Docker常见的几种网络模式
docker network ls
查看使用了哪些网络
[root@centos8-nat-168-182-152 ~]# docker network ls
NETWORK ID NAME DRIVER SCOPE
c0184302f6a8 bridge bridge local
420492e04276 host host local
fc5e9b954735 none null local
[root@centos8-nat-168-182-152 ~]# docker network inspect bridge(网络名称)
我们在使用 docker run 创建 Docker 容器时,可以用 –net 选项指定容器的网络模式,Docker 可以有以下 4 种网络模式:
-
bridge 模式:使用
--net=bridge
指定,默认设置。 -
host 模式:使用
--net=host
指定。 -
none 模式:使用
--net=none
指定。 -
container 模式:使用 --net=
container:NAME_or_ID
指定。
网络模式 | 含义 |
---|---|
Bridge(默认模式) | 此模式会为每一个容器分配,设置IP等,并将容器连接到一 docker0 虚拟网桥,通过 docker0网桥以及Iptables nat 表配置与宿主机通信。 |
Host | 容器将不会虚拟出自己的网卡,配置自己的 IP 等,而是使用宿主机的IP和端口 |
Container | 创建的容器不会创建自己的网卡,配置自己的IP,而是和一个指定的容器共享 IP,端口范围。 |
None | 该模式关闭了容器的网络功能,与宿主机,与其他容器都不连通的. |
1.Bridge
Bridge模式是启动容器时的默认模式,当Docker server 启动时,会在主机上创建一个名为 docker0 的虚拟网桥
网桥模式不太适用于生产环境,因为网桥背后涉及很多底层工作,会导致相当大的开销
--icc=false
表示把容器之间的通信关闭,--iptables=true --icc=false
已连接的容器才能通信
docker inspect jenkins
docker inspect --format='{{.NetworkSettings.NewtWork.IPAddress}}' jenkins
主机网络
容器内部网络
2.Host
Host:容器将不会虚拟出自己的网卡,配置自己的 IP 等,而是使用宿主机的IP和端口
不涉及网桥模式中底层开销,因此速度与常规的主机网络一样快,面向外部网络流量大的容器(例如代理和缓存)可以使用主机模式,而其他容器则使用内部网络模式
$ docker inspect jenkins
对比一下宿主机 / etc/hosts,一模一样
$ docker execjenkins cat /etc/hosts
$ cat /etc/hosts
3.Container
container创建的容器不会创建自己的网卡,配置自己的IP,而是和一个指定的容器共享 IP,端口范围
# 创建容器
$ docker run --name=busybox_jenkins --net=container:bridge -td jenkins
# 查看新创建容器的IP,上面这种方式查不出来
$ docker inspect --format='{{.NetworkSettings.IPAddress}}' jenkins
# 通过ifconfig查询ip
$ docker exec busybox_jenkins ifconfig
4.None
$ docker run -dt --net=none --name busybox_jenkins jenkins
# 查看它的网络状态, 验证它仅有 lo 接口,不能与容器外通信
$ docker exec busybox_jenkins ip a
5.Docker实现内外网络通信
ip_forward: linux内核中用于开关内核的报文转发功能,只有这个开关被打开时,内核才会执行报文的转发
默认情况下,容器可以主动访问到外部网络的连接,但是外部网络无法访问到容器
# 临时修改
$ echo 1 > /proc/sys/net/ipv4/ip_forward
# 永久修改
$ echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
$ sysctl -p
查看默认路由
$ route -n
# 或者
$ ip route
添加路由映射
$ ip route add <container_ip_address> via <host_ip_address> dev <network_interface>
6.Docker网络操作命令汇总
创建网络
# mysite1-network是局域网的名字,可以自定义。默认bridge模式。
docker network create mysite-network
# 利用--driver或-d指定使用bridge驱动,创建mysite2-network网络
docker network create -driver bridge mysite2-network
docker network create -d bridge --gateway 172.200.0.1 -subnet 172.200.0.0/16
# 查看已创建的network列表
docker network ls
# 查看网络详情
docker network inspect mysite2-network
连接网络
# 运行新的容器,并加入到mysite1-network网络中
# --network 表示这个容器要连接到的网络
# --network-alias 表示这个容器在此网络中的名称,也可以使用--ip来指定容器的ip
docker run -d -network mysite1-network --network-alias mysite1-network-name1 dockerw-web-image
# 将已经在运行的容器加入网络使用以下命令, 容器名为docker-web,别名为we
docker network connect --alias=web --network=mysite-network docker-web
#连接网络时为docker-web容器指定ip地址
docker network connect -ip=192.168.19.2 --network=mysite-network docker-web
# 断开 docker-web容器与mysite1-network的连接
docker network disconnect mysite1-network docker-web
删除网络
#删除mysite1-network网络
docker network rm mysite1-network
brctl
brctl
是Linux中用于配置和管理网桥(bridge)的命令行工具,brctl
命令可以用来创建,删除,修改和显示网桥,以及向网桥中添加或移除物理接口
#安装brctl
yum install -y bridge-utils
#查看bridge信息
brctl show
#创建网桥
brctl addr mydocker0
ip netns命令
ip netns
是Linux中用于管理网络命名空间(network namespace)的命令行工具,它可以用来创建,删除,列出,进入网络命名空间等操作
#添加网络命名空间
ip netns add 空间名
#在名为<name>的网络命名空间中执行<command>命令
ip netns exec ns1 ip addr add 172.16.1.1/16 dev eth00-ns1
ip netns exec ns1 ip link set eth00-ns1 up
ip link命令
ip link
是Linux中用于管理网络接口(network interface)的命令行工具,它可以用来配置和管理物理接口,虚拟接口,桥接接口等。
#ip link add <dev> type <type>:添加一个名为<dev>的新网络接口,并指定类型为<type>(如veth、bridge、vlan等)
#该命令的含义是创建一对虚拟以太网接口,分别命名为veth-ns1和eth00-ns1,并将它们成对地连接起来,以便在不同的网络命名空间中使用
ip link add veth-ns1 type veth peer name eth00-ns1
# ip link set <dev> netns <ns>:将名为<dev>的网络接口移动到名为<ns>的网络命名空间中
ip link set eth00-ns1 netns ns1
#ip link set <dev> up/down:将名为<dev>的网络接口启用或禁用 把veth-ns1这个bridge up起来
ip link set veth-ns1 up
iptable
iptables
是Linux系统中用于配置和管理防火墙规则的命令行工具,它可以用来控制网络数据包的流动和传输,以实现网络安全和访问控制
#用于列出当前系统中nat表中的所有规则
#-t用于指定要操作的表,nat表示要操作的是nat
# --list用于列出指定表中的所有规则,包括链名、匹配规则、动作等详细信息
iptables --list -t nat
#-t nat:指定要操作的表为nat表,
#-n:不进行DNS解析,直接显示IP地址,
#-v:显示规则的统计信息,包括匹配的数据包数和字节数
# -x:将数据包和字节数以更易读的格式进行显示
#iptables -t nat -nvxl命令需要在root权限下运行
iptables -t nat -nvxl
6.补充
子网掩码
- 作用:将某个IP地址划分成网络地址和主机地址两部分
- 规则:子网掩码的长度也是32位,左边是网络位,用二进制数字“1”表示,右边是主机位,用二进制数字“0”表示
- 举例:“192.168.1.1”子网掩码为“255.255.255.0”,其中“1”有24个代表与此相对应的IP地址左边24位是网络号.“0”有8个,代表与此相对应的IP地址右边8位是主机号
网关
-
定义:网关实质上是一个网络通向其他网络的IP地址
-
举例:网络A的IP地址范围为“192.168.1.1192.168.1.254”,子网掩码为255.255.255.0;网络B的IP地址范围为“192.168.2.1192.168.2.254”,子网掩码为255.255.255.0,根据子网掩码判定两个网络中的主机处在不同的网络里,而要实现这两个网络之间的通信,则必须通过网关
当浏览器输入一个网址并敲回车,整个过程都发生了什么
-
DNS解析:浏览器首先会检查自己的缓存中是否存在该域名对应的IP地址,如果没有,则向本地DNS服务器发起请求
-
TCP连接:浏览器通过DNS解析获得了服务器的IP地址后,会向该IP地址发送TCP连接请求进行三次握手
-
发送HTTP请求:
- 建立TCP连接后,浏览器会向服务器发送HTTP请求,请求中包含请求方法,请求头以及请求体等信息.
- 服务器收到浏览器的HTTP请求后,会根据请求的内容进行处理,并返回相应的HTTP响应,响应中包含响应状态码,响应头以及响应体等信息
- 浏览器接收到服务器返回的HTTP响应后,会根据响应中的内容进行页面渲染,并在页面上显示相应的内容
-
TCP断开连接:页面渲染完成后,浏览器与服务器进行四次挥手,相互之间断开连接