docker基础整理（3）-- 网络介绍

最新推荐文章于 2024-06-04 10:59:19 发布

xlbubble

最新推荐文章于 2024-06-04 10:59:19 发布

阅读量307

点赞数

分类专栏： docker

本文链接：https://blog.csdn.net/xl_2016/article/details/103011380

版权

docker 专栏收录该内容

5 篇文章 0 订阅

订阅专栏

背景

Docker容器之间是通过namespace互相隔离的，每个容器都有自己独立的用户空间环境，那么docker是如何支持容器间或容器和宿主机间通信呢？

docker 网络设计

基于docker容器的轻量高效动态可移植等特性，docker网络在设计时也具有以下特性，该特性也方便更好的支持微服务，提供高效的连接和安全的隔离。

可移植性
在利用独特的网络特性的同时，还保证在各种网络环境中的最大可移植性
服务发现
及时发现和扩展服务，提供dns动态解析
负载均衡
随着服务的启动和扩展，提供服务负载均衡功能
安全
对网络中的容器进行隔离和访问控制
性能
减少延迟和最大化带宽的同时提供高级网络服务，方便更好的支持微服务
可扩展性
方便在多个主机之间扩展应用程序

CNM

Docker网络架构核心是建立在称为容器网络模型（Container Network Model，简称CNM）的一组接口上，只要符合这个模型的网络接口就能被用于容器之间通信，而通信的过程和细节可以完全由网络接口来实现。
CNM的理念是在各种基础网络架构之间提供应用程序可移植性。
cnm
CNM的三个高级结构，和基础网络结构无关，在基础网络之上，方便应用程序可移植性：
Sandbox：包含容器的网络堆栈的配置。包括相应的网卡配置、路由表、DNS配置等。沙箱是伴随容器的生命周期的，可以看成是容器的网络环境；
Endpoint：Endpoint将Sandbox连接到网络，具体表现为容器中eth0，eth1这些虚拟网卡；
Network：连通两个或多个Endpoint，指的是一个能够相互通信的容器网络，提供容器互相访问的通道。网络的实现可以是Linux网桥，VLAN等。

docker 网络驱动

CNM提供了网络驱动程序接口，Docker的网络驱动程序提供了使网络正常工作的实际实现。它们是可插拔的，因此可以轻松使用和互换不同的驱动程序，以支持不同的应用场景。
Docker支持的网络驱动较多，根据不同应用场景可分为：
docker自带驱动：

宿主机内部容器通信：bridge，host，container和none；
跨主机容器通信：macvlan，overlay；

第三方驱动：

大规模集群跨主机容器通信： flannel、pipework、weave 和 calico。

CNM还提供另一种驱动程序，IPAM驱动程序，区别于网络驱动程序，支持手动分配ip地址。

其他技术支撑

网络命名空间：是用于隔离容器网络资源（IP、网卡、路由等）。网络名称空间可确保同一主机上的两个容器无法相互通信，甚至不能与主机本身进行通信，除非配置为通过Docker网络进行通信。通常，CNM网络驱动程序为每个容器实现单独的名称空间。但是，容器可以共享相同的网络名称空间，甚至可以是主机的网络名称空间的一部分。
由于一个容器网络最多存放在一个网络命名空间中且互相隔离，所以通过 veth pair 在不同的网络命名空间中创建通道，负责不同网络命名空间的通信。
veth pair：用于不同network namespace间进行通信。veth是全双工链接，在每个名称空间中都有一个接口,充当两个网络名称空间之间的连接线，负责将一个 network namespace 数据发往另一个 network namespace 的 veth。
如当容器连接到Docker网络时，veth的一端放置在容器内部（通常视为ethX接口），而另一端连接到Docker网络(vethxxx)。
iptables：负责包过滤，端口映射和负载均衡。

宿主机内部容器通信

bridge

docker默认网络类型，默认网桥为docker0(172.17.0.1/16),容器间通过docker0通信。
docker bridge和linux bridge不同，后者是Linux桥接器的更高级别的实现。docker bridge本质是nat桥。
nat 可以看到创建的容器默认会创建一个eth0虚拟网卡创建一对虚拟接口，即veth pair，分别放到宿主机和容器中;
在这里插入图片描述

默认bridge和自定义bridge：
自定义的网桥和默认网桥类似，但用户定义的网桥网络优于默认网桥网络：
自定义的网桥优势：优势对比
自定义bridge：

docker network create --subnet=10.10.0.0/16 --gateway=10.10.0.1 --driver bridge mybridge10 #创建自定义bridge
docker run -it --name 10_b1 --net mybridge10 busybox sh # 关联容器
docker network connect mybridge10 b1	# 将b1 加入mybridge10网络
docker network disconnect mybridge10 b1	# 断开mybridge10网络和b1的连接

创建mybridge10网络和处于mybridge10网络的10_b1容器：

10_b1
可以看到宿主机新增了自定义br桥和10_b1容器对应的接口：

将b1 加入mybridge10网络：
在这里插入图片描述
自定义网桥会自动dns解析：

host

和宿主机共享网络，仅共享network namespace，其他namespace隔离。该容器创建时不会分配自己的IP地址，使用主机ip地址，其开通的服务端口可直接通过主机ip:端口访问。

docker run -it --name b2 --net host  busybox

可以看到下面容器读取到的ip信息和tcp信息直接是宿主机的ip信息和tcp信息
在这里插入图片描述
宿主机ip和tcp信息

访问容器8080端口服务：
8080

none

容器有自己的网络堆栈和网络命名空间，但不分配接口，仅存在lo接口，适合不需要通过网络通信的容器。什么情况下容器要禁用网络呢？？？
none

container

容器c1共享之前的容器b1网络，网络环境相同，仅通过端口区分服务，两容器用同一端口即会冲突。

 docker run -it --name c1 --rm --net container:b1 busybox sh

容器c1：

跨主机容器通信

端口映射

-P|p指定一个docker主机端口给容器中的端口做映射，可以实现跨主机通信。不适合容器间互相通信，手动映射有点麻烦。

docker run -d --name mynginx -p 8080:80  nginx

macvlan

macvlan 本身是 linux kernel 模块，允许在同一个物理网卡上配置多个 MAC 地址，即多个 interface，每个 interface 可以配置自己的 IP。
macvlan 的最大优点是性能极好，相比其他驱动，macvlan 不需要创建 Linux bridge，而是直接通过以太接口连接到物理网络。由于么有物理机测试，so只做介绍，具体我也不了解。

overlay(swarm network)

跨节点容器网络互联，比较通用的是使用 overlay 网络。
overlay涉及到三个网络： overlay ingress bridge
其他：overlay_sbox lb_overlay

docker network create   --driver overlay   --ingress   --subnet=10.11.0.0/16   --gateway=10.11.0.1   --opt com.docker.network.driver.mtu=1200   myingress11
docker service create --name hostname --publish target=8000,published=8080 --network myingress11 --replicas=3 xlbubble/hostname:1.0

注意：自定义overlay与默认overlay的区别：默认没有服务发现，dns解析。