文章目录
Linux内核实现名称空间的创建
ip netns命令
可以借助ip netns命令来完成对 Network Namespace 的各种操作。ip netns命令来自于iproute安装包，一般系统会默认安装，如果没有的话，请自行安装。
[root@localhost ~]# rpm -qa|grep iproute
iproute-5.12.0-4.el8.x86_64
注意：ip netns命令修改网络配置时需要 sudo 权限。
可以通过ip netns命令完成对Network Namespace 的相关操作，可以通过ip netns help查看命令帮助信息：
# 需要把docker停掉
[root@localhost ~]# systemctl stop docker
默认情况下，Linux系统中是没有任何 Network Namespace的，所以ip netns list命令不会返回任何信息。
#列出名称空间。
[root@localhost ~]# ip netns list
[root@localhost ~]#
#查看命令帮助信息
[root@localhost ~]# ip netns help
Usage: ip netns list #看有什么名称空间
ip netns add NAME #添加名称空间
ip netns attach NAME PID #表示进到这个空间里去
ip netns set NAME NETNSID #表示设置名字
ip [-all] netns delete [NAME] #删除
ip netns identify [PID] #确认pid
ip netns pids NAME #列出ID
ip [-all] netns exec [NAME] cmd ...
ip netns monitor #监控
ip netns list-id [target-nsid POSITIVE-INT] [nsid POSITIVE-INT]
NETNSID := auto | POSITIVE-INT
默认情况下，Linux系统中是没有任何 Network Namespace的，所以ip netns list命令不会返回任何信息。
创建Network Namespace
通过命令创建一个名为ns0的命名空间：
#添加名称空间叫ns0 (相当于容器)
[root@localhost ~]# ip netns list
[root@localhost ~]# ip netns add ns0
[root@localhost ~]# ip netns list
ns0
新创建的 Network Namespace 会出现在/var/run/netns/目录下。如果相同名字的 namespace 已经存在，命令会报Cannot create namespace file “/var/run/netns/ns0”: File exists的错误。
[root@localhost ~]# ls /var/run/netns/
ns0
[root@localhost ~]# ip netns add ns0
Cannot create namespace file "/var/run/netns/ns0": File exists
对于每个 Network Namespace 来说，它会有自己独立的网卡、路由表、ARP 表、iptables 等和网络相关的资源。
操作Network Namespace
ip命令提供了ip netns exec子命令可以在对应的 Network Namespace 中执行命令。
查看新创建 Network Namespace 的网卡信息
[root@localhost ~]# ip netns exec ns0 ip addr
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
可以看到，新创建的Network Namespace中会默认创建一个lo回环网卡，此时网卡处于关闭状态。此时，尝试去 ping 该lo回环网卡，会提示Network is unreachable
[root@localhost ~]# ip netns exec ns0 ping 127.0.0.1
connect: Network is unreachable
通过下面的命令启用lo回环网卡：
# 激活lo
[root@localhost ~]# ip netns exec ns0 ip link set lo up
[root@localhost ~]# ip netns exec ns0 ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
[root@localhost ~]#
# 再去ping
[root@localhost ~]# ip netns exec ns0 ping 127.0.0.1
PING 127.0.0.1 (127.0.0.1) 56(84) bytes of data.
64 bytes from 127.0.0.1: icmp_seq=1 ttl=64 time=0.034 ms
64 bytes from 127.0.0.1: icmp_seq=2 ttl=64 time=0.048 ms
64 bytes from 127.0.0.1: icmp_seq=3 ttl=64 time=0.048 ms
^C
--- 127.0.0.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2015ms
rtt min/avg/max/mdev = 0.034/0.043/0.048/0.008 ms
[root@localhost ~]#
转移设备
我们可以在不同的 Network Namespace 之间转移设备（如veth）。由于一个设备只能属于一个 Network Namespace ，所以转移后在这个 Network Namespace 内就看不到这个设备了。
其中，veth设备属于可转移设备，而很多其它设备（如lo、vxlan、ppp、bridge等）是不可以转移的。
在Linux网络虚拟化领域，虚拟以太网设备（veth）扮演着至关重要的角色。veth是一种特殊类型的网络设备，它在Linux内核中以成对的形式存在，允许两个网络命名空间之间的通信。
- 什么是veth？
veth是Linux虚拟网络设备的一种，以成对的形式存在，充当不同网络命名空间或不同容器之间的桥梁。每对veth设备由两个端点组成，数据从一个端点发送可以被另一个端点接收，从而实现两个网络命名空间之间的网络通信。
- 为什么需要veth？
在容器化和云原生架构中，网络隔离是一个核心需求。veth设备允许容器或虚拟机拥有独立的网络命名空间，提供了一种灵活且有效的方式来实现网络隔离和通信。
通过使用veth，管理员可以轻松地配置网络路由、应用网络策略，并监控容器之间的网络流量。
- veth的作用和意义
网络隔离与通信：veth是实现容器或虚拟机网络隔离和通信的基础设施，确保了不同工作负载之间的安全和独立性。
容器网络模型（CNM）和容器网络接口（CNI）支持：veth是实现CNM和CNI规范的关键组件，支持Docker、Kubernetes等容器编排工具的网络功能。
网络策略实施：通过配置veth对应的iptables规则和路由，可以在容器级别实施精细的网络访问控制。
veth pair
veth pair 全称是 Virtual Ethernet Pair， 它由两个端点组成，这两个端点在逻辑上相连，数据从一个端点进入就必然从另一个端点流出 ，反之也是一样。
引入veth pair是为了在不同的 Network Namespace 直接进行通信，利用它可以直接将两个 Network Namespace 连接起来。
创建veth pair
# 它是一对的veth0和veth1
[root@localhost ~]# ip link add type veth
[root@localhost ~]#
[root@localhost ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: ens32: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
link/ether 00:0c:29:89:0f:cc brd ff:ff:ff:ff:ff:ff
inet 10.10.10.14/24 brd 10.10.10.255 scope global noprefixroute ens32
valid_lft forever preferred_lft forever
inet6 fe80::6ec3:d356:3e31:5012/64 scope link noprefixroute
valid_lft forever preferred_lft forever
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default
link/ether 02:42:ff:46:2c:e0 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
valid_lft forever preferred_lft forever
inet6 fe80::42:ffff:fe46:2ce0/64 scope link
valid_lft forever preferred_lft forever
10: veth0@veth1: <BROADCAST,MULTICAST,M-DOWN> mtu 1500 qdisc noop state DOWN group default qlen 1000
link/ether 36:09:65:60:ab:e5 brd ff:ff:ff:ff:ff:ff
11: veth1@veth0: <BROADCAST,MULTICAST,M-DOWN> mtu 1500 qdisc noop state DOWN group default qlen 1000
link/ether e6:ae:30:15:27:5c brd ff:ff:ff:ff:ff:ff
[root@localhost ~]#
可以看到，此时系统中新增了一对veth pair，将veth0和veth1两个虚拟网卡连接了起来，此时这对 veth pair 处于”未启用“状态。
实现Network Namespace间通信
下面我们利用veth pair实现两个不同的 Network Namespace 之间的通信。刚才我们已经创建了一个名为ns0的 Network Namespace，下面再创建一个信息Network Namespace，命名为ns1
# 再创建一个名称空间为ns1
[root@localhost ~]# ip netns add ns1
[root@localhost ~]#
[root@localhost ~]# ip netns list
ns1
ns0
[root@localhost ~]#
然后我们将veth0加入到ns0，将veth1加入到ns1
[root@localhost ~]# ip link set veth0 netns ns0
[root@localhost ~]#
[root@localhost ~]# ip netns exec ns0 ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
10: veth0@if11: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default qlen 1000
link/ether 36:09:65:60:ab:e5 brd ff:ff:ff:ff:ff:ff link-netnsid 0
[root@localhost ~]#
[root@localhost ~]# ip link set veth1 netns ns1
[root@localhost ~]#
[root@localhost ~]# ip netns exec ns1 ip a
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
11: veth1@if10: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default qlen 1000
link/ether e6:ae:30:15:27:5c brd ff:ff:ff:ff:ff:ff link-netnsid 0
[root@localhost ~]#
[root@localhost ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: ens32: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
link/ether 00:0c:29:89:0f:cc brd ff:ff:ff:ff:ff:ff
inet 10.10.10.14/24 brd 10.10.10.255 scope global noprefixroute ens32
valid_lft forever preferred_lft forever
inet6 fe80::6ec3:d356:3e31:5012/64 scope link noprefixroute
valid_lft forever preferred_lft forever
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default
link/ether 02:42:ff:46:2c:e0 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
valid_lft forever preferred_lft forever
inet6 fe80::42:ffff:fe46:2ce0/64 scope link
valid_lft forever preferred_lft forever
[root@localhost ~]#
然后我们分别为这对veth pair配置上ip地址，并启用它们
# 激活veht0
[root@localhost ~]# ip netns exec ns0 ip link set veth0 up
[root@localhost ~]# ip netns exec ns0 ip a show veth0
10: veth0@if11: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state LOWERLAYERDOWN group default qlen 1000
link/ether 36:09:65:60:ab:e5 brd ff:ff:ff:ff:ff:ff link-netnsid 1
[root@localhost ~]#
[root@localhost ~]# ip netns exec ns0 ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
10: veth0@if11: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state LOWERLAYERDOWN group default qlen 1000
link/ether 36:09:65:60:ab:e5 brd ff:ff:ff:ff:ff:ff link-netnsid 1
# 添加ip给它
[root@localhost ~]# ip netns exec ns0 ip addr add 10.0.0.1/24 dev veth0
[root@localhost ~]#
# 查看这对veth pair的状态
[root@localhost ~]# ip netns exec ns0 ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
10: veth0@if11: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state LOWERLAYERDOWN group default qlen 1000
link/ether 36:09:65:60:ab:e5 brd ff:ff:ff:ff:ff:ff link-netnsid 1
inet 10.0.0.1/24 scope global veth0
valid_lft forever preferred_lft forever
[root@localhost ~]#
# 查看 ns1 的 lo口信息，目前还没有激活lo口和veth1
[root@localhost ~]# ip netns exec ns1 ip a
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
11: veth1@if10: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default qlen 1000
link/ether e6:ae:30:15:27:5c brd ff:ff:ff:ff:ff:ff link-netnsid 0
[root@localhost ~]#
# 激活ns1的lo口
[root@localhost ~]# ip netns exec ns1 ip link set lo up
[root@localhost ~]#
[root@localhost ~]# ip netns exec ns1 ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
11: veth1@if10: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default qlen 1000
link/ether e6:ae:30:15:27:5c brd ff:ff:ff:ff:ff:ff link-netnsid 0
[root@localhost ~]#
# 激活veht1为开启
[root@localhost ~]# ip netns exec ns1 ip link set veth1 up
[root@localhost ~]#
[root@localhost ~]# ip netns exec ns1 ip addr show veth1
11: veth1@if10: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
link/ether e6:ae:30:15:27:5c brd ff:ff:ff:ff:ff:ff link-netnsid 0
inet6 fe80::e4ae:30ff:fe15:275c/64 scope link
valid_lft forever preferred_lft forever
[root@localhost ~]#
# 并配置ip地址
[root@localhost ~]# ip netns exec ns1 ip addr add 10.0.0.2/24 dev veth1
[root@localhost ~]#
# 查看这对veth pair的状态
[root@localhost ~]# ip netns exec ns1 ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
11: veth1@if10: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
link/ether e6:ae:30:15:27:5c brd ff:ff:ff:ff:ff:ff link-netnsid 0
inet 10.0.0.2/24 scope global veth1
valid_lft forever preferred_lft forever
inet6 fe80::e4ae:30ff:fe15:275c/64 scope link
valid_lft forever preferred_lft forever
[root@localhost ~]#
从上面可以看出，我们已经成功启用了这个veth pair，并为每个veth设备分配了对应的ip地址。我们尝试在ns1中访问ns0中的ip地址：
[root@localhost ~]# ip netns exec ns1 ping 10.0.0.1
PING 10.0.0.1 (10.0.0.1) 56(84) bytes of data.
64 bytes from 10.0.0.1: icmp_seq=1 ttl=64 time=0.054 ms
64 bytes from 10.0.0.1: icmp_seq=2 ttl=64 time=0.058 ms
64 bytes from 10.0.0.1: icmp_seq=3 ttl=64 time=0.043 ms
64 bytes from 10.0.0.1: icmp_seq=4 ttl=64 time=0.078 ms
^C
--- 10.0.0.1 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3024ms
rtt min/avg/max/mdev = 0.043/0.058/0.078/0.013 ms
[root@localhost ~]# ip netns exec ns1 ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
11: veth1@if10: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
link/ether e6:ae:30:15:27:5c brd ff:ff:ff:ff:ff:ff link-netnsid 0
inet 10.0.0.2/24 scope global veth1
valid_lft forever preferred_lft forever
inet6 fe80::e4ae:30ff:fe15:275c/64 scope link
valid_lft forever preferred_lft forever
[root@localhost ~]#
可以看到，veth pair成功实现了两个不同Network Namespace之间的网络交互。
veth设备重命名
# 关闭ns0的veth0
[root@localhost ~]# ip netns exec ns0 ip link set veth0 down
# 查看是否已关闭
[root@localhost ~]# ip netns exec ns0 ip a show veth0
10: veth0@if11: <BROADCAST,MULTICAST> mtu 1500 qdisc noqueue state DOWN group default qlen 1000
link/ether 36:09:65:60:ab:e5 brd ff:ff:ff:ff:ff:ff link-netnsid 1
inet 10.0.0.1/24 scope global veth0
valid_lft forever preferred_lft forever
[root@localhost ~]#
# 把ns0的veth0名字重命名为eth0
[root@localhost ~]# ip netns exec ns0 ip link set dev veth0 name eth0
[root@localhost ~]#
[root@localhost ~]# ip netns exec ns0 ip addr show eth0
10: eth0@if11: <BROADCAST,MULTICAST> mtu 1500 qdisc noqueue state DOWN group default qlen 1000
link/ether 36:09:65:60:ab:e5 brd ff:ff:ff:ff:ff:ff link-netnsid 1
inet 10.0.0.1/24 scope global eth0
valid_lft forever preferred_lft forever
[root@localhost ~]#
# 启动eth0
[root@localhost ~]# ip netns exec ns0 ip link set eth0 up
[root@localhost ~]#
[root@localhost ~]# ip netns exec ns0 ip addr show eth0
10: eth0@if11: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
link/ether 36:09:65:60:ab:e5 brd ff:ff:ff:ff:ff:ff link-netnsid 1
inet 10.0.0.1/24 scope global eth0
valid_lft forever preferred_lft forever
inet6 fe80::3409:65ff:fe60:abe5/64 scope link
valid_lft forever preferred_lft forever
[root@localhost ~]#
# ns1也是一样的。首先关闭veth1，在重命名，再启动
[root@localhost ~]# ip netns exec ns1 ip link set veth1 down
[root@localhost ~]#
[root@localhost ~]# ip netns exec ns1 ip addr show veth1
11: veth1@if10: <BROADCAST,MULTICAST> mtu 1500 qdisc noqueue state DOWN group default qlen 1000
link/ether e6:ae:30:15:27:5c brd ff:ff:ff:ff:ff:ff link-netnsid 0
inet 10.0.0.2/24 scope global veth1
valid_lft forever preferred_lft forever
[root@localhost ~]#
# 重命名
[root@localhost ~]# ip netns exec ns1 ip link set dev veth1 name eth1
[root@localhost ~]#
[root@localhost ~]# ip netns exec ns1 ip addr show eth1
11: eth1@if10: <BROADCAST,MULTICAST> mtu 1500 qdisc noqueue state DOWN group default qlen 1000
link/ether e6:ae:30:15:27:5c brd ff:ff:ff:ff:ff:ff link-netnsid 0
inet 10.0.0.2/24 scope global eth1
valid_lft forever preferred_lft forever
[root@localhost ~]#
# 激活eth1 网卡
[root@localhost ~]# ip netns exec ns1 ip link set eth1 up
[root@localhost ~]#
[root@localhost ~]# ip netns exec ns1 ip addr show eth1
11: eth1@if10: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
link/ether e6:ae:30:15:27:5c brd ff:ff:ff:ff:ff:ff link-netnsid 0
inet 10.0.0.2/24 scope global eth1
valid_lft forever preferred_lft forever
inet6 fe80::e4ae:30ff:fe15:275c/64 scope link
valid_lft forever preferred_lft forever
[root@localhost ~]#
上面的这些操作是docker再启动容器时就已经做好了，我们现在只是动作体验一下怎么做。
四种网络模式配置
bridge模式配置
# 启动服务
[root@localhost ~]# systemctl start docker
[root@localhost ~]# systemctl status docker
● docker.service - Docker Application Container Engine
Loaded: loaded (/usr/lib/systemd/system/docker.service; enabled; vendor preset: disabled)
Active: active (running) since Thu 2024-05-16 16:05:09 CST; 1s ago
Docs: https://docs.docker.com
Main PID: 4017 (dockerd)
......
[root@localhost ~]# docker run -it --name test1 --rm busybox
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
6: eth0@if7: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue
link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0
valid_lft forever preferred_lft forever
/ # exit # 退出容器就会自动删除容器
[root@localhost ~]# docker container ls -a
# 在创建容器时添加--network bridge与不加--network选项效果是一致的
因为默认就是使用bridge
[root@localhost ~]# docker run -it --name test1 --network bridge --rm busybox
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
8: eth0@if9: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue
link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0
valid_lft forever preferred_lft forever
/ # exit # 退出就会自动删除因为启动容器时加了--rm
none模式配置
# none 只有一个lo口
[root@localhost ~]# docker run -it --name none-test --network none --rm busybox
/ #
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
/ # exit
[root@localhost ~]#
container模式配置
启动第一个容器
root@localhost ~]# docker run -it --name test1 --rm busybox
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
10: eth0@if11: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdiscnoqueue
link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0
valid_lft forever preferred_lft forever
/ #
启动第二个容器
[root@localhost ~]# docker run -it --name test2 --rm busybox
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
12: eth0@if13: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdiscnoqueue
link/ether 02:42:ac:11:00:03 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.3/16 brd 172.17.255.255 scope global eth0
valid_lft forever preferred_lft forever
/ # exit # 退出
可以看到名为test2的容器IP地址是172.17.0.3，与第一个容器的IP地址不是一样的，也就是说并没有共享网络，此时如果我们将第二个容器的启动方式改变一下，就可以使名为test2的容器IP与test1容器IP一致，也即共享IP，但不共享文件系统。
# 使用container模式
## 这时它们的ip就会相同，还有端口。但是注意它们只是共享ip跟端口，文件系统还是会处于隔离的，你可以在test1上创建一个目录测试test2是否有
[root@localhost ~]# docker run -it --name test2 --rm --network container:test1 busybox
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
10: eth0@if11: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdiscnoqueue
link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0
valid_lft forever preferred_lft forever
/ #
此时我们在test1容器上创建一个目录
/ # mkdir /tmp/data
/ # ls /tmp
data
到test2容器上检查/tmp目录会发现并没有这个目录，因为文件系统是处于隔离状态，仅仅是共享了网络而已。
# test2操作
/ # ls /tmp/
/ #
在test2容器上部署一个站点
/ # echo 'hello world' > /tmp/index.html
/ # ls /tmp/
index.html
/ # httpd -h /tmp
/ # netstat -antl
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 :::80 :::* LISTEN
在test1容器上用本地地址去访问此站点
# 可以使用本机访问，因为它们共用一个ip
/ # ip addr show eth0
10: eth0@if11: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdiscnoqueue
link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0
valid_lft forever preferred_lft forever
/ # wget -O - -q 172.17.0.2
hello world
由此可见，container模式下的容器间关系就相当于一台主机上的两个不同进程
host模式配置
启动容器时直接指明模式为host
# host模式是跟宿主机共用一个ip跟端口。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。
[root@localhost ~]# docker run -it --name host-test --rm --network host busybox
/ #
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: ens32: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast qlen 1000
link/ether 00:0c:29:89:0f:cc brd ff:ff:ff:ff:ff:ff
inet 10.10.10.14/24 brd 10.10.10.255 scope global noprefixroute ens32
valid_lft forever preferred_lft forever
inet6 fe80::6ec3:d356:3e31:5012/64 scope link noprefixroute
valid_lft forever preferred_lft forever
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue
link/ether 02:42:ff:46:2c:e0 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
valid_lft forever preferred_lft forever
inet6 fe80::42:ffff:fe46:2ce0/64 scope link
valid_lft forever preferred_lft forever
/ #
此时如果我们在这个容器中启动一个http站点，我们就可以直接用宿主机的IP直接在浏览器中访问这个容器中的站点了。
容器的常用操作
查看容器的主机名
# 不写 --network bridge 默认就是这个
[root@localhost ~]# docker run -it --name test --rm busybox
/ # hostname
9b884e6571f1 # 默认情况下跟容器ID一样
# 这个是修改不了的，因为只读，想修改只能在启动容器时，执行主机名
在容器启动时注入主机名
[root@localhost ~]# docker run -it --name test --rm --network bridge --hostname agan busybox
/ #
/ # hostname
agan
/ #
/ # cat /etc/resolv.conf
# Generated by NetworkManager
nameserver 114.114.114.114
/ # cat /etc/hostname
agan
/ # cat /etc/hosts
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
172.17.0.2 agan # 注入主机名时会自动创建主机名到IP的映射关系
/ #
# ping 百度
/ # ping baidu.com
PING baidu.com (39.156.66.10): 56 data bytes
64 bytes from 39.156.66.10: seq=0 ttl=127 time=134.633 ms
64 bytes from 39.156.66.10: seq=1 ttl=127 time=53.963 ms
64 bytes from 39.156.66.10: seq=2 ttl=127 time=84.042 ms
^C
--- baidu.com ping statistics ---
3 packets transmitted, 3 packets received, 0% packet loss
round-trip min/avg/max = 53.963/90.879/134.633 ms
/ #
手动指定容器要使用的DNS
[root@localhost ~]# docker run -it --name test --rm --network bridge --hostname agan --dns 114.114.114.114 busybox
/ # cat /etc/resolv.conf
search localdomain
nameserver 114.114.114.114
/ # nslookup -type=a www.baidu.com
Server: 114.114.114.114
Address: 114.114.114.114:53
Non-authoritative answer:
www.baidu.com canonical name = www.a.shifen.com
Name: www.a.shifen.com
Address: 182.61.200.7
Name: www.a.shifen.com
Address: 182.61.200.6
手动往/etc/hosts文件中注入主机名到IP地址的映射
[root@localhost ~]# docker run -it --name test1 --rm --hostname node1 busybox
/ # cat /etc/hosts
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
172.17.0.2 node1 # 指定的主机名
# 再启动一个容器。把node1主机名映射到test2容器里
[root@localhost ~]# docker run -it --name test2 --rm --hostname node2 --add-host node1:127.17.0.2 busybox
/ # cat /etc/hosts
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
127.17.0.2 node1
172.17.0.3 node2
/ # ping node1
PING node1 (127.17.0.2): 56 data bytes
64 bytes from 127.17.0.2: seq=0 ttl=64 time=0.027 ms
64 bytes from 127.17.0.2: seq=1 ttl=64 time=0.046 ms
开放容器端口
执行docker run的时候有个-p选项，可以将容器中的应用端口映射到宿主机中，从而实现让外部主机可以通过访问宿主机的某端口来访问容器内应用的目的。
-p选项能够使用多次，其所能够暴露的端口必须是容器确实在监听的端口。
-p选项的使用格式：
-p <containerPort>- 将指定的容器端口映射至主机所有地址的一个动态端口
-p <hostPort>:<containerPort>- 将容器端口
<containerPort>映射至指定的主机端口<hostPort>
- 将容器端口
-p <ip>::<containerPort>- 将指定的容器端口
<containerPort>映射至主机指定<ip>的动态端口
- 将指定的容器端口
-p <ip>:<hostPort>:<containerPort>- 将指定的容器端口
<containerPort>映射至主机指定<ip>的端口<hostPort>
- 将指定的容器端口
动态端口指的是随机端口，具体的映射结果可使用docker port命令查看。
# -p 80 是容器的80端口号。
[root@localhost ~]# docker run -it --name test1 --rm -p 80 httpd # -it 它会在前端一直运行； -d 者会在后台运行
....省略
[root@localhost ~]#
[root@localhost ~]# docker container ls
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS
33732474a362 httpd "httpd-foreground" 6 seconds ago Up 4 seconds 0.0.0.0:32768->80/tcp, :::32768-
[root@localhost ~]#
[root@localhost ~]# ss -antl
State Recv-Q Send-Q Local Address:Port
LISTEN 0 128 *:22
LISTEN 0 100 127.0.0.1:25
LISTEN 0 128 *:32768
LISTEN 0 128 [::]:22
LISTEN 0 100 [::1]:25
LISTEN 0 128 [::]:32768
以上命令执行后会一直占用着前端，我们新开一个终端连接来看一下容器的80端口被映射到了宿主机的什么端口上
[root@localhost ~]# docker port test1
80/tcp -> 0.0.0.0:32768
80/tcp -> [::]:32768
[root@localhost ~]#
由此可见，容器的80端口被暴露到了宿主机的32768端口上，此时我们在宿主机上访问一下这个端口看是否能访问到容器内的站点
[root@localhost ~]# curl 10.10.10.14:32768
<html><body><h1>It works!</h1></body></html>
[root@localhost ~]#
iptables防火墙规则将随容器的创建自动生成，随容器的删除自动删除规则。
将容器端口映射到指定IP的随机端口
# 如果你的主机上有多个ip的情况下，你想用某一个ip来访问就用这种方式
指定一个ip，端口号随机。
[root@localhost ~]# docker run -it --name test2 --rm -p 10.10.10.14::80 httpd
AH00558: httpd: Could not reliably determine the server's fully qualified domain name, using 172.17.0.3. Set the 'ServerName' directive globally to suppress this message
AH00558: httpd: Could not reliably determine the server's fully qualified domain name, using 172.17.0.3. Set the 'ServerName' directive globally to suppress this message
[Thu May 16 08:54:43.609822 2024] [mpm_event:notice] [pid 1:tid 139666947800384] AH00489: Apache/2.4.52 (Unix) configured -- resuming normal operations
[Thu May 16 08:54:43.609908 2024] [core:notice] [pid 1:tid 139666947800384] AH00094: Command line: 'httpd -D FOREGROUND'
# 以上命令执行后会一直占用着前端，我们新开一个终端连接来看一下容器的80端口被映射到了宿主机的什么端口上
[root@localhost ~]# docker port test2
80/tcp -> 10.10.10.14:32769
[root@localhost ~]#
[root@localhost ~]# curl 10.10.10.14:32769
<html><body><h1>It works!</h1></body></html>
[root@localhost ~]#
# 或者你可以指定端口
[root@localhost ~]# docker run -d --name test --rm -p 10.10.10.14:80:80 httpd
c3e0af92823b6e165b6eeb920eab3a67dc061abf950b094d12ecce0c5e737a22
# 访问 10.10.10.14
[root@localhost ~]# curl 10.10.10.14
<html><body><h1>It works!</h1></body></html>
[root@localhost ~]#
[root@localhost ~]# docker port test
80/tcp -> 10.10.10.14:80
[root@localhost ~]#
自定义docker0桥的网络属性信息
自定义docker0桥的网络属性信息需要修改/etc/docker/daemon.json配置文件
# 想一个问题，就是我们在修改docker0桥的信息之前开启了一个容器。然后修改docker0信息，会不会影响？
## 启动一个容器
[root@localhost ~]# docker run -d --name test httpd
52e48c4e8b8d9dd52e829f2d0c4ab149570aeac714f525b630f77e8d28abbb02
[root@localhost ~]# docker ps
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
52e48c4e8b8d httpd "httpd-foreground" 7 seconds ago Up 5 seconds 80/tcp test
[root@localhost ~]# docker inspect test|grep -i IPAddress
"SecondaryIPAddresses": null,
"IPAddress": "172.17.0.2",
"IPAddress": "172.17.0.2",
# 自定义docker0
[root@localhost ~]# vim /etc/docker/daemon.json
{
"registry-mirrors": ["https://1izcbhll.mirror.aliyuncs.com"],
"bip": "192.168.1.1/24"
}
# 重启docker
[root@localhost ~]# systemctl restart docker
# 查看docker0的ip
[root@localhost ~]# ip addr show docker0
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default
link/ether 02:42:bb:5c:06:83 brd ff:ff:ff:ff:ff:ff
inet 192.168.1.1/24 brd 192.168.1.255 scope global docker0
valid_lft forever preferred_lft forever
inet6 fe80::42:bbff:fe5c:683/64 scope link
valid_lft forever preferred_lft forever
# 查看刚才启动的容器，因为重启docker所以它停掉了，你再重启他的ip就会变为192.168.1.2
[root@localhost ~]# docker start test
[root@localhost ~]# docker inspect test|grep -i IPAddress
"SecondaryIPAddresses": null,
"IPAddress": "192.168.1.2",
"IPAddress": "192.168.1.2",
# 重启docker后让其自动重启
[root@localhost ~]# docker run -d --name test --restart=always httpd
# 下面这些都是官方网站的
{
"bip": "192.168.1.5/24",
"fixed-cidr": "192.168.1.5/25",
"fixed-cidr-v6": "2001:db8::/64",
"mtu": 1500,
"default-gateway": "10.20.1.1",
"default-gateway-v6": "2001:db8:abcd::89",
"dns": ["10.20.1.2","10.20.1.3"]
}
核心选项为bip，即bridge ip之意，用于指定docker0桥自身的IP地址；其它选项可通过此地址计算得出。
docker创建自定义桥
创建一个额外的自定义桥，区别于docker0
[root@localhost ~]# docker network ls
NETWORK ID NAME DRIVER SCOPE
3a1c95e07f3a bridge bridge local
062396dd2263 host host local
07356b0e5b65 none null local
# -d 是指定模型。--subnet指定网段。--gateway指定网关
[root@localhost ~]# docker network create -d bridge --subnet "192.168.2.0/24" --gateway "192.168.2.1" br1
[root@localhost ~]# docker network ls
NETWORK ID NAME DRIVER SCOPE
0cfa18eeb3ac br1 bridge local
3a1c95e07f3a bridge bridge local
062396dd2263 host host local
07356b0e5b65 none null local
[root@localhost ~]# ip addr show br-0cfa18eeb3ac
46: br-0cfa18eeb3ac: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default
link/ether 02:42:09:7d:4c:03 brd ff:ff:ff:ff:ff:ff
inet 192.168.2.1/24 brd 192.168.2.255 scope global br-0cfa18eeb3ac
valid_lft forever preferred_lft forever
使用新创建的自定义桥来创建容器：
# 使用新创建的自定义桥来创建容器，它的IP是192.168.2.2，因为192.168.2.1是网关
[root@localhost ~]# docker run -it --name test --network br1 --rm busybox
/ # ip addr show eth0
47: eth0@if48: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue
link/ether 02:42:c0:a8:02:02 brd ff:ff:ff:ff:ff:ff
inet 192.168.2.2/24 brd 192.168.2.255 scope global eth0
valid_lft forever preferred_lft forever
再创建一个容器，使用默认的bridge桥：
# 这时它们的ip是不相同的
[root@localhost ~]# docker run -it --name test1 --rm --network bridge busybox
/ # ip addr show eth0
49: eth0@if50: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue
link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0
valid_lft forever preferred_lft forever
试想一下，此时的test1与test能否互相通信？如果不能该如何实现通信？
# 连接br1网络到test1容器里，所以test1有192.168.2.0的网段上，就能ping的通
如有不懂--help
[root@localhost ~]# docker network connect br1 test1
# 在test1查看ip
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
49: eth0@if50: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue
link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0
valid_lft forever preferred_lft forever
51: eth1@if52: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue
link/ether 02:42:c0:a8:02:03 brd ff:ff:ff:ff:ff:ff
inet 192.168.2.3/24 brd 192.168.2.255 scope global eth1
valid_lft forever preferred_lft forever
/ # ping 192.168.2.2 # ping test容器ip
PING 192.168.2.2 (192.168.2.2): 56 data bytes
64 bytes from 192.168.2.2: seq=0 ttl=64 time=0.368 ms
64 bytes from 192.168.2.2: seq=1 ttl=64 time=0.099 ms
# 在 test容器上 ping test1
/ # ping 192.168.2.3
PING 192.168.2.3 (192.168.2.3): 56 data bytes
64 bytes from 192.168.2.3: seq=0 ttl=64 time=0.144 ms
64 bytes from 192.168.2.3: seq=1 ttl=64 time=0.070 ms
如想ping 172.17.0.2反着来
[root@localhost ~]# docker network connect bridge test
# test容器上操作
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
47: eth0@if48: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue
link/ether 02:42:c0:a8:02:02 brd ff:ff:ff:ff:ff:ff
inet 192.168.2.2/24 brd 192.168.2.255 scope global eth0
valid_lft forever preferred_lft forever
53: eth1@if54: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue
link/ether 02:42:ac:11:00:03 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.3/16 brd 172.17.255.255 scope global eth1
valid_lft forever preferred_lft forever
/ # ping 172.17.0.2
PING 172.17.0.2 (172.17.0.2): 56 data bytes
64 bytes from 172.17.0.2: seq=0 ttl=64 time=0.590 ms
64 bytes from 172.17.0.2: seq=1 ttl=64 time=0.086 ms
## 如果想要把eth1@if54网卡删了就用disconnect命令
[root@localhost ~]# docker network --help
Commands:
connect 将容器连接到网络
create 创建一个网络
disconnect 创建网络断开容器与网络的连接
inspect 显示一个或多个网络的详细信息
ls 网络列表
prune 移除所有未使用的网络
rm 移除一个或多个网络
删除eth1@if54网卡
docker network disconnect bridge test
1204
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
