Docker网络通讯

Docker网络通讯

我们要解决docker网络通讯，主要是解决以下三个问题：

• 容器与容器之间进行通讯
• 容器访问外部网络
• 外部网络访问容器

docker网络的通讯模式

在通常情况下，docker使用网桥（Bridge）与NAT的通讯模式

这个图代表了什么样的含义呢？

对于我们本机来说，当我们安装完docker的时候，会出现一个网络环境也就是上面的host，本机会出现一个网卡也就是上图中的ETH0 10.1.1.10/8后会出现一个docker0，这相当于一个交换机，叫做网桥。

在docker0 上会出现许多相互隔离的network namespace，也就是图中的vethX，每一个namespace存在两端，一端固定在容器内部，成为一个虚拟网卡。另一端也就是之前说道的veth，这样起到了一个连通的作用。

那么既然不同容器之间同时存在在docker0上，也就是说不同容器之间就可以直接通过网桥进行连接。

那么容器之间的通讯方式我们已经了解了，那么接下来我们需要开始了解容器与外部网络之间的相互访问问题：

1. 容器访问外部网络
   其实容器访问外部容器主要是通过SNAT转换，也就意味着容器访问外部网络借助的是防火墙的SNAT

iptables -t nat -A POSTROUTING -s 172.17.0.0/16 -o docker0 -j MASQUERADE

2. 外部网络访问容器
   外部网络访问容器其实是通过DNAT的方式

	docker run -d -p 80:80 apache
	iptables -t nat-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
    iptables -t nat-A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j  DNAT --to-destination 172.17.0.2:80

这些值都是系统默认的值，那么我们可不可以根据使用习惯去自定义呢，答案是肯定的。

Docker网络模式的修改

Docker进程网络修改

• –bridge=" " 指定Docker使用的网桥设备，默认情况下Docker会自动使用docker0网桥设备
• –bip 指定Docker0的IP和掩码，使用标准的CIDR形式，如0.0.0.0/24
• –dns 配置容器的DNS，在启动Docker进程时添加，所有容器全部生效

Docker容器网络修改

• –dns 用于指定启动的容器的DNS
• –net 用于指定容器的网络通讯方式，有以下四个值：
  bridge：Docker默认方式，网桥模式
  none：容器没有网络栈
  container：使用其他容器的网络栈，Docker容器会加入其他的容器的network namespace
  host：表示容器使用host的网络，没有自己独立的网络栈。容器可以完全访问host网络，不安全

给容器赋予一个独立IP

在这里我们需要用到pipework，需要通过GitHub来下载，因此我们需要先安装git

yum install -y git

cp pipework/pipework /usr/local/bin

chmod a+x /usr/local/bin/pipework

截图如下

docker run --name tomcat --net=none -d tomcat:v2.0

pipework br0 tomcat 0.0.0.16/24

修改成功！

通过前后两张图对比，可以发现，我们通过pipework给容器自定义了一个IP。