Docker容器技术之Docker网络
说明,在本文中,所有的images采用的是busybox:latest。系统采用的是Ubuntu22.04
一、Dokcer网络的分类
Docker安装完毕后会在主机上建立三个网络:
从上图中可以看到,网络类型分别为bridge、host、null.
二、各种网络的用途
1. bridge网络
Docker安装时会创建一个命名为docker0的Linux bridge。如果不指定–network,创建的容器默认都会挂到docker0上,如下图所示:
当前docker0上没有任何其他网络设备,我们创建一个容器看看。
从图中可以看到当创建好容器之后,在bridge网络上面创建了网络接口,接口名称为veth6477b8c,veth6477b8c就是新创建容器的虚拟网卡的另一头的网络接口的名字。
在安装完Docker之后,docker0的详细信息如下:
helmer@Hanssen:~$ docker network inspect bridge
[
{
"Name": "bridge",
"Id": "af3aa424ee39ec0c353e9b56b7321efa22db8bc9d1acc6c6fad9384da173459d",
"Created": "2022-07-19T09:16:08.310884499+08:00",
"Scope": "local",
"Driver": "bridge",
"EnableIPv6": false,
"IPAM": {
"Driver": "default",
"Options": null,
"Config": [
{
"Subnet": "172.17.0.0/16",
"Gateway": "172.17.0.1"
}
]
},
"Internal": false,
"Attachable": false,
"Ingress": false,
"ConfigFrom": {
"Network": ""
},
"ConfigOnly": false,
"Containers": {
"913679c219d814bf1b78378c680571b45f4351510cf9e2a04b7aa1fcbe3d1b3c": {
"Name": "flamboyant_pare",
"EndpointID": "451c45c3d0695540fa9993e140cabecdf2736fa92175f985154fa1cf3de6be52",
"MacAddress": "02:42:ac:11:00:02",
"IPv4Address": "172.17.0.2/16",
"IPv6Address": ""
}
},
"Options": {
"com.docker.network.bridge.default_bridge": "true",
"com.docker.network.bridge.enable_icc": "true",
"com.docker.network.bridge.enable_ip_masquerade": "true",
"com.docker.network.bridge.host_binding_ipv4": "0.0.0.0",
"com.docker.network.bridge.name": "docker0",
"com.docker.network.driver.mtu": "1500"
},
"Labels": {}
}
]
helmer@Hanssen:~$
容器的网络信息如下图
helmer@Hanssen:~$ docker attach 9136
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
6: eth0@if7: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue
link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0
valid_lft forever preferred_lft forever
/ #
其中虚拟网卡eth0@if7对应的就是bridge网络上面的veth6477b8c接口的另一头,这个做个简单的理解就是eth0@if7是虚拟机的网络接口名称,veth6477b8c是虚拟交换机(docker网络)上面的接口名称,这两个网口利用网线相连接。容器启动之后,容器会从bridge网络上面获得分配的地址172.17.0.2/16,bridge网络上面的IP地址范围为 “Subnet”: “172.17.0.0/16”,“Gateway”: “172.17.0.1”,这个就像是DHCP分配IP地址一样。
bridge网络是经常用到的网络。
2. host
连接到host网络的容器共享Docker host的网络栈,容器的网络配置与host完全一样。
helmer@Hanssen:~$ docker run -it --network=host busybox
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel qlen 1000
link/ether 00:0c:29:c3:3a:9e brd ff:ff:ff:ff:ff:ff
inet 192.168.163.128/24 brd 192.168.163.255 scope global dynamic noprefixroute ens33
valid_lft 1617sec preferred_lft 1617sec
inet6 fe80::baa0:96ed:4ed5:5daa/64 scope link noprefixroute
valid_lft forever preferred_lft forever
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue
link/ether 02:42:02:da:24:5e brd ff:ff:ff:ff:ff:ff
inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
valid_lft forever preferred_lft forever
inet6 fe80::42:2ff:feda:245e/64 scope link
valid_lft forever preferred_lft forever
/ # helmer@Hanssen:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 00:0c:29:c3:3a:9e brd ff:ff:ff:ff:ff:ff
altname enp2s1
inet 192.168.163.128/24 brd 192.168.163.255 scope global dynamic noprefixroute ens33
valid_lft 1607sec preferred_lft 1607sec
inet6 fe80::baa0:96ed:4ed5:5daa/64 scope link noprefixroute
valid_lft forever preferred_lft forever
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default
link/ether 02:42:02:da:24:5e brd ff:ff:ff:ff:ff:ff
inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
valid_lft forever preferred_lft forever
inet6 fe80::42:2ff:feda:245e/64 scope link
valid_lft forever preferred_lft forever
从上面的脚本中可以看到,容器的网络和主机的网络完全一样。
host网络主要用于对网路传输要求较高的要求,但是一定要考虑端口的冲突问题。
3. none网络
顾名思义,none网络就是什么都没有的网络。挂在这个网络下的容器除了lo,没有其他任何网卡。容器创建时,可以通过–network=none指定使用none网络。
从上图可以看出,容器内除了lo,没有任何的网卡。
这样一个封闭的网络可以用在需要安全行较高的场景内,比如生成随机密码,避免密码被获取。