1、默认的网络模式
当你安装Docker时,他会自动创建三个网络,你可以使用以下docker network ls命令列出这些网络
root@paas:~# docker network ls
NETWORK ID NAME DRIVER SCOPE
5b492a7a4605 bridge bridge local
535d52e0dc07 host host local
4e4ff93ba930 none null local
Docker内置这三种网络,运行容器时,你可以使用该
−
−
n
e
t
w
o
r
k
\color{red}{--network}
−−network 标志指定容器应连接到哪些网络。
该bridge网络代表docker0所有Docker安装中存在的网络。除非你使用该
d
o
c
k
e
r
r
u
n
−
−
n
e
t
w
o
r
k
=
<
N
E
T
W
O
R
K
>
\color{red}{docker run --network=<NETWORK>}
dockerrun−−network=<NETWORK>选项指定,否则Docker守护程序默认将容器连接到此网络
我们使用docker run创建Docker容器时,可以使用–net指定容器的网络模式,Docker可以有以下4中网络模式:
- host模式,使用–net=host 指定
- none模式,使用–net=none指定
- bridge模式,使用–net=briage指定
- container模式,使用–net=container.NAME_or_ID指定
1.1 host
相当于VMware中的桥接模式,与宿主机在同一个网络中,但没有独立IP地址,众所周知,Docker使用Linux的Namespaces来进行资源隔离,如PID Namespaces隔离进程,Mount Namespace 隔离文件系统,Network Namespace隔离网络等。一个Network Namespace提供了一个独立的网络环境,包括网卡、路由、Iptable规则等都与其他的Network Namespace隔离,一个Docker一般会分配一个独立的Netwok Namespace,但如果启动容器时使用host模式,那么这个容器将不会获得独立的network Namespace ,容器将不会虚拟出自己的网卡,配置自己的ip等,而是使用宿主机的IP和端口。
例如:我们在机器上用host模式启动一个含有nginx应用的dokcer容器,监听tcp80端口
root@paas:~# docker run --name nginx --net=host -p 80:80 -d nginx:latest
WARNING: Published ports are discarded when using host network mode
4a53de0b45de3864d0781fcad3e72587c76181f122c153dac2bb8f730335fcd2
root@paas:~# docker ps
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
4a53de0b45de nginx:latest "nginx -g 'daemon of…" About a minute ago Up 59 seconds nginx
当我们在容器中执行类似ifconfig命令查看网络环境时,看到的都是宿主机上信息,而外界访问容器中的应用,则直接使用机器ip:8即可,不用NAT转换,就如直接跑在宿主机中一样。但是容器的其他方面,如文件系统、进程列表等还是和宿主机隔离的。
root@paas:~# netstat -nplt|grep 80
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 10833/nginx: master
1.2 container
在理解了host模式后,这个模式也就好理解了,这个模式指定新创建的容器和已存在的一个容器共享一个Network Namespace,而不是和宿主机共享。新创建的容器不会创建自己的网卡,配置自己的IP,而是和一个指定容器共享IP、端口范围等。同样,两个容器除了网络方面,其他的如文件系统,进程列表等还是隔离的,两个容器的进程可以通过lo网卡设备通讯
1.3 None
该模式将容器放置在它自己的网络栈中,但是并不进行配置,实际上,该容器关闭了容器的网络功能,在以下两种情况是有用的:容器并不需要网络(例如:只需要写磁盘卷的批处理任务)
overlay
在docker1.7代码进行了重构,单独把网络部分独立出来编写,所以在docker1.8新加入的overlay网络模式。Docker对于网络访问的控制也在逐渐完善的。
1.4 Bridge
相当于VMware中的NAT模式,容器使用独立的Network Namespace,并连接到docker0虚拟网卡(默认模式)。通过docker0网桥以及Iptables nat表配置与宿主机通讯,bridge模式是Docker默认的网络设置,此模式会为每一个容器分配Network Namespace、设置ip等,并将一个主机上的Docker容器连接到一个虚拟网桥上。下面重点介绍一下此模式
二、Bridge
2.1 Bridge模式的拓展
当Docker server启动时,会在主机上创建一个名为docker0的虚拟网桥,在主机上启动的Docker容器会连接到这个虚拟网桥上,虚拟网桥的工作方式和物理机类似,这个主机上所有的容器就通过交换机连接在一个二层网络中,接下来就是容器ip分配了,Docker会从RFC1918所定义的私有IP中,选择一个和宿主机不同的IP地址和子网分配给docker0,连接到docker0的容器就从这子网中选择一个未占用的IP使用,如Docker一般会使用172.17.0.0/16这个网段,并将172.17.0.1/16分配给docker0网段(在主机上使用ifconfig命令可以看到docker0的,可以认为它是网桥的管理接口,在宿主机上作为一个虚拟网卡使用)。单机环境下的网络拓展如下。主机地址为10.10.0.186/24
2.2 Docker:网路模式详解
Docker完成以上网络配置的过程大致是这样的:
- 在主机上创建一对虚拟网卡veth pair设备,veth设备总是成对出现的,他们组成一个数据通道,数据从一个设备进入,就会从另一个设备出去。因为。veth设备常用来来接两个网络设备
- Docker将veth pair设备的一端放在新创建的容器中,并命名为eth0.另一端放在主机中,以veth65f9这样类似的名字命名,并将网络设备加入到docker0网桥上,可以使用btctl show 命令查看
root@paas:~# brctl show
bridge name bridge id STP enabled interfaces
docker0 8000.024260d5d6b7 no veth3b5eb18
- 从docker0子网中分配一个ip给容器使用,并设置docker0的IP为容器的默认网关。
"NetworkSettings": {
"Bridge": "",
"SandboxID": "3082b2b997c3023bde53c60d4b3bcf48dc550b441b6d04452ca09dd6312d3996",
"HairpinMode": false,
"LinkLocalIPv6Address": "",
"LinkLocalIPv6PrefixLen": 0,
"Ports": {
"80/tcp": [
{
"HostIp": "0.0.0.0",
"HostPort": "32772"
}
]
},
"SandboxKey": "/var/run/docker/netns/3082b2b997c3",
"SecondaryIPAddresses": null,
"SecondaryIPv6Addresses": null,
"EndpointID": "c27d79ad168d2a72fca1659edea38247a8070cf1077e81bb8dc55ad106c1d238",
"Gateway": "172.17.0.1",
"GlobalIPv6Address": "",
"GlobalIPv6PrefixLen": 0,
"IPAddress": "172.17.0.2",
"IPPrefixLen": 16,
"IPv6Gateway": "",
"MacAddress": "02:42:ac:11:00:02",
"Networks": {
"bridge": {
"IPAMConfig": null,
"Links": null,
"Aliases": null,
"NetworkID": "5b492a7a4605746ea9340ca4556abc32f975ee046ea616787c0eac91e9b2e595",
"EndpointID": "c27d79ad168d2a72fca1659edea38247a8070cf1077e81bb8dc55ad106c1d238",
"Gateway": "172.17.0.1",
"IPAddress": "172.17.0.2",
"IPPrefixLen": 16,
"IPv6Gateway": "",
"GlobalIPv6Address": "",
"GlobalIPv6PrefixLen": 0,
"MacAddress": "02:42:ac:11:00:02",
"DriverOpts": null
}
}
}
root@paas:~# docker network inspect bridge
[
{
"Name": "bridge",
"Id": "5b492a7a4605746ea9340ca4556abc32f975ee046ea616787c0eac91e9b2e595",
"Created": "2019-05-19T20:22:56.201022723+08:00",
"Scope": "local",
"Driver": "bridge",
"EnableIPv6": false,
"IPAM": {
"Driver": "default",
"Options": null,
"Config": [
{
"Subnet": "172.17.0.0/16",
"Gateway": "172.17.0.1"
}
]
},
"Internal": false,
"Attachable": false,
"Ingress": false,
"ConfigFrom": {
"Network": ""
},
"ConfigOnly": false,
"Containers": {
"f53b2964c38ce68250b0e4218a0132df5ebeca68ffb95353dfcffeeaaff8179a": {
"Name": "nginx2",
"EndpointID": "c27d79ad168d2a72fca1659edea38247a8070cf1077e81bb8dc55ad106c1d238",
"MacAddress": "02:42:ac:11:00:02",
"IPv4Address": "172.17.0.2/16",
"IPv6Address": ""
}
},
"Options": {
"com.docker.network.bridge.default_bridge": "true",
"com.docker.network.bridge.enable_icc": "true",
"com.docker.network.bridge.enable_ip_masquerade": "true",
"com.docker.network.bridge.host_binding_ipv4": "0.0.0.0",
"com.docker.network.bridge.name": "docker0",
"com.docker.network.driver.mtu": "1500"
},
"Labels": {}
}
]
3.3bridge模式下容器的通讯
在bridge模式下,连在同一网桥上的容器可以相互通讯(若出于安全考虑,也可以禁止它们之间通信,方法是在DOCKER_OPTS变量中设置–icc=false,这样只有使用–link才能使两个容器通信)
Docker可以开启容器间的通讯(意味着默认配置–icc=true),也就是说,宿主机上所有容器可以不受任何限制地相互通信,这可能导致拒绝服务攻击,进一步的Docker可以通过–ip_forward和–iptables两个选项控制容器间、容器和外部世界的通讯。
容器可以与外部通讯,我们看一下主机上的iptables规则,可以看到这一条
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
这条规格会将源地址为172.17.0.0/16的包(也就是从Docker容器产生的包),并且不是从docker0网卡发出的,进行源地址的转换,转换成主机网卡的地址,这么说可能不太好理解,举一个例子说明一下,假设知己有一个网卡为eth0,ip地址为10.10.101.10/24,网关为10.10.101.254,从主机上一个ip为172.17.0.1/16的容器中ping百度,IP包首先从容器发往自己的默认网关docker0,包到达docker0后,也就到达了主机上。然后会查询主机的路由表,发现包应该从主机的eth0发往主机的网关10.10.105.254/24。接着包会转发给eth0,并从eth0发出去(主机的ip_forward转发应该已经打开)。这时候,上面的Iptable规则就会起作用,对包做SNAT转换,将源地址换为eth0的地址。这样,在外界看来,这个包就是从10.10.101.105上发出来的,Docker容器对外是不可见的。
那么,外面的机器是如何访问Docker容器的服务呢?我们首先用下面命令创建一个含有web应用的容器,将容器的80端口映射到主机的80端口。然后查看Iptable规则的变化,发现多了这样一条规则:
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.2:80
此条规则就是对主机eth0收到的目的端口为80的tcp流量进行DNAT转换,将流量发往172.17.0.2:80,也就是我们上面创建的Docker容器。所以,外界只需访问10.10.101.105:80就可以访问到容器中的服务。
转载自
http://www.cnblogs.com/zuxing/articles/8780661.html