理解 Docker 网络(一) -- Docker 对宿主机网络环境的影响

本文链接：https://blog.csdn.net/qq_17004327/article/details/88630194

简介

通过 Docker 容器可以实现文件系统，网络和内核的隔离。 Docker 网络是使用 Docker 的一个很重要的知识点。在不了解 Docker 网络的情况下使用 Docker 部署应用可能会出现 Docker 容器跨过宿主机防火墙(iptables)的限制直接与取得外网访问权的情况。在这篇文章中将会分析安装 Docker 对宿主机网络设备和 iptables 两个重要的网络环境的影响。并会分析何为 Docker 容器网络的隔离性，如何通过控制宿主机 iptables 来控制 Docker 容器的网络访问权限。

跨越宿主机防火墙示例

首先在宿主机上设置一个防火墙，将 INPUT 链的默认策略设为 DROP

$ iptables -P INPUT DROP

然后执行查看 iptables 的命令

$ iptables-save

可以看到 filter 表的 INPUT 链的默认策略为 DROP
在这里插入图片描述
然后 ping 百度，由于 INPUT 链的默认规则为 DROP ，导致 DNS 服务器返回的解析结果不能正确接受，所以这里直接 ping 解析出的 ip 地址。

$ ping -c4 14.215.177.39

执行结果为

在这里插入图片描述

可以看到宿主机在不使用 iptables 手动设置 INPUT 链的情况下已经和外界网络隔绝了。

接着创建一个 Docker 容器并执行 ping -c4 www.baidu.com 的命令

$ docker run --rm debian:stretch-slim bash -c "\
echo 'deb http://mirrors.163.com/debian/ stretch main non-free contrib' > /etc/apt/sources.list\
&& apt-get update > /dev/null\
&& apt-get install -y  inetutils-ping >/dev/null 2>&1\
&& ping -c4 www.baidu.com"

在这里插入图片描述
可以看到能够正确接收 DNS 服务器返回的解析结果，并且能够成功 ping 通。