从Docker零基础到懂一点实践教程（七）

最新推荐文章于 2024-08-09 18:11:25 发布
最新推荐文章于 2024-08-09 18:11:25 发布
阅读量3.5k 收藏 2
点赞数
分类专栏： Docker 文章标签： Docker
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/sch0120/article/details/53219391
版权

Docker容器的网络连接

Docker容器的网络基础

docker0

通过ifconfig命令我们可以查看到一个名为“docker0”的虚拟网桥，Docker就是通过这个网络设备为容器提供各种网络服务的。

schen@scvmu01:~/dockerfile/df_test7$ ifconfig docker0
docker0   Link encap:Ethernet  HWaddr 02:42:50:85:11:08  
          inet addr:172.17.0.1  Bcast:0.0.0.0  Mask:255.255.0.0
          inet6 addr: fe80::42:50ff:fe85:1108/64 Scope:Link
          UP BROADCAST MULTICAST  MTU:1500  Metric:1
          RX packets:45565 errors:0 dropped:0 overruns:0 frame:0
          TX packets:57804 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:2637647 (2.6 MB)  TX bytes:125311929 (125.3 MB)

schen@scvmu01:~/dockerfile/df_test7$

在OSI七层模型中网桥是一个单纯的数据链路层设备，但是Linux的虚拟网桥却有一些不同的特点：
1. 可以设置IP地址
2. 相当于拥有一个隐藏的虚拟网卡

在Linux中虚拟网桥是通用网络设备抽象的一种，我们可以为其分配IP地址，当虚拟网桥拥有IP地址后，Linux就可以通过路由表在网络层定位这个设备，这就相当于拥有了一个隐藏的虚拟网卡，而这个虚拟网卡的名字就是虚拟网桥的名字。

在一个容器启动时，Docker会自动创建网络连接的两端，一端是在容器中的网络设备“eth0”，另一端是在运行docker守护进程的主机上，以“veth”开头的网络接口，用来实现“docker0”网桥与容器之间的网络通信。

schen@scvmu01:~$ sudo brctl show
bridge name     bridge id               STP enabled     interfaces
docker0         8000.02420a2cd5c8       no
schen@scvmu01:~$ 
schen@scvmu01:~$ docker run -it --name nw_test1 ubuntu /bin/bash
root@78890c5328d8:/# schen@scvmu01:~$ 
schen@scvmu01:~$ 
schen@scvmu01:~$ sudo brctl show
bridge name     bridge id               STP enabled     interfaces
docker0         8000.02420a2cd5c8       no              veth15614bf
schen@scvmu01:~$

我们看到Docker在网桥“docker0”上添加了一个名为“veth15614bf”的网络接口，而使用ifconfig命令也同样可以看到：

schen@scvmu01:~$ ifconfig
docker0   Link encap:Ethernet  HWaddr 02:42:0a:2c:d5:c8  
          inet addr:172.17.0.1  Bcast:0.0.0.0  Mask:255.255.0.0
          inet6 addr: fe80::42:aff:fe2c:d5c8/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:16 errors:0 dropped:0 overruns:0 frame:0
          TX packets:8 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:1072 (1.0 KB)  TX bytes:648 (648.0 B)

enp0s3    Link encap:Ethernet  HWaddr 08:00:27:91:ae:e1  
          inet addr:192.168.199.202  Bcast:192.168.199.255  Mask:255.255.255.0
          inet6 addr: fe80::a00:27ff:fe91:aee1/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1027 errors:0 dropped:0 overruns:0 frame:0
          TX packets:666 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:178876 (178.8 KB)  TX bytes:101849 (101.8 KB)

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:284 errors:0 dropped:0 overruns:0 frame:0
          TX packets:284 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1 
          RX bytes:23376 (23.3 KB)  TX bytes:23376 (23.3 KB)

veth15614bf Link encap:Ethernet  HWaddr 46:82:38:62:be:be  
          inet6 addr: fe80::4482:38ff:fe62:bebe/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:8 errors:0 dropped:0 overruns:0 frame:0
          TX packets:8 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:648 (648.0 B)  TX bytes:648 (648.0 B)

schen@scvmu01:~$

备注：查看网桥所需的工具brctl可以通过sudo apt-get install bridge-utils命令获取。

自定义虚拟网桥

当“docker0”提供的IP地址范围不能满足我们的需求时，我们可以创建一个自定义的虚拟网桥并让Docker使用它，具体步骤是：
1. 添加一个虚拟网桥 sudo brctl addbr br0
2. 配置这个虚拟网桥 sudo ifconfig br0 192.168.100.1 netmask 255.255.255.0
3. 更改Docker守护进程的启动配置 DOCKER_OPTS="-b=br0"

schen@scvmu01:~$ sudo brctl addbr br0
schen@scvmu01:~$ 
schen@scvmu01:~$ sudo ifconfig br0 192.168.200.1 netmask 255.255.255.0
schen@scvmu01:~$ 
schen@scvmu01:~$ ifconfig br0
br0       Link encap:Ethernet  HWaddr 2e:1b:de:5d:1c:32  
          inet addr:192.168.200.1  Bcast:192.168.200.255  Mask:255.255.255.0
          inet6 addr: fe80::2c1b:deff:fe5d:1c32/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:7 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:0 (0.0 B)  TX bytes:578 (578.0 B)

schen@scvmu01:~$ 
schen@scvmu01:~$ sudo vi /etc/default/docker 
schen@scvmu01:~$ 
schen@scvmu01:~$ grep "^DOCKER_OPTS" /etc/default/docker 
DOCKER_OPTS="-b=br0"
schen@scvmu01:~$ 
schen@scvmu01:~$ sudo service docker restart
schen@scvmu01:~$ 
schen@scvmu01:~$ ps -ef | grep dockerd
root      3381     1  6 22:25 ?        00:00:02 dockerd -H fd:// -b=br0
schen     3506  2889  0 22:25 pts/2    00:00:00 grep --color=auto dockerd
schen@scvmu01:~$ 
schen@scvmu01:~$ docker run -it --name nw_test2 ubuntu /bin/bash
root@c4b71a368aed:/# schen@scvmu01:~$ 
schen@scvmu01:~$ 
schen@scvmu01:~$ docker ps
CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS              PORTS               NAMES
c4b71a368aed        ubuntu              "/bin/bash"         19 seconds ago      Up 16 seconds                           nw_test2
schen@scvmu01:~$ 
schen@scvmu01:~$ sudo brctl show
bridge name     bridge id               STP enabled     interfaces
br0             8000.727c26f1e078       no              vethdeb7922
docker0         8000.02420a2cd5c8       no
schen@scvmu01:~$ 
schen@scvmu01:~$ ifconfig vethdeb7922
vethdeb7922 Link encap:Ethernet  HWaddr 72:7c:26:f1:e0:78  
          inet6 addr: fe80::707c:26ff:fef1:e078/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:8 errors:0 dropped:0 overruns:0 frame:0
          TX packets:24 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:648 (648.0 B)  TX bytes:3431 (3.4 KB)

schen@scvmu01:~$ 
schen@scvmu01:~$ docker inspect --format='{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' nw_test2
192.168.200.2
schen@scvmu01:~$

我们看到这个容器已经连接到了我们自定义的网桥“br0”，它的IP地址属于我们指定的网段。

Docker容器的互联

允许所有容器间互联

之前我们讲过，同一主机上的容器是通过虚拟网桥进行连接的，因此默认状态下，它们之间是可以互相访问的。与此同时，Docker也提供了一个关于容器互联的选项--icc，在默认情况下它的值为“true”，表示允许容器之间的互相连接。

为了演示，我们使用如下Dockerfile进行构建，在这一节中的所有实验，我们使用的都是同一个镜像：

schen@scvmu01:~/dockerfile/cct_test$ cat Dockerfile 
# Container connection test
FROM ubuntu:16.04
RUN apt-get update
RUN apt-get install -y iputils-ping
RUN apt-get install -y nginx
RUN apt-get install -y curl
RUN apt-get install -y libnet-ifconfig-wrapper-perl
EXPOSE 80
CMD /bin/bash
schen@scvmu01:~/dockerfile/cct_test$ 
schen@scvmu01:~/dockerfile/cct_test$ docker build -t shichen/cct .
Sending build context to Docker daemon 2.048 kB
Step 1 : FROM ubuntu:16.04
 ---> bd3d4369aebc
Step 2 : RUN apt-get update
 ---> Using cache
 ---> 1f8637646fb7
Step 3 : RUN apt-get install -y iputils-ping
 ---> Using cache
 ---> be6a0581ce76
Step 4 : RUN apt-get install -y nginx
 ---> Using cache
 ---> eabc0b3001b4
Step 5 : RUN apt-get install -y curl
 ---> Using cache
 ---> 5ce546325260
Step 6 : RUN apt-get install -y libnet-ifconfig-wrapper-perl
 ---> Using cache
 ---> b0b563031e07
Step 7 : EXPOSE 80
 ---> Using cache
 ---> 281098766be7
Step 8 : CMD /bin/bash
 ---> Using cache
 ---> 7f5295283364
Successfully built 7f5295283364
schen@scvmu01:~/dockerfile/cct_test$ 
schen@scvmu01:~/dockerfile/cct_test$ docker images shichen/cct
REPOSITORY          TAG                 IMAGE ID            CREATED             SIZE
shichen/cct         latest              7f5295283364        2 minutes ago       280.7 MB
schen@scvmu01:~/dockerfile/cct_test$

我们来启动一个容器，并在其中运行Nginx，再启动另一个容器，通过ping和curl命令进行验证：

schen@scvmu01:~/dockerfile/cct_test$ docker run -it -p 80 --name cct1 shichen/cct
root@c6c4aaf0b503:/# ifconfig eth0
eth0      Link encap:Ethernet  HWaddr 02:42:ac:11:00:03  
          inet addr:172.17.0.3  Bcast:0.0.0.0  Mask:255.255.0.0
          inet6 addr: fe80::42:acff:fe11:3/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:6 errors:0 dropped:0 overruns:0 frame:0
          TX packets:6 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:508 (508.0 B)  TX bytes:508 (508.0 B)

root@c6c4aaf0b503:/# root@c6c4aaf0b503:/# nginx
root@c6c4aaf0b503:/# schen@scvmu01:~/dockerfile/cct_test$ 
schen@scvmu01:~/dockerfile/cct_test$ 
schen@scvmu01:~/dockerfile/cct_test$ docker run -it --name cct2 shichen/cct
root@ecb093406ceb:/# ping 172.17.0.3
PING 172.17.0.3 (172.17.0.3) 56(84) bytes of data.
64 bytes from 172.17.0.3: icmp_seq=1 ttl=64 time=1.60 ms
64 bytes from 172.17.0.3: icmp_seq=2 ttl=64 time=1.05 ms
64 bytes from 172.17.0.3: icmp_seq=3 ttl=64 time=0.579 ms
64 bytes from 172.17.0.3: icmp_seq=4 ttl=64 time=0.361 ms
^C
--- 172.17.0.3 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 0.361/0.901/1.607/0.479 ms
root@ecb093406ceb:/#          
root@ecb093406ceb:/# curl http://172.17.0.3:80
<!DOCTYPE html>
<html>
<head>
<title>Welcome to nginx!</title>
<style>
    body {
        width: 35em;
        margin: 0 auto;
        font-family: Tahoma, Verdana, Arial, sans-serif;
    }
</style>
</head>
<body>
<h1>Welcome to nginx!</h1>
<p>If you see this page, the nginx web server is successfully installed and
working. Further configuration is required.</p>

<p>For online documentation and support please refer to
<a href="http://nginx.org/">nginx.org</a>.<br/>
Commercial support is available at
<a href="http://nginx.com/">nginx.com</a>.</p>

<p><em>Thank you for using nginx.</em></p>
</body>
</html>
root@ecb093406ceb:/#

我们知道，每次容器启动时Docker都会为其重新分配IP地址，因此通过IP地址连接既不方便也不保险，好在Docker为我们提供了--link选项，用于在启动容器时为其他容器添加别名，这样我们就可以通过别名来访问对应的容器了：

schen@scvmu01:~/dockerfile/cct_test$ docker run -it --name cct3 --link=cct1:web_server shichen/cct
root@4c0985296c2a:/# ping web_server
PING web_server (172.17.0.3) 56(84) bytes of data.
64 bytes from web_server (172.17.0.3): icmp_seq=1 ttl=64 time=0.877 ms
64 bytes from web_server (172.17.0.3): icmp_seq=2 ttl=64 time=1.35 ms
64 bytes from web_server (172.17.0.3): icmp_seq=3 ttl=64 time=0.726 ms
64 bytes from web_server (172.17.0.3): icmp_seq=4 ttl=64 time=1.44 ms
^C
--- web_server ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3008ms
rtt min/avg/max/mdev = 0.726/1.102/1.449/0.308 ms
root@4c0985296c2a:/# 
root@4c0985296c2a:/# env | grep -i web_server
WEB_SERVER_PORT_80_TCP=tcp://172.17.0.3:80
WEB_SERVER_PORT=tcp://172.17.0.3:80
WEB_SERVER_PORT_80_TCP_PROTO=tcp
WEB_SERVER_PORT_80_TCP_ADDR=172.17.0.3
WEB_SERVER_NAME=/cct3/web_server
WEB_SERVER_PORT_80_TCP_PORT=80
root@4c0985296c2a:/# 
root@4c0985296c2a:/# grep -i web_server /etc/hosts
172.17.0.3      web_server c6c4aaf0b503 cct1
root@4c0985296c2a:/#

不难发现，为了实现这个机制，Docker对容器做出了适当的修改。那么，当我们重启Docker时，所有容器的IP地址都会改变，不过不用担心，Docker会自动为我们做出对应的修改，以使得我们可以继续正确地使用别名：

schen@scvmu01:~/dockerfile/cct_test$ sudo service docker restart
schen@scvmu01:~/dockerfile/cct_test$ 
schen@scvmu01:~/dockerfile/cct_test$ docker ps
CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS              PORTS               NAMES
schen@scvmu01:~/dockerfile/cct_test$ 
schen@scvmu01:~/dockerfile/cct_test$ docker restart cct1 cct2 cct3
cct1
cct2
cct3
schen@scvmu01:~/dockerfile/cct_test$ 
schen@scvmu01:~/dockerfile/cct_test$ docker attach cct3
root@4c0985296c2a:/# 
root@4c0985296c2a:/# ping web_server
PING web_server (172.17.0.2) 56(84) bytes of data.
64 bytes from web_server (172.17.0.2): icmp_seq=1 ttl=64 time=2.59 ms
64 bytes from web_server (172.17.0.2): icmp_seq=2 ttl=64 time=0.465 ms
64 bytes from web_server (172.17.0.2): icmp_seq=3 ttl=64 time=0.331 ms
64 bytes from web_server (172.17.0.2): icmp_seq=4 ttl=64 time=0.109 ms
^C
--- web_server ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3004ms
rtt min/avg/max/mdev = 0.109/0.873/2.590/0.999 ms
root@4c0985296c2a:/# 
root@4c0985296c2a:/# env | grep -i web_server
WEB_SERVER_PORT_80_TCP=tcp://172.17.0.2:80
WEB_SERVER_PORT=tcp://172.17.0.2:80
WEB_SERVER_PORT_80_TCP_PROTO=tcp
WEB_SERVER_PORT_80_TCP_ADDR=172.17.0.2
WEB_SERVER_NAME=/cct3/web_server
WEB_SERVER_PORT_80_TCP_PORT=80
root@4c0985296c2a:/# 
root@4c0985296c2a:/# grep -i web_server /etc/hosts
172.17.0.2      web_server dc8b267d6fa7 cct1
root@4c0985296c2a:/#

拒绝所有容器间互联

要拒绝所有容器之间的互联，我们只需要将Docker守护进程的--icc参数设置为“false”即可。

允许特定容器间的连接

要允许特定容器间的连接，需要满足以下三个条件：
1. Docker守护进程--icc选项设置为“false”
2. Docker守护进程--iptables选项设置为“true”
3. 在容器运行时通过--link选项指定别名

当--iptables=true时，Docker会配置Linux的iptables，这个选项默认是打开的。配合--icc=false，Docker会为我们阻断所有容器之间的互联，而仅允许那些通过--link选项配置的连接：

schen@scvmu01:~/dockerfile/cct_test$ grep ^DOCKER_OPTS /etc/default/docker 
DOCKER_OPTS="--icc=false --iptables=true"
schen@scvmu01:~/dockerfile/cct_test$ 
schen@scvmu01:~/dockerfile/cct_test$ sudo service docker restart
schen@scvmu01:~/dockerfile/cct_test$ 
schen@scvmu01:~/dockerfile/cct_test$ ps -ef | grep dockerd
root     12002     1  2 22:41 ?        00:00:08 dockerd -H fd:// --icc=false --iptables=true
schen    12196  2546  0 22:46 pts/2    00:00:00 grep --color=auto dockerd
schen@scvmu01:~/dockerfile/cct_test$

我们重启之前的三个容器，可以发现通过--link配置过的“cct3”能够正常访问“cct1”提供的网页服务，而“cct2”却不能：

schen@scvmu01:~/dockerfile/cct_test$ docker restart cct1 cct2 cct3
cct1
cct2
cct3
schen@scvmu01:~/dockerfile/cct_test$ 
schen@scvmu01:~/dockerfile/cct_test$ docker attach cct1
root@dc8b267d6fa7:/# 
root@dc8b267d6fa7:/# ifconfig eth0
eth0      Link encap:Ethernet  HWaddr 02:42:ac:11:00:02  
          inet addr:172.17.0.2  Bcast:0.0.0.0  Mask:255.255.0.0
          inet6 addr: fe80::42:acff:fe11:2/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:24 errors:0 dropped:0 overruns:0 frame:0
          TX packets:8 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:1944 (1.9 KB)  TX bytes:648 (648.0 B)

root@dc8b267d6fa7:/# nginx
root@dc8b267d6fa7:/# 
root@dc8b267d6fa7:/# schen@scvmu01:~/dockerfile/cct_test$ 
schen@scvmu01:~/dockerfile/cct_test$ 
schen@scvmu01:~/dockerfile/cct_test$ docker attach cct3
root@4c0985296c2a:/# 
root@4c0985296c2a:/# curl web_server
<!DOCTYPE html>
<html>
<head>
<title>Welcome to nginx!</title>
<style>
    body {
        width: 35em;
        margin: 0 auto;
        font-family: Tahoma, Verdana, Arial, sans-serif;
    }
</style>
</head>
<body>
<h1>Welcome to nginx!</h1>
<p>If you see this page, the nginx web server is successfully installed and
working. Further configuration is required.</p>

<p>For online documentation and support please refer to
<a href="http://nginx.org/">nginx.org</a>.<br/>
Commercial support is available at
<a href="http://nginx.com/">nginx.com</a>.</p>

<p><em>Thank you for using nginx.</em></p>
</body>
</html>
root@4c0985296c2a:/# 
root@4c0985296c2a:/# schen@scvmu01:~/dockerfile/cct_test$ 
schen@scvmu01:~/dockerfile/cct_test$ 
schen@scvmu01:~/dockerfile/cct_test$ docker attach cct2
root@ecb093406ceb:/# 
root@ecb093406ceb:/# curl 172.17.0.2
curl: (7) Failed to connect to 172.17.0.2 port 80: Connection timed out
root@ecb093406ceb:/#

其实如果多加尝试，我们还会发现，即便是在“cct3”中，也是无法通过ping命令访问“cct1”的。我们可以通过查看Linux的iptables设置来寻找答案：

schen@scvmu01:~/dockerfile/cct_test$ docker attach cct3
root@4c0985296c2a:/# 
root@4c0985296c2a:/# ping web_server
PING web_server (172.17.0.2) 56(84) bytes of data.
^C
--- web_server ping statistics ---
131 packets transmitted, 0 received, 100% packet loss, time 130433ms

root@4c0985296c2a:/# 
root@4c0985296c2a:/# schen@scvmu01:~/dockerfile/cct_test$ 
schen@scvmu01:~/dockerfile/cct_test$ 
schen@scvmu01:~/dockerfile/cct_test$ sudo iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
DOCKER-ISOLATION  all  --  0.0.0.0/0            0.0.0.0/0           
DOCKER     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
DROP       all  --  0.0.0.0/0            0.0.0.0/0           

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain DOCKER (1 references)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            172.17.0.2           tcp dpt:80
ACCEPT     tcp  --  172.17.0.4           172.17.0.2           tcp dpt:80
ACCEPT     tcp  --  172.17.0.2           172.17.0.4           tcp spt:80

Chain DOCKER-ISOLATION (1 references)
target     prot opt source               destination         
RETURN     all  --  0.0.0.0/0            0.0.0.0/0           
schen@scvmu01:~/dockerfile/cct_test$

不难发现，在“DOCKER”链中Linux只允许了“cct3”与“cct1”之间的80端口通讯，这就解释了我们刚刚遇到的情况。

Docker容器与外部网络的连接

首先介绍两个概念，一个叫做“ip-forward”，另一个叫做“iptables”，这两个因素决定着Docker与外部网络的连接。

ip-forward

“ip-forward”本身表示的是Linux系统中的一个变量，它的值决定了系统是否可以转发流量。在Docker守护进程的选项中，--ip-forward默认会被设置为“true”，这样每次Docker启动时都会对系统的“ip-forward”变量进行设置，使系统可以正常转发流量。我们可以通过sudo sysctl net.ipv4.conf.all.forwarding命令来查看到这个变量的值。

schen@scvmu01:~$ ps -ef | grep dockerd
root      1129     1  0 19:55 ?        00:00:08 dockerd -H fd:// --icc=false --iptables=true
schen     1701  1631  0 20:41 pts/0    00:00:00 grep --color=auto dockerd
schen@scvmu01:~$ 
schen@scvmu01:~$ sudo sysctl net.ipv4.conf.all.forwarding
net.ipv4.conf.all.forwarding = 1
schen@scvmu01:~$

iptables

iptables是与Linux内核集成的包过滤防火墙系统，几乎所有的Linux发行版都会包含这个功能。

graph LR
接收的数据包-->PREROUTING
PREROUTING-->FORWARD
PREROUTING-->INPUT
FORWARD-->POSTROUTING
INPUT-->主机
主机-->OUTPUT
OUTPUT-->POSTROUTING
POSTROUTING-->发送的数据包

上图可以看做是iptables最简单的工作模型，同时它也代表着iptables对网络数据包处理流程的抽象。图中的英文部分为链的名称，每一个链都是数据处理中的一个环节，而在每个环节中又包含了不同的操作。

图中包含了数据包的三种流动方式：
1. 数据接收路径：当网卡上收到的数据包以本地主机为目的地时，它首先经过“PREROUTING”链处理，然后经过“INPUT”链处理，最终到达本地主机。
2. 数据发送路径：当数据包从本地主机发出时，它首先经过“OUTPUT”链处理，然后经过“POSTROUTING”链处理，最终到达网卡并发出。
3. 数据转发路径：当网卡上收到的数据包并不是以本地主机为目的地时，它首先经过“PREROUTING”链处理，然后经过“FORWARD”链处理，最后经过“POSTROUTING”链处理，最终到达网卡并发出。

iptables中各种链所支持的操作：

链所支持的操作
INPUTfilter, mangle
OUTPUTfilter, nat, mangle, raw
FORWARDfilter, mangle
PREROUTINGnat, mangle, raw
POSTROUTINGnat, raw, mangle

iptables中还有三个非常重要的概念：
1. “表(table)”：它是包含有某种特定操作（操作名即为表名）的链的集合，iptables共有四个表，它们分别是filter、nat、mangle、raw。
2. “链(chain)”：它是各种“规则”的集合，iptables共有五个链，它们分别是INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING。
3. “规则(policy)”：它是一条条的过滤语句，iptables最主要的规则有三个，它们分别是ACCEPT、REJECT、DROP。

以filter表为例，它所包含的链为INPUT、OUTPUT、FORWARD，在装有Docker的主机上，FORWARD链还包含有DOCKER和DOCKER-ISOLATION两个子链，而子链还会包含一种特殊的规则RETURN，用于回到主链上继续处理。这个表看起来会是这样：

schen@scvmu01:~$ sudo iptables -t filter -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
DOCKER-ISOLATION  all  --  0.0.0.0/0            0.0.0.0/0           
DOCKER     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
DROP       all  --  0.0.0.0/0            0.0.0.0/0           

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain DOCKER (1 references)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            172.17.0.2           tcp dpt:80

Chain DOCKER-ISOLATION (1 references)
target     prot opt source               destination         
RETURN     all  --  0.0.0.0/0            0.0.0.0/0           
schen@scvmu01:~$

下面我们来启动两个容器，并在它们上面运行Nginx，可以看到iptables为它们添加了相应的规则，以允许来自任何地址的请求访问它们的80端口：

schen@scvmu01:~$ docker run -p 80 -it --name cct4 shichen/cct
root@e9eabc418845:/# 
root@e9eabc418845:/# nginx
root@e9eabc418845:/# 
root@e9eabc418845:/# ifconfig eth0
eth0      Link encap:Ethernet  HWaddr 02:42:ac:11:00:02  
          inet addr:172.17.0.2  Bcast:0.0.0.0  Mask:255.255.0.0
          inet6 addr: fe80::42:acff:fe11:2/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:24 errors:0 dropped:0 overruns:0 frame:0
          TX packets:8 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:1944 (1.9 KB)  TX bytes:648 (648.0 B)

root@e9eabc418845:/# 
root@e9eabc418845:/# schen@scvmu01:~$ 
schen@scvmu01:~$ 
schen@scvmu01:~$ docker run -p 80 -it --name cct5 shichen/cct
root@8562caf46113:/# 
root@8562caf46113:/# nginx 
root@8562caf46113:/# 
root@8562caf46113:/# ifconfig eth0
eth0      Link encap:Ethernet  HWaddr 02:42:ac:11:00:03  
          inet addr:172.17.0.3  Bcast:0.0.0.0  Mask:255.255.0.0
          inet6 addr: fe80::42:acff:fe11:3/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:8 errors:0 dropped:0 overruns:0 frame:0
          TX packets:8 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:648 (648.0 B)  TX bytes:648 (648.0 B)

root@8562caf46113:/# 
root@8562caf46113:/# schen@scvmu01:~$ 
schen@scvmu01:~$ 
schen@scvmu01:~$ docker ps
CONTAINER ID        IMAGE               COMMAND                  CREATED             STATUS              PORTS                   NAMES
8562caf46113        shichen/cct         "/bin/sh -c /bin/bash"   15 seconds ago      Up 11 seconds       0.0.0.0:32770->80/tcp   cct5
e9eabc418845        shichen/cct         "/bin/sh -c /bin/bash"   39 seconds ago      Up 35 seconds       0.0.0.0:32769->80/tcp   cct4
schen@scvmu01:~$ 
schen@scvmu01:~$ sudo iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
DOCKER-ISOLATION  all  --  0.0.0.0/0            0.0.0.0/0           
DOCKER     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
DROP       all  --  0.0.0.0/0            0.0.0.0/0           

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain DOCKER (1 references)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            172.17.0.2           tcp dpt:80
ACCEPT     tcp  --  0.0.0.0/0            172.17.0.2           tcp dpt:80
ACCEPT     tcp  --  0.0.0.0/0            172.17.0.3           tcp dpt:80

Chain DOCKER-ISOLATION (1 references)
target     prot opt source               destination         
RETURN     all  --  0.0.0.0/0            0.0.0.0/0           
schen@scvmu01:~$

这时我们可以通过另一台主机“scvmu02”来访问它们所提供的web服务：

schen@scvmu01:~$ ifconfig enp0s3
enp0s3    Link encap:Ethernet  HWaddr 08:00:27:91:ae:e1  
          inet addr:192.168.199.202  Bcast:192.168.199.255  Mask:255.255.255.0
          inet6 addr: fe80::a00:27ff:fe91:aee1/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:2666 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1150 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:571012 (571.0 KB)  TX bytes:226028 (226.0 KB)

schen@scvmu01:~$ 
schen@scvmu01:~$ docker port cct4
80/tcp -> 0.0.0.0:32769
schen@scvmu01:~$ 
schen@scvmu01:~$ docker port cct5
80/tcp -> 0.0.0.0:32770
schen@scvmu01:~$ 
schen@scvmu02:~$ curl http://192.168.199.202:32769
<!DOCTYPE html>
<html>
<head>
<title>Welcome to nginx!</title>
<style>
    body {
        width: 35em;
        margin: 0 auto;
        font-family: Tahoma, Verdana, Arial, sans-serif;
    }
</style>
</head>
<body>
<h1>Welcome to nginx!</h1>
<p>If you see this page, the nginx web server is successfully installed and
working. Further configuration is required.</p>

<p>For online documentation and support please refer to
<a href="http://nginx.org/">nginx.org</a>.<br/>
Commercial support is available at
<a href="http://nginx.com/">nginx.com</a>.</p>

<p><em>Thank you for using nginx.</em></p>
</body>
</html>
schen@scvmu02:~$ 
schen@scvmu02:~$ curl http://192.168.199.202:32770
<!DOCTYPE html>
<html>
<head>
<title>Welcome to nginx!</title>
<style>
    body {
        width: 35em;
        margin: 0 auto;
        font-family: Tahoma, Verdana, Arial, sans-serif;
    }
</style>
</head>
<body>
<h1>Welcome to nginx!</h1>
<p>If you see this page, the nginx web server is successfully installed and
working. Further configuration is required.</p>

<p>For online documentation and support please refer to
<a href="http://nginx.org/">nginx.org</a>.<br/>
Commercial support is available at
<a href="http://nginx.com/">nginx.com</a>.</p>

<p><em>Thank you for using nginx.</em></p>
</body>
</html>
schen@scvmu02:~$

现在我们可以通过添加一条iptables规则，来阻止从主机“scvmu02”到其中一个容器“cct5”的web服务访问：

schen@scvmu02:~$ ifconfig enp0s3
enp0s3    Link encap:Ethernet  HWaddr 08:00:27:30:ed:3b  
          inet addr:192.168.199.201  Bcast:192.168.199.255  Mask:255.255.255.0
          inet6 addr: fe80::a00:27ff:fe30:ed3b/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:726 errors:0 dropped:0 overruns:0 frame:0
          TX packets:706 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:112979 (112.9 KB)  TX bytes:112806 (112.8 KB)

schen@scvmu02:~$ 
schen@scvmu01:~$ sudo iptables -I DOCKER -s 192.168.199.201 -d 172.17.0.3 -p TCP --dport 80 -j DROP
schen@scvmu01:~$ 
schen@scvmu01:~$ sudo iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
DOCKER-ISOLATION  all  --  0.0.0.0/0            0.0.0.0/0           
DOCKER     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
DROP       all  --  0.0.0.0/0            0.0.0.0/0           

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain DOCKER (1 references)
target     prot opt source               destination         
DROP       tcp  --  192.168.199.201      172.17.0.3           tcp dpt:80
ACCEPT     tcp  --  0.0.0.0/0            172.17.0.2           tcp dpt:80
ACCEPT     tcp  --  0.0.0.0/0            172.17.0.2           tcp dpt:80
ACCEPT     tcp  --  0.0.0.0/0            172.17.0.3           tcp dpt:80

Chain DOCKER-ISOLATION (1 references)
target     prot opt source               destination         
RETURN     all  --  0.0.0.0/0            0.0.0.0/0           
schen@scvmu01:~$ 
schen@scvmu02:~$ curl http://192.168.199.202:32769
<!DOCTYPE html>
<html>
<head>
<title>Welcome to nginx!</title>
<style>
    body {
        width: 35em;
        margin: 0 auto;
        font-family: Tahoma, Verdana, Arial, sans-serif;
    }
</style>
</head>
<body>
<h1>Welcome to nginx!</h1>
<p>If you see this page, the nginx web server is successfully installed and
working. Further configuration is required.</p>

<p>For online documentation and support please refer to
<a href="http://nginx.org/">nginx.org</a>.<br/>
Commercial support is available at
<a href="http://nginx.com/">nginx.com</a>.</p>

<p><em>Thank you for using nginx.</em></p>
</body>
</html>
schen@scvmu02:~$ 
schen@scvmu02:~$ curl http://192.168.199.202:32770
curl: (7) Failed to connect to 192.168.199.202 port 32770: Connection timed out
schen@scvmu02:~$

我们看到，在主机“scvmu02”上依然可以访问容器“cct4”上提供的web服务，但却无法再访问“cct5”上提供的web服务了。

由此可见，Docker正是通过iptables提供的防火墙机制来实现对容器的各种访问控制，因此掌握iptables的相关知识将会对Docker网络配置的学习有很大的帮助。

schrht
关注
专栏目录
(分析篇章)从海量信息中脱颖而出：Workflow智能分析解决方案，大语言模型为AI科技文章打造精准摘要评分体系
丨汀、的博客
08-21 122
从海量信息中脱颖而出：Workflow智能分析解决方案，大语言模型为AI科技文章打造精准摘要评分体系(分析篇章)
2019最新Linux云计算学习教程（学习路线+课程大纲+面试题+视频教程+网盘下载）
qfxulei的博客
05-13 1835
没有相关的视频教程及相关的学习线路，学起来是一件很费劲的事情，还有很多人从网上及其它渠道购买视频，这些视频资料大多是盗版，上当受骗的人不在少数。为此千锋小编呕心沥血整理了这套零基础全套Linux云计算教程，不管是小白还是大牛，这套资料你都值得拥有！ 学习路线 我们怎么学习Linux系统呢？搜搜网上学习Linux大致有两大观点： 学习需要投资，自己搞台电脑安装Linux系统没事使用Linux系统生...
Docker基础教程——Dockerfile
anxpp的博客
09-11 4293
Dockerfile是一个文本格式的配置文件，我们可以使用Dockerfile文件快速创建自定义的镜像。 Dockerfile支持的众多指令是本文主要要介绍的内容，之后会给出一个基本示例。 一般而言，Docker分为4部分：基础镜像信息、维护者信息、镜像操作指令和容器启动时的执行命令。 并且支持以#开头的注释行。 1、指令 指令的一半格式是INSTRUCTION arguments。 （1）FROM 格式为FROM <image>或者FROM <image
只要一小时，零基础入门Docker
sisiair的博客
12-22 8723
Docker是什么？ Docker是一个虚拟环境容器，可以将你的开发环境、代码、配置文件等一并打包到这个容器中，并发布和应用到任意平台中。比如，你在本地用Python开发网站后台，开发测试完成后，就可以将Python3及其依赖包、Flask及其各种插件、Mysql、Nginx等打包到一个容器中，然后部署到任意你想部署到的环境。 Docker官方文档比较全，建议有能力的读一下官方文档。
Python Docker 实践教程（三）
最新发布
龙哥盟
08-09 841
在这一章中，你学习了持续集成，以及如何在每次 Git 提交后使用持续集成自动构建 Docker 映像，使得测试容器和应用变得更加容易。您还了解了 container orchestrators，对 Kubernetes 进行了概述，并学习了如何使用kind在本地系统上部署 Kubernetes 集群，以简化 Docker 应用的测试，并为生产部署做好准备。最后，您尝试了一些使用kind。
零基础入门 Docker（上）
GitChat
08-14 663
作为一种新兴的虚拟化方式，Docker 跟传统的虚拟化方式相比具有众多的优势。作为一个新手，如何真正快速入门而非蜻蜓点水式了解，成为很多刚接触 Docker 同学的疑惑。 本场 Chat 以全新手视角去讲述 Docker 基础知识，涵盖 Docker 的简介、安装、镜像和容器常用操作命令以及端口映射。主要内容点如下： Docker 简介； Docker 核心概念及安装； Docker 仓库； D...
Docker超详细基础教程，快速入门docker首选(万字长文建议收藏)_docker入门教程
2401_84264096的博客
04-26 1867
docker exec -it 容器id bash。
Docker的基础教程（一）
qq_69243343的博客
04-24 247
Docker基础教程——Docker的安装
从Docker零基础到懂一点实践教程（五）
SchRHT Blog
11-18 5211
Docker客户端和守护进程Docker的CS模式在Docker的实现机制中，有两个重要的概念，“Docker客户端”和“Docker守护进程”。“Docker守护进程”运行在宿主计算机上，在CS模式中充当Server的角色，它为“Docker客户端”提供服务，并且完成Docker中的各项任务。sequenceDiagram 用户->>Docker客户端: 命令行指令 Docker客户端->>Doc
从Docker零基础到懂一点实践教程（九）
SchRHT Blog
11-18 2587
Docker容器的跨主机访问使用网桥实现跨主机容器连接如果我们使用自定义虚拟网桥，将其桥接到Docker主机的网卡上，并使用与Docker主机相同的IP段，那么我们就相当于将Docker主机中的容器与Docker主机所在的网络连接在了一起。就像下面这个图示中，我们在不同主机中创建虚拟网桥“br0”，并使用这个网桥连接Docker主机的物理网卡和Docker容器，这就意味着我们将不同主机上的Docke
javaspringboot教程，5214页PDF的进阶架构师学习笔记
2401_84415534的博客
04-23 870
上述知识点，囊括了目前互联网企业的主流应用技术以及能让你成为“香饽饽”的高级架构知识，每个笔记里面几乎都带有实战内容。很多人担心学了容易忘，这里教你一个方法，那就是重复学习。打个比方，假如你正在学习 spring 注解，突然发现了一个注解@Aspect，不知道干什么用的，你可能会去查看源码或者通过博客学习，花了半小时终于弄懂了，下次又看到@Aspect 了，你有点郁闷了，上次好像在哪哪哪学习，你快速打开网页花了五分钟又学会了。从半小时和五分钟的对比中可以发现多学一次就离真正掌握知识又近了一步。
Docker入门教程.pdf
05-20
Docker入门教程
Docker基础教程
weixin_44972135的博客
05-09 292
一、Docker简介 Docker 可以让开发者打包他们的应用以及依赖包到一个轻量级、可移植的容器中，然后发布到任何流行的 Linux 机器上，也可以实现虚拟化。 二、Centos7安装docker 卸载旧的docker yum remove docker docker-client docker-client-latest docker-common docker-latest docker-latest-logrotate docker-logrotate docker-engine 下载所
Docker入门基础使用教程汇总（全是干货，简单实用）
热门推荐
liuwfeii的专栏
07-24 1万+
微服务虽然具备各种各样的优势，但服务的拆分通用给部署带来了很大的麻烦。分布式系统中，依赖的组件非常多，不同组件之间部署时往往会产生一些冲突。在数百上千台服务中重复部署，环境不一定一致，会遇到各种问题1.1.1.应用部署的环境问题依赖关系复杂，容易出现兼容性问题开发、测试、生产环境有差异正在上传…重新上传取消例如一个项目中，部署时需要依赖于node.js、Redis、RabbitMQ、MySQL等，这些服务部署时所需要的函数库、依赖项各不相同，甚至会有冲突。给部署带来了极大的困难。
深入浅出docker基本操作——docker基础教程
JosenChina的博客
10-17 587
docker原理 docker结构 docker操作 docker。。。
Docker
wtf0712的博客
07-29 370
Docker是一款轻量级虚拟化容器的管理引擎，这里主要介绍Docker的几个基本概念。如果你对Docker还不是很了解，可以阅读背景知识来了解更多有关Docker的背景与发展等情况。 Docker的两个基本概念 关于Docker容器，涉及到两个非常重要的概念：镜像和容器。 镜像 镜像可以理解为一个打包了运行环境的特殊文件系统，它包含了容器启动运行所需的所有信息，包括运行程序和配置数据等。镜...
Docker教程（一）入门教程
freedom
05-28 3096
1.什么是 Docker 官网的介绍是“Docker is the world’s leading software container platform.” 官方给Docker的定位是一个应用容器平台。 Docker 是一个容器平台的领导者 Docker 容器平台 Docker 应用容器平台 application项目 Mysql Redis MongoDB ElasticSeacrh … application项目 Docker 应用容器平台 Mysql Redis
docker基础超详细教程，一篇文章帮助你从零开始学习docker，从入门到实战
一弓虽的博客
03-22 3783
docker基础知识大汇总，帮助你从零开始学习docker，从入门到实战
Docker超详细基础教程，快速入门docker首选(万字长文建议收藏)
09-05 9754
一、docker概述 1.什么是docker Docker 是一个开源的应用容器引擎，基于 Go 语言 并遵从 Apache2.0 协议开源。 Docker 可以让开发者打包他们的应用以及依赖包到一个轻量级、可移植的容器中，然后发布到任何流行的 Linux 机器上，也可以实现虚拟化。 容器是完全使用沙箱机制，相互之间不会有任何接口（类似 iPhone 的 app）,更重要的是容器性能开销极低。 Docker 从 17.03 版本之后分为 CE（Community Edition: 社区版） 和 E..
Docker深度学习：从基础到高级实践
本资源是一份详尽的Docker学习教程，旨在引导读者从基础知识到实践应用逐步掌握Docker技术。Docker是一种流行的开源平台，用于构建、部署和运行分布式应用程序，它通过轻量级的容器技术实现了软件的标准化和隔离。 ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值