10 docker容器网络原理

1、什么是网络栈
网络栈包括了网卡、回环设备、路由表和iptables规则

2、容器声明直接使用宿主机的网络栈
使用如下命令来启动一个容器，声明使用宿主机的网络栈
docker run -d --net=host --name nginx-host nginx
容器启动后如下所示：

查看一下宿主机上的80端口，发现80端口已经被占用了，而刚才在启动nginx之前该端口是没有被占用的。

访问一下该服务，确实能访问通。

此时说明了，容器是可以直接使用宿主机的网络的。

2、容器如何拥有自己的网络栈
网桥（bridge）+ Veth Pair
网桥：方式连接在网桥上的容器，就可以通过它来进行通信
veth pair:被创建出来后，总是以两张虚拟网卡的形式成对出现，且其中一个网卡发出的数据包，可以直接出现在与它对应的另一张网卡上，哪怕这两个网卡在不同的network namespace中。

这里是一个正常启动的nginx容器（没有使用主机网络）

进入到这个容器里面去
docker exec -it 0f0d6600305f /bin/sh

使用ifconfig查看当前容器的网络

使用route命令查看路由规则

通过这路由规则可言知道，所有对172.17.0.0/16网段的请求，都会交给eth0来处理，而上面提到的veth pair的设备，此时容器里面的eth0这个网卡，其实就是veth pair设备的一端，另一端在宿主机上，

通过这种方式，就可以知道容器的veth pair设备的另一个网卡确实是存在于宿主机上的，而且由于这个网卡是插入到docker0这个网桥上的，所以其实此时的网络架构如下所示：

那么这个时候，同一个宿主机上的不同容器之间的通信就比较好理解了：
当在容器1里面访问容器2的时候，目的的ip地址会匹配到容器1里面的路由规则，而如果要通信，就需要知道容器2的Ip地址对应的mac地址，所以容器1就需要发送一个ARP广播，而容器1的eth0网卡是一个veth pair，而这个veth pair的另一端是在宿主机上，且被插在了宿主机额docker0网桥，所以此时网桥相当于是一个公共网卡了，容器2的veth pair的一端也会插入到这个网桥上的，所以相当于网络就打通了。