Docker网络详解

最新推荐文章于 2023-02-10 08:39:01 发布
最新推荐文章于 2023-02-10 08:39:01 发布
阅读量390 收藏
点赞数
分类专栏： docker 文章标签： docker网络详解
 当 Docker 启动时，会自动在主机上创建一个 docker0 虚拟网桥，实际上是 Linux 的一个 bridge，可以理解为一个软件交换机。它会在挂载到它的网口之间进行转发。
     同时，Docker 随机分配一个本地未占用的私有网段（在 RFC1918 中定义）中的一个地址给 docker0 接口。比如典型的 172.17.42.1 ，掩码为 255.255.0.0 。此后启动的容器内的网口也会自动分配一个同一网段（ 172.17.0.0/16 ）的地址。
     当创建一个 Docker 容器的时候，同时会创建了一对 veth pair 接口（当数据包发送到一个接口时，另外一个接口也可以收到相同的数据包）。这对接口一端在容器内，即 eth0 ；另一端在本地并被挂载到docker0 网桥，名称以 veth 开头（例如 vethAQI2QT ）。通过这种方式，主机可以跟容器通信，容器之间也可以相互通信。Docker 就创建了在主机和所有容器之间一个虚拟共享网络。

 

 
 
配置  DNS
     Docker 没有为每个容器专门定制镜像，那么怎么自定义配置容器的主机名和 DNS 配置呢？ 秘诀就是它利用虚拟文件来挂载到来容器的 3 个相关配置文件。
在容器中使用 mount 命令可以看到挂载信息：
 
复制代码 
$ mount
...
/dev/disk/by-uuid/1fec...ebdf on /etc/hostname type ext4 ...
/dev/disk/by-uuid/1fec...ebdf on /etc/hosts type ext4 ...
tmpfs on /etc/resolv.conf type tmpfs ...
...
复制代码
     这种机制可以让宿主主机 DNS 信息发生更新后，所有 Docker 容器的 dns 配置通过 /etc/resolv.conf 文件立刻得到更新。
 
如果用户想要手动指定容器的配置，可以利用下面的选项。
      -h HOSTNAME or --hostname=HOSTNAME 设定容器的主机名，它会被写到容器内的 /etc/hostname 和 /etc/hosts 。但它在容器外部看不到，既不会在 docker ps 中显示，也不会在其他的容器的 /etc/hosts 看到。
     --link=CONTAINER_NAME:ALIAS 选项会在创建容器的时候，添加一个其他容器的主机名到 /etc/hosts 文件中，让新容器的进程可以使用主机名 ALIAS 就可以连接它。
     --dns=IP_ADDRESS 添加 DNS 服务器到容器的 /etc/resolv.conf 中，让容器用这个服务器来解析所有不在 /etc/hosts 中的主机名。
     --dns-search=DOMAIN 设定容器的搜索域，当设定搜索域为 .example.com 时，在搜索一个名为 host 的 主机时，DNS 不仅搜索host，还会搜索 host.example.com 。 注意：如果没有上述最后 2 个选项， Docker 会默认用主机上的 /etc/resolv.conf 来配置容器。
 
 
容器访问控制
     容器的访问控制，主要通过 Linux 上的 iptables 防火墙来进行管理和实现。 iptables 是 Linux 上默认的防火墙软件，在大部分发行版中都自带。
 
容器访问外部网络
     容器要想 访问 外部网 络 ，需要本地系 统 的 转发 支持。在 Linux  系 统 中， 检查转发 是否打开。
  
[root@master ~]# sysctl net.ipv4.ip_forward
net.ipv4.ip_forward = 1
  如果为 0，说明没有开启转发，则需要手动打开。
   
  $sysctl -w net.ipv4.ip_forward=1
 
 
容器之间访问
容器之间相互访问，需要两方面的支持。
  • 容器的网络拓扑是否已经互联。默认情况下，所有容器都会被连接到 docker0 网桥上。
  • 本地系统的防火墙软件 -- iptables 是否允许通过。
 
访问所有端口
     当启动 Docker 服务时候，默认会添加一条转发策略到 iptables 的 FORWARD 链上。策略为通过（ ACCEPT ）还是禁止（ DROP ）取决于配置 --icc=true （缺省值）还是 --icc=false 。当然，如果手 动指定 --iptables=false 则不会添加 iptables 规则。
     可见，默认情况下，不同容器之间是允许网络互通的。如果为了安全考虑，可以在 /etc/default/docker文件中配置 DOCKER_OPTS=--icc=false 来禁止它
访问指定端口
     在通过 -icc=false 关闭网络访问后，还可以通过 --link=CONTAINER_NAME:ALIAS 选项来访问容器的开 放端口。
例如，在启动 Docker 服务时，可以同时使用 icc=false --iptables=true 参数来关闭允许相互的网络 访问，并让 Docker 可以修改系统中的 iptables 规则。
此时，系统中的 iptables 规则可能是类似
 
复制代码 
$ sudo iptables -nL
...
Chain FORWARD (policy ACCEPT)
target prot opt source destination
DROP all -- 0.0.0.0/0 0.0.0.0/0
...
复制代码

    之后，启动容器（ docker run ）时使用 --link=CONTAINER_NAME:ALIAS 选项。Docker 会在 iptable 中为 两个容器分别添加一条 ACCEPT 规则，允许相互访问开放的端口（取决于 Dockerfile 中的 EXPOSE 行）。

     当添加了 --link=CONTAINER_NAME:ALIAS 选项后，添加了 iptables 规则
 
复制代码 
$ sudo iptables -nL
...
Chain FORWARD (policy ACCEPT)
target prot opt source destination
ACCEPT tcp -- 172.17.0.2 172.17.0.3 tcp spt:80
ACCEPT tcp -- 172.17.0.3 172.17.0.2 tcp dpt:80
DROP all -- 0.0.0.0/0 0.0.0.0/0
复制代码

 

     注意： --link=CONTAINER_NAME:ALIAS 中的 CONTAINER_NAME 目前必须是 Docker 分配的名字，或使用 --name 参数指定的名字。主机名则不会被识别
 
 
映射容器端口到宿主主机的实现
 
容器访问外部实现
 
     容器所有到外部网络的连接，源地址都会被NAT成本地系统的IP地址。这是使用 iptables 的源地址伪装 操作实现的。
查看主机的 NAT 规则。
  
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
MASQUERADE  all  --  172.17.0.0/16        0.0.0.0/0
......

 

其中，上述规则将所有源地址在 172.17.0.0/16 网段，目标地址为其他网段（外部网络）的流量动态伪 装为从系统网卡发出。MASQUERADE 跟传统 SNAT 的好处是它能动态从网卡获取地址.
 
外部访问容器实现
 
     容器允许外部访问，可以在 docker run 时候通过 -p 或 -P 参数来启用。 不管用那种办法，其实也是在本地的 iptable 的 nat 表中添加相应的规则。
使用 -p80:80 时：
 
复制代码 
Chain DOCKER (2 references)
target     prot opt source               destination
DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:80 to:172.17.0.15:80
使用 -P 时：
 
$ iptables -t nat -nL
Chain DOCKER (2 references)
target prot opt source destination
DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:49153 to:172.17.0.2
复制代码

 

 
端口映射实现
     IP:host_port:container_port 或 -p IP::port 来指定允许访问容器的主机上的 IP、接口等，以制 定更严格的规则。
     如果希望永久绑定到某个固定的 IP 地址，可以在 Docker 配置文件 /etc/default/docker 中指定 DOCKER_OPTS="--ip=IP_ADDRESS" ，之后重启 Docker 服务即可生效。
 
 
配置 docker0 网桥
     Docker 服务默认会创建一个 docker0 网桥（其上有一个 docker0 内部接口），它在内核层连通了其他 的物理或虚拟网卡，这就将所有容器和本地主机都放到同一个物理网络。
     Docker 默认指定了 docker0 接口 的 IP 地址和子网掩码，让主机和容器之间可以通过网桥相互通信，它还给出了 MTU（接口允许接收的最大传输单元），通常是 1500 Bytes，或宿主主机网络路由上支持的默认值。这些值都可以在服务启动的时候进行配置。
  • --bip=CIDR -- IP 地址加掩码格式，例如 192.168.1.5/24
  • --mtu=BYTES -- 覆盖默认的 Docker mtu 配置
也可以在配置文件中配置 DOCKER_OPTS，然后重启服务。 由于目前 Docker 网桥是 Linux 网桥，用户可 以使用 brctl show 来查看网桥和端口连接信息。
 
复制代码 
[root@master ~]# brctl show
bridge name    bridge id        STP enabled    interfaces
docker0        8000.56847afe9799    no        veth6278b4d
                            veth9321eba
                            vethc12c3b4
                            vethe54ad11
复制代码

     每次创建一个新容器的时候，Docker 从可用的地址段中选择一个空闲的 IP 地址分配给容器的 eth0 端口。 使用本地主机上 docker0 接口的 IP 作为所有容器的默认网关.

 
自定义网桥
     除了默认的 docker0 网桥，用户也可以指定网桥来连接各个容器。 在启动 Docker 服务的时候，使用 -b BRIDGE 或 --bridge=BRIDGE 来指定使用的网桥。
如果服务已经运行，那需要先停止服务，并删除旧的网桥。
复制代码 
$ sudo service docker stop
$ sudo ip link set dev docker0 down
$ sudo brctl delbr docker0
然后创建一个网桥 bridge0
 
$ sudo brctl addbr bridge0
$ sudo ip addr add 192.168.5.1/24 dev bridge0
$ sudo ip link set dev bridge0 up
查看确认网桥创建并启动
 
ip addr show bridge0
4: bridge0: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state UP group default
link/ether 66:38:d0:0d:76:18 brd ff:ff:ff:ff:ff:ff
inet 192.168.5.1/24 scope global bridge0
valid_lft forever preferred_lft forever
复制代码

 

  配置 Docker 服 务 ，默 认桥 接到 创 建的网 桥 上
  
$ echo 'DOCKER_OPTS="-b=bridge0"' >> /etc/default/docker
$ sudo service docker start

     启动 Docker 服务。 新建一个容器，可以看到它已经桥接到了 bridge0 上。 可以继续用 brctl show 命令查看桥接的信息。另外，在容器中可以使用 ip addr 和 ip route 命令来 查看 IP 地址配置和路由信息。

f8152
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
vnstat网络流量监控Docker容器安装
戬邪
07-14 945
vnstat 是一个命令行实用程序，可显示和记录系统上接口的网络流量。他利用内核提供的网络统计信息。因此，vnstat 不会为您的系统增加任何额外的负载来监控和记录网络流量。vnstat提供按月统计、按日统计、按5分钟统计、流量超标报警、流量使用预测等功能，可以通过安装好的提供图片输出。vnstat从2.8版本开始支持自动添加网络接口，因此使用有网络接口热插拔的朋友问有福了，插入新网口后无需命令行指令即可自动添加新网口流量监测。
Docker 网络模式、数据卷和数据卷容器
qq_35479765的博客
09-07 234
文章目录
Docker 网络详解
06-19
Docker?是 PaaS 供应商 DotCloud 开源的一个基于 LXC 的高级容器引擎，基于 Go 语言开发并遵从Apache 2.0? 协议，通过内核虚拟化技术（namespaces及cgroups等，这里的内核技术指的是Linux内核）来提供容器的资源隔离与安全保证等。由于docker通过操作系统层的虚拟化实现隔离，所以在运行时，不需要额外的虚拟化管理程序（VMM(Virtual Machine Monitor)，以及Hyperisor）支持，它属于内核级虚拟化，可以实现更高的性能，同时对资源的额需求更低。它和KVM 虚拟化的区别在于：docker是通过隔离来进行创建容器，而KVM虚拟化通过模拟方式创建虚拟机。而本套课程主要讲解docker容器网络的各种构建方式，比如单台主机内的容器通信，及多台主机间的容器通信的主流实现方式。 主要讲解Docker?网络以下几个方面： ? 1.? Linux的虚拟桥和虚拟网卡、网络名称空间等。 ? 2.? Docker网络的基础知识。 ? 3.? 用户自定义的网络 ? 4.? Docker和openvswitch虚拟交换机的集成。 ? 5.?
Docker网络详解及pipework源码解读与实践
03-01
Docker作为目前最火的轻量级容器技术，有很多令人称道的功能，如Docker的镜像管理。然而，Docker同样有着很多不完善的地方，网络方面就是Docker比较薄弱的部分。因此，我们有必要深入了解Docker的网络知识，以满足更高的网络需求。本文首先介绍了Docker自身的4种网络工作方式，然后通过3个样例——将Docker容器配置到本地网络环境中、单主机Docker容器的VLAN划分、多主机Docker容器的VLAN划分，演示了如何使用pipework帮助我们进行复杂的网络设置，以及pipework是如何工作的。我们在使用dockerrun创建Docker容器时，可以用--net选项指定容
Docker 网络命令详解
09-30
主要详细介绍了Docker 网络命令的相关资料,需要的朋友可以参考下
Docker网络
weixin_50191072的博客
03-15 1530
Docker网络 理解docker0 清空所有镜像和容器 ip addr 查看所有网卡 [root@Graht ~]# ip addr #本机回环地址 1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state U... #阿里云内网地址 2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc ... #docker0地址 3: docker0:
docker容器网络配置
m0_52091913的博客
08-10 434
docker容器网络配置 四种网络模式 容器的常用操作
查看docker所占空间大小
xx先森
01-05 1万+
查看docker所占空间大小
linux查看docker进程流量,linux中查看docker内存占用情况
weixin_36364707的博客
05-02 742
TOP该命令会查看系统的各项指标情况经常用来监控linux的系统状况，比如cpu、内存的使用，程序员基本都知道这个命令，但比较奇怪的是能用好它的人却很少，例如top监控视图中内存数值的含义就有不少的曲解。本文通过一个运行中的WEB服务器的top监控截图，讲述top视图中的各种数据的含义，还包括视图中各进程(任务)的字段的排序。第一行：10:08:45—当前系统时间10days,3:05—...
【Docker network 1】 docker 网络模式详解
sinat_33822516的博客
07-19 2152
Docker 网络模式 在刚安装docker后，docker默认是拥有三种docker网络模式 1. Bridge（在安装docker后，宿主机会多出一个网络设备docker0。默认情况下容器的网络模式为bridge，即所有的container都连接在docker0上，实现二层互通。当然取决enable-icc的值。docker0的enable-icc 为true） --net=bridge 2. none (创建container后，网络配置没有指定，需要手动配置，...
基于ebpf统计docker容器网络流量
xyin_kevin的博客
12-10 4437
Linux下统计网络带宽的工具很多，但大部分是按网卡、进程、IP维度进行统计。统计容器维度的网络流量，虽然可在容器的namespace查看，或者由cgroup提供的net_cls做标记再配合iptable统计，但使用起来并不方便，这里介绍一种基于ebpf来统计容器维度网络流量的办法，以及使用时遇到的坑。 原理与实现 ebpf的原理不再介绍了，用来做流量统计，最大的优势是十分灵活，能够根据需求对统计项目进行定制。基本原理就是记录内核中各网络相关函数的参数，再按不同维度，如 cgroupID， 进程，IP地
docker版openwrt
热门推荐
m0_66724697的博客
02-10 1万+
docker版openwrt极致详细版教程！！！！
docker容器配置网络流量测试
bc_aptx4869的博客
07-10 5827
第一步 运行一个镜像: docker run -itd [REPOSITORY]:[TAG] /bin/bash 第二步 进入此镜像的容器 docker exec -ti [NAMES] /bin/bash 第三步 设置docker容器的防火墙,参考 百度经验 http://jingyan.baidu.com/article/fcb5aff7b00826edaa4a7
强力的应用容器引擎——Docker网络部分详解
码海小虾米_的博客
07-27 447
Docker网络部分详解一、docker网络概述1.1 docker网络实现的原理1.2 docker的网络模式二、docker网络模式详解2.1 host模式2.2 container模式2.3 none模式2.4 bridge模式2.5 自定义网络模式自定义网络模式创建步骤 一、docker网络概述 1.1 docker网络实现的原理 ____Docker使用Linux桥接，在宿主机虚拟一个Docker容器网桥(docker0)，Docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地
【云原生】Docker高级篇之网络、compose、可视化、监控
zag666的博客
07-27 1629
默认使用的是桥接网络bridge。如果不自定义的话，两个之间按照IP地址ping是OK的，但是按照服务名ping结果会显示Nameorservicenotknown，要解决这个问题就可以采取自定义网络模式dockernetworkcreatezagiee新建容器加入上一步新建的自定义网络dockerrun-d-p80818080--networkzagiee--nametomcat81billygoo/tomcat8-jdk8dockerrun-d-p80828080--networkzag。...
七、Docker网络模式详解
q908544703的博客
08-08 6581
Docker网络模式详解
docker overlay网络详解
最新发布
03-16
Docker Overlay网络是一种基于软件定义网络（SDN）技术的网络模型，它可以在多个Docker主机之间创建一个虚拟网络，使得这些主机上的Docker容器可以互相通信。Overlay网络使用VXLAN协议来实现跨主机的通信，同时也支持多租户和安全隔离等功能。在使用Overlay网络时，需要先创建一个Overlay网络，然后将需要加入该网络的Docker容器加入到该网络中。在容器之间通信时，可以使用容器的名称或者IP地址进行通信。Overlay网络的优点是可以方便地扩展和管理，同时也可以提供高可用性和负载均衡等功能。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值