docker系列三 网络

1、查看docker网络

docker network ls

1.png

2、查看bridge网络的详细信息

docker network inspect

看到当前虚机有三个容器，每个容器都有自己的网段以及ip地址

2.png

3、在虚拟机中运行ip a命令查看所有网络接口信息

ip a

其中docker0属于本机，要和容器进行通信，就需要本地和容器有一对 veth接口对。

3.png

4、查看容器接口对以及ip信息

docker exec 3cea9f8e0a2d ip a

可以看出该容器和本地的57号接口 同属于一个接口对。正式由于这一对接口的存在才保证了docker容器和本地进行通信。

也就是说：docker容器连接到docker0，然后通过docker0访问其他容器以及外网。

4.png

5、通过命令检查容器连接到docker0

brctl show            --需要安装插件 bridge-utils

可以看到当前有三个容器接口连接到docker0，和上面在本地通过ip a查看到的网络接口信息一致。

5.png

6、单个容器如何和外网进行通信：结构图如下

6.png

（1）、首先linux主机是可以通过eth0访问外网 internet

（2）、容器里面的数据包，要访问外网，会进过docker0 这个bridge。在此处做一个网络地址转换（NAT），转换成eth0的地址，然后作为linux主机的一个数据包被发送到外网，自然就访问了外网。

（3）、此处的NAT网络地址转换是通过iptables来实现的。

-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE

这条规则会将源地址为172.17.0.0/16的包（也就是从Docker容器产生的包），并且不是从docker0网卡发出的，进行源地址转换，转换成主机网卡的地址。这么说可能不太好理解，举一个例子说明一下。

假设主机有一块网卡为eth0，IP地址为10.10.101.105/24，网关为10.10.101.254。从主机上一个IP为172.17.0.1/16的容器中ping百度（180.76.3.151）。IP包首先从容器发往自己的默认网关docker0，包到达docker0后，也就到达了主机上。然后会查询主机的路由表，发现包应该从主机的eth0发往主机的网关10.10.105.254/24。接着包会转发给eth0，并从eth0发出去（主机的ip_forward转发应该已经打开）。这时候，上面的Iptable规则就会起作用，对包做SNAT转换 ( 源地址转换 )，将源地址换为eth0的地址。这样，在外界看来，这个包就是从10.10.101.105上发出来的，Docker容器对外是不可见的。

反之，假如对一个web容器做端口映射，-p 80:80，那么容器启动之后，在iptables规则中则会生成一条类似如下的规则。也就是对包做了一个DNAT转换（目的地址转换），将访问主机80端口的包转换成容器的ip地址，从而发往容器。

-A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.5:80

7、新建docker network

docker network create -d bridge my-bridge

-d    --指定Driver为bridge

8、新建docker时指定使用那个bridge

docker run -d --name test --network my-bridge busybox /bin/sh

可以通过brctl show 检测到接口绑定到my-bridge上。

9、修改已经运行的docker连接的network

docker network connect my-bridge test

my-bridge    表示network

test        表示容器名

但是通过此种方法，test默认在docker0上的连接不会删除，只会在my-bridge这个网桥上新建一个连接

如果bridge是用户自己创建的，并且连接有多个容器，那么这些容器之间不仅可以通过ping ip，还可以通过ping 容器名，默认容器之间是使用了--link 参数的，可以相互连通。