docker网络1

最新推荐文章于 2023-12-15 18:28:12 发布
最新推荐文章于 2023-12-15 18:28:12 发布
阅读量120 收藏
点赞数
分类专栏： docker 文章标签： docker centos
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_48981270/article/details/117706869
版权

Docker网络1

一.Dokcer网络基础

Docker本身的技术依赖于linux内核虚拟化技术的发展.所有Docker对Linux内核的特性有很强的依赖。其中Docker使用到的与linux网络有关的技术分别有 ： 网络名称空间 ， Veth设备 ， IPtables ，网桥 ， 路由

1.网络名称空间

​ 为了支持网络协议的多个实例linux在网络协议栈中引用了网络名称空间（network Namespace），这些独立的协议栈被隔离到不同的命名空间中。处于不同命名空间的网络协议栈是完全隔离的，彼此之间无法进项网络通信，就好像两个“平行宇宙”。通过这种对网络资源的隔离，就能在一个宿主机上虚拟多个不同的网络环境，而docker正是利用这种网络名称空间的特性，实现了不同容器之间的网络隔离，在linux的网络命名空间内可以有自己独立的iptables来转发，NAT及IP包过滤功能。

​ Linux的网络协议栈是十分复杂的为了支持独立的协议栈，相关的这些全局变量都必须修改为协议栈私有最好的办法就是让这些全局变量成为一个Net Namespace 变量的成员，然后为了协议栈的函数调用加入一个 Namespace参数。这就是linux网络名称空间的核心。所有的网络设备都只能属于一个网络名称空间。当然通常的物理网络设备只能关联到root这个命名空间中。虚拟网络设备则可以被创建并关联到一个给定的命名空间中。而且可以在这些名称空间之间移动。

  • 创建名称空间
[root@docker ~]# ip netns add test01
[root@docker ~]# ip netns add test02
[root@docker ~]# ip netns list
test02
test01

2.Veth设备

​ 引入veth设备对是为了在不同的网络名称空间之间进行通信，利用它可以直接将两个网络名称空间链接起来，由于要连接的两个网络命名空间，所以Veth设备是成对出现的，很像一对以太网卡，并且中间有一根直连的网线，既然是一对网卡，那么我们将其中一端称为另一端的peer。在Veth设备的一端发送数据时，它会将数据直接发送到另一端，并触发另一端的接收操作。

  • 创建Veth设备对
[root@docker ~]# ip link add veth type veth peer name veth001
[root@docker ~]# ip link show
12: veth001@veth: <BROADCAST,MULTICAST,M-DOWN> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/ether be:61:ae:bd:10:ca brd ff:ff:ff:ff:ff:ff
13: veth@veth001: <BROADCAST,MULTICAST,M-DOWN> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/ether 82:a5:3e:86:c9:f0 brd ff:ff:ff:ff:ff:ff
    
# 生成了两个veth设备，互为对方 peer
  • 绑定名称空间
[root@docker ~]# ip link set veth001 netns test01
[root@docker ~]# ip link show | grep veth
9: vethb84cbb7@if8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master docker0 state UP mode DEFAULT group default 
11: vethf98b54c@if10: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master docker0 state UP mode DEFAULT group default 
13: veth@if12: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
  • 进入名称空间
[root@docker ~]# ip netns exec test01 bash
[root@docker ~]# ip link show
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
12: veth001@if13: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/ether be:61:ae:bd:10:ca brd ff:ff:ff:ff:ff:ff link-netnsid 0
  • 给Veth分配IP
# 设置IP
[root@docker ~]# ip netns exec test01 ip addr add 172.16.0.111/20 dev veth001
		
# 绑定
[root@docker ~]# ip netns exec test01 ip link set dev veth001 up

# 查看
[root@docker ~]# ip netns exec test01 ip a

1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
12: veth001@if13: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state LOWERLAYERDOWN group default qlen 1000
    link/ether be:61:ae:bd:10:ca brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 172.16.0.111/20 scope global veth001
       valid_lft forever preferred_lft forever
  • 查看对端Veth设备
[root@docker ~]# ip netns exec test01 ethtool -S veth001
NIC statistics:
     peer_ifindex: 13

[root@docker ~]# ip a | grep 13
13: veth@if12: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default qlen 1000
  • 给对端Veth设备设置IP
[root@docker ~]# ip addr add 172.16.0.112/20 dev veth
[root@docker ~]# ip link set dev veth down
[root@docker ~]# ip link set dev veth up

[root@docker ~]# ping 172.16.0.111
PING 172.16.0.111 (172.16.0.111) 56(84) bytes of data.
64 bytes from 172.16.0.111: icmp_seq=1 ttl=64 time=0.070 ms
64 bytes from 172.16.0.111: icmp_seq=2 ttl=64 time=0.150 ms

3.网桥

​ Linux可以支持多个不同的网络，他们之间能够相互通信，就需要一个网桥。网桥是二层的虚拟网络设备，它是把若干个网络接口"连接"起来，从而报文能够互相转发。网桥能够解析收发的报文，读取目标MAC地址信息，和自己记录的MAC 表结合，来决定报文的转发目标网口。

​ 网桥设备brO绑定了 eth0，eth1，对于网络协议栈的上层来说，只看得到 brO 。因为桥接是在数据链路层实现的，上层不需要关心桥接的细节，于是协议栈上层需要发送的报文被送到brO，网桥设备的处理代码判断报文该转发到eth0还是 eth1, 或者两者皆转发。反过来 从eth0 或从 eth1 接收到的报文被提交给网桥的处理代码，在这里会判断报文应该被转发，丢弃还是提交到协议栈上层，而有时 eth1 也可能会作为报文的源地址 或目的地址 直接参与报文的发送与接收，从而绕过网桥。

4. iptables

​ Linux网络协议栈非常高效，同时比较复杂，如果我们希望在数据的处理过程中对关心的数据进行一些操作该怎么做呢？Linux提供了一套机制来为用户实现自定义的数据包处理过程。

​ 在Linux网络协议其中有一组回调函数挂接点，童虎这些挂接点挂接点钩子函数可以在linux 网络及处理数据包的过程中对数据包进行些操作，列如过滤 修改 丢弃等 整个挂接点技术叫做 Netfiler iptables

​ Netfiler 负责在内核中执行各种挂接的规则，运行在内核模式中：而iptables 是在用户模式下运行的进程，复则协助维护内核中 Netfiler 的各种规则表 通过 规则的配合来实现整个 Linux网络协议栈中灵活的数据包处理。

二.总结

设备作用总结
network namespace主要提供了关于网络资源的隔离，包括网络设备，IPv4和IPv6协议栈，IP路由表，防火墙，/proc/net目录，/sysclass/net, 端口（socket）等。
Linux Bridge功能相当于物理交换机，为连在上面的设备（容器）转发数据帧，如docker0网桥
iptables主要为容器提供NAT以及容器网络安全。
veth pair两个虚拟网卡组成的数据通道。在Docker中，用于连接Docker容器和linuxBridge。一端在容器中作为eth0网卡，另一端在Linux bridge中作为网桥的一个端口。

三.Docker网络模式

​ Docker使用Linux桥接的方式，在宿主机虚拟一个Docker容器网桥（docker0），Docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地址，称为Container-IP，同时Docker网桥时每个容器的默认网关。因为在统一宿主机内的容器都接入通一个网桥，这样容器之间就能够通过容器的Container-IP 直接通信。

​ Docker网桥时宿主机虚拟出来的，并不是正式存在的网络设备，外部网络是无法寻址到的，这也意味着外不网络无法通过直接Container-IP访问到容器。如果容器希望外部访问能够访问到，可以通过映射容器端口到宿主主机（端口映射），即docker run 创建容器时候通过 -p 或 -P参数来启用。访问容器的时候就通过[宿主机IP]：[容器端口]访问容器。

Docker网络模式配置说明
host模式–network=host容器和宿主机共享Network namespace。
containe模式–network=container：ID容器和另外一个容器共享Network namespace。dubernetes 中的pod就是多个容器共享一个Network namespace。
none模式–network=none容器有独立的Network namespace，但并没有对其进行任何网络设置，如分配veth pair 和网桥连接，配置IP等。
bridge模式–network=bridge当 Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Dokcer容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。（默认为该模式）

1.host模式

​ 如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Nmaespace，而是和宿主机共用一个Network Namespace 。 容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。但是，容器的其他方面，如文件系统，进程列表等还是和宿主机隔离的。

​ 使用host模式的容器可以直接使用宿主机的IP地址与外界通信，容器内部的服务端口也可以使用宿主机的端口，不需要进行NAT，host 最大的优势就是网络性能比较好，但是docker host上几经使用的端口就不能再用了，网络的隔离性不好。

在这里插入图片描述

  • 测试
[root@docker ~]# docker run -d -it --name nginx3 --network host nginx

[root@docker ~]# docker ps
CONTAINER ID   IMAGE     COMMAND                  CREATED         STATUS         PORTS
401daa833a9b   nginx     "/docker-entrypoint.…"   3 seconds ago   Up 2 seconds             nginx3

[root@docker ~]# curl 127.0.0.1:80

2.Containe模式

​ 这个模式指定新创建的容器和已经存在的一个容器共享一个Network Nmaespace，而不是和宿主机共享新建的容器不会创建自己的网卡，配置自己的IP，而是和一个指定的容器共享 IP ，端口范围等。同样，两个容器处理网络方面，其他的：如文件系统，进程列表等还是隔离的，两个容器的进程可以通过lo网卡设备通信。

在这里插入图片描述

  • 测试
[root@docker ~]# docker run -itd --name test01 busybox
Unable to find image 'busybox:latest' locally
latest: Pulling from library/busybox
e5d9363303dd: Pull complete 

[root@docker ~]# docker run -itd --name test02 --network "container:test01" busybox


[root@docker ~]# docker exec -it test02 ifconfig
eth0      Link encap:Ethernet  HWaddr 02:42:AC:11:00:04  
          inet addr:172.17.0.4  Bcast:172.17.255.255  Mask:255.255.0.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:8 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:656 (656.0 B)  TX bytes:0 (0.0 B)

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)

[root@docker ~]# docker exec -it test01 ifconfig
eth0      Link encap:Ethernet  HWaddr 02:42:AC:11:00:04  
          inet addr:172.17.0.4  Bcast:172.17.255.255  Mask:255.255.0.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:8 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:656 (656.0 B)  TX bytes:0 (0.0 B)

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)

3.none模式

​ 使用none模式Docker容器拥有自己的Network Namespace 但是并不为Docker容器进行任何网络配置，也就是说，这个Docker容器没有网卡，IP，路由等信息，需要我们自己为Docker容器添加网卡，配置IP等。

​ 这种网络模式下容器只有lo回环网络，没有其他网卡，none模式可以再容器创建时通过–network=none来指定。这种类型的网络没有办法联网，封闭的网络能根号的保证容器的安全性。

在这里插入图片描述

  • 测试
[root@docker ~]# docker run -itd --name test03 --network none busybox
ee4c8499e9322a898c5f4dc9925e7973a132f1887875234cde146c04b218817b
[root@docker ~]# docker exec -it test03 sh
/ # ifconfig
lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)

4.bridge模式

​ 当Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中

​ 从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。在主机上创建一对虚拟网卡 veth pair设备， Docker将veth pair设备的一段放在新创建的容器中，并命名为eth0（容器的网卡），另一端放在主机中，以vethxx 这样类似的名字命名，并将这个网络设备加入到docker0网桥中，可以通过 brctl show 命令查看

[root@docker ~]# brctl show
bridge name	bridge id		STP enabled	interfaces
br-15c5aa7519b0		8000.0242a0a30d0e	no		
docker0		8000.02426e6bb6ea	no		veth21c1608
							vethb84cbb7
							vethf98b54c
virbr0		8000.5254006c9966	yes		virbr0-nic

​ bridge模式是docker的默认网络模式，不写 --net 参数，就是bridge模式。 使用 docker run -p时，docker实际是在iptables 做了DNAT规则，实现端口转发功能。可以使用 ipables -t nat -vnL 查看

[root@docker ~]# iptables -t nat -vnL
Chain PREROUTING (policy ACCEPT 158 packets, 16816 bytes)

在这里插入图片描述

[root@docker ~]# docker run -itd --name test04 busybox
ce08bc68818eac70ce4b0786710443684c4ac1ae1375932177c0180fde6a0020
[root@docker ~]# ip a
17: vethc4d9834@if16: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master docker0 state UP group default 
    link/ether 8a:46:e2:a9:00:37 brd ff:ff:ff:ff:ff:ff link-netnsid 4
    inet6 fe80::8846:e2ff:fea9:37/64 scope link 
       valid_lft forever preferred_lft forever
       
[root@docker ~]# docker exec -it test04 ip a
16: eth0@if17: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue 
    link/ether 02:42:ac:11:00:05 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.5/16 brd 172.17.255.255 scope global eth0
       valid_lft forever preferred_lft forever
小枫呀
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
docker search遇到：Error response from daemon: Unexpected status code 401(已解决)
笃行
11-06 5543
1、问题描述： 在尝试通过docker查下镜像时，报了401（大概是无权限，没有认证） # 10018318 @ Mrli in ~ [10:57:19] $ docker search elasticsearch Error response from daemon: Unexpected status code 401 经过一番查寻，定位到一个相似问题描述的文章： https://forums.docker.com/t/error-response-from-daemon-unexpected-sta
Docker之网络命名空间
lss0555的博客
12-02 627
一.测试两个容器是否互通 1.先运行两个容器 test1 与test2 docker run -d --name test1 busybox /bin/sh -c "while true; do sleep 3600; done" docker run -d --name test2 busybox /bin/sh -c "while true; do sleep 3600; done" ...
Docker 网络（五）——容器网络命名空间
进京 的博客
06-14 1401
5 容器网络命名空间ubuntu@ubuntu:~$ docker network ls NETWORK ID NAME DRIVER 0343830c6572 bridge bridge de6616e5b5e4 host host
Docker 网络虚拟化基础之网络 namespace
qq_36733838的博客
11-03 740
见如下的关键函数 copy_net_ns（它的调用链是 do_fork => copy_process => copy_namespaces => create_new_namespaces => copy_net_ns）。Linux 中所有的进程都是由这个 1 号进程创建的。接下来就是 socket 创建的时候，内核中可以通过 current->nsproxy->net_ns 把当前进程所属的 netns 找出来，最终把 socket 中的 sk_net 成员和该命名空间建立好了联系。
docker网络
fangandpu的博客
01-16 859
一、
docker网络.pptx
09-29
Docker 是一个开源项目，诞生于 2013 年初，最初是 dotCloud 公司内部的一个业余项目。它基于 Google 公司推出的 Go 语言实现。 项目后来加入了 Linux 基金会，遵从了 Apache 2.0 协议，项目代码在 GitHub 上进行...
Docker网络基础介绍
02-26
Docker网络基础介绍技术分享第1张想要了解有关Docker网络的更多信息，包括多主机网络介绍，请查看本文作者MichaelHausenblas撰写的报告——《Docker网络与服务探索》，点此下载该报告。当你开始扩大Docker的应用范围...
docker-overlay网络部署1
08-08
容器`bbox1`将有两个网络接口，一个eth0连接到overlay网络，另一个eth1连接到宿主机的`docker_gwbridge`，以便于容器访问外部网络。 同样，可以在另一台机器上创建并连接到同一网络的容器`bbox2`： ``` docker run ...
网络命名空间
PPPPPPPKD的博客
11-22 2291
网络命名空间（namespace） 命名空间（Linux namespace）是linux内核针对实现容器虚拟化映入的一个特性。我们创建的每个容器都有自己的命名空间，运行在其中的应用都像是在独立的操作系统中运行一样，命名空间保证了容器之间互不影响。 命名空间和cgroups是软件集装箱化（Docker）的大部分新趋势的主要内核技术之一。 简单来说，cgroups是一种计量和限制机制，它们控制您可以使用多少系统资源（CPU，内存）。 另一方面，命名空间限制了您可以看到的内容。 由于命名空间进程有自己的系统资源
【Docker】Linux网络命名空间
热门推荐
morris
10-27 4万+
Namespace是Linux提供的一种对于系统全局资源的隔离机制；从进程的视角来看，同一个namespace中的进程看到的是该namespace自己独立的一份全局资源，这些资源的变化只在本namespace中可见，对其他namespace没有影响。容器就是采用namespace机制实现了对网络，进程空间等的隔离。不同的Container（在K8S中是以Pod为单位）属于不同namespace，实现了Container或Pod之间的资源互相隔离，互不影响。
详细解读Linux网络命名空间，veth， birdge与路由
最新发布
这是一个c++热爱者的博客哟
12-15 1400
名称空间将全局系统资源包装在一个抽象中，使名称空间中的进程看起来拥有自己的全局资源的独立实例。对全局资源的更改对作为命名空间成员的其他进程可见，但对其他进程不可见。名称空间的一个用途是实现容器。(摘录自中对namespace的介绍)Namespace是Linux提供的一种对于系统全局资源的隔离机制；从进程的视角来看，同一个namespace中的进程看到的是该namespace自己独立的一份全局资源，这些资源的变化只在本namespace中可见，对其他namespace没有影响。
理解 Linux 网络命名空间
因上努力，果上随缘。但行好事，莫问前程。
08-02 1331
如果你使用过 Docker 和 Kubernetes，那么可能应该听说过 network namespace（网络命名空间），最近在我们的 《Kubernetes 网络训练营》课程中学习到了 Linux 下面的 命令的使用，本文我将演示如何使用命令通过一对 接口连接不同子网中的网络命名空间的进程。我们知道容器运行时使用 namespace（命名空间）内核功能对系统资源进行分区，以实现某种形式的进程隔离，这样，对一个命名空间中资源的更改不会影响其他命名空间中的资源，包括进程 ID、主机名、用户 ID、文件
Docker - 网络命名空间
牧码的博客
04-25 580
sudo ip link add veth-test1 type veth peer name veth-test2 向本机添加一堆veth 名字分别叫veth-test1 和veth-test2 sudo ip netns exec sir1 ip link set dev lo up 启动本地namespace为sir1的回环口 sudo ip link set veth-te...
LINUX ip-netns 解析与使用（网络命名空间的原理）
nb_zsy的博客
12-18 4308
提示： ip-netns - process network namespace management 文章目录前言一、网络命名空间（netwrok namespace）是什么？二、使用步骤1.ip netns exec2. ip netns list - show all of the named network namespaces3. ip netns add NAME - create a new named network namespace4.ip netns attach NAME PID
踩坑-Docker unauthorized: incorrect username or password
yu36yuqing的博客
08-13 7813
使用docker出现如下问题 这段代码是在编译生成我自己的docker image，名字叫koa2jain，版本是v1，报错说unauthorized jain@MacBook-Pro koa2_jain (master) $ docker build -t koa2jain:v1 . Sending build context to Docker daemon 7.069MB Step 1...
Docker 拉取镜像失败 ：unauthorized: authentication required
qq_40673345的博客
04-14 5021
尝试过加阿里和网易的加速器，没效果，谷歌后新的方法： 使用date命令，查看本机的事件和当地时间是否一致，不一致的话需要统一时区： 具体怎么统一可以查看这篇： CentOS修改系统时间和时区 ...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值