Docker 高级网络配置

容器访问控制 检查本地系统的转发支持

sysctl net.ipv4.ip_forward
sysctl -w net.ipv4.ip_forward=1  # 手动打开
如果在启动Docker服务的时候设定--ip-forward=true,Docker会自动设定

容器之间相互访问，需要：

1 容器的网络拓扑是否已经互联，默认连接在docker0网桥
2 本地防火墙是否允许通过

访问所有端口

默认情况下，不同容器之间是允许网络互通的， 为了安全，可以禁止。

vim /etc/default/docker
DOCKER_OPTS=--icc=false

访问指定端口

通过 -icc=false 关闭网络访问后，还可以通过 --link=CONTAINER_NAME:ALIAS 来访问容器的开放端口

容器访问外部实现

docker run -p or -P 本质是在本地iptables的nat表添加相应的规则 
iptables -t nat -nL  # 查看主机的NAT规则

如果希望永久绑定到某个固定的IP地址
vim /etc/docker/daemon.json

{
    "ip":"0.0.0.0"
}

配置docker0网桥

Docker服务默认会创建一个docker0网桥，在内核层联通了其他的物理或者虚拟网卡，将所有的容器和本地主机都放到同一个物理网络。
Docker默认指定了docker0接口的IP地址和子网掩码，让主机和容器之间可以通过网桥相互通信。

查看网桥和端口连接信息

yum install bridge-utils -y
brctl show

每次新创建一个容器的时候，Docker从可用的地址段中选择一个空闲的IP分配给容器的eth0端口，使用本地的docker0接口IP作为所有容器的默认网关。
sudo docker run -it --rm base /bin/bash
ip addr show eth0
ip route

自定义网桥

启动Docker服务时使用 -b BRIDGE 或 --bridge=BRIDGE 来指定使用的网桥

若服务已运行，先停止服务并删除旧的网桥
sudo systemctl stop docker
sudo ip link set dev docker0 down
sudo brctl delbr docker0

然后创建一个新的网桥bridge0
sudo brctl addbr bridge0
sudo ip addr add 192.168.5.1/24 dev bridge0
sudo ip link set dev bridge0 up

ip addr show bridge0  # 查看确认网桥创建并启动

vim /etc/docker/daemon.json  将Docker默认桥接到创建的网桥上。
{
    "bridge": "bridge0",
}

外部工具

pipework  # shell脚本，可以帮助用户在比较复杂的场景中完成容器的连接
playground Docker容器网络拓扑管理的Python库，包括路由器、NAT防火墙,以及其他一些基本服务。

编辑网络配置文件

Docker 1.2.0以后支持在运行中的容器编辑 /etc/hosts， /etc/hostname, /etc/resolve.conf文件
但是这些修改都是临时的，只在运行中的容器中保留。

创建点对点的连接

用户需要有时候在两个容器之间可以直连通信，而不用通过主机网桥进行桥接。
解决方法是：创建一对peer接口，分别放到两个容器中，配置成点对点链路。

1 启动两个容器
docker run -it --rm --net=none base /bin/bash
docker run -it --rm --net=none base /bin/bash

2 找到进程号，然后创建网络命名空间的跟踪文件
docker inspect -f '{{.State.Pid}}' e9f076fc2447
docker inspect -f '{{.State.Pid}}' 762086c10c65

sudo mkdir -p /var/run/netns
sudo ln -s /proc/2989/ns/net /var/run/netns/2989
sudo ln -s /proc/3004/ns/net /var/run/netns/3004

3 创建一对peer接口，然后配置路由
sudo ip link add A type veth peer name B

sudo ip link set A netns 2989
sudo ip netns exec 2989 ip addr add 10.1.1.1/32 dev A
sudo ip netns exec  2989 ip link set A up
sudo ip netns exec 2989 ip route add 10.1.1.2/32 dev A

sudo ip link set B netns 3004
sudo ip netns exec 3004 ip addr add 10.1.1.1/32 dev B
sudo ip netns exec  3004 ip link set B up
sudo ip netns exec 3004 ip route add 10.1.1.2/32 dev B

到此2个容器可以相互ping通，并成功建立连接。点到点链路不需要子网和子网掩码。