Docker作為目前最火的輕量級容器技術，牛逼的功能，如Docker的鏡像管理，不足的地方網絡方面。

Docker自身的4種網絡工作方式，和一些自定義網絡模式

安裝Docker時，它會自動創建三個網絡，bridge（創建容器默認連接到此網絡）、 none 、host、Container

host：容器將不會虛擬出自己的網卡，配置自己的IP等，而是使用宿主機的IP和端口。

Container：創建的容器不會創建自己的網卡，配置自己的IP，而是和一個指定的容器共享IP、端口範圍。

None：該模式關閉了容器的網絡功能。

Bridge：此模式會為每一個容器分配、設置IP等，並將容器連接到一個docker0虛擬網橋，通過docker0網橋以及Iptables nat表配置與宿主機通信。

以上都是不用動手的，真正需要配置的是自定義網絡。

一、前言

當你開始大規模使用Docker時，你會發現需要了解很多關於網絡的知識。Docker作為目前最火的輕量級容器技術，有很多令人稱道的功能，如Docker的鏡像管理。然而，Docker同樣有著很多不完善的地方，網絡方面就是Docker比較薄弱的部分。因此，我們有必要深入了解Docker的網絡知識，以滿足更高的網絡需求。本文首先介紹了Docker自身的4種網絡工作方式，然後介紹一些自定義網絡模式。

二、默認網絡

當你安裝Docker時，它會自動創建三個網絡。你可以使用以下docker network ls命令列出這些網絡。

Docker內置這三個網絡，運行容器時，你可以使用該--network標誌來指定容器應連接到哪些網絡。

該bridge網絡代表docker0所有Docker安裝中存在的網絡。除非你使用該docker run --network=<NETWORK>選項指定，否則Docker守護程序默認將容器連接到此網絡。

我們在使用docker run創建Docker容器時，可以用 --net 選項指定容器的網絡模式，Docker可以有以下4種網絡模式：

host模式：使用 --net=host 指定。

none模式：使用 --net=none 指定。

bridge模式：使用 --net=bridge 指定，默認設置。

container模式：使用 --net=container:NAME_or_ID 指定。

下面分別介紹一下Docker的各個網絡模式。

2.1 Host

相當於Vmware中的橋接模式，與宿主機在同一個網絡中，但沒有獨立IP地址。眾所周知，Docker使用了Linux的Namespaces技術來進行資源隔離，如PID Namespace隔離進程，Mount Namespace隔離文件系統，Network Namespace隔離網絡等。一個Network Namespace提供了一份獨立的網絡環境，包括網卡、路由、Iptable規則等都與其他的Network Namespace隔離。一個Docker容器一般會分配一個獨立的Network Namespace。但如果啟動容器的時候使用host模式，那麽這個容器將不會獲得一個獨立的Network Namespace，而是和宿主機共用一個Network Namespace。容器將不會虛擬出自己的網卡，配置自己的IP等，而是使用宿主機的IP和端口。

例如，我們在10.10.0.186/24的機器上用host模式啟動一個含有nginx應用的Docker容器，監聽tcp80端口。

docker run --name=nginx_host --net=host -p 8080:80 -d nginx

#查看容器

[root@DUCKER-02 ~]# docker ps
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
70b4848d062f nginx "nginx -g ‘daemon ..." 8 seconds ago Up 7 seconds nginx_host

當我們在容器中執行任何類似ifconfig命令查看網絡環境時，看到的都是宿主機上的信息。而外界訪問容器中的應用，則直接使用10.10.0.186:80即可，不用任何NAT轉換，就如直接跑在宿主機中一樣。但是，容器的其他方面，如文件系統、進程列表等還是和宿主機隔離的。

root@DUCKER-02 ~]# netstat -nplt | grep nginx
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 19620/nginx: master

2.2 Container

在理解了host模式後，這個模式也就好理解了。這個模式指定新創建的容器和已經存在的一個容器共享一個Network Namespace，而不是和宿主機共享。新創建的容器不會創建自己的網卡，配置自己的IP，而是和一個指定的容器共享IP、端口範圍等。同樣，兩個容器除了網絡方面，其他的如文件系統、進程列表等還是隔離的。兩個容器的進程可以通過lo網卡設備通信。

2.3 None

該模式將容器放置在它自己的網絡棧中，但是並不進行任何配置。實際上，該模式關閉了容器的網絡功能，在以下兩種情況下是有用的：容器並不需要網絡（例如只需要寫磁盤卷的批處理任務）。

overlay

在docker1.7代碼進行了重構，單獨把網絡部分獨立出來編寫，所以在docker1.8新加入的一個overlay網絡模式。Docker對於網絡訪問的控制也是在逐漸完善的。

2.4 Bridge

相當於Vmware中的Nat模式，容器使用獨立network Namespace，並連接到docker0虛擬網卡（默認模式）。通過docker0網橋以及Iptables nat表配置與宿主機通信；bridge模式是Docker默認的網絡設置，此模式會為每一個容器分配Network Namespace、設置IP等，並將一個主機上的Docker容器連接到一個虛擬網橋上。下面著重介紹一下此模式。

三、Bridge模式

3.1 Bridge模式的拓撲

當Docker server啟動時，會在主機上創建一個名為docker0的虛擬網橋，此主機上啟動的Docker容器會連接到這個虛擬網橋上。虛擬網橋的工作方式和物理交換機類似，這樣主機上的所有容器就通過交換機連在了一個二層網絡中。接下來就要為容器分配IP了，Docker會從RFC1918所定義的私有IP網段中，選擇一個和宿主機不同的IP地址和子網分配給docker0，連接到docker0的容器就從這個子網中選擇一個未占用的IP使用。如一般Docker會使用172.17.0.0/16這個網段，並將172.17.0.1/16分配給docker0網橋（在主機上使用ifconfig命令是可以看到docker0的，可以認為它是網橋的管理接口，在宿主機上作為一塊虛擬網卡使用）。單機環境下的網絡拓撲如下，主機地址為10.10.0.186/24。

3.2 Docker：網絡模式詳解

Docker完成以上網絡配置的過程大致是這樣的：

1. 在主機上創建一對虛擬網卡veth pair設備。veth設備總是成對出現的，它們組成了一個數據的通道，數據從一個設備進入，就會從另一個設備出來。因此，veth設備常用來連接兩個網絡設備。

2. Docker將veth pair設備的一端放在新創建的容器中，並命名為eth0。另一端放在主機中，以veth65f9這樣類似的名字命名，並將這個網絡設備加入到docker0網橋中，可以通過brctl show命令查看。

$ brctl show

3.3 bridge模式下容器的通信

在bridge模式下，連在同一網橋上的容器可以相互通信（若出於安全考慮，也可以禁止它們之間通信，方法是在DOCKER_OPTS變量中設置–icc=false，這樣只有使用–link才能使兩個容器通信）。

Docker可以開啟容器間通信（意味著默認配置--icc=true），也就是說，宿主機上的所有容器可以不受任何限制地相互通信，這可能導致拒絕服務攻擊。進一步地，Docker可以通過--ip_forward和--iptables兩個選項控制容器間、容器和外部世界的通信。

容器也可以與外部通信，我們看一下主機上的Iptable規則，可以看到這麽一條

-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE

這條規則會將源地址為172.17.0.0/16的包（也就是從Docker容器產生的包），並且不是從docker0網卡發出的，進行源地址轉換，轉換成主機網卡的地址。這麽說可能不太好理解，舉一個例子說明一下。假設主機有一塊網卡為eth0，IP地址為10.10.101.105/24，網關為10.10.101.254。從主機上一個IP為172.17.0.1/16的容器中ping百度（180.76.3.151）。IP包首先從容器發往自己的默認網關docker0，包到達docker0後，也就到達了主機上。然後會查詢主機的路由表，發現包應該從主機的eth0發往主機的網關10.10.105.254/24。接著包會轉發給eth0，並從eth0發出去（主機的ip_forward轉發應該已經打開）。這時候，上面的Iptable規則就會起作用，對包做SNAT轉換，將源地址換為eth0的地址。這樣，在外界看來，這個包就是從10.10.101.105上發出來的，Docker容器對外是不可見的。

那麽，外面的機器是如何訪問Docker容器的服務呢？我們首先用下面命令創建一個含有web應用的容器，將容器的80端口映射到主機的80端口。

$ docker run --name=nginx_bridge --net=bridge -p 80:80 -d nginx

然後查看Iptable規則的變化，發現多了這樣一條規則：

-A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.2:80

此條規則就是對主機eth0收到的目的端口為80的tcp流量進行DNAT轉換，將流量發往172.17.0.2:80，也就是我們上面創建的Docker容器。所以，外界只需訪問10.10.101.105:80就可以訪問到容器中的服務。

除此之外，我們還可以自定義Docker使用的IP地址、DNS等信息，甚至使用自己定義的網橋，但是其工作方式還是一樣的。

Docker：網絡模式詳解