1、什么是网络栈
网络栈包括了网卡、回环设备、路由表和iptables规则
2、容器声明直接使用宿主机的网络栈
使用如下命令来启动一个容器,声明使用宿主机的网络栈
docker run -d --net=host --name nginx-host nginx
容器启动后如下所示:
查看一下宿主机上的80端口,发现80端口已经被占用了,而刚才在启动nginx之前该端口是没有被占用的。
访问一下该服务,确实能访问通。
此时说明了,容器是可以直接使用宿主机的网络的。
2、容器如何拥有自己的网络栈
网桥(bridge)+ Veth Pair
网桥:方式连接在网桥上的容器,就可以通过它来进行通信
veth pair:被创建出来后,总是以两张虚拟网卡的形式成对出现,且其中一个网卡发出的数据包,可以直接出现在与它对应的另一张网卡上,哪怕这两个网卡在不同的network namespace中。
这里是一个正常启动的nginx容器(没有使用主机网络)
进入到这个容器里面去
docker exec -it 0f0d6600305f /bin/sh
使用ifconfig查看当前容器的网络
使用route命令查看路由规则
通过这路由规则可言知道,所有对172.17.0.0/16网段的请求,都会交给eth0来处理,而上面提到的veth pair的设备,此时容器里面的eth0这个网卡,其实就是veth pair设备的一端,另一端在宿主机上,
通过这种方式,就可以知道容器的veth pair设备的另一个网卡确实是存在于宿主机上的,而且由于这个网卡是插入到docker0这个网桥上的,所以其实此时的网络架构如下所示:
那么这个时候,同一个宿主机上的不同容器之间的通信就比较好理解了:
当在容器1里面访问容器2的时候,目的的ip地址会匹配到容器1里面的路由规则,而如果要通信,就需要知道容器2的Ip地址对应的mac地址,所以容器1就需要发送一个ARP广播,而容器1的eth0网卡是一个veth pair,而这个veth pair的另一端是在宿主机上,且被插在了宿主机额docker0网桥,所以此时网桥相当于是一个公共网卡了,容器2的veth pair的一端也会插入到这个网桥上的,所以相当于网络就打通了。