【Docker】Docker Network（网络）

炫酷的伊莉娜

于 2024-08-18 10:30:03 发布

阅读量1.3k

点赞数 27

分类专栏： Docker 文章标签： docker 网络容器架构 Container bridge host

本文链接：https://blog.csdn.net/weixin_74531333/article/details/141036448

版权

Docker 专栏收录该内容

13 篇文章 0 订阅

订阅专栏

一、Docker 为什么需要网络管理

容器的网络默认与宿主机及其他容器都是相互隔离，但同时也要考虑下面的一些问题，比如：

多个容器之间是如何通信的。
容器和宿主机是如何通信的。
容器和外界主机是如何通信的。
容器中要运行一些网络应用（如 nginx、web 应用、数据库等），如果要让外部也可以访问这些容器内运行的网络应用应该如何实现。
容器不想让它的网络与宿主机、与其他容器隔离应该如何实现。
容器根本不需要网络的时候应该如何实现。
容器需要更高的定制化网络（如定制特殊的集群网络、定制容器间的局域网）应该如何实现。
... ...

上述的这些问题都需要我们对容器的网络进行合理的管理才能解决，这就体现出了容器网络管理的重要性。

二、Docker 网络架构简介

Docker 容器网络是为应用程序所创造的虚拟环境的一部分，它能让应用从宿主机操作系统的网络环境中独立出来，形成容器自有的网络设备、IP 协议栈、端口套接字、IP 路由表、防火墙等等与网络相关的模块。

Docker 为实现容器网络，主要采用的架构由三部分组成：CNM、Libnetwork 和驱动。

1、CNM

Docker 网络架构采用的设计规范是 CNM（Container Network Model）。CNM 中规定了 Docker 网络的基础组成要素：Sandbox、Endpoint、Network。

Sandbox（沙箱）：提供了容器的虚拟网络栈，也即端口、套接字、IP 路由表、防火墙、DNS 配置等内容。主要用于隔离容器网络与宿主机网络，形成了完全独立的容器网络环境。
Network：Docker 内部的虚拟子网，使得网络内的参与者能够进行通讯。
Endpoint：就是虚拟网络的接口，就像普通网络接口一样，Endpoint 的主要职责是负责创建连接。Endpoint 类似于常见的网络适配器，那也就意味着一个 Endpoint 只能接入某一个网络，当容器需要接入到多个网络，就需要多个 Endpoint。

如上图所示，容器 B 有两个 Endpoint 并且分别接入 Networkd A 和 Network B，那么容器 A 和容器 B 之间是可以实现通信的，因为都接入了 NetworkA。但是容器 A 和容器 C 不可以通过容器 B 的两个 Endpoint 通信。

2、Libnetwork

Libnetwork 是 CNM 的一个标准实现。Libnetwork 是开源库，采用 Go 语言编写（跨平台的），也是 Docker 所使用的库，Docker 网络架构的核心代码都在这个库中。

Libnetwork 实现了 CNM 中定义的全部三个组件，此外它还实现了本地服务发现、基于 Ingress 的容器负载均衡，以及网络控制层和管理层等功能。

3、驱动

驱动主要负责实现数据层相关内容，例如网络的连通性和隔离性是由驱动来处理的。驱动通过实现特定网络类型的方式扩展了 Docker 网络栈，例如桥接网络和覆盖网络。

Docker 内置了若干驱动，通常被称作原生驱动或者本地驱动。例如 Bridge Driver、Host Driver、Overlay Driver、MacVLan Driver、IPVLan Driver、None Driver 等等。每个驱动负责创建其上所有网络资源的创建和管理。

三、常见网络类型

1、bridge 网络

bridge 驱动会在 Docker 管理的主机上创建一个 Linux 网桥。默认情况下，网桥上的容器可以相互通信。也可以通过 bridge 驱动程序配置，实现对外部容器的访问。

Docker 容器的默认网络驱动。当我们需要多个容器在同一个 Docker 主机上通信时，桥接网络是最佳选择。

2、host 网络

对于独立容器，移除容器和 Docker 主机之间的网络隔离，并直接使用主机的网络。当网络堆栈不应该与 Docker 主机隔离，但是希望容器的其他资源被隔离时，主机网络是最佳选择。

3、container 网络

这个模式指定新创建的容器和引进存在的一个容器共享一个网络，而不是和宿主机共享。新创建的容器不会创建自己的网卡，配置自己的 ip，而是和一个指定的容器共享 ip，端口等，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过 lo 网卡设备通信。

4、none 网络

Docker 容器拥有自己的 Network Namespace，但是并不为 Docker 容器进行任何网络配置。也就是说，这个 Docker 容器没有网卡、IP、路由等信息。容器完全网络隔离。

5、overlay 网络

借助 Docker 集群模块 Docker Swarm 搭建的跨 Docker Daemon 网络。将多个 Docker 守护进程连接在一起，使集群服务能够相互通信。当我们需要运行在不同 Docker 主机上的容器进行通信时，或者当多个应用程序使用集群服务协同工作时，覆盖网络是最佳选择。

另外，在 Docker 安装时，会自动安装一块 Docker 网卡称为 docker0，它是一个网桥设备，主要是用于 Docker 各容器及宿主机的网络通信。

四、docker 网络管理命令

1、命令清单

2、docker network create

（1）功能

创建自定义网络。

（2）语法

docker network create [OPTIONS] NETWORK

（3）关键参数

-d，--driver：网络驱动。
--gateway：网关地址。
--subnet：表示网段的 CIDR 格式的子网。
--ipv6：启用 ipv6。

（4）样例

3、docker network inspect

（1）功能

查看网络详情。

（2）语法

docker network inspect [OPTIONS] NETWORK [NETWORK...]

（3）关键参数

-f，--format：指定格式

（4）样例

4、docker network connect

（1）功能

于将容器连接到网络。可以按名称或 ID 连接容器。一旦连接，容器可以与同一网络中的其他容器通信。

（2）语法

docker network connect [OPTIONS] NETWORK CONTAINER

（3）关键参数

--ip：指定 IP 地址。
--ip6：指定 IPv6 地址。

（4）样例

将正在运行的容器连接到网络：

启动时将容器连接到网络。

还可以使用 docker run --network=<network-name> 选项启动容器并立即将其连接到网络。

指定容器的 IP 地址。

可以指定要分配给容器网络接口的 IP 地址。

docker network connect --ip 10.10.36.122 mynet4 busybox1

5、docker network disconnect

（1）功能

断开网络。

（2）语法

docker network disconnect [OPTIONS] NETWORK CONTAINER

（3）关键参数

-f：强制退出

（4）样例

6、docker network prune

（1）功能

删除不使用的网络。

（2）语法

docker network prune [OPTIONS]

（3）关键参数

-f, --force：不提示。

（4）样例

7、docker network rm

（1）功能

删除 1 个或者多个网络。

（2）语法

docker network rm NETWORK [NETWORK...]

（3）关键参数

-f：强制退出。

（4）样例

8、docker network ls

（1）功能

列出网络。

（2）语法

docker network ls [OPTIONS]

（3）别名

docker network list

（4）关键参数

-f，--filter：指定过滤条件。
--format：指定格式。
--no-trunc：不截断。
-q，--quiet：仅仅显示 id。

（5）样例

9、网络命令基本操作

（1）创建网络并指定 ip 地址段

（2）查看创建的网络

（3）创建一个容器并加入网络

（4）查看容器网络信息

（5）创建一个新的 busybox 容器 busybox4，但是不加入我们的自定义网络

（6）查看该容器的网络配置

可以看到采用的是 docker0 桥：

（7）将该容器加入到自己创建的网络

（8）再次查看容器 4 的网络配置

可以看到它多了一个 mynetwork：

（9）让容器 3 和容器 4 断开网络

（10）再次查看容器 4 网络配置

可以看到只有 1 个 bridge 网络了

查看 mynet6，可以看到此时容器为空：

（11）删除网络

只要停止了所有容器，就可以正常的删除网络了。

五、网络详解

1、docker Bridge 网络

（1）网络介绍

Docker Bridge 网络采用内置的 bridge 驱动，bridge 驱动底层采用的是 Linux 内核中 Linux bridge 技术。就网络而言，bridge 网络是在网络段之间转发流量的链路层设备，而网桥可以是在主机内核中运行的硬件设备或软件设备；就 Docker 而言，桥接网络使用软件网桥 docker0，它允许连接到同一网桥网络的容器进行通信，同时提供与未连接到该网桥网络容器的隔离。

Docker Container 的 bridge 桥接模式可以参考下图：

默认情况下，创建的容器在没有使用 --network 参数指定要加入的 docker 网络时，默认都是加入 Docker 默认的单机桥接网络，即下面的 name 为 bridge 的网络。

查看 docker 支持的网络：

默认的 bridge 网络会被映射到内核中为 docker0 的网桥上。

Docker 默认的 bridge 网络和 Linux 内核中的 docker0 网桥是一一对应的关系。bridge 是 Docker 对网络的命名，而 docker0 是内核中网桥的名字。

（2）生活案例

bridge 就像一个立交桥一样，有很多条路可以四通八达，每条路都连接了 2 个方向的通道。

（3）操作案例

A. 容器间的网络通信

多台主机是如何通过网络中进行通信的？

如果是两台主机可以直接通过连接网线的两端进行通信。那多台主机通信怎么处理呢？

这就需要新增路由器 / 交换机，把多台主机连接到路由器/交换机上，通过路由器/交换机来达到交换数据，即通信的目的。

其实容器之间的通信也和上面主机通信的方式如出一辙，前面提到了安装 Docker 的时候会默认 docker0 这个网桥软件设备，这个 docker0 设备可以类比成上图的交换机 / 路由器设备，当创建好容器之后，如果不手动指定网络模式，默认会使用 bridge 网络，容器会自动连接到 docker0 这个网桥设备，然后通过这个网桥来进行容器间的通信。

下面就来验证上述情况：

使用 busybox 镜像创建两个容器，并且保持在后台运行

关于 BusyBox 镜像介绍：

BusyBox 是一个集成了一百多个最常用 Linux 命令和工具（如 cat、echo、grep、mount、telnet 等）的精简工具箱，它只需要几 MB 的大小，很方便进行各种快速验证，被誉为 “Linux 系统的瑞士军刀”。
BusyBox 可运行于多款 POSIX 环境的操作系统中，如 Linux（包括 Android）、Hurd、FreeBSD 等。

两个容器间通信的现象。

查看 b1 容器 ip 地址也可以使用 ifconfig 命令来查看：

查看 b2 容器 ip 地址：

在 b1 容器中去尝试 ping 一下 b2 容器的 IP 地址，确定两个容器是否能通信：

在 b2 容器中去尝试 ping 一下 b1 容器的 IP 地址，确定两个容器是否能通信：

确定两个容器可以通信之后，查看一下 bridge 网络的信息。

查看 bridge 网络的详细信息：

此时，该网络已经连接了两个容器，即 b1 和 b2。b1 和 b2 两个容器就是通过 docker0 这个网桥来进行通信的。当我们停止或删除掉一个容器的时候，会发现该容器会自动和 docker0 切断连接。

停止 b1 容器运行：

再次查看 docker0 信息，发现容器 b1 已经和 docker0 切断连接了：

B. 创建自定义 bridge

在默认情况下，我们创建的容器都会连接在 docker0 这个 bridge 上。其实也可以创建一些自定义的 bridge，让运行的容器通过自定义 bridge 进行通信。

可以通过 create 命令来创建新的 bridge：

-d，--driver 选项指定网络驱动程序，在创建自定义 bridge 的时候可能会出现如下报错

[zsc@VM-8-12-centos ~]$ docker network create -d bridge new-bridge
Error response from daemon: Failed to Setup IP tables: Unable to enable SKIP DNAT rule: (iptables failed: iptables --wait -t nat -I DOCKER -i br-45ac8acddba4 -j RETURN: iptables: No chain/target/match by that name.
(exit status 1))

可以通过重启 docker 服务来解决这个问题：

[zsc@VM-8-12-centos ~]$ systemctl restart docker

使用命令 docker network inspect 查看 new-bridge 网络信息会发现这个网络的子网 IP 是 172.18.0.0/16，它表示如果我们创建容器并连接到该网络上，就会给该容器分配一个 172.18.xx.xx 这个网段的 IP 地址。

在创建容器的时候，怎么才能连接自定义的这个 bridge 呢？

可以通过 --network 选项指定要连接的网络，如果不指定的话，默认是连接的 bridge 。

创建 b3 容器，并指定连接 new-bridge：

过滤 b3 容器网络相关信息，可以看到该容器已经连接到 new-bridge 上了：

查看自定义 bridge 网络的详细信息，发现 b3 容器已经连接到该网络上了。

C. DNS 解析

Docker 自定义桥接网络是支持通过 Docker DNS 服务进行域名解析的，也就是说可以直接使用容器名进行通信，因为 DNS 服务可以解析容器名到 IP 地址的映射，但是默认的 bridge 网络是不支持 DNS 的。

准备实验环境：b51 和 b52 容器默认连接 bridge 网络，b53 和 b54 容器默认连接 mybridge2 网络

创建 b51 和 b52 容器，默认连接 bridge 网络：

创建 b53 和 b54 容器，连接 mybridge2：

查看当前容器列表：

查看 bridge 网络连接的容器：

查看 mybridge2 网络连接的容器：

验证 b51 和 b52 是否能够使用 dns 解析服务：

查看 b51 和 b52 容器的 ip 地址：

b51 容器 ping b52 容器的 IP 地址是可以 ping 通的（反之亦然）：

b51 容器 ping b52 容器名发现找不到 IP 地址, 确定默认 bridge 网络不支持 DNS：

验证 b53 和 b54 是否能够使用 DNS 解析服务：

查看 b53 和 b54 容器 IP 地址：

b53 容器 ping b54 容器的 IP 地址可通：

b53 容器 ping b54 容器名可通确定自定义 bridge 支持 DNS：

D. 端口暴露和转发

a. 暴露方式

端口暴露有 2 种方式，在启动容器的时候添加端口参数，一种是 -P 暴露所有端口，一种是 -p，暴露指定端口。

-P

将指定的容器端口映射至主机所有地址的一个动态端口，“动态端口” 指随机端口，具体的映射结果可使用 docker port 命令查看。

-p <hostPort>:<containerPort>

将容器端口 <containerPort> 映射至指定的主机端口 <hostPort>。

b. 端口转发

连接 bridge 网络的容器只能与连接在当前网络中的容器进行通信。如果一个容器想要对外提供一些网络服务的话，需要进行端口转发才可以实现。

端口转发将 Docker 容器的端口映射到宿主机的端口上，那么任何发送到宿主机该端口的流量，都会被转发到容器的端口中。如下图所示，两个容器内部均开放 80 端口，它们分别映射到宿主机的 8088 和 8089 端口，即表示任何发送到 8088 端口的流量都会转发到 Container 1 容器的 80 端口，发送到 8089 端口的流程都会转发到 Container 2 容器的 80 端口。

启动一个容器，配置 80 端口的转发：

创建一个 nginx 容器，并把容器 80 端口转发到宿主机的 8060 端口：

--rm 表示运行完自动删除该容器。
--name 指定容器名。

通过 web 浏览器访问宿主机的 8060 端口时，会得到 nginx 主页。

2、docker Host 网络

（1）网络介绍

Docker 容器运行默认都会分配独立的 Network Namespace 隔离子系统，但是如果基于 host 网络模式，容器将不会获得一个独立的 Network Namespace，而是和宿主机共用同一个 Network Namespace，容器将不会虚拟出自己的网卡，IP 等，而是直接使用宿主机的 IP 和端口。

连接到 host 网络的容器共享宿主机的网络栈，容器的网络配置与宿主机完全一样。可以通过 --network=host 指定使用 host 网络。

（2）操作案例

创建容器 b61 使用 bridge 网络：

创建容器 b62 使用 host 网络：

查看 b61 的网络信息：

查看 b62 的网络信息：

可以看到 b61 容器是独立的网络配置，而 b62 容器是和宿主机共享网络配置。

（3）使用场景

前面提到 bridge 网络在通信的时候需要进行端口转发以及 NAT 地址转换，这势必会消耗掉一些资源以及性能。那么直接使用 host 网络最大的好处就是性能好，如果容器对网络传输效率有较高的要求，建议选择 host 网络。当然也会牺牲一些东西，比如要考虑端口冲突问题，其他服务已经被占用的端口就不能再使用了。

3、docker Container 网络

（1）网络介绍

Docker Container 的 other container 网络模式是 Docker 中一种较为特别的网络的模式。之所以称为 “other container 模式”，是因为这个模式下的 Docker Container 会使用其他容器的网络环境。之所以称为“特别”，是因为这个模式下容器的网络隔离性会处于 bridge 桥接模式与 host 模式之间。Docker Container 共享其他容器的网络环境，则至少这两个容器之间不存在网络隔离，而这两个容器又与宿主机以及除此之外其他的容器存在网络隔离。