Docker作為目前最火的輕量級容器技術，牛逼的功能，如Docker的映象管理，不足的地方網路方面。

Docker自身的4種網路工作方式，和一些自定義網路模式

安裝Docker時，它會自動建立三個網路，bridge（建立容器預設連線到此網路）、 none 、host、Container

host：容器將不會虛擬出自己的網絡卡，配置自己的IP等，而是使用宿主機的IP和埠。

Container：建立的容器不會建立自己的網絡卡，配置自己的IP，而是和一個指定的容器共享IP、埠範圍。

None：該模式關閉了容器的網路功能。

Bridge：此模式會為每一個容器分配、設定IP等，並將容器連線到一個docker0虛擬網橋，通過docker0網橋以及Iptables nat表配置與宿主機通訊。

以上都是不用動手的，真正需要配置的是自定義網路。

 一、前言

當你開始大規模使用Docker時，你會發現需要了解很多關於網路的知識。Docker作為目前最火的輕量級容器技術，有很多令人稱道的功能，如Docker的映象管理。然而，Docker同樣有著很多不完善的地方，網路方面就是Docker比較薄弱的部分。因此，我們有必要深入瞭解Docker的網路知識，以滿足更高的網路需求。本文首先介紹了Docker自身的4種網路工作方式，然後介紹一些自定義網路模式。

 

二、預設網路

當你安裝Docker時，它會自動建立三個網路。你可以使用以下docker network ls命令列出這些網路。

 

Docker內建這三個網路，執行容器時，你可以使用該--network標誌來指定容器應連線到哪些網路。

該bridge網路代表docker0所有Docker安裝中存在的網路。除非你使用該docker run --network=<NETWORK>選項指定，否則Docker守護程式預設將容器連線到此網路。

我們在使用docker run建立Docker容器時，可以用 --net 選項指定容器的網路模式，Docker可以有以下4種網路模式：

host模式：使用 --net=host 指定。

none模式：使用 --net=none 指定。

bridge模式：使用 --net=bridge 指定，預設設定。

container模式：使用 --net=container:NAME_or_ID 指定。

下面分別介紹一下Docker的各個網路模式。

2.1 Host

相當於Vmware中的橋接模式，與宿主機在同一個網路中，但沒有獨立IP地址。眾所周知，Docker使用了Linux的Namespaces技術來進行資源隔離，如PID Namespace隔離程序，Mount Namespace隔離檔案系統，Network Namespace隔離網路等。一個Network Namespace提供了一份獨立的網路環境，包括網絡卡、路由、Iptable規則等都與其他的Network Namespace隔離。一個Docker容器一般會分配一個獨立的Network Namespace。但如果啟動容器的時候使用host模式，那麼這個容器將不會獲得一個獨立的Network Namespace，而是和宿主機共用一個Network Namespace。容器將不會虛擬出自己的網絡卡，配置自己的IP等，而是使用宿主機的IP和埠。

例如，我們在10.10.0.186/24的機器上用host模式啟動一個含有nginx應用的Docker容器，監聽tcp80埠。

docker run --name=nginx_host --net=host -p 8080:80 -d nginx

#檢視容器

[[email protected] ~]# docker ps
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
70b4848d062f nginx "nginx -g 'daemon ..." 8 seconds ago Up 7 seconds nginx_host

 

當我們在容器中執行任何類似ifconfig命令檢視網路環境時，看到的都是宿主機上的資訊。而外界訪問容器中的應用，則直接使用10.10.0.186:80即可，不用任何NAT轉換，就如直接跑在宿主機中一樣。但是，容器的其他方面，如檔案系統、程序列表等還是和宿主機隔離的。

[email protected] ~]# netstat -nplt | grep nginx
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 19620/nginx: master

 

2.2 Container

在理解了host模式後，這個模式也就好理解了。這個模式指定新建立的容器和已經存在的一個容器共享一個Network Namespace，而不是和宿主機共享。新建立的容器不會建立自己的網絡卡，配置自己的IP，而是和一個指定的容器共享IP、埠範圍等。同樣，兩個容器除了網路方面，其他的如檔案系統、程序列表等還是隔離的。兩個容器的程序可以通過lo網絡卡裝置通訊。

2.3 None

該模式將容器放置在它自己的網路棧中，但是並不進行任何配置。實際上，該模式關閉了容器的網路功能，在以下兩種情況下是有用的：容器並不需要網路（例如只需要寫磁碟卷的批處理任務）。

overlay

在docker1.7程式碼進行了重構，單獨把網路部分獨立出來編寫，所以在docker1.8新加入的一個overlay網路模式。Docker對於網路訪問的控制也是在逐漸完善的。

2.4 Bridge

相當於Vmware中的Nat模式，容器使用獨立network Namespace，並連線到docker0虛擬網絡卡（預設模式）。通過docker0網橋以及Iptables nat表配置與宿主機通訊；bridge模式是Docker預設的網路設定，此模式會為每一個容器分配Network Namespace、設定IP等，並將一個主機上的Docker容器連線到一個虛擬網橋上。下面著重介紹一下此模式。

 

三、Bridge模式

3.1 Bridge模式的拓撲

當Docker server啟動時，會在主機上建立一個名為docker0的虛擬網橋，此主機上啟動的Docker容器會連線到這個虛擬網橋上。虛擬網橋的工作方式和物理交換機類似，這樣主機上的所有容器就通過交換機連在了一個二層網路中。接下來就要為容器分配IP了，Docker會從RFC1918所定義的私有IP網段中，選擇一個和宿主機不同的IP地址和子網分配給docker0，連線到docker0的容器就從這個子網中選擇一個未佔用的IP使用。如一般Docker會使用172.17.0.0/16這個網段，並將172.17.0.1/16分配給docker0網橋（在主機上使用ifconfig命令是可以看到docker0的，可以認為它是網橋的管理介面，在宿主機上作為一塊虛擬網絡卡使用）。單機環境下的網路拓撲如下，主機地址為10.10.0.186/24。

3.2 Docker：網路模式詳解

Docker完成以上網路配置的過程大致是這樣的：

1. 在主機上建立一對虛擬網絡卡veth pair裝置。veth裝置總是成對出現的，它們組成了一個數據的通道，資料從一個裝置進入，就會從另一個裝置出來。因此，veth裝置常用來連線兩個網路裝置。

2. Docker將veth pair裝置的一端放在新建立的容器中，並命名為eth0。另一端放在主機中，以veth65f9這樣類似的名字命名，並將這個網路裝置加入到docker0網橋中，可以通過brctl show命令檢視。

$ brctl show

bridge name     bridge id               STP enabled     interfaces docker0         8000.02425f21c208       no   3. 從docker0子網中分配一個IP給容器使用，並設定docker0的IP地址為容器的預設閘道器。   # 執行容器; $ docker run --name=nginx_bridge --net=bridge -p 80:80 -d nginx        9582dbec7981085ab1f159edcc4bf35e2ee8d5a03984d214bce32a30eab4921a   # 檢視容器; $ docker ps CONTAINER ID        IMAGE          COMMAND                  CREATED             STATUS              PORTS                NAMES 9582dbec7981        nginx           "nginx -g 'daemon ..."    3 seconds ago       Up 2 seconds        0.0.0.0:80->80/tcp   nginx_bridge   # 檢視容器網路; $ docker inspect 9582dbec7981 "Networks" : {      "bridge" : {          "IPAMConfig" :  null ,          "Links" :  null ,          "Aliases" :  null ,          "NetworkID" :  "9e017f5d4724039f24acc8aec634c8d2af3a9024f67585fce0a0d2b3cb470059" ,          "EndpointID" :  "81b94c1b57de26f9c6690942cd78689041d6c27a564e079d7b1f603ecc104b3b" ,          "Gateway" :  "172.17.0.1" ,          "IPAddress" :  "172.17.0.2" ,          "IPPrefixLen" : 16,          "IPv6Gateway" :  "" ,          "GlobalIPv6Address" :  "" ,          "GlobalIPv6PrefixLen" : 0,          "MacAddress" :  "02:42:ac:11:00:02"      } }   網路拓撲介紹完後，接著介紹一下bridge模式下容器是如何通訊的。  

3.3 bridge模式下容器的通訊

在bridge模式下，連在同一網橋上的容器可以相互通訊（若出於安全考慮，也可以禁止它們之間通訊，方法是在DOCKER_OPTS變數中設定–icc=false，這樣只有使用–link才能使兩個容器通訊）。

Docker可以開啟容器間通訊（意味著預設配置--icc=true），也就是說，宿主機上的所有容器可以不受任何限制地相互通訊，這可能導致拒絕服務攻擊。進一步地，Docker可以通過--ip_forward和--iptables兩個選項控制容器間、容器和外部世界的通訊。

容器也可以與外部通訊，我們看一下主機上的Iptable規則，可以看到這麼一條

-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE

 

這條規則會將源地址為172.17.0.0/16的包（也就是從Docker容器產生的包），並且不是從docker0網絡卡發出的，進行源地址轉換，轉換成主機網絡卡的地址。這麼說可能不太好理解，舉一個例子說明一下。假設主機有一塊網絡卡為eth0，IP地址為10.10.101.105/24，閘道器為10.10.101.254。從主機上一個IP為172.17.0.1/16的容器中ping百度（180.76.3.151）。IP包首先從容器發往自己的預設閘道器docker0，包到達docker0後，也就到達了主機上。然後會查詢主機的路由表，發現包應該從主機的eth0發往主機的閘道器10.10.105.254/24。接著包會轉發給eth0，並從eth0發出去（主機的ip_forward轉發應該已經開啟）。這時候，上面的Iptable規則就會起作用，對包做SNAT轉換，將源地址換為eth0的地址。這樣，在外界看來，這個包就是從10.10.101.105上發出來的，Docker容器對外是不可見的。

那麼，外面的機器是如何訪問Docker容器的服務呢？我們首先用下面命令建立一個含有web應用的容器，將容器的80埠對映到主機的80埠。

$ docker run --name=nginx_bridge --net=bridge -p 80:80 -d nginx

 

然後檢視Iptable規則的變化，發現多了這樣一條規則：

-A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.2:80

 

此條規則就是對主機eth0收到的目的埠為80的tcp流量進行DNAT轉換，將流量發往172.17.0.2:80，也就是我們上面建立的Docker容器。所以，外界只需訪問10.10.101.105:80就可以訪問到容器中的服務。

除此之外，我們還可以自定義Docker使用的IP地址、DNS等資訊，甚至使用自己定義的網橋，但是其工作方式還是一樣的。