docker高级网络配置

当 Docker 启动时，会自动在主机上创建一个 docker0 虚拟网桥，实际上是 Linux 的一个 bridge，可以理

解为一个软件交换机。它会在挂载到它的网口之间进行转发。

当创建一个 Docker 容器的时候，同时会创建了一对 veth pair 接口（当数据包发送到一个接口时，另外

一个接口也可以收到相同的数据包）。这对接口一端在容器内，即 eth0 ；另一端在本地并被挂载到

docker0 网桥，名称以 veth 开头（例如 vethAQI2QT ）。 通过这种方式，主机可以跟容器通信，容器

之间也可以相互通信。Docker 就创建了在主机和所有容器之间一个虚拟共享网络。

跟 Docker 网络相关的命令列表：

其中有些命令选项只有在 Docker 服务启动的时候才能配置，而且不能马上生效。

  -b BRIDGE or --bridge=BRIDGE --指定容器挂载的网桥

  --bip=CIDR --定制 docker0 的掩码

  -H SOCKET... or --host=SOCKET... --Docker 服务端接收命令的通道

  --icc=true|false --是否支持容器之间进行通信

  --ip-forward=true|false --请看下文容器之间的通信

  --iptables=true|false --禁止 Docker 添加 iptables 规则

  --mtu=BYTES --容器网络中的 MTU

下面2个命令选项既可以在启动服务时指定，也可以 Docker 容器启动（ docker run ）时候指定。在

Docker 服务启动的时候指定则会成为默认值，后面执行 docker run 时可以覆盖设置的默认值。

--dns=IP_ADDRESS... --使用指定的DNS服务器

--dns-search=DOMAIN... --指定DNS搜索域

最后这些选项只有在 docker run 执行时使用，因为它是针对容器的特性内容。

-h HOSTNAME or --hostname=HOSTNAME --配置容器主机名

--link=CONTAINER_NAME:ALIAS --添加到另一个容器的连接

--net=bridge|none|container:NAME_or_ID|host --配置容器的桥接模式

-p SPEC or --publish=SPEC --映射容器端口到宿主主机

-P or --publish-all=true|false --映射容器所有端口到宿主主机

容器访问控制

容器的访问控制，主要通过 Linux 上的 iptables 防火墙来进行管理和实现。 iptables 是 Linux 上默认

的防火墙软件，在大部分发行版中都自带。

容器访问外部网络

容器要想访问外部网络，需要本地系统的转发支持。在Linux 系统中，检查转发是否打开。

$sysctl net.ipv4.ip_forward

net.ipv4.ip_forward = 1

如果为 0，说明没有开启转发，则需要手动打开。

$sysctl -w net.ipv4.ip_forward=1

如果在启动 Docker 服务的时候设定 --ip-forward=true , Docker 就会自动设定系统的 ip_forward 参数为 1。

容器之间访问

容器之间相互访问，需要两方面的支持。

容器的网络拓扑是否已经互联。默认情况下，所有容器都会被连接到 docker0 网桥上。

本地系统的防火墙软件 -- iptables 是否允许通过。

访问所有端口

当启动 Docker 服务时候，默认会添加一条转发策略到 iptables 的 FORWARD 链上。

默认情况下，不同容器之间是允许网络互通的。如果为了安全考虑，可以在 /etc/default/docker

文件中配置 DOCKER_OPTS=--icc=false 来禁止它。

容器访问控制

iptables -nL

启动容器（ docker run ）时使用 --link=CONTAINER_NAME:ALIAS 选项。Docker 会在 iptable

中为 两个容器分别添加一条 ACCEPT 规则，允许相互访问开放的端口（取决于 Dockerfile 中的 EXPOSE

行）。

当添加了 --link=CONTAINER_NAME:ALIAS 选项后，添加了 iptables 规则。

注意： --link=CONTAINER_NAME:ALIAS 中的 CONTAINER_NAME 目前必须是 Docker 分配的名字，或使用

--name 参数指定的名字。主机名则不会被识别。

查看nat（网络地址转换）表

iptables -t nat -nL

如果希望永久绑定到某个固定的 IP 地址，可以在 Docker 配置文件 /etc/default/docker 中指定

DOCKER_OPTS="--ip=IP_ADDRESS" ，之后重启 Docker 服务即可生效。