Docker网络

Docker 基础网络介绍

外部访问容器

容器中可以运行一些网络应用，要让外部也可以访问这些应用，可以通过-P或-p参数来指定端口映射。

当使用-P标记时，Docker会随机映射一个端口到内部容器开放的网络端口。 使用docker container ls可以看到，本地主机的 49153 被映射到了容器的 80 端口。此时访问本机的 49153 端口即可访问容器内 NGINX 默认页面。


可以通过docker logs ContainerName or ID命令来查看访问记录。

注意：-p 则可以指定要映射的端口，并且，在一个指定端口上只可以绑定一个容器。支持的格式有ip:hostPort:containerPort | ip::containerPort | hostPort:containerPort.

• 映射所有接口地址

采用hostPort:containerPort格式本地的 80 端口映射到容器的 80 端口，可以执行

docker run -d -p 80:80 nginx:alpine

默认会绑定本地所有接口上的所有地址。

• 映射到指定地址的指定端口

采用ip:hostPort:containerPort格式指定映射使用一个特定地址

• 映射到指定地址的任意端口

采用ip::containerPort绑定localhost的任意端口到容器的80端口，本地主机会自动分配一个端口。还可以使用udp标记来指定udp端口。

容器互联

新建网络

docker network create -d bridge my-net

• -d参数指定Docker网络类型，Docker Engine 支持两种网络：桥接网络(bridge network)和覆盖网络(overlay network),桥接的网络局限于单个主机运行的Docker Engine,而覆盖网络可以包含多个主机.

查看网络列表：

docker network ls

连接容器：

• 在运行容器命令时加--net or --network networkName连接指定网络
• 容器之间互联通过连接相同网络即可，但是有多个容器需要互联时，推荐使用Docker Compose

配置DNS

Linux系统配置DNS的时候有一个问题，就是你在/ect/resolv.conf文件中添加上nameserver XXX.XXX.XXX.XXX的时候，当时是生效的，但是机器重启之后就失效了，所以我们可以通过配置Network的方法来解决，但是对于docker来说，它默认是映射主机的DNS，但是如果你想在docker镜像中加上非主机的DNS，也许这个方法就解决不了问题，但是对于docker来说有两种方法来解决这个DNS的问题：

• 当我们希望我们run起来镜像的时候，/ect/resolv.conf文件中可以自动加载上我们希望的DNS，我们可以加上–dns=xx.xx.xx.xx来启动镜像.
• 当我们在build docker镜像的时，发现并没有–dns这个参数，那我们该怎么设置DNS呢？我们可以通过修改/etc/docker/daemon.json文件来实现:
  vim /etc/docker/daemon.json
  加入：

{
"dns":[xx.xx.xx.xx]
}

如果用户想要手动指定容器的配置，可以在使用docker run命令启动容器时加入如下参数： -h HOSTNAME或者–hostname=HOSTNAME设定容器的主机名，它会被写到容器内的/etc/hostname 和 /etc/hosts。但它在容器外部看不到，既不会在docker container ls中显示，也不会在其他的容器的/etc/hosts看到。

--dns=IP_ADDRESS添加 DNS 服务器到容器的/etc/resolv.conf中，让容器用这个服务器来解析所有不在 /etc/hosts 中的主机名。

--dns-search=DOMAIN设定容器的搜索域，当设定搜索域为.example.com时，在搜索一个名为host的主机时，DNS 不仅搜索 host，还会搜索host.example.com。

注意：如果在容器启动时没有指定最后两个参数，Docker会默认用主机上的/etc/resolv.conf来配置容器。

Docker的网络模式

引言：

Docker使用Linux桥接，在宿主机虚拟一个Docker容器网桥(docker0)，Docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地址，称为Container-IP，同时Docker网桥是每个容器的默认网关。因为在同一宿主机内的容器都接入同一个网桥，这样容器之间就能够通过容器的Container-IP直接通信。

Docker网桥是宿主机虚拟出来的，并不是真实存在的网络设备，外部网络是无法寻址到的，这也意味着外部网络无法直接通过Container-IP访问到容器。如果容器希望外部访问能够访问到，可以通过端口映射，即docker run创建容器时候通过 -p 或 -P 参数来启用，访问容器的时候就通过[宿主机IP]:[容器端口]访问容器。

使用下方命令可以查看网络，默认创建三种网络，但是Docker有四种网络模式。

 docker network ls

Docker的四种网络模式：

网络模式	配置	说明
bridge	–net=bridge	默认为该模式
host	–net=host	容器和宿主机共享Network namespace
none	–net=none	容器有独立的Network namespace，但并没有对其进行任何网络设置，如分配veth pair 和网桥连接，配置IP等
container	–net=containerNAME or ID	容器和另外一个容器共享Network namespace。 kubernetes中的pod就是多个容器共享一个Network namespace

注意：net 可以替换为network有同样作用

1. bridge模式：

当Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。

从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。在主机上创建一对虚拟网卡veth pair设备，Docker将veth pair设备的一端放在新创建的容器中，并命名为eth0（容器的网卡），另一端放在主机中，以vethxxx这样类似的名字命名，并将这个网络设备加入到docker0网桥中。可以通过brctl show命令查看网桥信息。

注意：brctl show 命令需要安装 bridge-utils，我们可以使用下方命令安装：

sudo apt install -y bridge-utils

• bridge模式是docker的默认网络模式，不写–net参数，就是bridge模式。使用docker run -p时，docker实际是在iptables做了DNAT规则，实现端口转发功能。可以使用iptables -t nat -vnL查看。
  
• 对于每个容器的 IP 地址和 Gateway 信息，可以通过 docker inspect 容器名称|ID 进行查看，在 NetworkSettings 节点中可以看到详细信息。
  
• 可以通过 docker network inspect bridge 查看所有 bridge 网络模式下的容器，在 Containers 节点中可以看到容器名称。同理，将bridge更换为其他三种网络模式名称，也可以查看所有指定网络模式下的容器。
  

bridge模式如下图所示：

2. host模式：

• 如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Namespace，而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。

• 使用host模式的容器可以直接使用宿主机的IP地址与外界通信，容器内部的服务端口也可以使用宿主机的端口，不需要进行NAT，host最大的优势就是网络性能比较好，但是docker host上已经使用的端口就不能再用了，网络的隔离性不好。

3. none模式：

• 使用none模式，Docker容器拥有自己的Network Namespace，但是，并不为Docker容器进行任何网络配置。也就是说，这个Docker容器没有网卡、IP、路由等信息。需要我们自己为Docker容器添加网卡、配置IP等。

• 这种网络模式下容器只有lo（local 的简写）回环网络，没有其他网卡。这种类型的网络没有办法联网，封闭的网络能很好的保证容器的安全性。

4. container模式：

这个模式指定新创建的容器和已经存在的一个容器共享一个 Network Namespace，而不是和宿主机共享。新创建的容器不会创建自己的网卡，配置自己的 IP，而是和一个指定的容器共享 IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过 lo 网卡设备实现高效快速通信。