docker基础学习之六：容器网络

一、容器访问外部网络
容器是如何能访问外部网络，比如百度的呢？
1、虚机安装了docker且Docker 启动后，会自动在主机上创建一个 docker0 的虚拟网桥，并随机分配一个地址，一般是172.17.0.1/16。它会通过nat打通与虚机网卡的通信。
这个172.17.0.0/16的子网是专门给容器使用的。

2、本地默认路由指向了192.168.0.1，看到虚机有两个子网（172.17.0.0/16、192.168.0.0/24）
root@node01:~# route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 192.168.0.1 0.0.0.0 UG 100 0 0 eth0
169.254.169.254 192.168.0.1 255.255.255.255 UGH 100 0 0 eth0
172.17.0.0 0.0.0.0 255.255.0.0 U 0 0 0 docker0
192.168.0.0 0.0.0.0 255.255.255.0 U 100 0 0 eth0

3、创建一个http镜像的容器，容器名http1, -d后台运行，-p端口映射，将容器的80端口映射到本地虚机的8080端口。
root@node01:~# docker run --name http1 -d -p 8080:80 httpd
Unable to find image ‘httpd:latest’ locally
latest: Pulling from library/httpd

Digest: sha256:c9e4386ebcdf0583204e7a54d7a827577b5ff98b932c498e9ee603f7050db1c1
Status: Downloaded newer image for httpd:latest

4、本地虚机访问正常。
root@node01:~# curl 127.0.0.1:8080

It works!

5、查看一下 虚机 上的 iptables 规则
在 NAT 表中，有这么一条规则：
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
其含义是：如果网桥 docker0 收到来自 172.17.0.0/16 网段的外出包，把它交给 MASQUERADE 处理。
而 MASQUERADE 的处理方式是将包的源地址替换成 host 的地址发送出去，即做了一次网络地址转换（NAT）

6、下面是容器http1在本地虚机上创建的网络接口
veth2791f95: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet6 fe80::4b8:44ff:fe77:52bf prefixlen 64 scopeid 0x20
ether 06:b8:44:77:52:bf txqueuelen 0 (Ethernet)
RX packets 4577 bytes 331640 (331.6 KB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 4994 bytes 9113971 (9.1 MB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

6、进入http1的容器
root@node01:~# docker exec -it http1 bash
容器是精简版的操作系统，很多包没有装。
下面这些命令表示允许容器进行ping、ifconfig、traceroute等网络命令的操作
root@8dfb88cfbfe5:/usr/local/apache2# apt-get install net-tools
#apt-get update
#apt-get install -y traceroute
#apt-get install iputils-ping

7、看到容器的IP地址和docker0是一个网段的，并分配了172.17.0.2/16。

8、可以正常ping通和访问百度。
root@8dfb88cfbfe5:/usr/local/apache2# ping www.baidu.com
PING www.a.shifen.com (61.135.169.125) 56(84) bytes of data.
64 bytes from 61.135.169.125 (61.135.169.125): icmp_seq=1 ttl=47 time=4.36 ms
64 bytes from 61.135.169.125 (61.135.169.125): icmp_seq=2 ttl=47 time=4.25 ms
64 bytes from 61.135.169.125 (61.135.169.125): icmp_seq=3 ttl=47 time=4.30 ms
64 bytes from 61.135.169.125 (61.135.169.125): icmp_seq=4 ttl=47 time=4.22 ms
64 bytes from 61.135.169.125 (61.135.169.125): icmp_seq=5 ttl=47 time=4.33 ms
64 bytes from 61.135.169.125 (61.135.169.125): icmp_seq=6 ttl=47 time=4.23 ms

9、可以看到它的下一跳是docker0的接口地址172.17.0.1

10、再克隆一个会话，长PING百度，然后在虚机的docker0抓包。再在虚机的物理网卡eth0上抓包。
root@node01:~# tcpdump -i docker0 -n icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on docker0, link-type EN10MB (Ethernet), capture size 262144 bytes
22:40:56.498393 IP 172.17.0.2 > 61.135.169.125: ICMP echo request, id 711, seq 4, length 64
22:40:56.502720 IP 61.135.169.125 > 172.17.0.2: ICMP echo reply, id 711, seq 4, length 64
22:40:57.499806 IP 172.17.0.2 > 61.135.169.125: ICMP echo request, id 711, seq 5, length 64
22:40:57.504078 IP 61.135.169.125 > 172.17.0.2: ICMP echo reply, id 711, seq 5, length 64
22:40:58.501139 IP 172.17.0.2 > 61.135.169.125: ICMP echo request, id 711, seq 6, length 64
22:40:58.505480 IP 61.135.169.125 > 172.17.0.2: ICMP echo reply, id 711, seq 6, length 64
22:40:59.502546 IP 172.17.0.2 > 61.135.169.125: ICMP echo request, id 711, seq 7, length 64
22:40:59.507119 IP 61.135.169.125 > 172.17.0.2: ICMP echo reply, id 711, seq 7, length 64
22:41:00.504190 IP 172.17.0.2 > 61.135.169.125: ICMP echo request, id 711, seq 8, length 64

root@node01:~# tcpdump -i eth0 -n icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
22:41:20.530348 IP 192.168.0.51 > 61.135.169.125: ICMP echo request, id 711, seq 28, length 64
22:41:20.534801 IP 61.135.169.125 > 192.168.0.51: ICMP echo reply, id 711, seq 28, length 64
22:41:21.531911 IP 192.168.0.51 > 61.135.169.125: ICMP echo request, id 711, seq 29, length 64
22:41:21.536059 IP 61.135.169.125 > 192.168.0.51: ICMP echo reply, id 711, seq 29, length 64
22:41:22.533152 IP 192.168.0.51 > 61.135.169.125: ICMP echo request, id 711, seq 30, length 64
22:41:22.537321 IP 61.135.169.125 > 192.168.0.51: ICMP echo reply, id 711, seq 30, length 64
22:41:23.534424 IP 192.168.0.51 > 61.135.169.125: ICMP echo request, id 711, seq 31, length 64
22:41:23.538730 IP 61.135.169.125 > 192.168.0.51: ICMP echo reply, id 711, seq 31, length 64
22:41:24.535839 IP 192.168.0.51 > 61.135.169.125: ICMP echo request, id 711, seq 32, length 64
22:41:24.540031 IP 61.135.169.125 > 192.168.0.51: ICMP echo reply, id 711, seq 32, length 64
22:41:25.537127 IP 192.168.0.51 > 61.135.169.125: ICMP echo request, id 711, seq 33, length 64

11、看出什么变化了吗？源地址172.17.0.2变成了192.168.0.51，去访问百度的公网地址61.135.169.125。
这就印证了第五步的iptables 规则，出向访问会做SNAT。（源地址转换）
这就是 iptable NAT 规则处理的结果，从而保证数据包能够到达外网。下面用一张图来说明这个过程：

11.1、容器http1 发送 ping 包：172.17.0.2 > www.baidu.com。
11.2、docker0 收到包，发现是发送到外网的，交给 NAT 处理。
11.3、NAT 将源地址换成 enh0 的 IP：192.168.0.51 > www.baidu.com。
11.4、ping 包从 enh0 发送出去，到达 www.baidu.com。百度并回包给容器http1。
通过 NAT，docker 实现了容器对外网的访问。

二、外部网络访问容器
1、在上面的例子中，httpd 容器的 80 端口被映射到 host的 8080 上，这样就可以通过 :<8080> 访问容器的 web 服务了,很显然是做了pat端口映射。

root@node01:~# curl 192.168.0.51:8080

It works!

2、每一个映射的端口，host 都会启动一个 docker-proxy 进程来处理访问容器的流量

3、以 外部访问192.168.0.51:8080 为例分析整个过程

3.1、docker-proxy 监听 host 的 8080 端口。
3.2、当 外部访问 192.168.0.51:8080 时，docker-proxy 转发给容器 172.17.0.2:80。
3.3、httpd 容器响应请求并返回结果。

三、容器之间的访问
容器之间可通过 IP通信，Docker DNS Server 或 joined 容器三种方式通信。
1、IP通信，这个很好理解，172.17.0.0/16都是给容器使用的，内部网络之间的互访没有一点问题。

2、从 Docker 1.10 版本开始，docker daemon 实现了一个内嵌的 DNS server，使容器可以直接通过“容器名”通信。
方法很简单，只要在启动时用 --network和–name 为容器命名就可以了。

下面启动两个容器 box1 和 box2：
docker run -it --network=my_net2 --name=box1 busybox
docker run -it --network=my_net2 --name=box2 busybox
box2 就可以直接 ping 到 box1 了。

3、joined 容器是另一种实现容器间通信的方式。它可以使两个或多个容器共享一个网络栈，共享网卡和配置信息，
joined 容器之间可以通过 127.0.0.1 直接通信。请看下面的例子：
先创建一个 httpd 容器，名字为 web1。
docker run -d -it --name=web1 httpd
然后创建 busybox 容器并通过 --network=container:web1 指定 jointed 容器为 web1：

请注意 busybox 容器中的网络配置信息，下面我们查看一下 web1 的网络:

busybox 和 web1 的网卡 mac 地址与 IP 完全一样，它们共享了相同的网络栈。
busybox 可以直接用 127.0.0.1 访问 web1 的 http 服务。

joined 容器非常适合以下场景：
不同容器中的程序希望通过 loopback 高效快速地通信，比如 web server 与 app server。
希望监控其他容器的网络流量，比如运行在独立容器中的网络监控程序。