Docker 网络配置完全指南：从基础到高级实践-CSDN博客

本文链接：https://blog.csdn.net/dnnyyq/article/details/147881409

Docker 网络配置完全指南：从基础到高级实践

1. Docker 网络概述与核心价值

Docker 网络系统允许容器之间、容器与主机以及外部网络进行安全可控的通信。理解 Docker 网络是构建可靠容器化应用的关键。

核心优势：

隔离性：不同网络间的容器默认隔离
可连通性：同一网络内的容器自动发现
灵活性：支持多种网络驱动适应不同场景
安全性：通过网络策略控制访问权限
可扩展性：支持跨主机容器通信

网络模型演进：

Docker 1.9 前：仅有简单的端口转发
Docker 1.12+：引入完整的网络子系统
当前版本：支持覆盖网络(Overlay)和插件体系

2. Docker 默认网络架构

2.1 预置网络类型

安装 Docker 后自动创建的三类网络：

$ docker network ls
NETWORK ID     NAME      DRIVER    SCOPE
a1b2c3d4e5f6   bridge    bridge    local
f6e5d4c3b2a1   host      host      local
123456789abc   none      null      local

三种默认网络对比：

网络类型	特点	适用场景
bridge	默认网络模式，通过NAT与外界通信	单主机容器通信
host	容器直接使用主机网络栈	高性能网络需求
none	完全无网络，只有loopback接口	特殊安全需求场景

2.2 查看网络详情

$ docker network inspect bridge
[
    {
        "Name": "bridge",
        "Id": "a1b2...",
        "Created": "2023-05-15T10:00:00Z",
        "Scope": "local",
        "Driver": "bridge",
        "IPAM": {
            "Driver": "default",
            "Config": [
                {
                    "Subnet": "172.17.0.0/16",
                    "Gateway": "172.17.0.1"
                }
            ]
        },
        "Containers": {
            "c1d2...": {
                "Name": "web",
                "IPv4Address": "172.17.0.2/16"
            }
        }
    }
]

关键信息：

子网和网关配置
已连接容器列表
网络驱动信息
DNS配置详情

3. 基础网络配置实战

3.1 容器端口映射

随机主机端口映射：

docker run -d -p 80 nginx
# 主机随机端口映射到容器80端口

指定主机端口映射：

docker run -d -p 8080:80 nginx
# 主机8080端口映射到容器80端口

多端口映射：

docker run -d -p 8080:80 -p 8443:443 nginx
# 同时映射HTTP和HTTPS端口

UDP端口映射：

docker run -d -p 53:53/udp dns-server

3.2 自定义桥接网络

创建自定义桥接网络：

docker network create --driver bridge \
  --subnet 192.168.100.0/24 \
  --gateway 192.168.100.1 \
  my-bridge

使用自定义网络运行容器：

docker run -d --network=my-bridge --name web1 nginx
docker run -d --network=my-bridge --name web2 nginx

验证容器连通性：

docker exec -it web1 ping web2
# 通过容器名直接通信

3.3 主机网络模式

docker run -d --network=host nginx
# 容器直接使用主机网络栈

特点：

容器网络性能最佳
端口无需额外映射
安全性较低（共享网络命名空间）

4. 高级网络配置

4.1 容器间专用网络

# 创建隔离网络
docker network create app-internal

# 运行数据库容器
docker run -d --network=app-internal --name db redis

# 运行应用容器
docker run -d --network=app-internal -e DB_HOST=db my-app

安全优势：

外部无法直接访问数据库
应用容器通过服务名访问数据库
可结合网络策略进一步增强安全

4.2 多网络连接

# 创建前端和后端网络
docker network create frontend
docker network create backend

# 运行Nginx容器连接两个网络
docker run -d --name proxy \
  --network=frontend \
  --network=backend \
  nginx

# 运行前端应用
docker run -d --name web --network=frontend my-web

# 运行后端服务
docker run -d --name api --network=backend my-api

网络拓扑：

[web] <-frontend-> [proxy] <-backend-> [api]

4.3 DNS 与服务发现

# 创建自定义网络
docker network create app-net

# 运行多个服务
docker run -d --network=app-net --name service1 my-service
docker run -d --network=app-net --name service2 my-service

# 测试DNS解析
docker run --rm --network=app-net busybox nslookup service1

内置DNS特性：

自动服务名解析
支持容器别名(alias)
轮询负载均衡
自定义DNS服务器配置

5. 生产环境网络实践

5.1 网络性能优化

使用host模式提升性能：

docker run -d --network=host --name high-perf my-network-app

调整MTU值：

docker network create --opt com.docker.network.driver.mtu=9000 my-net

选择合适驱动：

docker network create --driver macvlan \
  --subnet=192.168.1.0/24 \
  --gateway=192.168.1.1 \
  -o parent=eth0 \
  my-macvlan

5.2 网络安全配置

禁用容器间通信：

docker network create --opt com.docker.network.bridge.enable_icc=false secure-net

限制容器网络：

docker run -d --network=secure-net \
  --cap-drop=NET_RAW \
  --sysctl net.ipv6.conf.all.disable_ipv6=1 \
  secure-app

网络策略示例：

# 只允许特定容器访问
docker network connect --alias allowed-client secure-net web

5.3 跨主机网络方案

覆盖网络(Overlay)创建：

docker network create -d overlay \
  --subnet=10.10.0.0/16 \
  --attachable \
  my-overlay

Macvlan网络配置：

docker network create -d macvlan \
  --subnet=192.168.2.0/24 \
  --gateway=192.168.2.1 \
  --ip-range=192.168.2.32/28 \
  -o parent=eth0 \
  my-macvlan

6. 常见问题与排查

6.1 网络连通性测试

基础检查命令：

# 查看容器网络配置
docker exec -it web ip addr

# 测试端口连通性
docker exec -it web nc -zv db 3306

# 跟踪路由
docker exec -it web traceroute google.com

6.2 典型问题解决

端口冲突处理：

# 查找占用端口的进程
sudo netstat -tulnp | grep 8080

# 修改容器映射端口
docker run -d -p 8081:80 nginx

DNS解析问题：

# 自定义DNS服务器
docker run --dns 8.8.8.8 --dns 8.8.4.4 alpine

# 查看DNS配置
docker run --rm alpine cat /etc/resolv.conf

6.3 网络监控工具

实时流量监控：

# 安装工具
docker run -it --net=host nicolaka/netshoot

# 查看接口流量
iftop -i eth0

# 抓包分析
tcpdump -i any port 80 -w capture.pcap

7. 完整配置示例

7.1 微服务网络架构

# 创建网络基础设施
docker network create --driver bridge frontend
docker network create --driver bridge backend
docker network create --driver bridge database

# 部署数据库服务
docker run -d --name mysql \
  --network=database \
  -e MYSQL_ROOT_PASSWORD=secret \
  mysql:8.0

# 部署后端服务
docker run -d --name api \
  --network=backend \
  --network=database \
  -e DB_HOST=mysql \
  my-api:1.0

# 部署前端服务
docker run -d --name web \
  --network=frontend \
  --network=backend \
  -p 8080:80 \
  my-web:1.0

# 部署负载均衡器
docker run -d --name lb \
  --network=frontend \
  -p 80:80 \
  nginx