一、Docker的网络模式
docker的网络模式有Bridge、Host、Container、None四种模式
Bridge
当docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的docker容器默认会连接到这个虚拟网桥上；虚拟网桥的工作方式类似于物理交换机，主机上的所有容器就通过虚拟网桥连在一个二层网络中。
默认，Docker会从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。
在主机上创建一对虚拟网卡br设备，docker将br设备的一端放在新创建的容器中，并命名为eth0(容器内部网卡)，另一端放在主机中，以br-xxx这样类似的名称命名，并将这个网络设备加入到docker0(网桥中)。
如果有多个容器之间需要互相通信，使用Docker Compose或k8s编排工具。
[root@919 ~]# brctl show
bridge name bridge id STP enabled interfaces
br-3721cd5a380d 8000.0242fae4b5b4 no
br-c1a81e911a92 8000.0242bf8de935 no
docker0 8000.0242ce2c4c07 no
Host
如果启动容器时使用host模式，那么这个容器将不会获取一个独立的“network namespace”，而是和宿主机共用一个“network namespace”。容器将不会虚拟出自己的网卡、配置自己IP等，而是直接使用宿主机的IP和端口；但是，容器的其他方面，如文件系统、系统进程等还是和宿主机隔离开的。
Container
这个模式指定新创建的容器和已经存在的容器共享一个“network namespace”，而不是和宿主机共享；新创建的容器也不会自己创建网卡、IP等。同样两个容器除了网络外，其他的还都是属于隔离；两个容器的进程可以通过宿主机的lo网卡设备进行通信。
[root@919 ~]# docker run -it --name centos1 centos1/centos:v1
[root@5b475c57a4b0 /]# ifconfig eth0
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 172.17.0.2 netmask 255.255.0.0 broadcast 172.17.255.255
ether 02:42:ac:11:00:02 txqueuelen 0 (Ethernet)
RX packets 8 bytes 656 (656.0 B)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 0 bytes 0 (0.0 B)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
[root@5b475c57a4b0 /]# read escape sequence
[root@919 ~]# docker run -it --name centos2 --net=container:centos1 centos1/centos:v1
[root@5b475c57a4b0 /]# ifconfig eth0
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 172.17.0.2 netmask 255.255.0.0 broadcast 172.17.255.255
ether 02:42:ac:11:00:02 txqueuelen 0 (Ethernet)
RX packets 8 bytes 656 (656.0 B)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 0 bytes 0 (0.0 B)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
None
使用none模式，docker容器拥有自己的network namespace，但是，并不为docker容器进行任何网络配置；也就是说，这个docker容器没有网卡、IP、路由等信息，需要我们自己为docker容器添加网卡、配置IP等。
二、Docker网络隔离、独立IP设置
在通常情况下，docker使用网桥(Bridge)与NAT的通信模式
netfilter规则
(1)容器访问外部网络
# SNAT
iptables -t nat -A POSTROUTING -s 172.17.0.0/16 -o docker0 -j MASQUERADE
(2)外部网络访问容器
# DNAT
docker run -d -p 80:80 apache
iptables -t nat -A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
iptables -t nat -A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.2:80
docker网络模式修改
(1)docker进程网络修改
只要修改了进程网络后面的容器都会生效，主从的关系
-b,--bridge:
指定docker使用的网桥设备，默认情况下docker会自动创建和使用docker0网桥设备，通过此参数可以使用已经存在的设备。
[root@919 ~]# ifconfig docker0
docker0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 172.17.0.1 netmask 255.255.0.0 broadcast 172.17.255.255
inet6 fe80::42:ceff:fe2c:4c07 prefixlen 64 scopeid 0x20<link>
ether 02:42:ce:2c:4c:07 txqueuelen 0 (Ethernet)
RX packets 35126 bytes 6686759 (6.3 MiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 42464 bytes 86634276 (82.6 MiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
--bip:
指定docker0的IP和掩码，使用标准的CIDR形式，如10.10.10.10/24
--dns:
配置容器的DNS，在启动docker进程时添加，所有容器全部生效
(2)docker容器网络修改
只在启动的容器生效
--dns:
用于指定启动的容器的DNS
--net:
用于指定容器的网络通讯方式，有如下四个值
- bridge：docker默认方式，网桥模式
- none：容器没有网络栈
- container：使用其他容器的网络栈，docker容器会加入其他容器的network namespace
- host：表示容器使用host的网络，没有自己独立的网络栈，容器可以完全访问host网络，非常不安全。
docker run -it --name centos1 --net=none centos
[root@919 ~]# docker run -it --name centos1 --net=none centos
[root@5b16b5f20c58 /]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
(3)暴露端口
-p/P选项的使用格式
-p <containerport> # 将指定的容器端口映射至主机所有地址的一个动态端口
-p <hostport>:<containerport> # 映射至指定的主机端口
-p <IP>::<containerport> # 映射至指定的主机的IP的动态端口
-p <IP>:<hostport>:<containerport> # 映射至指定主机的IP的主机端口
-P # 暴露所需要的所有端口
docker port
[root@919 ~]# docker ps
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
c99a91d6250d centos "/usr/sbin/init" 9 minutes ago Up 9 minutes 0.0.0.0:32768->80/tcp nginxv3
491ab139e4fd centos "/usr/sbin/init" 18 minutes ago Up 18 minutes nginxv2
[root@919 ~]# docker port nginxv3
80/tcp -> 0.0.0.0:32768
(4)自定义docker0网桥的网络地址
修改/etc/docker/daemon.json
{
"bip":"192.168.1.5/24",
"fixed-cidr":"10.20.0.0/16",
"fixed-cidr-v6":"2001:db8::/64",
"mtu":"1500",
"default-gateway":"10.20.1.1",
"default-gateway-v6":"2001:db8:abcd::89",
"dns":["10.20.1.2","10.20.1.3"]
}
常见隔离方式
网络命令空间隔离网络
docker network ls 查看当前可用的网络类型
docker network create -d <类型> <网络空间名称>
类型：
overlay network # 覆盖型网络,不同的主机之间可以互相通信，需要借助一定的设备
bridge network # 网桥
创建两个网络
[root@919 ~]# docker network create -d bridge lamp
3721cd5a380de3f27bc3b32c9dfd34f8262aac0917e30799085fc11d0d0d2068
[root@919 ~]# docker network ls
NETWORK ID NAME DRIVER SCOPE
2f6d2d0b2eb2 bridge bridge local
8ff53f37566a host host local
3721cd5a380d lamp bridge local
c1a81e911a92 lnmp bridge local
b897072c940a none null local
[root@919 ~]# ifconfig
br-3721cd5a380d: flags=4099<UP,BROADCAST,MULTICAST> mtu 1500
inet 172.18.0.1 netmask 255.255.0.0 broadcast 172.18.255.255
inet6 fe80::42:faff:fee4:b5b4 prefixlen 64 scopeid 0x20<link>
ether 02:42:fa:e4:b5:b4 txqueuelen 0 (Ethernet)
RX packets 3 bytes 182 (182.0 B)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 11 bytes 838 (838.0 B)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
br-c1a81e911a92: flags=4099<UP,BROADCAST,MULTICAST> mtu 1500
inet 172.19.0.1 netmask 255.255.0.0 broadcast 172.19.255.255
inet6 fe80::42:bfff:fe8d:e935 prefixlen 64 scopeid 0x20<link>
ether 02:42:bf:8d:e9:35 txqueuelen 0 (Ethernet)
RX packets 41405 bytes 23602140 (22.5 MiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 41405 bytes 23602140 (22.5 MiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
运行容器，分别指定网络为刚才创建的名为lamp和lnmp的网络
[root@919 ~]# docker run -it --name cento01 --network=lamp centos
[root@744bbf4fa6c0 /]# ifconfig eth0
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 172.18.0.2 netmask 255.255.0.0 broadcast 172.18.255.255
ether 02:42:ac:12:00:02 txqueuelen 0 (Ethernet)
RX packets 1402 bytes 8858081 (8.4 MiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 1395 bytes 95487 (93.2 KiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
[root@919 ~]# docker run -it --name cento02 --network=lnmp centos
[root@0f79003592cd /]# ifconfig eth0
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 172.19.0.2 netmask 255.255.0.0 broadcast 172.19.255.255
ether 02:42:ac:13:00:02 txqueuelen 0 (Ethernet)
RX packets 2011 bytes 8895817 (8.4 MiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 1673 bytes 115079 (112.3 KiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
此时两个容器之间无法进行通信，但依旧可以连接外网
[root@0f79003592cd /]# ping 172.18.0.2
PING 172.18.0.2 (172.18.0.2) 56(84) bytes of data.
^C
--- 172.18.0.2 ping statistics ---
7 packets transmitted, 0 received, 100% packet loss, time 1005ms
[root@0f79003592cd /]# ping www.baidu.com
PING www.a.shifen.com (182.61.200.7) 56(84) bytes of data.
64 bytes from 182.61.200.7 (182.61.200.7): icmp_seq=1 ttl=54 time=4.48 ms
本站文章如无特殊说明，均为本站原创，如若转载，请注明出处：Docker的网络模式和网络隔离 - Python技术站
微信扫一扫 
支付宝扫一扫 
