docker 指定网卡_Docker网络实现

最新推荐文章于 2024-07-16 09:54:43 发布

weixin_39622891

最新推荐文章于 2024-07-16 09:54:43 发布

阅读量659

点赞数

文章标签： docker 指定网卡

我们来详细观察&理解Docker容器是如何实现它的网络的，以及解析一个容器是如何与本机、本机中的容器、其他Host、其他Host中的容器等场景下分别进行通信的。

本机容器网络大概生成过程：

首先每个容器对应创建一个network namespace；
然后将所有的容器的network namespace连接到Bridge网桥(docker0)上，使得容器间互相处于一个局域网内，方便连通。

Docker的网络命名空间

docker使用namespace实现容器网络，但是我们使用ip netns命令却无法在主机上看到任何network namespace，这是因为默认docker把创建的网络命名空间链接文件隐藏起来了。

有2种进入这个“空间”的命令。

1、通过ip netns exec

启动一个容器

docker run -tid ubuntu:18.04

这个时候，查询 network namespace，却发现是空的。

因为 ip netns 是去检查 /var/run/netns 目录的。而Docker这个软件，故意把容器对应的ns信息记录到了 /var/run/docker/netns 目录。所以ip netns查出来就是空的，我们想办法把ns信息翻出来就行。

1)恢复关联-方式1

所以我们，把这2个目录关联一下：

ln -s /var/run/docker/netns /var/run/netns

接下来再敲：

ip netns

就可以看到容器的 network namespace 了。

不过可以发现列出来的ns的ID，和对应容器的ID，不是同一个。它两有一个映射值，可以通过 docker inspect 的结果查到对应关系：

docker inspect 070044b2738f

2)恢复关联-方式2

找到容器主pid：

pid=$(docker inspect -f '{{.State.Pid}}' ${container_id})

创建对应的ns记录：

mkdir -p /var/run/netns/

ln -sfT /proc/$pid/ns/net /var/run/netns/$container_id

2、通过 nsenter

找到容器里app的主pid。

docker inspect ecf8689d3297

跑到这个pid对应的世界(namespace)里去。

nsenter -n -t 25977

这个时候，就是在容器里面的网络空间角度敲命令啦。

例如：

1)查询网卡：

ifconfig

(2)抓包：

tcpdump -i eth0 -n

Docker 使用的Linux Bridge

关于Docker为什么要加个Bridge来连通所有的容器？其实不加Bridge，网络也能通。只是说有了Bridge，就有了覆盖更多复杂场景的能力。

这里直接引用Docker自己的描述：通过Bridge，可以使得连到这个Bridge的容器互相通信；同时和没有连到这个Bridge的容器保持网络隔离。(大意就是：容器可以按网络分组)

我怎么和本机Host主机通信

假设我就是那个Docker容器，那么我是如何与主机Host通信的呢。

1、本机Host怎么访问我

主机Host访问自己节点上的容器，答案是直接访问就行了。

咱们先来看Host主机的路由表：

因为根据路由信息：所有发往Docker容器的地址(即目标为 172.17.* )的报文，---> 统统走给 ---> docker0 网卡。而根据上面Bridge章节可以知道，这个docker0就是Bridge网桥，它是连着所有容器的Veth网线的。所以这个报文会发送到所有容器里面，那么目标容器就会应答你。