docker三种自定义网络(虚拟网络) & overlay实现原理

·  docker提供了三种自定义网络驱动:bridge、overlay、macvlan。

·  bridge驱动类似默认的bridge网络模式。

·  overlay和macvlan是用于创建跨主机网络

·  支持自定义网段、网关,docker network create --subnet 172.77.0.0/24 --gateway 172.77.0.1 my_net。

·  docker创建容器使用默认docker0网络不支持自定义固定IP,都是动态的。

常用网络管理工具

apt install net-tools //ifconfig  查看网卡配置 (推荐使用 ip addr查看网卡信息

apt install dnsutils // nslookup

一、bridge创建单机

当你在Docker中创建bridge虚拟网络(虚拟网桥)时,Docker会同时创建一个与该虚拟网络相关的虚拟网卡

  Docker Bridge 网络的原理:

1.网桥(Bridge):网桥是一个虚拟的二层设备,它允许多个容器连接到同一个网络。Docker 在主机上创建一个名为 docker0 的网桥,默认分配网桥的 IP 地址为 172.17.0.1/16。主机上的容器可以连接到 docker0 网桥,并通过该网桥与其他容器进行通信

2.容器接口和 IP 分配:每当创建一个容器时,Docker 创建一个虚拟网络接口 veth 对并在容器内部分配一个唯一的 IP 地址。该 veth 对的一端连接到容器的网络命名空间,另一端连接到 docker0 网桥。通过这种方式,容器能够与其他容器和主机进行通信。

3.IP 数据包的转发:当容器之间需要进行通信时,Docker Bridge 网络使用 IP 转发机制将数据包从一个容器转发到另一个容器。它通过在主机上设置转发规则实现转发,确保数据包能够正确地传递到目标容器。

4.网络地址转换(NAT):通过 Docker Bridge 网络,容器可以通过主机访问外部网络。Docker 使用网络地址转换(NAT)技术,将容器的私有 IP 地址映射为主机的公共 IP 地址,以实现容器与外部网络的通信。

docker network ls //查看docker虚拟网络 

NETWORK ID     NAME              DRIVER    SCOPE

b483c4f42a0d     bridge              bridge    local

docker network inspect bridge  //如下所示 就是虚拟网桥的name 

通过brctl show 可查看宿主机上网桥信息(需要安装bridge-utils软件包)

可以通过ifconfig docker0 查看对应的虚拟网卡配置信息(推荐使用 ip addr查看网卡信息)。

二、macvlan创建

Docker 内置的 Macvlan 驱动(Windows 上是 Transparent)通过为容器提供 MAC 和 IP 地址,让容器在物理网络上成为“一等公民”。它允许Docker容器直接通过物理网络接口使用宿主机的MAC地址。Macvlan网络驱动程序使得每个容器都能获得唯一的MAC地址,就像宿主机的物理或虚拟机网卡一样

使用Macvlan网络驱动程序时,每个容器都可以直接与宿主机所连接的物理网络通信,就像它们是网络中的独立设备一样。这使得容器能够实现与网络上的其他设备直接进行通信,而不需要进行NAT转换

Macvlan 的优点是性能优异,无须端口映射或者额外桥接,可以直接通过主机接口(或者子接口)访问容器接口。Macvlan 的缺点是需要将主机网卡(NIC)设置为混杂模式(Promiscuous Mode),这在大部分公有云平台上是不允许的。

Macvlan 对于公司内部的数据中心网络来说很棒(假设公司网络组能接受 NIC 设置为混杂模式),但是 Macvlan 在公有云上并不可行。

# 所有主机均需开启网卡混杂模式

ip link set ens192 promisc on

docker network create -d macvlan --subnet=10.3.1.0/8 --ip-range=10.3.1.0/8 --gateway=10.1.1.1 -o parent=ens160 macvlan

--subnet=10.0.0.0/24:macvlan的IPv4网段

--gateway=10.0.0.1:macvlan的IPv4网关

--ipv6:启用IPv6支持

--subnet=fd00::/60:macvlan的IPv6前缀

--gateway=fd00::1:macvlan的IPv6网关

-o parent=ens192:桥接网络走的接口名称

 docker run -itd --name=node-1 -v /data:/data --network=macvlan --ip=10.3.1.145 993a4cf9c1e8

 Macvlan 也支持 VLAN 的 Trunk 功能。可以在相同的 Docker 主机上创建多个 Macvlan 网络,并且将容器按照下图的方式连接起来。

 

默认情况下各个macvlan容器之间可以通讯,但是不能与宿主机进行通讯!!

主要原因:为了安全而禁止互通. 如宿主机ping容器的ip,尽管他们属于同一网段,但也是ping不通的,反过来也是。

如果想要实现互通,有个曲线救国的方法,就是macvlan与macvlan之间可以互通,只需要在宿主机再创建一个macvlan网络,然后修改路由,让数据经过这个macvlan达到互通的目的。

宿主机 10.3.1.45  ens160  255.0.0.0

docker容器 10.3.2.146

# 创建一个名为macvlan_host的macvlan虚拟接口,并桥接到ens160物理接口上

ip link add macvlan_host link ens160 type macvlan mode bridge

# 为macvlan_host接口添加一个10.3.2.2的IP

# ip addr add 10.3.2.2 dev macvlan_host

# 开启macvlan_host接口

ip link set macvlan_host up

# 新增路由,使到macvlan容器的数据包由macvlan_host发出

ip route add 10.3.2.146 dev macvlan_host  //或者ip route add 10.3.2.0/24 dev macvlan_host

macvlan容器与宿主机在同一网段的情况下,macvlan_host不需要配置IP

ip link show //link查看

然后在宿主机ping 10.3.2.146即可ping通。

三、overlay创建跨主机

由于Linux内核设置的限制,当1000 个容器位于同一主机上时overlay覆盖网络会变得不稳定,容器间通信可能会中断

如果部署的服务非常多推荐使用host模式(共用宿主机网络,不需要nat转发),并自行维护iptables转发规则 和 负载均衡(可以用openresty)。

 在 Docker Overlay 网络中,并不会创建单独的虚拟网卡,而是使用 VXLAN 技术在主机之间建立隧道来实现容器之间的通信利用底层网络的网络设备来传输数据。这样可以实现多个主机上的容器与网络的统一管理,提供了分布式容器网络的功能。

Docker 集群会生成两种不同类型的流量:

1.控制和管理平面流量:这包括集群管理消息,例如加入或离开集群的请求。此流量始终是加密的。

2.应用程序数据平面流量:这包括容器流量以及进出外部客户端的流量。

docker swarm overlay网络 容器通过gw_bridge桥接在宿主机上若是集群内服务则走IPVS,若外网或集群外的服务器则走宿主机转发出去

以下三个网络概念对集群服务很重要:

1.overlay覆盖网络管理参与集群的Docker守护进程之间的通信。您可以创建覆盖网络,就像为独立容器创建用户定义的网络一样。您还可以将服务附加到一个或多个现有的覆盖网络,以启用服务到服务的通信。覆盖网络是使用覆盖网络驱动程序的Docker网络。

2.ingress入口网络是一种特殊的覆盖网络,可以促进服务节点之间的负载均衡。当任何集群节点在已发布的端口上接收到请求时,它将该请求传递给称为IPVS的模块。IPVS跟踪参与该服务的所有IP地址,选择其中一个,并通过入口网络将请求路由到它。

入口网络在初始化或加入集群时自动创建。大多数用户不需要自定义它的配置,但是Docker允许你这样做。

3.docker_gwbridge是一个桥接网络,它将overlay覆盖网络(包括ingress入口网络)连接到单个Docker守护进程的物理网络。默认情况下,服务运行的每个容器都连接到其本地Docker守护进程主机的docker_gwbridge网络。

docker_gwbridge 是一个特殊的桥接bridge网络,用于连接主机网络与Docker Overlay网络之间的网桥。并提供代理节点间通信的功能。它允许容器与外部网络进行通信。

在初始化或加入集群时自动创建docker_gwbridge网络。大多数用户不需要自定义它的配置,但是Docker允许你这样做。

Docker Overlay网络的实现原理如下:

1.创建Overlay网络:在Docker Swarm集群中,可以通过运行docker network create命令来创建Overlay网络。这将创建一个虚拟网络,其中包含集群中的所有Docker主机。

VXLAN:在创建Overlay网络时,Docker引擎会自动为每个Docker主机创建一个VTEP(VXLAN Tunnel Endpoint)。VTEP负责将容器网络数据封装成VXLAN报文,并通过底层网络进行传输

2.连接容器:当创建一个容器并将其连接到Overlay网络时,Docker引擎会为该容器分配一个唯一的IP地址,并将其添加到Overlay网络中。

3.数据传输:当容器之间需要进行通信时,发送方容器会将网络数据封装成VXLAN报文,并通过底层网络发送给接收方容器所在的主机。接收方主机上的VTEP会解封装VXLAN报文,提取出原始的网络数据,并将其传递给目标容器VXLAN报文通过底层网络传输,主要使用UDP协议,并使用标准的4789端口

4.负载均衡:在Overlay网络中,Swarm Mode会自动进行服务负载均衡。Swarm Mode会根据容器部署的策略,将请求均匀地分发给网络中的各个容器

 docker swarm init  创建一个manager

 docker swarm join-token -q worker  //manager  输出添加节点所需token

//在其他节点执行命令加入此的swarm集群(使用上面输出的token)

docker swarm join 10.1.1.115:2377 --token SWMTKN-1-2rcj8zj7rsajg6nm8difk3crs1n7r81d6nb9dwz4e44amyg3y9-63x165r4mapwza9dlfc8u9lib

 docker node ls来查看节点状态

查看所有节点的network ( docker network ls), 它们现在都有一个名为  ingress 的 overlay 网络和一个名为 docker_gwbridge 是 bridge 网络

 docker_gwbridge 将 ingress 网络连接到 Docker 宿主机的网络接口上,这样流量就可以在 swarm管理者和 worker 之间流动。如果你创建了 swarm 服务,但没有指定网络,它们就会被连接到 ingress 网络上。建议你为每个应用程序或将一起工作的应用程序组使用单独的 overlay 网络。

docker_gwbridge 的enable_icc 设置成false gwbridge 只是用来提供外网访问,不提供容器间访问,容器间的通信应该通过overlay网络

docker inspect docker_gwbridge

容器内ping 8.8.8.8能ping通即可( 若ping不通可能是存在网段冲突之类的问题,尝试删掉然后重新创建一个docker_gwbridge网络,或者重新建一个纯净虚拟机配置环境 )

创建overlay网络要求必须是swarm集群中的节点,否则会报错。

在 manager 上,创建一个新的 overlay 网络。不需要在其他节点上创建 overlay 网络,因为当这些节点开始运行一个需要它的服务任务时,网络将自动创建

docker network create -d overlay --subnet 10.3.1.0/8  --gateway 10.1.1.1 --attachable overlay

 --opt encrypted     在它们的vxlan流量启用附加的加密层(启用加密)。

 --subnet        指定overlay网络使用的子网网段。当不指定一个子网时,swarm管理器自动选择一个子网并分配给网络。

 --attachable       要创建一个既能用于集群服务,又能用于单独的容器来和其他docker守护进程中的单独的容器进行通信的网络,加上--attachable标记

  • 30
    点赞
  • 28
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 1
    评论
### 回答1: 使用docker-compose可以通过自定义网络来分配IP地址。在docker-compose文件中定义一个网络,然后为该网络设置一个IP范围,通过这个范围来分配IP地址给容器。 首先,在docker-compose.yml文件中定义一个网络,在`networks`部分添加一个新的网络,并为该网络指定一个自定义的名称,例如"my_network"。 ``` version: '2' services: my_service: image: my_image networks: - my_network networks: my_network: ipam: config: - subnet: 192.168.0.0/24 ``` 上面的例子中,我们定义了一个名为"my_network"的网络,并为该网络指定了一个IP范围192.168.0.0/24。 然后,将容器添加到该网络中。在服务的定义中,使用`networks`属性将服务连接到上述定义的网络。 这样,当使用`docker-compose up`启动容器时,容器将被分配一个在IP范围内的IP地址。 需要注意的是,如果要为多个容器分配独立的IP地址,需要确保IP范围的大小足够容纳所有容器所需的地址。 另外,使用自定义网络可以实现多个容器之间的通信,它们可以通过容器名称来相互访问,而无需使用IP地址。 综上所述,通过在docker-compose文件中定义自定义网络并为其设置IP范围,可以实现为容器分配IP地址。 ### 回答2: Docker Compose 允许我们在容器部署时使用自定义网络来分配 IP 地址。下面是关于 Docker Compose 自定义网络分配 IP 地址的一些重要信息: 1. 自定义网络的配置:在 Docker Compose 文件中,我们可以使用 `networks` 关键字定义自定义网络,并为其指定一个名称。例如: ```yaml version: '3' services: app: # 定义自定义网络 networks: - my-network networks: my-network: # 可选配置网络驱动 driver: bridge ``` 2. IP 地址分配方式:Docker Compose 支持三种不同的 IP 地址分配方式,分别是 `default`、`bridge` 和 `host`。默认情况下,Docker Compose 使用 `default` 分配方式。通过在网络配置中指定 `ipam` 选项,我们可以使用其他分配方式。 3. 使用 `default` 分配方式:如果使用默认的 `default` 分配方式,那么 Docker Compose 将自动为容器分配 IP 地址,并且会保持容器名称与 IP 地址之间的关联。例如,我们可以通过在服务定义中使用 `networks` 字段指定网络,并通过使用该网络容器名称来访问容器。 ```yaml services: app1: networks: - my-network app2: networks: - my-network networks: my-network: ``` 在这种情况下,Docker Compose 将为 `app1` 容器分配一个 IP 地址,并将其映射到容器名称 `my-app1`。 4. 使用其他分配方式:如果我们希望自定义 IP 地址分配方式,可以在网络配置中使用 `ipam` 选项。例如,我们可以指定一个静态 IP 地址供容器使用。 ```yaml services: app: networks: my-network: ipv4_address: 192.168.0.2 networks: my-network: ipam: config: - subnet: 192.168.0.0/16 ``` 在这种情况下,Docker Compose 将为 `app` 容器分配指定的 IP 地址 192.168.0.2。 通过以上的配置,我们可以根据需要在 Docker Compose 中自定义网络并分配 IP 地址。这样可以更好地控制容器之间的通信,并实现特定的网络需求。 ### 回答3: 在Docker Compose中,我们可以使用自定义网络来对容器进行分组和分配IP地址。通过自定义网络,我们可以更好地管理容器之间的通信和连接。 首先,在docker-compose.yml文件中定义一个自定义网络。我们可以使用以下语法来创建一个自定义网络: ```yml networks: <network_name>: driver: <driver_name> ``` 在上面的代码片段中,`<network_name>`是我们给网络取的名称,`<driver_name>`是网络使用的驱动程序。 例如,我们可以创建一个名为`my_network`的自定义网络,并使用默认的`bridge`驱动程序,只需在docker-compose.yml文件中添加以下代码: ```yml networks: my_network: driver: bridge ``` 一旦我们定义了一个自定义网络,我们可以将容器连接到这个网络,并为它们分配IP地址。 要将容器连接到自定义网络,我们可以使用以下代码: ```yml services: <service_name>: networks: - <network_name> ``` 在上面的代码片段中,`<service_name>`是我们要将容器连接到的服务名称,`<network_name>`是我们之前定义的自定义网络名称。 例如,如果我们要将一个名为`web`的服务连接到`my_network`网络,我们可以在docker-compose.yml文件中添加以下代码: ```yml services: web: networks: - my_network ``` 最后,我们可以为连接到自定义网络容器分配IP地址。Docker将自动为连接到网络容器分配IP地址。我们可以使用以下代码来查看容器IP地址: ```bash docker network inspect <network_name> ``` 在上面的命令中,`<network_name>`是我们之前定义的自定义网络名称。 总之,使用Docker Compose的自定义网络,我们可以轻松地进行容器的分组和分配IP地址。通过定义自定义网络并连接容器,我们可以实现灵活的容器通信和连接管理。

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

李庆政370

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值