Docker容器——网络模式及资源管理控制

Docker网络

使用 ifconfig 查看

Docker四种网络模式

• HOST模式
  • host容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Namespace（网络名称空间），而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的
  • 使用host模式的容器可以直接使用宿主机的IP地址与外界通信，容器内部的服务端口也可以使用宿主机的端口，不需要进行NAT, host 最大的优势就是网络性能比较好，但是docker host上已经使用的端口就不能再用了，网络的隔离性不好
    
• container
  • 创建的容器不会创建自己的网卡、设置IP等，而是和一个指定地容器共享IP、端口范围
  • 这个模式指定新创建的容器和已经存在的一个容器共享一network namespace，而不是和宿主机共享，新创建的容器不会创建自己的网卡，配置自己的IP，而是和一个指定地容器共享IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表还是隔离的。两个容器的进程可以通过loo网卡设备通信
    
• None
  • 该模式关闭了容器的网络功能
  • 这种网络模式下容器只有lo回环网口，没有其他的网卡。none 模式可以在容器创建时通过-network=none参数指定
  • 这种类型的网络无法联网，但是封闭的网络能很好的保证容器的安全性，提高了安全性。

• Bridge
  • 此模式会为每一个容器分配、设置IP等，并将容器连接到一个docker虛拟网桥，通过docker0网桥及iptables的nat表配置与宿主机通信
  • 当Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥,此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中
  • 从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。在主机上创建一对虚拟网卡veth pair设备，Docker将veth pair设备的一端挂载在新创建的容器中，并命名为ethO (容器的网卡)，另一端放在主机中，以vethxxx这样类似的名字命名，并将这个网络设备加入到docker0网桥中。可以通过brctl show命令查看。

veth对

• 成对出现的虚拟接口
• 用于连接两个虚拟网络环境或者用于连接两个不同的名称空间
• veth对是以挂载的形式，挂载到两个名称空间的

Docker自定义网络

自定义网络网桥固定IP

docker run -itd --name test2 --net mynetwork --ip 172.17.0.1 centos:7 /bin/bash

docker资源控制

CPU、内存、Io资源制
cgroup：可以控制资源分配通过操作系统内核,控制应用程序使用内存资源、cpu资源、 文件系统资源等等
cgroup是一种资源控制手段

CPU使用率控制

cat /sys/fs/cgroup/qpu/docker/容器ID/qpu.cfs_ quota us

[root@server3 ~]# docker ps -a
[root@server3 ~]# cd /sys/fs/cgroup/cpu/docker
[root@server3 docker]# ls
50a31288e886c435b608eecfc05ef2cb40321a23e531b401232d1100da344718  cgroup.procs   cpuacct.usage_percpu  cpu.rt_period_us   cpu.stat
cgroup.clone_children                                             cpuacct.stat   cpu.cfs_period_us     cpu.rt_runtime_us  notify_on_release
cgroup.event_control                                              cpuacct.usage  cpu.cfs_quota_us      cpu.shares         tasks
[root@server3 docker]# cd 50a31288e886c435b608eecfc05ef2cb40321a23e531b401232d1100da344718
[root@server3 50a31288e886c435b608eecfc05ef2cb40321a23e531b401232d1100da344718]# ls
cgroup.clone_children  cgroup.procs  cpuacct.usage         cpu.cfs_period_us  cpu.rt_period_us   cpu.shares  notify_on_release
cgroup.event_control   cpuacct.stat  cpuacct.usage_percpu  cpu.cfs_quota_us   cpu.rt_runtime_us  cpu.stat    tasks
[root@server3 50a31288e886c435b608eecfc05ef2cb40321a23e531b401232d1100da344718]# cat cpu.cfs_quota_us
-1  #代表此容器可以使用的资源不受限制会引发问题，导致某个容器占用资源过大，影响其它容器的性能

动态查看cpu使用率

[root@server3 ~]# top
[root@server3 ~]# docker stats

限定20%

在创建容器运行进行资源限制
docker run -itd --name test5 --cpu-quota（限制） 20000 镜像 /bin/bash

先进行CPU压力测试

[root@server3 ~]# docker run -itd --name test5 --cpu-quota 20000 centos:7 /bin/bash
[root@server3 ~]# docker ps -a
[root@server3 ~]# docker exec -it b243ab04bf03 /bin/bash
[root@b243ab04bf03 /]# yum -y install bc

docker Io限制

docker的Io限制就是对block的Io进行约束
控制数据量用的较多，其中控制Io次数使用的较少

• –device-read-bps :限制读某个设备的bps (数据量，比特率，每秒数据传输速率)
• docker run -itd --device-read-bps /dev/sda:30M centos:7 /bin/bash
• –device-write-bps:限制写入某 个设备的bps (数据量)
• docker run -itd --device-write-bps /dev/sda:30M centos:7 /bin/bash
• –device-read-iops限制读某个设备的iops (次数)
• –device-write-iops 限制写入某个设备的iops (次数)