【云原生技术】Docker基础知识-docker0网桥

概述

Docker 网桥（Docker bridge network）是 Docker 默认的一种网络模式，它允许 Docker 容器之间通过一个虚拟的交换机进行通信。Docker 网桥网络为容器提供了一个隔离的网络环境，使得容器之间可以互相通信，同时也能与外部网络进行交互。

示意图

Docker 网桥的工作原理

1. 创建虚拟网桥

   • 当 Docker 守护进程启动时，它会在宿主机上创建一个名为 docker0 的虚拟网桥（也称为虚拟交换机）。这个虚拟网桥类似于一个物理交换机，用于连接容器的网络接口。
   • docker0 网桥通常具有一个私有的 IP 地址范围，如 172.17.0.0/16 或者 192.168.2.0/24，具体取决于 Docker 的配置。

2. 容器网络接口

   • 当一个新的容器启动时，Docker 会在 docker0 网桥上创建一个虚拟网络接口（veth pair），其中一端连接到网桥，另一端连接到容器的网络命名空间。
   • 容器会被分配一个从 docker0 子网中挑选出的唯一 IP 地址。

3. NAT（网络地址转换）

   • Docker 使用 NAT 技术来实现容器与外部网络的通信。当容器发送数据包到外部网络时，数据包的源 IP 地址会被转换成宿主机的 IP 地址。同样，当外部网络的数据包发送给容器时，数据包的目的 IP 地址会被转换成容器的 IP 地址。
   • 这样做可以保护容器的 IP 地址不被外界直接看到，同时也允许容器通过宿主机的 IP 地址访问外部网络。

4. 端口映射

   • 使用 -p 或 --publish 参数可以在宿主机上打开一个端口并将其映射到容器内的某个端口。例如，docker run -p 8080:80 nginx 将把容器的 80 端口映射到宿主机的 8080 端口，使得可以从外部通过宿主机的 8080 端口访问容器的 80 端口服务。

Docker 网桥的优势

• 隔离性：容器之间可以通过私有 IP 地址进行通信，而不影响宿主机上的其他网络服务。
• 易于管理：默认的 Docker 网桥网络提供了简单的网络管理方式，适合快速搭建和测试环境。
• 安全性：NAT 机制增加了额外的安全层，保护容器不受直接的外部网络攻击。

Docker 网桥的局限性

• IP 地址范围有限：默认的 IP 地址池是有限的，如果大量容器同时运行，可能会耗尽可用的 IP 地址。
• 性能瓶颈：NAT 转换可能会引入一定的延迟，尤其是在高流量场景下。

自定义网桥网络

除了默认的 bridge 网络外，用户还可以创建自定义的网桥网络。这可以通过 docker network create 命令来实现，允许更精细的网络控制，例如指定不同的子网、网关地址等。

例如，创建一个自定义网桥网络：

docker network create --driver bridge my-custom-net

然后可以将容器连接到这个自定义网络：

docker run --name my-container --net=my-custom-net -d my-image

总结来说，Docker 网桥网络提供了一个简单有效的方式来管理容器间的网络通信，同时也是 Docker 默认推荐的网络模式。然而，在某些场景下，可能需要更复杂的网络配置，这时可以考虑使用自定义网络或者其他网络插件。

什么是veth pair?

veth pair（Virtual Ethernet Pair）是一种Linux内核技术，它用于将两个虚拟网络接口连接在一起，从而允许在不同的网络命名空间（Network Namespace）之间进行通信。以下是关于veth pair的详细解释：

一、定义与原理

• 定义：veth pair是一对虚拟设备接口，它们成对出现，一端连着协议栈，另一端彼此相连。
• 原理：当向veth pair的一端输入数据时，数据会通过内核协议栈后从另一端输出。这种特性使得veth pair能够充当桥梁，连接各种虚拟网络设备。

二、应用场景

• 容器网络：veth pair常被用于容器的实现中，如Docker容器网络。通过创建veth pair，可以为容器提供网络隔离和互联。当创建一个Docker容器时，会创建一个独立的网络命名空间，并创建两个veth pair接口，一个附加到容器内的网络命名空间中，另一个附加到主机的网络命名空间中。
• 虚拟网络结构：veth pair还可以用于构建复杂的虚拟网络结构，如OpenStack Neutron等。

三、配置与使用

• 创建veth pair：可以使用ip link add命令来创建一个veth pair。例如，ip link add veth0 type veth peer name veth1会创建一个名为veth0和veth1的veth pair。
• 移动接口到命名空间：使用ip link set命令可以将veth pair的一个接口移动到指定的网络命名空间中。例如，ip link set veth1 netns ns1会将veth1移动到名为ns1的网络命名空间中。
• 配置IP地址：为veth pair的接口配置IP地址，以便它们能够相互通信。例如，可以使用ip addr add命令为接口添加IP地址。
• 启动网卡：使用ip link set命令启动网卡，使其处于活动状态。例如，ip link set veth0 up会启动veth0网卡。

四、测试连通性

• ping命令：可以使用ping命令来测试两个网络命名空间之间的连通性。例如，从主机命名空间ping容器命名空间中的IP地址，或从容器命名空间ping主机命名空间中的IP地址。

五、注意事项

• Linux内核版本：veth pair是Linux内核技术的一个基本组成部分，因此需要使用支持veth pair的Linux内核版本。
• 网络接口命名：Linux内核对网络接口的名字长度有限制，不能超过15个字符。
• 安全性与性能：veth pair提供了一种简单而密集的方式来实现不同网络命名空间之间的通信，同时保持了适当的隔离性，有助于提升网络性能和安全性。

综上所述，veth pair是Linux内核技术中用于在不同网络命名空间之间进行通信的重要工具。通过合理配置和使用veth pair，可以为容器等虚拟化技术提供网络隔离和互联的支持。