docker网络的一些理解

关于centeros网络的一些铺垫

计算机网络模型

计算机网络模型来看，两台物理机之间是通过网卡进行连接的。

1 在centeros中，我们可以通过如下方式查看网卡信息

ip link show

ls /sys/class/net

ip a

2 网卡信息的解读

状态： UP/DOWN/UNKNOW等

link/ether：MAC地址

inet：绑定的IP地址

3 给网卡添加IP地址

ip addr add 192.168.0.100/24 dev ens33

4 删除网卡IP地址

ip addr delete 192.168.0.100/24 dev ens33

5 网卡的启动和关闭

重启所有网卡： service network restart / systemctl restart network

单独启动/关闭某个网卡： ifup/ifdown ens33 or ip link set ens33 up/down

思考一下：在linux上，如果想要进行网络隔离，应该如何操作？

Network Namespace

在linux上，网络的隔离是通过network namespace来管理，不同的namespace是相互隔离的。

network namespace的管理

ip netns list 查看

ip netns add ns1 增加一个名为ns1的network namespace

ip netns delete ns1 删除

让我们来实际操作一下，构建两个network namespace，并完成两者之间的通信。

创建两个network namespace 1.创建一个network namespace

ip netns add ns1

2.查询该namespace下网卡信息

ip netns exec ns1 ip a

3.启动ns1上的lo网卡

ip netns exec ns1 ip link set lo up

4.再次查看时，会发现state变成了unknow 5.再次创建一个network namespace ns2，使用上述步骤启动对应网卡

ns1与ns2通信 在最初的时候，ns1与ns2只有本地的回环地址，两者之间时无法进行通信的。这个时候回想之前的操作，我们是不是应该让两者有一个可以相互通信的网卡才能将两者建立连接呢？ 有一种技术叫做Virtual Ethernet Pair ####veth设备特点

• veth和其它的网络设备都一样，一端连接的是内核协议栈
• veth设备是成对出现的，另一端两个设备彼此相连
• 一个设备收到协议栈的数据发送请求后，会将数据发送到另一个设备上去 也就是说通过这样一种技术，我们能够让两个设备之间彼此网络相连。 让我们来实际创建一下这一对设备

 ip link add veth-ns1 type veth peer name veth-ns2

这个时候我们在主机上查看网卡信息：ip link。你会发现这个网卡设备已经被添加上了。那我们想一想，是不是将其中一个网卡设备分配到ns1, 另一个分配到ns2，那两个namespace是不是就可以联通了呢？

 ip link set veth-ns1 netns ns1
 ip link set veth-ns2 netns ns2

查看对应namespace可以发现两个网卡已经进入到对应的空间中

 ip netns exec ns1 ip a
 ip netns exec ns2 ip a

为新增的两个网卡配置同一网段的ip地址

 ip netns exec ns1 ip addr add 192.168.0.10/24 dev veth-ns1
 ip netns exec ns2 ip addr add 192.168.0.11/24 dev veth-ns2

启动网卡

 ip netns exec ns1 ip link set veth-ns1 up
 ip netns exec ns2 ip link set veth-ns2 up

两个network namespace 网络相互ping测试，会发现已经通了

 ip netns exec ns1 ping 192.168.0.11
 ip netns exec ns2 ping 192.1

container中的NS

1 我们创建两个容器运行

docker run -d --name tomcat01 -p 8081:8080 tomcat

docker run -d --name tomcat02 -p 8082:8080 tomcat

2 我们发现这两个容器之间是可以互相ping通的，按照上面的逻辑，每个容器都有自己独立的network namespace，那这两者是如何进行通信的呢？他会是我们之前分析的，使用了veth-pair技术在两个容器之间建立连接吗？

3. 一张图看透

image.png

• 当前主机启动了一个tomcat01的容器，tomcat01中存在网卡信息 eth0@if48

• 当前宿主机中存在docker0, veth3d10d3f@if47两个网卡。

• 通过bridge-util工具，brctl show查看发现veth3d10d3f为桥接网络docker0中的interfaces

• eth0@if48与veth3d10d3f@if47是成对网卡，可以互相通信。

  image.png

  网络都是docker0来进行连通的，在docker0和容器之间采用了veth-pair技术保证网络连通性。