Docker网络详解

最新推荐文章于 2024-10-14 16:35:27 发布
最新推荐文章于 2024-10-14 16:35:27 发布
阅读量453 收藏
点赞数
分类专栏： docker 文章标签： docker网络详解
 当 Docker 启动时，会自动在主机上创建一个 docker0 虚拟网桥，实际上是 Linux 的一个 bridge，可以理解为一个软件交换机。它会在挂载到它的网口之间进行转发。
     同时，Docker 随机分配一个本地未占用的私有网段（在 RFC1918 中定义）中的一个地址给 docker0 接口。比如典型的 172.17.42.1 ，掩码为 255.255.0.0 。此后启动的容器内的网口也会自动分配一个同一网段（ 172.17.0.0/16 ）的地址。
     当创建一个 Docker 容器的时候，同时会创建了一对 veth pair 接口（当数据包发送到一个接口时，另外一个接口也可以收到相同的数据包）。这对接口一端在容器内，即 eth0 ；另一端在本地并被挂载到docker0 网桥，名称以 veth 开头（例如 vethAQI2QT ）。通过这种方式，主机可以跟容器通信，容器之间也可以相互通信。Docker 就创建了在主机和所有容器之间一个虚拟共享网络。

 

 
 
配置  DNS
     Docker 没有为每个容器专门定制镜像，那么怎么自定义配置容器的主机名和 DNS 配置呢？ 秘诀就是它利用虚拟文件来挂载到来容器的 3 个相关配置文件。
在容器中使用 mount 命令可以看到挂载信息：
 
复制代码 
$ mount
...
/dev/disk/by-uuid/1fec...ebdf on /etc/hostname type ext4 ...
/dev/disk/by-uuid/1fec...ebdf on /etc/hosts type ext4 ...
tmpfs on /etc/resolv.conf type tmpfs ...
...
复制代码
     这种机制可以让宿主主机 DNS 信息发生更新后，所有 Docker 容器的 dns 配置通过 /etc/resolv.conf 文件立刻得到更新。
 
如果用户想要手动指定容器的配置，可以利用下面的选项。
      -h HOSTNAME or --hostname=HOSTNAME 设定容器的主机名，它会被写到容器内的 /etc/hostname 和 /etc/hosts 。但它在容器外部看不到，既不会在 docker ps 中显示，也不会在其他的容器的 /etc/hosts 看到。
     --link=CONTAINER_NAME:ALIAS 选项会在创建容器的时候，添加一个其他容器的主机名到 /etc/hosts 文件中，让新容器的进程可以使用主机名 ALIAS 就可以连接它。
     --dns=IP_ADDRESS 添加 DNS 服务器到容器的 /etc/resolv.conf 中，让容器用这个服务器来解析所有不在 /etc/hosts 中的主机名。
     --dns-search=DOMAIN 设定容器的搜索域，当设定搜索域为 .example.com 时，在搜索一个名为 host 的 主机时，DNS 不仅搜索host，还会搜索 host.example.com 。 注意：如果没有上述最后 2 个选项， Docker 会默认用主机上的 /etc/resolv.conf 来配置容器。
 
 
容器访问控制
     容器的访问控制，主要通过 Linux 上的 iptables 防火墙来进行管理和实现。 iptables 是 Linux 上默认的防火墙软件，在大部分发行版中都自带。
 
容器访问外部网络
     容器要想 访问 外部网 络 ，需要本地系 统 的 转发 支持。在 Linux  系 统 中， 检查转发 是否打开。
  
[root@master ~]# sysctl net.ipv4.ip_forward
net.ipv4.ip_forward = 1
  如果为 0，说明没有开启转发，则需要手动打开。
   
  $sysctl -w net.ipv4.ip_forward=1
 
 
容器之间访问
容器之间相互访问，需要两方面的支持。
  • 容器的网络拓扑是否已经互联。默认情况下，所有容器都会被连接到 docker0 网桥上。
  • 本地系统的防火墙软件 -- iptables 是否允许通过。
 
访问所有端口
     当启动 Docker 服务时候，默认会添加一条转发策略到 iptables 的 FORWARD 链上。策略为通过（ ACCEPT ）还是禁止（ DROP ）取决于配置 --icc=true （缺省值）还是 --icc=false 。当然，如果手 动指定 --iptables=false 则不会添加 iptables 规则。
     可见，默认情况下，不同容器之间是允许网络互通的。如果为了安全考虑，可以在 /etc/default/docker文件中配置 DOCKER_OPTS=--icc=false 来禁止它
访问指定端口
     在通过 -icc=false 关闭网络访问后，还可以通过 --link=CONTAINER_NAME:ALIAS 选项来访问容器的开 放端口。
例如，在启动 Docker 服务时，可以同时使用 icc=false --iptables=true 参数来关闭允许相互的网络 访问，并让 Docker 可以修改系统中的 iptables 规则。
此时，系统中的 iptables 规则可能是类似
 
复制代码 
$ sudo iptables -nL
...
Chain FORWARD (policy ACCEPT)
target prot opt source destination
DROP all -- 0.0.0.0/0 0.0.0.0/0
...
复制代码

    之后，启动容器（ docker run ）时使用 --link=CONTAINER_NAME:ALIAS 选项。Docker 会在 iptable 中为 两个容器分别添加一条 ACCEPT 规则，允许相互访问开放的端口（取决于 Dockerfile 中的 EXPOSE 行）。

     当添加了 --link=CONTAINER_NAME:ALIAS 选项后，添加了 iptables 规则
 
复制代码 
$ sudo iptables -nL
...
Chain FORWARD (policy ACCEPT)
target prot opt source destination
ACCEPT tcp -- 172.17.0.2 172.17.0.3 tcp spt:80
ACCEPT tcp -- 172.17.0.3 172.17.0.2 tcp dpt:80
DROP all -- 0.0.0.0/0 0.0.0.0/0
复制代码

 

     注意： --link=CONTAINER_NAME:ALIAS 中的 CONTAINER_NAME 目前必须是 Docker 分配的名字，或使用 --name 参数指定的名字。主机名则不会被识别
 
 
映射容器端口到宿主主机的实现
 
容器访问外部实现
 
     容器所有到外部网络的连接，源地址都会被NAT成本地系统的IP地址。这是使用 iptables 的源地址伪装 操作实现的。
查看主机的 NAT 规则。
  
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
MASQUERADE  all  --  172.17.0.0/16        0.0.0.0/0
......

 

其中，上述规则将所有源地址在 172.17.0.0/16 网段，目标地址为其他网段（外部网络）的流量动态伪 装为从系统网卡发出。MASQUERADE 跟传统 SNAT 的好处是它能动态从网卡获取地址.
 
外部访问容器实现
 
     容器允许外部访问，可以在 docker run 时候通过 -p 或 -P 参数来启用。 不管用那种办法，其实也是在本地的 iptable 的 nat 表中添加相应的规则。
使用 -p80:80 时：
 
复制代码 
Chain DOCKER (2 references)
target     prot opt source               destination
DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:80 to:172.17.0.15:80
使用 -P 时：
 
$ iptables -t nat -nL
Chain DOCKER (2 references)
target prot opt source destination
DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:49153 to:172.17.0.2
复制代码

 

 
端口映射实现
     IP:host_port:container_port 或 -p IP::port 来指定允许访问容器的主机上的 IP、接口等，以制 定更严格的规则。
     如果希望永久绑定到某个固定的 IP 地址，可以在 Docker 配置文件 /etc/default/docker 中指定 DOCKER_OPTS="--ip=IP_ADDRESS" ，之后重启 Docker 服务即可生效。
 
 
配置 docker0 网桥
     Docker 服务默认会创建一个 docker0 网桥（其上有一个 docker0 内部接口），它在内核层连通了其他 的物理或虚拟网卡，这就将所有容器和本地主机都放到同一个物理网络。
     Docker 默认指定了 docker0 接口 的 IP 地址和子网掩码，让主机和容器之间可以通过网桥相互通信，它还给出了 MTU（接口允许接收的最大传输单元），通常是 1500 Bytes，或宿主主机网络路由上支持的默认值。这些值都可以在服务启动的时候进行配置。
  • --bip=CIDR -- IP 地址加掩码格式，例如 192.168.1.5/24
  • --mtu=BYTES -- 覆盖默认的 Docker mtu 配置
也可以在配置文件中配置 DOCKER_OPTS，然后重启服务。 由于目前 Docker 网桥是 Linux 网桥，用户可 以使用 brctl show 来查看网桥和端口连接信息。
 
复制代码 
[root@master ~]# brctl show
bridge name    bridge id        STP enabled    interfaces
docker0        8000.56847afe9799    no        veth6278b4d
                            veth9321eba
                            vethc12c3b4
                            vethe54ad11
复制代码

     每次创建一个新容器的时候，Docker 从可用的地址段中选择一个空闲的 IP 地址分配给容器的 eth0 端口。 使用本地主机上 docker0 接口的 IP 作为所有容器的默认网关.

 
自定义网桥
     除了默认的 docker0 网桥，用户也可以指定网桥来连接各个容器。 在启动 Docker 服务的时候，使用 -b BRIDGE 或 --bridge=BRIDGE 来指定使用的网桥。
如果服务已经运行，那需要先停止服务，并删除旧的网桥。
复制代码 
$ sudo service docker stop
$ sudo ip link set dev docker0 down
$ sudo brctl delbr docker0
然后创建一个网桥 bridge0
 
$ sudo brctl addbr bridge0
$ sudo ip addr add 192.168.5.1/24 dev bridge0
$ sudo ip link set dev bridge0 up
查看确认网桥创建并启动
 
ip addr show bridge0
4: bridge0: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state UP group default
link/ether 66:38:d0:0d:76:18 brd ff:ff:ff:ff:ff:ff
inet 192.168.5.1/24 scope global bridge0
valid_lft forever preferred_lft forever
复制代码

 

  配置 Docker 服 务 ，默 认桥 接到 创 建的网 桥 上
  
$ echo 'DOCKER_OPTS="-b=bridge0"' >> /etc/default/docker
$ sudo service docker start

     启动 Docker 服务。 新建一个容器，可以看到它已经桥接到了 bridge0 上。 可以继续用 brctl show 命令查看桥接的信息。另外，在容器中可以使用 ip addr 和 ip route 命令来 查看 IP 地址配置和路由信息。

f8152
关注
专栏目录
docker-dns:docker容器的DNS服务器。 允许您使用域名访问它们，而无需暴露任何端口。 允许您通过Linux，Mac或Windows浏览器进行访问！
05-05
用于容器和主机的Docker DNS Docker DNS创建一个容器，该容器充当计算机中Docker容器的DNS。 例如，每个正在运行的容器都可以通过$container_name.docker访问。 如果愿意，您可以通知自己的域名。 您的域可在docker内部和外部使用，但仅适用于您的机器。 例如，您可以从浏览器窗口或从容器内部访问 。 创建它是为了让您可以在容器中工作，就像是“真实的”服务器设置一样。 您将可以访问容器内的所有端口/服务，而无需暴露所有端口。 您也可以像以前一样发布端口来访问它。 例如：127.0.0.1:8080-> container_ip：80 它已经在linux和macOS Catalina上进行了测试。 macOS环境有一个缺点，那就是每次引导主机时始终会运行./bin/docker-dns tunnel 。 将在每次引导时安装并加载服务以处理这种必要
使用 Docker部署 DNS 服务 docker-bind 的经验分享
redmond88的博客
05-24 1624
volume /data/docker/dns-server:/data 挂载本地目录作为dns配置存储;-p 53:53/udp 绑定容器53端口到宿主机的153端口，DNS默认端口;如果被占用参考https://www.otakusay.com/866.html。访问地址https://localhost:10000。-p 10000:10000 图形化界面管理器端口;二、创建容器运行dns服务器。添加配置后记得应用配置。四、 查看端口占用情况。一、创建文件存储文件。五、访问DNS服务器。
网站流量统计工具：使用Docker快速搭建umami网站流量统计工具
老杨博客
08-16 451
是一款轻量级、开源的网页流量分析工具，注重隐私保护，支持无cookies跟踪，数据完全掌控在用户手中。它提供实时流量统计、简洁的用户界面和详细的流量来源分析。Umami 支持多网站管理和自托管部署，特别适合需要基础流量分析且重视用户隐私的网站管理员。相比于来说部署要简单的多，但是国内的机器拉取速度极慢，功能没有多，好就好在部署简单。
docker--DNS服务器
tzk
02-12 597
1、创建最简单的DNS服务器场景图 2、拉取镜像 sudo docker pull jpillora/dnsmasq 3、按照如下命令生成topo结构 sudo ovs-vsctl add-br s1 sudo docker run -itd --network=none -v /home/light-travelling/resolv.conf:/etc/resolv.conf ...
Docker设置DNS
IMJCW的博客
01-30 4743
前言 之前将 Docker 中的路由转发到了宿主机，相当于每个容器都变成了一个小型服务器。 然而各个服务之间都会可能会通过自定义域名进行交互，这个时候，我们需要在容器中的 etc/hosts 中写入所依赖的服务IP及其域名。 为了能够更好的解决这个问题，再次之前自建了 DNS 服务，这个时候，只需要指定一下 Docker 的 DNS 配置即可。 配置 Linux 这里以 Ubuntu20.04 为例 编辑 Docker 的 daemon.json sudo vim /etc/docker/daemon.
Docker 容器的DNS
风水道人
08-29 1447
Docker 容器的DNS
Docker 网络详解
06-19
Docker?是 PaaS 供应商 DotCloud 开源的一个基于 LXC 的高级容器引擎，基于 Go 语言开发并遵从Apache 2.0?... Docker网络的基础知识。 ? 3.? 用户自定义的网络 ? 4.? Docker和openvswitch虚拟交换机的集成。 ? 5.?
Docker网络详解及pipework源码解读与实践1
08-03
【Docker网络详解】 Docker网络是Docker容器通信的核心机制，它允许容器在不同的网络环境中互相连接并访问外部服务。Docker提供了多种网络模式，以满足不同场景下的需求： 1. **桥接网络（Bridge Network）**：这...
Docker搭建DNS server
qq_41122834的博客
02-26 395
下载镜像 docker pull jpillora/dnsmasq 创建/opt/dnsmasq.conf vim /opt/dnsmasq.conf #dnsmasq config, for a complete example, see: # http://oss.segetech.com/intra/srv/dnsmasq.conf #log all dns queries log-q...
docker内网搭建dns使用域名访问替代ip:port的操作
01-08
比如我内网有个jenkins，我如果要访问它我得牢牢记住它的ip和端口，一个服务我还能记住，多个的话我可能需要一个方便记忆的域名记录一些内网服务 第1步： 准备好docker环境 第2步：下载好镜像 docker pull andyshinn/dnsmasq:2.75 第3步：运行dnsmasq #后台启动 docker run -d -p 53:53/tcp -p 53:53/udp --cap-add=NET_ADMIN --name dns-server andyshinn/dnsmasq:2.75 #进入容器 docker exec -it dns-server /bin/sh
Docker搭建DNS服务器
小张的Code笔记
06-23 3920
Docker搭建DNS服务器。
Docker 设置 DNS
小单的博客专栏
12-16 6372
DNS 解析和默认网关不同，用比喻来说网关属于套娃模式，当容器对外访问网络时，会经过宿主机。但是 DNS 可以理解为客户端端点模式，你宿主机配置了 DNS 并不能使你 Docker 容器就默认可以解析了。所以要想 Docker 容器可以正常的通过域名访问，需要为容器也设置具体的 DNS 地址。文件内容或者通过 ping 等方法验证结果。最后使用命令进入启动的容器内部，查看。
使用docker搭建DNS服务器
qq_42413011的博客
07-09 5165
这里我使用docker一个小巧轻量的dns服务器,它的大小仅仅6M左右，镜像为lhstack/small-dns，它的功能比较单一，目前仅支持Ptr和Ipv4的域名映射和解析转发，不过也能满足我们内网的大部分需求，同时2.0.0版本支持正则域名解析，以及修改配置自动加载最新配置等功能，使它变得更加灵活......
使用Docker搭建轻量级内网DNS服务器
最新发布
AsterCass的博客
10-14 895
在进行域名的解析的时候，如果我们希望指定映射关系，一般可以在设备中直接调整hosts文件处理。比如在Linux中我们可以访问修改/etc/hosts，在Windows下我们可以访问修改但是如果设备不方便直接修改hosts，或者内网有许多设备的情况，指定一个本地的DNS服务器就是一个比较好的方法了。指定映射关系，除了可以加快解析过程，自定义映射关系，还经常用于解决NAT回流问题，这里我们利用Docker以及dnsmasq完成DNS服务的快速搭建。
docker方式搭建DNS服务器
搬山境KL攻城狮的修炼手册
08-24 3225
docker方式搭建DNS服务器 1.拉取镜像 # docker pull sameersbn/bind 2.启动bind 服务 # docker run --name bind -d --restart=always --publish 53:53/tcp --publish 53:53/udp --publish 10000:10000/tcp --volume /srv/docker/bind:/data sameersbn/bind:latest 3.开启防火墙 # firewall-cmd -
探索Docker-DNS：为Docker容器提供自动DNS解析
gitblog_00410的博客
09-03 471
探索Docker-DNS：为Docker容器提供自动DNS解析 docker-dnsSimple, self-contained, automatic Docker DNS项目地址:https://gitcode.com/gh_mirrors/do/docker-dns 项目介绍 docker-dns 是一个为 Docker 容器提供自动DNS解析的开源项目。它以一个简单的Python文件实现，...
Docker部署DNS服务
爱折腾的技术人
11-29 284
dns
Docker网络详解：构建与配置
Docker 网络.pptx 文件深入介绍了 Docker 的网络技术，包括 Docker 的基本网络概念和常用的网络模式。Docker 作为一个开源项目，其核心在于提供轻量级的虚拟化容器，而其中的关键组成部分就是网络隔离和通信能力。 ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值