Docker网络之Weave

简介

1. Weave是由weaveworks公司开发的解决Docker跨主机网络的解决方案，它能够创建一个虚拟网络，用于连接部署在多台主机上的Docker容器，这样容器就像被接入了同一个网络交换机，那些使用网络的应用程序不必去配置端口映射和链接等信息
2. 外部设备能够访问Weave网络上的应用程序容器所提供的服务，同时已有的内部系统也能够暴露到应用程序容器上。Weave能够穿透防火墙并运行在部分连接的网络上，另外，Weave的通信支持加密，所以用户可以从一个不受信任的网络连接到主机。
3. 对容器来说，weave 就像一个巨大的以太网交换机，所有容器都被接入这个交换机，容器可以直接通信，无需 NAT 和端口映射。除此之外，weave 的 DNS 模块使容器可以通过 hostname 访问
4. weave 不依赖分布式数据库(例如 etcd 和 consul)交换网络信息，每个主机上只需运行 weave 组件就能建立起跨主机容器网络。但是同样也是其缺点：主机不能动态加入节点网络，只能手动通过weave launch或connect加入Weave网络。不支持动态分配IP，所有IP需要手动管理及分配，难以保证分配的IP不冲突。
5. 项目地址：https://github.com/weaveworks/weave

weave网络通信模型

1. weave通过在docker集群的每个主机上启动虚拟路由器，将主机作为路由器，形成互联互通的网络拓扑，在此基础上，实现容器的跨主机通信。其主机网络拓扑参见下图

   

2. 在每一个部署Docker的主机上都部署有一个W(即weave router，它本身也可以以一个容器的形式部署)。weave网络是由这些weave routers组成的对等端点(peer)构成，并且可以通过weave命令行定制网络拓扑。

3. 每个部署了weave router的主机之间都会建立TCP和UDP两个连接，保证weave router之间控制面流量和数据面流量的通过。控制面由weave routers之间建立的TCP连接构成，通过它进行握手和拓扑关系信息的交换通信。控制面的通信可以被配置为加密通信。而数据面由weave routers之间建立的UDP连接构成，这些连接大部分都会加密。这些连接都是全双工的，并且可以穿越防火墙

4. 当容器通过weave进行跨主机通信时，其网络通信模型可以参考下图。对每一个weave网络中的容器，weave都会创建一个网桥，并且在网桥和每个容器之间创建一个veth pair，一端作为容器网卡加入到容器的网络命名空间中，并为容器网卡配置ip和相应的掩码，一端连接在网桥上，最终通过宿主机上weave router将流量转发到对端主机上。

   

5. 基本过程

   • 容器流量通过veth pair到达宿主机上weave router网桥上。