docker容器网络

docker容器网络

1.docker容器网络
Docker在安装后自动提供3种网络，可以使用 docker network ls 命令查看

[root@localhost ~]# docker network ls
NETWORK ID     NAME      DRIVER    SCOPE
255cb76a21fe   bridge    bridge    local
28ed4c6f61b4   host      host      local
96a532ca0901   none      null      local
[root@localhost ~]# 

Docker使用Linux桥接，在宿主机虚拟一个Docker容器网桥(docker0)，Docker启动一个容器时会根
据Docker网桥的网段分配给容器一个IP地址，称为Container­IP，同时Docker网桥是每个容器的默
认网关。因为在同一宿主机内的容器都接入同一个网桥，这样容器之间就能够通过容器的
Container­IP直接通信。

2.docker的4种网络模式

|网络模式| 配置 |说明|
|:----😐:----😐
|host| –network host| 容器和宿主机共享Network namespace|
|container| –network container:NAME_OR_ID| 容器和另外一个容器共享Network namespace|
|none |–network none |容器有独立的Network namespace，但并没有对其进行任何网络设置，如分配veth pair 和网桥连接，配置IP等|
|bridge |–network bridge| 默认模式|

2.1bridge模式

当Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器
会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过
交换机连在了一个二层网络中。
从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。在主机上创
建一对虚拟网卡veth pair设备，Docker将veth pair设备的一端放在新创建的容器中，并命名为
eth0（容器的网卡），另一端放在主机中，以vethxxx这样类似的名字命名，并将这个网络设备加入
到docker0网桥中。可以通过brctl show命令查看。

[root@localhost ~]# mount /dev/cdrom /mnt/
mount: /mnt: WARNING: device write-protected, mounted read-only.
[root@localhost ~]# rpm -ivh http://mirror.centos.org/centos/7/os/x86_64/Packages/bridge-utils-1.5-9.el7.x86_64.rpm
Retrieving http://mirror.centos.org/centos/7/os/x86_64/Packages/bridge-utils-1.5-9.el7.x86_64.rpm
warning: /var/tmp/rpm-tmp.bINltG: Header V3 RSA/SHA256 Signature, key ID f4a80eb5: NOKEY
Verifying...                          ################################# [100%]
Preparing...                          ################################# [100%]
Updating / installing...
   1:bridge-utils-1.5-9.el7           ################################# [100%]
[root@localhost ~]# brctl show
bridge name	bridge id		STP enabled	interfaces
docker0		8000.0242e6ea43d7	no		
[root@localhost ~]# 

bridge模式是docker的默认网络模式，不写–network参数，就是bridge模式。使用docker run ­p
时，docker实际是在iptables做了DNAT规则，实现端口转发功能。可以使用iptables ­t nat ­vnL查
看。
bridge模式如下图所示：

假设上图的docker2中运行了一个nginx，大家来想几个问题：
同主机间两个容器间是否可以直接通信？比如在docker1上能不能直接访问到docker2的nginx
站点？
在宿主机上能否直接访问到docker2的nginx站点？
在另一台主机上如何访问node1上的这个nginx站点呢？DNAT发布？
Docker网桥是宿主机虚拟出来的，并不是真实存在的网络设备，外部网络是无法寻址到的，这也意
味着外部网络无法通过直接Container­IP访问到容器。如果容器希望外部访问能够访问到，可以通
过映射容器端口到宿主主机（端口映射），即docker run创建容器时候通过 ­p 或 ­P 参数来启用，
访问容器的时候就通过[宿主机IP]:[容器端口]访问容器。

2.2container模式

这个模式指定新创建的容器和已经存在的一个容器共享一个 Network Namespace，而不是和宿主
机共享。新创建的容器不会创建自己的网卡，配置自己的 IP，而是和一个指定的容器共享 IP、端口
范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的
进程可以通过 lo 网卡设备通信。
container模式如下图所示：

2.3host模式

如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Namespace，而
是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是
使用宿主机的IP和端口。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。
使用host模式的容器可以直接使用宿主机的IP地址与外界通信，容器内部的服务端口也可以使用宿
主机的端口，不需要进行NAT，host最大的优势就是网络性能比较好，但是docker host上已经使用
的端口就不能再用了，网络的隔离性不好。
Host模式如下图所示：

2.4none模式

使用none模式，Docker容器拥有自己的Network Namespace，但是，并不为Docker容器进行任何
网络配置。也就是说，这个Docker容器没有网卡、IP、路由等信息。需要我们自己为Docker容器添
加网卡、配置IP等。
这种网络模式下容器只有lo回环网络，没有其他网卡。none模式可以在容器创建时通过–network
none来指定。这种类型的网络没有办法联网，封闭的网络能很好的保证容器的安全性。
应用场景：
启动一个容器处理数据，比如转换数据格式
一些后台的计算和处理任务
none模式如下图所示：

docker network inspect bridge #查看bridge网络的详细配置

docker容器网络配置

1.Linux内核实现名称空间的创建

1.1ip netns命令

可以借助ip netns命令来完成对 Network Namespace 的各种操作。ip netns命令来自于iproute安装
包，一般系统会默认安装，如果没有的话，请自行安装。
注意：ip netns命令修改网络配置时需要 sudo 权限。
可以通过ip netns命令完成对Network Namespace 的相关操作，可以通过ip netns help查看
命令帮助信息：

[root@localhost ~]# ip netns help
Usage:	ip netns list
	ip netns add NAME
	ip netns attach NAME PID
	ip netns set NAME NETNSID
	ip [-all] netns delete [NAME]
	ip netns identify [PID]
	ip netns pids NAME
	ip [-all] netns exec [NAME] cmd ...
	ip netns monitor
	ip netns list-id [target-nsid POSITIVE-INT] [nsid POSITIVE-INT]
NETNSID := auto | POSITIVE-INT
[root@localhost ~]# 

默认情况下，Linux系统中是没有任何 Network Namespace的