端放在主机中，以 vethxxx 这样类似的名字命名，并将这个网络设备加入到 docker0 网桥中。可以通过 brctl show 命令查看。

bridge 模式是 docker 的默认网络模式，不写 --network 参数，就是 bridge 模式。使用 docker run -p 时，docker 实际是在 iptables 做了 DNAT 规则，实现端口转发功能。可以使用 iptables -t nat -vnL 查看。

bridge模式如下图所示：
在这里插入图片描述
假设上图的docker2中运行了一个nginx：

同主机间两个容器间是否可以直接通信？比如在 docker1上能不能直接访问到 docker2 的 nginx 站点？
在宿主机上能否直接访问到 docker2 的 nginx 站点？
在另一台主机上如何访问这个 nginx 站点呢？DNAT发布？

docker网桥是宿主机虚拟出来的，并不是真实存在的网络设备，外部网络是无法寻址到的，这也意味着外部网络无法通过直接Container-IP访问到容器。如果容器希望外部访问能够访问到，可以通过映射容器端口到宿主主机（端口映射），即docker run创建容器时候通过 -p 或 -P 参数来启用，访问容器的时候就通过[宿主机IP]:[容器端口]访问容器。

5.2 container模式

这个模式指定新创建的容器和已经存在的一个容器共享一个 Network Namespace，而不是和宿主机共享。新创建的容器不会创建自己的网卡，配置自己的 IP，而是和一个指定的容器共享 IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过 lo 网卡设备通信。

如下图所示：
在这里插入图片描述

5.3 host模式

如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Namespace，而是和宿主机共用一个 Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。

使用host模式的容器可以直接使用宿主机的IP地址与外界通信，容器内部的服务端口也可以使用宿主机的端口，不需要进行NAT，host最大的优势就是网络性能比较好，但是docker host上已经使用的端口就不能再用了，网络的隔离性不好。

如图所示：
在这里插入图片描述

5.4 none模式

使用none模式，docker容器拥有自己的Network Namespace，但是，并不为docker容器进行任何网络配置。也就是说，这个docker容器没有网卡、IP、路由等信息。需要我们自己为docker容器添加网卡、配置IP等。

这种网络模式下容器只有lo回环网络，没有其他网卡。none模式可以在容器创建时通过–network none来指定。这种类型的网络没有办法联网，封闭的网络能很好的保证容器的安全性。

应用场景：

启动一个容器处理数据，比如转换数据格式
一些后台的计算和处理任务

如图所示：
在这里插入图片描述

6. docker容器网络配置

6.1 Linux内核实现名称空间的创建

ip netns命令

可以借助ip netns命令来完成对 Network Namespace 的各种操作。ip netns命令来自于iproute安装包，一般系统会默认安装，如果没有，需要自行安装。ip netns命令修改网络配置时需要 sudo 权限。

//ip netns help查看命令帮助信息
[root@localhost ~]# ip netns help
Usage:	ip netns list
	ip netns add NAME
	ip netns attach NAME PID
	ip netns set NAME NETNSID
	ip [-all] netns delete [NAME]
	ip netns identify [PID]
	ip netns pids NAME
	ip [-all] netns exec [NAME] cmd ...
	ip netns monitor
	ip netns list-id [target-nsid POSITIVE-INT] [nsid POSITIVE-INT]
NETNSID := auto | POSITIVE-INT

默认情况下，Linux系统中是没有任何 Network Namespace的。

[root@localhost ~]# ip netns list

6.2 Network Namespace

ip netns add

[root@localhost ~]# ip netns add ns0
[root@localhost ~]# ip netns list
ns0

新创建的 Network Namespace 会出现在/var/run/netns/目录下。如果相同名字的 namespace 已经存在，会报错。

[root@localhost ~]# ls /var/run/netns/
ns0
[root@localhost ~]# ip netns add ns0
Cannot create namespace file "/var/run/netns/ns0": File exists

每个 Network Namespace 来说，它会有自己独立的网卡、路由表、ARP 表、iptables 等和网络相关的资源。

查看新创建 Network Namespace 的网卡信息

[root@localhost ~]# ip netns exec ns0 ip addr
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00

通过以上命令可以看出新创建的Network Namespace中会默认创建一个lo回环网卡，此时网卡处于关闭状态。尝试去 ping 该lo回环网卡，会提示Network is unreachable，是ping不通的。

[root@localhost ~]# ip netns exec ns0 ping 127.0.0.1
connect: Network is unreachable

通过以下命令启用网卡

//启用网卡
[root@localhost ~]# ip netns exec ns0 ip link set lo up
//查看网卡是否启用
[root@localhost ~]# ip netns exec ns0 ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever

//ping通本机网络
[root@localhost ~]# ip netns exec ns0 ping 127.0.0.1
PING 127.0.0.1 (127.0.0.1) 56(84) bytes of data.
64 bytes from 127.0.0.1: icmp_seq=1 ttl=64 time=0.027 ms
64 bytes from 127.0.0.1: icmp_seq=2 ttl=64 time=0.030 ms
64 bytes from 127.0.0.1: icmp_seq=3 ttl=64 time=0.045 ms

6.3 转移设备

可以在不同的 Network Namespace 之间转移设备（如veth）。由于一个设备只能属于一个 Network Namespace ，所以转移后在这个 Network Namespace 内就看不到这个设备了。

其中，veth设备属于可转移设备，而很多其它设备（如lo、vxlan、ppp、bridge等）是不可以转移的。

6.3.1 veth pair

veth pair （Virtual Ethernet Pair），是一个成对的端口，所有从这对端口一端进入的数据包都将从另一端出来，反之也是一样。

引入veth pair是为了在不同的 Network Namespace 直接进行通信，利用它可以直接将两个 Network Namespace 连接起来。
在这里插入图片描述
创建veth pair网卡

[root@localhost ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 00:0c:29:0e:e4:3d brd ff:ff:ff:ff:ff:ff
    inet 192.168.249.147/24 brd 192.168.249.255 scope global dynamic noprefixroute ens33
       valid_lft 170411sec preferred_lft 170411sec
    inet6 fe80::321c:a7b5:e68b:cc72/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default 
    link/ether 02:42:e6:ae:8e:3d brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
       valid_lft forever preferred_lft forever

//创建veth
[root@localhost ~]# ip link add type veth
[root@localhost ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 00:0c:29:0e:e4:3d brd ff:ff:ff:ff:ff:ff
    inet 192.168.249.147/24 brd 192.168.249.255 scope global dynamic noprefixroute ens33
       valid_lft 170367sec preferred_lft 170367sec
    inet6 fe80::321c:a7b5:e68b:cc72/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default 
    link/ether 02:42:e6:ae:8e:3d brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
       valid_lft forever preferred_lft forever
4: veth0@veth1: <BROADCAST,MULTICAST,M-DOWN> mtu 1500 qdisc noop state DOWN group default qlen 1000
    link/ether ca:59:cb:a4:70:63 brd ff:ff:ff:ff:ff:ff
5: veth1@veth0: <BROADCAST,MULTICAST,M-DOWN> mtu 1500 qdisc noop state DOWN group default qlen 1000
    link/ether 46:ed:64:62:ec:b4 brd ff:ff:ff:ff:ff:ff

此时系统中新增了一对 veth pair，将 veth0 和 veth1 两个虚拟网卡连接了起来，此时这对 veth pair 也是处于”未启用“状态。

6.4 Network Namespace间通信

利用veth pair实现两个不同的 Network Namespace 之间的通信。

//再创建一个Namespace
[root@localhost ~]# ip netns add ns1
[root@localhost ~]# ip netns lis
ns1
ns0

将veth0加入到ns0，将veth1加入到ns1

[root@localhost ~]# ip link set veth0 netns ns0
[root@localhost ~]# ip link set veth1 netns ns1

为这对veth pair配置上ip地址，并启用它们

//启用veth0
[root@localhost ~]# ip netns exec ns0 ip link set veth0 up
//配置ip
[root@localhost ~]# ip netns exec ns0 ip addr add 192.168.249.88/24 dev veth0

//启用ns1的lo网卡和veth1
[root@localhost ~]# ip netns exec ns1 ip link set lo up
[root@localhost ~]# ip netns exec ns1 ip link set veth1 up
//也配置ip
[root@localhost ~]# ip netns exec ns1 ip addr add 192.168.249.89/24 dev veth1

查看这对veth pair的状态

[root@localhost ~]# ip netns exec ns1 ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
5: veth1@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether 46:ed:64:62:ec:b4 brd ff:ff:ff:ff:ff:ff link-netns ns0
    inet 192.168.249.89/24 scope global veth1
       valid_lft forever preferred_lft forever
    inet6 fe80::44ed:64ff:fe62:ecb4/64 scope link 
       valid_lft forever preferred_lft forever

已经成功启用veth pair，并为每个veth设备分配了对应的ip地址。
在ns1中去通信ns0。

[root@localhost ~]# ip netns exec ns1 ping 192.168.249.88
PING 192.168.249.88 (192.168.249.88) 56(84) bytes of data.
64 bytes from 192.168.249.88: icmp_seq=1 ttl=64 time=0.069 ms
64 bytes from 192.168.249.88: icmp_seq=2 ttl=64 time=0.099 ms
64 bytes from 192.168.249.88: icmp_seq=3 ttl=64 time=0.045 ms

6.5 veth设备重命名

//先关闭网卡，再改名
[root@localhost ~]# ip netns exec ns0 ip link set veth0 down
[root@localhost ~]# ip netns exec ns0 ip link set dev veth0 name eth0
[root@localhost ~]# ip netns exec ns0 ifconfig -a
eth0: flags=4098<BROADCAST,MULTICAST>  mtu 1500
        inet 192.168.249.88  netmask 255.255.255.0  broadcast 0.0.0.0
        ether ca:59:cb:a4:70:63  txqueuelen 1000  (Ethernet)
        RX packets 19  bytes 1454 (1.4 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 19  bytes 1454 (1.4 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        inet6 ::1  prefixlen 128  scopeid 0x10<host>
        loop  txqueuelen 1000  (Local Loopback)
        RX packets 6  bytes 504 (504.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 6  bytes 504 (504.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

7. 四种网络模式配置

7.1 bridge模式

//创建容器时添加--network bridge与不加--network选项效果是一致的
[root@localhost ~]# docker run -it --name centos --network bridge --rm centos /bin/bash
[root@f6a781e8413f /]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
6: eth0@if7: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
    link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0
       valid_lft forever preferred_lft forever
--rm代表当你容器退出的时候容器会自动删除

7.2 none模式

//none模式是没有网卡的
[root@localhost ~]# docker run -it --name centos --network none --rm centos
[root@cd3c1711fa0e /]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever

7.3 container模式

//启动第一个容器
[root@localhost ~]# docker run -it --name centos1 --rm centos /bin/bash
[root@f132364628a9 /]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
8: eth0@if9: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
    link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0
       valid_lft forever preferred_lft forever

//启动第二个容器的时候就可以使名为centos2的容器IP与centos1容器IP一致，也即共享IP，但不共享文件系统。
[root@localhost ~]# docker run -it --name centos2 --rm --network container:centos1 centos /bin/bash
[root@f132364628a9 /]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
8: eth0@if9: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
    link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0
       valid_lft forever preferred_lft forever
//可以看到两个容器的ip是一样的

两个容器文件系统是处于隔离状态，仅仅是共享了网络而已。container模式下的容器间关系就相当于一台主机上的两个不同进程。

7.4 host模式

//启动容器时直接指定host模式
[root@localhost ~]# docker run -it --name a1 --network host --rm busybox /bin/sh
Unable to find image 'busybox:latest' locally
latest: Pulling from library/busybox
b71f96345d44: Pull complete 
Digest: sha256:0f354ec1728d9ff32edcd7d1b8bbdfc798277ad36120dc3dc683be44524c8b60
Status: Downloaded newer image for busybox:latest
/ # ifconfig 
docker0   Link encap:Ethernet  HWaddr 02:42:E6:AE:8E:3D  
          inet addr:172.17.0.1  Bcast:172.17.255.255  Mask:255.255.0.0
          inet6 addr: fe80::42:e6ff:feae:8e3d/64 Scope:Link
          UP BROADCAST MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:7 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:0 (0.0 B)  TX bytes:626 (626.0 B)

ens33     Link encap:Ethernet  HWaddr 00:0C:29:0E:E4:3D  
          inet addr:192.168.249.147  Bcast:192.168.249.255  Mask:255.255.255.0
          inet6 addr: fe80::321c:a7b5:e68b:cc72/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:16599 errors:0 dropped:0 overruns:0 frame:0
          TX packets:32158 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:2405322 (2.2 MiB)  TX bytes:2129006 (2.0 MiB)

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:13892 errors:0 dropped:0 overruns:0 frame:0
          TX packets:13892 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:1222496 (1.1 MiB)  TX bytes:1222496 (1.1 MiB)

//启动一个httpd
/ # httpd -h /data/
/ # netstat -anlt
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      
tcp        0      1 192.168.249.147:55146   192.168.249.141:4506    SYN_SENT    
tcp        0      0 192.168.249.147:22      192.168.249.1:58046     ESTABLISHED 
tcp        0      0 192.168.249.147:22      192.168.249.1:58047     ESTABLISHED 
tcp        0      0 192.168.249.147:22      192.168.249.1:64766     ESTABLISHED 
tcp        0     36 192.168.249.147:22      192.168.249.1:64764     ESTABLISHED 
tcp        0      0 :::80                   :::*                    LISTEN      
tcp        0      0 :::22                   :::*                    LISTEN      
/ # 

//查看甄姬是否有80端口号
[root@localhost ~]# ss -antl
State       Recv-Q      Send-Q           Local Address:Port           Peer Address:Port     Process      
LISTEN      0           128                    0.0.0.0:22                  0.0.0.0:*                     
LISTEN      0           128                       [::]:22                     [::]:*                     
[root@localhost ~]# ss -antl
State       Recv-Q      Send-Q           Local Address:Port           Peer Address:Port     Process      
LISTEN      0           128                    0.0.0.0:22                  0.0.0.0:*                     
LISTEN      0           9                            *:80                        *:*                     
LISTEN      0           128                       [::]:22                     [::]:*

用真机ip访问浏览器看能否访问到
在这里插入图片描述

8. 容器的常用操作

8.1 查看容器的主机名

[root@localhost ~]# docker run -it --name a1 --rm busybox /bin/sh
/ # hostname 
203be6865808
/ # 

[root@localhost ~]# docker ps
CONTAINER ID   IMAGE     COMMAND     CREATED          STATUS          PORTS     NAMES
203be6865808   busybox   "/bin/sh"   20 seconds ago   Up 18 seconds             a1

//可以看出在没有指定容器名情况下容器的主机名就是容器的ip

8.2 在容器启动时指定主机名

[root@localhost ~]# docker run -it --name a1 --hostname master --rm busybox /bin/sh
/ # hostname 
master
/ #  cat /etc/hosts
127.0.0.1	localhost
::1	localhost ip6-localhost ip6-loopback
fe00::0	ip6-localnet
ff00::0	ip6-mcastprefix
ff02::1	ip6-allnodes
ff02::2	ip6-allrouters
172.17.0.2	master     #创建主机名时会自动创建主机名到IP的映射关系

/ # cat /etc/resolv.conf 
# Generated by NetworkManager
search localdomain
nameserver 192.168.249.2    #DNS也会自动配置为宿主机的DNS
/ # ping www.baidu.com     #是可以ping通外网的
PING www.baidu.com (14.215.177.38): 56 data bytes
64 bytes from 14.215.177.38: seq=0 ttl=127 time=32.399 ms
64 bytes from 14.215.177.38: seq=1 ttl=127 time=23.097 ms
64 bytes from 14.215.177.38: seq=2 ttl=127 time=23.588 ms

8.3 启动时指定dns

[root@localhost ~]# docker run -it --name a1 --hostname master --dns 114.114.114.114 --rm busybox /bin/sh 
/ # cat /etc/resolv.conf 
search localdomain
nameserver 114.114.114.114

//同样可以访问外网
/ # ping www.baidu.com
PING www.baidu.com (14.215.177.39): 56 data bytes
64 bytes from 14.215.177.39: seq=0 ttl=127 time=26.898 ms
64 bytes from 14.215.177.39: seq=1 ttl=127 time=39.970 ms
64 bytes from 14.215.177.39: seq=2 ttl=127 time=35.236 ms

8.4 启动容器时手动往/etc/hosts文件中注入主机名到IP的映射

[root@localhost ~]# docker run -it --name a1 --hostname master --add-host www.lxr.com:10.0.0.1 --add-host www.hehe.com:10.0.0.2 --rm busybox /bin/sh
/ # cat /etc/hosts
127.0.0.1	localhost
::1	localhost ip6-localhost ip6-loopback
fe00::0	ip6-localnet
ff00::0	ip6-mcastprefix
ff02::1	ip6-allnodes
ff02::2	ip6-allrouters
10.0.0.1	www.lxr.com
10.0.0.2	www.hehe.com
172.17.0.2	master

9. 开放容器端口

执行 docker run 的时候可以添加-p选项，可以将容器中的应用端口映射到真机中，从而实现让外部主机可以通过访问真机的某端口来访问容器内应用的端口

-p选项能够使用多次，其所能够暴露的端口必须是容器确实在监听的端口。

-p选项的使用格式：
-p <containerPort>
将指定的容器端口映射至主机所有地址的一个动态端口

-p <hostPort>:<containerPort>
将容器端口<containerPort>映射至指定的主机端口<hostPort>

-p <ip>::<containerPort>
将指定的容器端口<containerPort>映射至主机指定<ip>的动态端口

-p <ip>:<hostPort>:<containerPort>
将指定的容器端口<containerPort>映射至主机指定<ip>的端口<hostPort>

不指定映射到真机的端口，端口是随机的，具体的映射结果可使用docker port命令查看。

[root@localhost ~]# docker run --name httpd -p 80 httpd
Unable to find image 'httpd:latest' locally
latest: Pulling from library/httpd
33847f680f63: Pull complete 
d74938eee980: Pull complete 
963cfdce5a0c: Pull complete 
8d5a3cca778c: Pull complete 
e06a573b193b: Pull complete 
Digest: sha256:61e49dd08a51d6fc421ed257bd8eb461cf2d48269d9ab2b4ff5d4c69826c3c9c
Status: Downloaded newer image for httpd:latest
AH00558: httpd: Could not reliably determine the server's fully qualified domain name, using 172.17.0.2. Set the 'ServerName' directive globally to suppress this message
AH00558: httpd: Could not reliably determine the server's fully qualified domain name, using 172.17.0.2. Set the 'ServerName' directive globally to suppress this message
[Tue Aug 03 13:08:38.500295 2021] [mpm_event:notice] [pid 1:tid 139783954883712] AH00489: Apache/2.4.48 (Unix) configured -- resuming normal operations
[Tue Aug 03 13:08:38.500916 2021] [core:notice] [pid 1:tid 139783954883712] AH00094: Command line: 'httpd -D FOREGROUND'

以上命令执行后会一直占用着前端，可以新开一个终端连接来看一下容器的80端口被映射到了宿主机的什么端口上。

[root@localhost ~]# docker port httpd
80/tcp -> 0.0.0.0:49153
80/tcp -> :::49153

从上可以看出，容器的80端口被暴露到了真机的49153端口上，此时我们在真机上访问一下这个端口看是否能访问到容器内的站点。

[root@localhost ~]# curl http://127.0.0.1:49153
<html><body><h1>It works!</h1></body></html>

去浏览器访问
在这里插入图片描述
iptables防火墙规则将随容器的创建自动生成，随容器的删除自动删除规则。

[root@localhost ~]# iptables -t nat -nvL
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
  127  6880 DOCKER     all  --  *      *       0.0.0.0/0            0.0.0.0/0            ADDRTYPE match dst-type LOCAL

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    6   404 MASQUERADE  all  --  *      !docker0  172.17.0.0/16        0.0.0.0/0           
    0     0 MASQUERADE  tcp  --  *      *       172.17.0.2           172.17.0.2           tcp dpt:80

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DOCKER     all  --  *      *       0.0.0.0/0           !127.0.0.0/8          ADDRTYPE match dst-type LOCAL

Chain DOCKER (2 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 RETURN     all  --  docker0 *       0.0.0.0/0            0.0.0.0/0           
    2   104 DNAT       tcp  --  !docker0 *       0.0.0.0/0            192.168.249.88       tcp dpt:80 to:172.17.0.2:80

将容器端口映射到宿主机的指定端口

[root@localhost ~]# docker run --name httpd -p 80:80 httpd
AH00558: httpd: Could not reliably determine the server's fully qualified domain name, using 172.17.0.2. Set the 'ServerName' directive globally to suppress this message
AH00558: httpd: Could not reliably determine the server's fully qualified domain name, using 172.17.0.2. Set the 'ServerName' directive globally to suppress this message
[Tue Aug 03 13:20:00.087667 2021] [mpm_event:notice] [pid 1:tid 139749710685312] AH00489: Apache/2.4.48 (Unix) configured -- resuming normal operations
[Tue Aug 03 13:20:00.088015 2021] [core:notice] [pid 1:tid 139749710685312] AH00094: Command line: 'httpd -D FOREGROUND'

[root@localhost ~]# ss -antl
State       Recv-Q      Send-Q           Local Address:Port           Peer Address:Port     Process      
LISTEN      0           128                    0.0.0.0:80                  0.0.0.0:*                     
LISTEN      0           128                    0.0.0.0:22                  0.0.0.0:*                     
LISTEN      0           128                       [::]:80                     [::]:*                     
LISTEN      0           128                       [::]:22                     [::]:*       

//查看端口映射情况
[root@localhost ~]# docker port httpd
80/tcp -> 0.0.0.0:80
80/tcp -> :::80

去浏览器用80端口访问
在这里插入图片描述
将容器端口映射到指定IP的随机端口

//先添加一个ip
[root@localhost ~]# ip addr add 192.168.249.88/24 dev ens33
[root@localhost ~]# ip a|grep 192.168.249.88/24
    inet 192.168.249.88/24 scope global secondary ens33

//启动是将容器端口映射到指定的ip
[root@localhost ~]# docker run -d --name httpd --rm -p 192.168.249.88::80 httpd
d37faf80967759c8295ac243bce13ed6c84fba48ac858335b7b9ab21f39e7aac
[root@localhost ~]# ss -antl
State      Recv-Q      Send-Q            Local Address:Port            Peer Address:Port     Process     
LISTEN     0           128              192.168.249.88:49153                0.0.0.0:*                    
LISTEN     0           128                     0.0.0.0:22                   0.0.0.0:*                    
LISTEN     0           128                        [::]:22                      [::]:*   

//查看端口映射情况
[root@localhost ~]# docker port httpd
80/tcp -> 192.168.249.88:49153

浏览器访问
在这里插入图片描述
将容器端口映射到指定IP的指定端口

[root@localhost ~]# docker run -d --name httpd --rm -p 192.168.249.88:80:80 httpd
843a63b628d719cd7ec3b1bf91dd8a5895c6f645bed438808c4b793058d84b60

//查看端口映射情况
[root@localhost ~]# docker port httpd
80/tcp -> 192.168.249.88:80

去浏览器访问
在这里插入图片描述

10. 自定义docker0桥的网络属性

官方地址
https://docs.docker.com/network/bridge/

自定义docker0桥的网络属性信息需要修改/etc/docker/daemon.json配置文件

[root@localhost ~]# vim /etc/docker/daemon.json 

{
  "bip": "10.0.0.1/24",
  "registry-mirrors": ["https://1gnt5vnf.mirror.aliyuncs.com"]
}

//重新启动之后，查看ip
[root@localhost ~]# systemctl daemon-reload
[root@localhost ~]# systemctl restart docker
[root@localhost ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 00:0c:29:0e:e4:3d brd ff:ff:ff:ff:ff:ff
    inet 192.168.249.147/24 brd 192.168.249.255 scope global dynamic noprefixroute ens33
       valid_lft 171616sec preferred_lft 171616sec
    inet 192.168.249.88/24 scope global secondary ens33
       valid_lft forever preferred_lft forever
    inet6 fe80::321c:a7b5:e68b:cc72/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default 
    link/ether 02:42:e6:ae:8e:3d brd ff:ff:ff:ff:ff:ff
    inet 10.0.0.1/24 brd 10.0.0.255 scope global docker0   #变成了我们自定义的ip
       valid_lft forever preferred_lft forever
    inet6 fe80::42:e6ff:feae:8e3d/64 scope link 
       valid_lft forever preferred_lft forever

启动一个容器，并查看ip地址

[root@acff15036dbd /]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
28: eth0@if29: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
    link/ether 02:42:0a:00:00:02 brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 10.0.0.2/24 brd 10.0.0.255 scope global eth0
       valid_lft forever preferred_lft forever

核心选项为bip，即bridge ip之意，用于指定docker0桥自身的IP地址；其它选项可通过此地址计算得出。

11. docker创建自定义桥

创建一个额外的自定义桥，区别于docker0

[root@localhost ~]# docker network ls
NETWORK ID     NAME      DRIVER    SCOPE
9b84908d9e32   bridge    bridge    local
6a17fc5f7b75   host      host      local
a7ef3b7be0e1   none      null      local

[root@localhost ~]# docker network create -d bridge --subnet "172.17.0.0/24" --gateway "172.17.0.1" br0
0ba3d3dc50eddd16b5c404199a3cae69032c4cc7cebbfb03de4116a08d8f7abd
[root@localhost ~]# docker network ls
NETWORK ID     NAME      DRIVER    SCOPE
0ba3d3dc50ed   br0       bridge    local
9b84908d9e32   bridge    bridge    local
6a17fc5f7b75   host      host      local
a7ef3b7be0e1   none      null      local
[root@localhost ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 00:0c:29:0e:e4:3d brd ff:ff:ff:ff:ff:ff
    inet 192.168.249.147/24 brd 192.168.249.255 scope global dynamic noprefixroute ens33
       valid_lft 170328sec preferred_lft 170328sec
    inet 192.168.249.88/24 scope global secondary ens33
       valid_lft forever preferred_lft forever
    inet6 fe80::321c:a7b5:e68b:cc72/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default 
    link/ether 02:42:e6:ae:8e:3d brd ff:ff:ff:ff:ff:ff
    inet 10.0.0.1/24 brd 10.0.0.255 scope global docker0
       valid_lft forever preferred_lft forever
    inet6 fe80::42:e6ff:feae:8e3d/64 scope link 
       valid_lft forever preferred_lft forever
30: br-0ba3d3dc50ed: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default 
    link/ether 02:42:40:ec:89:c8 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/24 brd 172.17.0.255 scope global br-0ba3d3dc50ed
       valid_lft forever preferred_lft forever

使用新创建的桥来创建容器：

[root@localhost ~]# docker run -it --name centos --rm --network br0 centos  /bin/bash
[root@e6a7da0b436a /]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
37: eth0@if38: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
    link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 172.17.0.2/24 brd 172.17.0.255 scope global eth0
       valid_lft forever preferred_lft forever

再创建一个容器，使用默认的bridge桥：

[root@localhost ~]# docker run -it --name b1 --rm centos /bin/bash
[root@fec957dca5e3 /]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
39: eth0@if40: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
    link/ether 02:42:0a:00:00:02 brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 10.0.0.2/24 brd 10.0.0.255 scope global eth0
       valid_lft forever preferred_lft foreve

实现这两个容器间的通信：
在这里插入图片描述

[root@localhost ~]# docker ps
CONTAINER ID   IMAGE     COMMAND       CREATED         STATUS         PORTS     NAMES
fec957dca5e3   centos    "/bin/bash"   3 minutes ago   Up 3 minutes             b1
e6a7da0b436a   centos    "/bin/bash"   4 minutes ago   Up 4 minutes             centos

//创建一个网卡给b1
[root@localhost ~]# docker network connect br0 fec957dca5e3
[root@fec957dca5e3 /]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
39: eth0@if40: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
    link/ether 02:42:0a:00:00:02 brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 10.0.0.2/24 brd 10.0.0.255 scope global eth0
       valid_lft forever preferred_lft forever
[root@fec957dca5e3 /]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
39: eth0@if40: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
    link/ether 02:42:0a:00:00:02 brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 10.0.0.2/24 brd 10.0.0.255 scope global eth0
       valid_lft forever preferred_lft forever
41: eth1@if42: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
    link/ether 02:42:ac:11:00:03 brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 172.17.0.3/24 brd 172.17.0.255 scope global eth1
       valid_lft forever preferred_lft forever

这样两个容器在同一个网段，此时可以通信。

夜舞精狼

关注

0
点赞
踩
1

收藏

觉得还不错? 一键收藏
0
评论
Docker网络知识

文章目录1. 虚拟化网络2. 单节点容器间通信3. 不通节点容器间通信4. docker容器网络5. docker的4种网络模式5.1 bridge模式5.2 container模式5.3 host模式5.4 none模式1. 虚拟化网络Network Namespace 是 Linux 内核提供的功能，是实现网络虚拟化的重要功能，它能创建多个隔离的网络空间，它们有独自网络栈信息。不管是虚拟机还是容器，运行的时候仿佛自己都在独立的网络中。而且不同Network Namespace的资源相互不可见，彼此之
复制链接

扫一扫