深入理解Docker网络模式
目录
前言
一、网络相关
1.IP（Internet Protocol）
2.子网掩码（Subnet Mask）
3.网关（Gateway）
4.DNS（Domain Name System）
5.端口号（Port Number）
二、默认网络
2.1 Host
2.2 Container
2.3 None
2.4 Bridge
2.4.1Bridge模式的拓扑
2.4.2 Docker：网络模式详解
2.4.3 bridge模式下容器的通信
三、自定义网络模式
前言
当你开始大规模使用Docker时，你会发现需要了解很多关于网络的知识。Docker作为目前最火的轻量级容器技术，有很多令人称道的功能，如Docker的镜像管理。然而，Docker同样有着很多不完善的地方，网络方面就是Docker比较薄弱的部分。因此，我们有必要深入了解Docker的网络知识，以满足更高的网络需求。本文首先介绍了Docker自身的4种网络工作方式，然后介绍一些自定义网络模式。
一、网络相关
1.IP（Internet Protocol）
IP是互联网协议的简称，它是互联网上的计算机和设备之间进行通信时使用的一种标识。每台计算机或设备都被分配一个唯一的IP地址，它由32位或128位的二进制数表示。IP地址可以用IPv4或IPv6表示，其中IPv4是常用的版本。
2.子网掩码（Subnet Mask）
子网掩码是 “255.255.255.0” 的网络：最后面一个数字可以在 0~255 范围内任意变化，因此可以提供 256 个 IP 地址。但是实际可用的 IP 地址数量是 256-2 ，即 254 个，因为主机号不能全是 “0” 或全是 “1” 。子网掩码是 “255.255.0.0” 的网络：后面两个数字可以在 0~255 范围内任意变化，可以提供 255² 个 IP 地址。但是实际可用的 IP 地址数量是 255²-2 ，即 65023 个。 IP 地址的子网掩码设置不是任意的。如果将子网掩码设置过大，也就是说子网范围扩大，那么，根据子网寻径规则，很可能发往和本地主机不在同一子网内的目标主机的数据，会因为错误的判断而认为目标主机是在同一子网内，那么，数据包将在本子网内循环，直到超时并抛弃，使数据不能正确到达目标主机，导致网络传输错误；如果将子网掩码设置得过小，那么就会将本来属于同一子网内的机器之间的通信当做是跨子网传输，数据包都交给缺省网关处理，这样势必增加缺省网关的负担，造成网络效率下降。因此，子网掩码应该根据网络的规模进行设置。如果一个网络的规模不超过 254 台电脑，采用“255.255.255.0” 作为子网掩码就可以了，现在大多数局域网都不会超过这个数字，因此“255.255.255.0” 是最常用的 IP 地址子网掩码；假如在一所大学具有 1500 多台电脑，这种规模的局域网可以使用 “255.255.0.0” 。
3.网关（Gateway）
网关是连接不同网络之间的设备，它提供了数据包在网络间转发的功能。在一个局域网中，网关是连接该局域网和外部网络（如Internet）的节点。当计算机或设备需要访问其他网络时，数据包会通过网关进行转发。
4.DNS（Domain Name System）
DNS是域名系统的缩写，它将域名（如www.example.com）转换为IP地址。DNS服务器存储了域名和相应的IP地址之间的映射关系。当用户输入一个域名时，计算机会发送DNS查询请求，以获取相应的IP地址，然后将请求发送到该IP地址对应的服务器。
5.端口号（Port Number）
端口号用于标识网络中的不同应用程序或服务。它是一个16位的数字，范围从0到65535。端口号分为两类：系统端口号（0-1023）和动态或私有端口号（1024-65535）。例如，Web服务器使用端口号80，邮件服务器使用端口号25。
二、默认网络
当你安装Docker时，它会自动创建三个网络。你可以使用以下docker network ls命令列出这些网络：
| 1 2 3 4 5 |
|
Docker内置这三个网络，运行容器时，你可以使用该--network标志来指定容器应连接到哪些网络。
该bridge网络代表docker0所有Docker安装中存在的网络。除非你使用该docker run --network=
我们在使用docker run创建Docker容器时，可以用 --net 选项指定容器的网络模式，Docker可以有以下4种网络模式：
- host模式：使用 --net=host 指定。
- none模式：使用 --net=none 指定。
- bridge模式：使用 --net=bridge 指定，默认设置。
- container模式：使用 --net=container:NAME_or_ID 指定。
下面分别介绍一下Docker的各个网络模式。
2.1 Host
相当于Vmware中的桥接模式，与宿主机在同一个网络中，但没有独立IP地址。众所周知，Docker使用了Linux的Namespaces技术来进行资源隔离，如PID Namespace隔离进程，Mount Namespace隔离文件系统，Network Namespace隔离网络等。一个Network Namespace提供了一份独立的网络环境，包括网卡、路由、Iptable规则等都与其他的Network Namespace隔离。一个Docker容器一般会分配一个独立的Network Namespace。但如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Namespace，而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。
例如，我们在10.10.0.186/24的机器上用host模式启动一个含有nginx应用的Docker容器，监听tcp80端口。
| 1 2 3 4 5 6 7 8 |
|
当我们在容器中执行任何类似ifconfig命令查看网络环境时，看到的都是宿主机上的信息。而外界访问容器中的应用，则直接使用10.10.0.186:80即可，不用任何NAT转换，就如直接跑在宿主机中一样。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。
| 1 2 |
|
2.2 Container
在理解了host模式后，这个模式也就好理解了。这个模式指定新创建的容器和已经存在的一个容器共享一个Network Namespace，而不是和宿主机共享。新创建的容器不会创建自己的网卡，配置自己的IP，而是和一个指定的容器共享IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过lo网卡设备通信。
2.3 None
该模式将容器放置在它自己的网络栈中，但是并不进行任何配置。实际上，该模式关闭了容器的网络功能，在以下两种情况下是有用的：容器并不需要网络（例如只需要写磁盘卷的批处理任务）。
overlay
在docker1.7代码进行了重构，单独把网络部分独立出来编写，所以在docker1.8新加入的一个overlay网络模式。Docker对于网络访问的控制也是在逐渐完善的。
2.4 Bridge
2.4.1Bridge模式的拓扑
当Docker server启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。接下来就要为容器分配IP了，Docker会从RFC1918所定义的私有IP网段中，选择一个和宿主机不同的IP地址和子网分配给docker0，连接到docker0的容器就从这个子网中选择一个未占用的IP使用。如一般Docker会使用172.17.0.0/16这个网段，并将172.17.0.1/16分配给docker0网桥（在主机上使用ifconfig命令是可以看到docker0的，可以认为它是网桥的管理接口，在宿主机上作为一块虚拟网卡使用）。单机环境下的网络拓扑如下，主机地址为10.10.0.186/24。
2.4.2 Docker：网络模式详解
Docker完成以上网络配置的过程大致是这样的：
1. 在主机上创建一对虚拟网卡veth pair设备。veth设备总是成对出现的，它们组成了一个数据的通道，数据从一个设备进入，就会从另一个设备出来。因此，veth设备常用来连接两个网络设备。
2. Docker将veth pair设备的一端放在新创建的容器中，并命名为eth0。另一端放在主机中，以veth65f9这样类似的名字命名，并将这个网络设备加入到docker0网桥中，可以通过brctl show命令查看。
| 1 2 3 |
|
3. 从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。
| 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 |
|
| 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 |
|
网络拓扑介绍完后，接着介绍一下bridge模式下容器是如何通信的。
2.4.3 bridge模式下容器的通信
在bridge模式下，连在同一网桥上的容器可以相互通信（若出于安全考虑，也可以禁止它们之间通信，方法是在DOCKER_OPTS变量中设置–icc=false，这样只有使用–link才能使两个容器通信）。
Docker可以开启容器间通信（意味着默认配置--icc=true），也就是说，宿主机上的所有容器可以不受任何限制地相互通信，这可能导致拒绝服务攻击。进一步地，Docker可以通过--ip_forward和--iptables两个选项控制容器间、容器和外部世界的通信。
容器也可以与外部通信，我们看一下主机上的Iptable规则，可以看到这么一条
| 1 |
|
这条规则会将源地址为172.17.0.0/16的包（也就是从Docker容器产生的包），并且不是从docker0网卡发出的，进行源地址转换，转换成主机网卡的地址。这么说可能不太好理解，举一个例子说明一下。假设主机有一块网卡为eth0，IP地址为10.10.101.105/24，网关为10.10.101.254。从主机上一个IP为172.17.0.1/16的容器中ping百度（180.76.3.151）。IP包首先从容器发往自己的默认网关docker0，包到达docker0后，也就到达了主机上。然后会查询主机的路由表，发现包应该从主机的eth0发往主机的网关10.10.105.254/24。接着包会转发给eth0，并从eth0发出去（主机的ip_forward转发应该已经打开）。这时候，上面的Iptable规则就会起作用，对包做SNAT转换，将源地址换为eth0的地址。这样，在外界看来，这个包就是从10.10.101.105上发出来的，Docker容器对外是不可见的。
那么，外面的机器是如何访问Docker容器的服务呢？我们首先用下面命令创建一个含有web应用的容器，将容器的80端口映射到主机的80端口。
| 1 |
|
然后查看Iptable规则的变化，发现多了这样一条规则：
| 1 |
|
此条规则就是对主机eth0收到的目的端口为80的tcp流量进行DNAT转换，将流量发往172.17.0.2:80，也就是我们上面创建的Docker容器。所以，外界只需访问10.10.101.105:80就可以访问到容器中的服务。
除此之外，我们还可以自定义Docker使用的IP地址、DNS等信息，甚至使用自己定义的网桥，但是其工作方式还是一样的。
三、自定义网络模式
注：自定义网络模式，本身也是一个较大的知识点，本讲主要是站在容器五种网络类型层面解析一下，学习该模式前，先了解docker network几个常用的命令（如下命令，先混个脸熟）。
docker network ls 查看已存在的网络模式列表
docker network create -d [mode_type] **_name 创建新的自定义网络
docker network rm [id | name] 移除自定义网络模式
docker network connect [id | name] 连接到特定网络
docker network disconnect net_name contain_id/name 给指定容器，取消某个网络模式
docker network [birdge | none | host | 自定义] 查看网络模式的详细网络信息
容器命令
docer exec -it container_[id | name] 进入容器内部
docker inspect container_ [id | name] 查看指定容器网络模式详细信息
1.创建bridge网络
docker network ls
docker network create -d bridge b-net #创建自定义网络
docker network create -d bridge c-net
docker network ls
docker network rm c-net #实验完毕移除自定义网络
docker network rm b-net
需要说明的是，docker network create 自定义网络时，不指定网络模式，默认就是bridge桥接模式
docker network create mybridgework #不用-d指定网络模式，默认就是bridge
docker network ls
docker network inspect mybridgework #查看自定义网络详细信息
docker network rm mybridgework #实验完毕移除自定义网络
直接ping通就可以了