目录
2,查看容器信息(包含配置,环境,网关,挂载,cmd等等信息)
一,Dcoker 网络实现原理
1,docker使用linux桥接,在宿主机虚拟一个docker容器网桥(docker0)
2,docker启动一个容器时会根据docker网桥的网段分配给容器一个ip地址,称为container-IP
3,同时docker网桥是每个容器的默认网关,因为在同一宿主机内的容器都接入同一网桥,这样容器之间就能通过容器的Container-IP直接通信。
docker网桥是宿主机虚拟出来的,并不是真实存在的网络设备,外部网络是无法寻址到的,这也意味着外部网络无法直接通过container-ip访问的容器。如果容器希望外部访问能够访问到,可以通过映射容器端口到宿主机(端口映射),即docker run容器的时候,通过-p或者-P参数来启用。访问容器的时候,就通过宿主机IP:容器端口访问容器。
二,Docker的网络模式
- Host:容器不会虚拟出自己的网卡,配置主机等,而是使用宿主机的IP和端口
- Container:多个容器之间共享一个network namespaces,多个容器共用一个IP喝端口范围
- None:自闭空间,无网卡,无需网络连接
- Bridge:桥接,默认模式,在不指定网络模式的情况下创建容器,默认使用此模式,通过veth对 连接容器与docker网桥,网桥分配给容器IP,同时docker0作为“局域网内容器的网关,最后和宿主机网卡进行通讯,同时iptables规则,将容器IP/port映射出去,用于与宿主机网卡交互
- overlay 叠加网络模式。使用外部的服务组件作为网关或者代理,例如ingress
1,Host模式
1,host模式:使用net=host指定
2,相当于VMware中的桥接模式,与宿主机在同一网络中,但是没有独立IP
3,Docker使用了linux的namespace技术来进行资源隔离,如PID Namespace隔离进程,Mount namespace隔离文件系统,Network Namespace 隔离网络等。
4,一个Network Namespace 提供了一份独立的网络环境,包括网卡,路由,iptable 规则等都与其他Network Namespace 隔离。
5,一个Docker容器一般分配一个独立的Network Namespace
host容器将不会虚拟出自己的网卡,配置自己的ip等,而是使用宿主机的ip和端口范围如果启动容器的时候使用host模式,那么这个容器将不会获得一个独立的Network Namespace,而是,容器的其他资源,如文件系统,进程列表等还是和宿主机隔离的。
使用host模式的容器可以直接使用宿主机的ip地址与外键通信,容器内部的服务端口也可以使用宿主机的端口,不需要进行NAT,host最大的优势就是网络性能比较好,但是docker host 上已经使用的端口就不能再使用了,网络隔离性不好。
#创建容器web11,指定网络模式为 host
#因为是host模式,所有宿主机和容器共享ip和端口
docker run -d --name web11 --net=host nginx
#访问宿主机的ip和80端口,则可以访问到web3的nginx服务
firefox http://192.168.135.195:80
2,Container模式
1,container模式:使用-net=container:NAME_or_id 指定
2,这个模式指定新创建的容器和已经存在的一个容器共享一个Network Namespace,而不是和宿主机共享。新创建的容器不会创建自己的网卡,配置自己的ip,而是和一个指定的容器共享ip,端口范围等。可以在一定程度上节约网络资源,容器内部依然不会拥有所以端口。
3,同样,两个容器除了网络方面,其他的如文件系统,进程列表等还是隔离的。
4,两个容器的经常可通过io网卡设备通信
[root@docker1195 ~]#docker run -itd --name test1 centos:7 /bin/bash
f96591b45476eb3e1b391527edde08fc87abf27bca5a18753c37c35396797687
[root@docker1195 ~]#docker inspect -f '{
{.State.Pid}