docker网络

docker网络

容器网络

[root@localhost ~]# ifconfig 
docker0: flags=4099<UP,BROADCAST,MULTICAST>  mtu 1500
        inet 172.17.0.1  netmask 255.255.0.0  broadcast 172.17.255.255
        ether 02:42:20:3b:23:7f  txqueuelen 0  (Ethernet)
        RX packets 0  bytes 0 (0.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 0  bytes 0 (0.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

ens33: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.15.11  netmask 255.255.255.0  broadcast 192.168.15.255
        inet6 fe80::3db8:be0c:5bbd:6be1  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:01:ec:95  txqueuelen 1000  (Ethernet)
        RX packets 85169  bytes 121640150 (116.0 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 9648  bytes 846655 (826.8 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        inet6 ::1  prefixlen 128  scopeid 0x10<host>
        loop  txqueuelen 1000  (Local Loopback)
        RX packets 44  bytes 3624 (3.5 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 44  bytes 3624 (3.5 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

• 以上网卡的作用

ens33：物理网卡。用于让宿主机可以访问到外网

lo：回环网卡、TCP/IP网卡是否生效

virbr0： linux自身继承了一个虚拟化功能(kvm架构) ，是原生架构的一个虚拟化平台，安装了-个虚拟化平台之后就会系统就会自动安装虚拟网卡
(示例:安装workstation (虚拟化平台) 之后，会在网络适配器中会多出VMnet1 VMnet8 VMnet0)

docker0：安装完docker自动生成的网卡，默认网卡形式，是一种桥接网卡。容器的网关，绑定物理网卡，负责做NAT地址转换、端口映射。docker0本身也是一种容器

docker0作为网桥连接所有容器，可以看做成小型的局域网，docker0就是网关。因为容器A和容器B和docker0在同一个网段， 可以通过网关就能通讯。如果容器A和容器B想访问外部，需要通过NAT（地址映射），将172.17.0.1映射为192.168.226.130，就可以访问外网。

若容器内的服务端口一致，可以使用端口映射的方式访问，如图。

docker四种网络模式

HOST模式

如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Namespace，而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。

使用host模式的容器可以直接使用宿主机的IP地址与外界通信，容器内部的服务端口也可以使用宿主机的端口，不需要进行NAT，host最大的优势就是网络性能比较好，但是docker host上已经使用的端口就不能再用了，网络的隔离性不好。

Host模式如下图所示：

container模式 （不常用）

创建的容器不会创建自己的网卡、设置IP等，而是和一个指定地容器共享IP

这个模式指定新创建的容器和已经存在的一个容器共享一个 Network Namespace，而不是和宿主机共享。新创建的容器不会创建自己的网卡，配置自己的 IP，而是和一个指定的容器共享 IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过 lo 网卡设备通信。

Container模式示意图：

none模式

使用none模式，Docker容器拥有自己的Network Namespace，但是，并不为Docker容器进行任何网络配置。也就是说，这个Docker容器没有网卡、IP、路由等信息。需要我们自己为Docker容器添加网卡、配置IP等。

这种网络模式下容器只有lo回环网络，没有其他网卡。none模式可以在容器创建时通过–network=none来指定。这种类型的网络没有办法联网，封闭的网络能很好的保证容器的安全性。

None模式示意图:

bridge模式

此模式会为每一个容器分配、设置IP等，并将容器连接到一个docker虚拟网桥，通过docker0网桥及iptables的nat表配置与宿主机通信

当Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。

从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。在主机上创建一对虚拟网卡veth pair设备，Docker将veth pair设备的一端挂载在新创建的容器中，并命名为eth0（容器的网卡），另一端放在主机中，以vethxxx这样类似的名字命名，并将这个网络设备加入到docker0网桥中。可以通过brctl show命令查看。

bridge模式是docker的默认网络模式，不写–net参数，就是bridge模式。使用docker run -p时，docker实际是在iptables做了DNAT规则，实现端口转发功能。可以使用iptables -t nat -vnL查看。

bridge模式如下图所示：

容器和docker0对接使用veth对，用于连接两个虚拟网络环境、连接两个名称空间

docker0是网桥下所有容器的网关，只要容器能连接到网桥，容器和容器间就可以借助网桥进行通讯

容器和外部进行通讯：容器需要借助docker0中的NAT地址转换，iptables规则，通过docker0这个网关上的IP地址进行映射和ens33或者eth0做连接，进行连接外网

小结：

Docker网络模式	配置	说明
host模式	–net=host	容器和宿主机共享Network namespace。
container模式	–net=container:NAME_or_ID	容器和另外一个容器共享Network namespace。 kubernetes中的pod就是多个容器共享一个Network namespace。
none模式	–net=none	容器有独立的Network namespace，但并没有对其进行任何网络设置，无法和外部进行交互。如分配veth pair 和网桥连接，配置IP等。
bridge模式	–net=bridge	默认为该模式，docker0作为虚拟网桥使所有容器连接，结合ipatablesf规则进行地址映射，把容器的地址段映射为主机的地址段，用于和宿主机通信，最后连接外网

扩展：

一个宿主机内可以划分多个虚拟网桥，可以通过ens33进行通讯。

docker自定义网络

• 查看网络列表

[root@localhost ~]# docker network ls
NETWORK ID     NAME      DRIVER    SCOPE
496929dac957   bridge    bridge    local
a02ded745e78   host      host      local
f652af6e8ad9   none      null      local

• 自定义网络固定IP

#创建自定义网桥
[root@localhost ~]# docker network create --subnet=172.18.0.0/16 mynetwork
2310bfb388dac981745127059e37275b8109588c43afc49e87c6a491758d2a82
[root@localhost ~]# docker network ls
NETWORK ID     NAME        DRIVER    SCOPE
62f3201da04b   bridge      bridge    local
a02ded745e78   host        host      local
2310bfb388da   mynetwork   bridge    local   #创建成功
f652af6e8ad9   none        null      local
#指定容器IP地址
[root@localhost ~]# docker run -itd --name=t10 --net mynetwork --ip 172.18.0.10 centos:7 /bin/bash
01e51947aa6402395f05a2573efa48191e3d8b85a67caf1ed58746a44e68d347

##进入容器验证
[root@localhost ~]# docker exec  -it 01e51947aa64 /bin/bash
[root@01e51947aa64 /]# yum -y install net-tools
[root@01e51947aa64 /]# ifconfig 
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.18.0.10  netmask 255.255.0.0  broadcast 172.18.255.255
        ether 02:42:ac:12:00:0a  txqueuelen 0  (Ethernet)
        RX packets 8942  bytes 13489283 (12.8 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 4962  bytes 271293 (264.9 KiB)

lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        loop  txqueuelen 1000  (Local Loopback)
        RX packets 70  bytes 7359 (7.1 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
[root@01e51947aa64 /]# ping 172.18.0.1
PING 172.18.0.1 (172.18.0.1) 56(84) bytes of data.
64 bytes from 172.18.0.1: icmp_seq=1 ttl=64 time=0.095 ms
64 bytes from 172.18.0.1: icmp_seq=2 ttl=64 time=0.034 ms
64 bytes from 172.18.0.1: icmp_seq=3 ttl=64 time=0.034 ms
^C
--- 172.18.0.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 1999ms
rtt min/avg/max/mdev = 0.034/0.054/0.095/0.029 ms
[root@01e51947aa64 /]# ping 172.17.0.1
PING 172.17.0.1 (172.17.0.1) 56(84) bytes of data.
64 bytes from 172.17.0.1: icmp_seq=1 ttl=64 time=0.030 ms
64 bytes from 172.17.0.1: icmp_seq=2 ttl=64 time=0.050 ms
64 bytes from 172.17.0.1: icmp_seq=3 ttl=64 time=0.034 ms
^C
--- 172.17.0.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2000ms
rtt min/avg/max/mdev = 0.030/0.038/0.050/0.008 ms
mp_seq=3 ttl=64 time=0.034 ms
^C
--- 172.17.0.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2000ms
rtt min/avg/max/mdev = 0.030/0.038/0.050/0.008 ms