Docker网络功能

Docker利用了linux网络命名空间特性，实现了不同容器之间的网络隔离，但是Docker 允许通过外部访问容器或容器互联的方式来提供网络服务

标准的Docker支持以下4类网络模式：

• host模式：使用–net=host指定
• container模式：使用–net=container：NAME_or_ID指定
• none模式：使用–net=none指定
• bridge模式：使用–net=bridge指定，为默认设置

注：使用–net=host后，容器和宿主使用共同的namespace，容器是复用宿主的/etc/hosts文件

一、 外部访问容器 ：

容器中可以运行一些网络应用，要让外部也可以访问这些应用，可以通过 -P 或 -p 参数来指定端口映射。

1、当使用 -P(大写的P) 标记时，Docker 会随机映射一个 49000~49900 的端口到内部容器开放的网络端口。

例如：启动一个Nignx容器，使用-P随机映射端口，可以看到将外部的49153端口映射到内部的80端口，如图：

2、使用-p(小写的p) 则可以指定要映射的端口，并且，在一个指定端口上只可以绑定一个容器

映射所有接口地址 :

使用 hostPort:containerPort 格式本地的 8087 端口映射到容器的 80 端口，可以执行如下命令， 此时默认会绑定本地所有接口上的所有地址，如图：

映射到指定地址的指定端口:

可以使用 ip:hostPort:containerPort 格式指定映射使用一个特定地址,如图：

映射到指定地址的任意端口：

使用 ip::containerPort 绑定 localhost 的任意端口到容器的80 端口，本地主机会自动分配一个端口。

还可以使用 udp 标记来指定 udp 端口 ，如下：

docker run -d -p 127.0.0.1:5000:5000/udp training/webapp

通过docker port nginx可以查看端口映射信息

注意：

• 容器有自己的内部网络和 ip 地址（使用 docker inspect 可以获取所有的变量，Docker 还可以有一个可变的网络配置。）
• -p 标记可以多次使用来绑定多个端口

二、 容器互联 ：

如果你之前有 Docker 使用经验，你可能已经习惯了使用 –link 参数来使容器互联。 随着 Docker 网络的完善，强烈建议大家将容器加入自定义的 Docker 网络来连接多个容器， 而不是使用 –link 参数。

首先查看当前默认的网络类型，如图：

1、新建网络：

下面先创建一个新的 Docker 网络，执行命令如下：

-d 参数指定 Docker 网络类型，有 bridge ，overlay 。其中 overlay 网络类型用于 Swarm mode

创建完成后，通过ip a 可以看到新创建的网卡信息，如图：

从上图可以看出，新创建的网卡为br开头，不太直观，如果要创建自定义名称的怎么办呢，此时可以通过如下命令指定名称，如下：

docker network create -d bridge  gongguan -o com.docker.network.bridge.name=gongguan
#-d bridge写不写都可以，因为默认的就是桥接
#com.docker.network.bridge.name用于指定网卡名称

创建完成后，通过ip a可以查看网卡名称，如图：

通过docker network ls 可以查看到网卡的ID信息，如图：

最后通过docker network inspect 名称/id即可查看详细信息，如图：

2、连接容器：

新建容器busybox1和busybox2，并指定网络类型为new-network，如图：

接下来进入容器busybox1中，ping容器busybox2，可以ping通，反之也通，如图：

如果有多个容器之间互连，推荐使用docker compose

上图中，如果有容器走的这个网桥，可以通过ip a看到网卡后面的状态为up ,如果没有为Down，如图：

三、配置DNS：

如何自定义配置容器的主机名和 DNS 呢？秘诀就是 Docker 利用虚拟文件来挂载容器的 3 个 相关配置文件。

在容器中使用 mount 命令可以看到挂载信息：

这种机制可以让宿主主机 DNS 信息发生更新后，所有 Docker 容器的 DNS 配置通过 /etc/resolv.conf 文件立刻得到更新。

配置全部容器的 DNS ，也可以在 /etc/docker/daemon.json 文件中增加以下内容来设置，如图：

注意：daemon.json中可以写很多配置项，只要符合json规范即可

配置完成后每次启动新的容器后，容器内部的DNS都会自动设置为daemon.json中配置的，如图：

如果用户想要手动指定容器的配置，可以在使用 docker run 命令启动容器时加入如下参数：

• –dns=IP_ADDRESS 添加 DNS 服务器到容器的 /etc/resolv.conf 中，让容器用这个服务器来 解析所有不在 /etc/hosts 中的主机名。
• -h HOSTNAME 或者 –hostname=HOSTNAME 设定容器的主机名，它会被写到容器内的 /etc/hostname 和 /etc/hosts 。但它在容器外部看不到，既不会在 docker ps 中显示，也 不会在其他的容器的 /etc/hosts 看到。
• –dns-search=DOMAIN 设定容器的搜索域，当设定搜索域为 .example.com 时，在搜索一个名 为 host 的主机时，DNS 不仅搜索 host，还会搜索 host.example.com 。

注意：如果在容器启动时没有指定最后两个参数，Docker 会默认用主机上的 /etc/resolv.conf 来配置容器。

四、高级网络设置

当 Docker 启动时，会自动在主机上创建一个 docker0 虚拟网桥，实际上是 Linux 的一个 bridge，可以理解为一个软件交换机。它会在挂载到它的网口之间进行转发。 同时，Docker 随机分配一个本地未占用的私有网段（在 RFC1918 中定义）中的一个地址给 docker0 接口。比如典型的 172.17.42.1 ，掩码为 255.255.0.0 。此后启动的容器内的网口也会自动分配一个同一网段（ 172.17.0.0/16 ）的地址。

当创建一个 Docker 容器的时候，同时会创建了一对 veth pair 接口（当数据包发送到一个 接口时，另外一个接口也可以收到相同的数据包）。veth设备对从docker0处获取IP地址，这对接口一端在容器内，即 eth0 ；另 一端在本地并被挂载到 docker0 网桥，名称以 veth 开头（例如 vethAQI2QT ）。通过这种方式，主机可以跟容器通信，容器之间也可以相互通信。Docker 就创建了在主机和所有容器之间一个虚拟共享网络。 如图：

注：引入Veth设备对是为了在不同的网络命名空间之间通信，利用它可以直接将两个网络命名空间连接起来

1、 容器访问控制：

容器的访问控制，主要通过 Linux 上的 iptables 防火墙来进行管理和实现。 iptables 是 Linux 上默认的防火墙软件，在大部分发行版中都自带。

容器要想访问外部网络，需要本地系统的转发支持。在Linux 系统中，检查转发是否打开，执行命令如下：

sysctl net.ipv4.ip_forward

如果为 0，说明没有开启转发，则需要手动打开， 如果在启动 Docker 服务的时候设定 –ip-forward=true , Docker 就会自动设定系统的 ip_forward 参数为 1。

编辑配置文件vim /etc/sysctl.conf ,添加内容如下：

net.ipv4.ip_forward=1
#保存后执行命令sysctl -p 让命令生效即可

容器之间相互访问，需要两方面的支持：

• 容器的网络拓扑是否已经互联。默认情况下，所有容器都会被连接到 docker0 网桥上。
• 本地系统的防火墙软件 — iptables 是否允许通过。

访问所有端口：

当启动 Docker 服务时候，默认会添加一条转发策略到 iptables 的 FORWARD 链上。策略为通过（ ACCEPT ）还是禁止（ DROP ）取决于配置 –icc=true （缺省值）还是 –icc=false 。 当然，如果手动指定 –iptables=false 则不会添加 iptables 规则。

可见，默认情况下，不同容器之间是允许网络互通的。如果为了安全考虑，可以在 /etc/default/docker 文件中配置 DOCKER_OPTS=–icc=false 来禁止它。

访问指定端口:

在通过 -icc=false关闭网络访问，还可以通过–link=CONTAINER_NAME:ALIAS 选项来访问容器的开放端口。

容器访问外部实现:

默认情况下，容器可以主动访问到外部网络的连接，但是外部网络无法访问到容器。 容器所有到外部网络的连接，源地址都会被 NAT 成本地系统的 IP 地址。这是使用 iptables 的源地址伪装操作实现的。

外部访问容器实现:

容器允许外部访问，可以在 docker run 时候通过 -p 或 -P 参数来启用。 不管用那种办法，其实也是在本地的 iptable 的 nat 表中添加相应的规则。

2、 配置 docker0 网桥：

Docker 服务默认会创建一个 docker0 网桥（其上有一个 docker0 内部接口），它在内核层连通了其他的物理或虚拟网卡，这就将所有容器和本地主机都放到同一个物理网络。

Docker 默认指定了 docker0 接口 的 IP 地址和子网掩码，让主机和容器之间可以通过网桥相 互通信，它还给出了 MTU（接口允许接收的最大传输单元），通常是 1500 Bytes，或宿主主机网络路由上支持的默认值。这些值都可以在服务启动的时候进行配置。

• –bip=CIDR IP 地址加掩码格式，例如 192.168.1.5/24
• –mtu=BYTES 覆盖默认的 Docker mtu 配置

例如：在daemon.json中添加配置，修改 docker0的IP地址，如图：

注意：上图中bip后面的IP地址要加掩码

重启docker,可以看到docker0的地址已经变为设置的IP，如图：

每次创建一个新容器的时候，Docker 从可用的地址段中选择一个空闲的 IP 地址分配给容器的 eth0 端口。使用本地主机上 docker0 接口的 IP 作为所有容器的默认网关， 由于目前 Docker 网桥是 Linux 网桥，用户可以使用 brctl show 来查看网桥和端口连接信息。

3、自定义网桥：(和docker0一样，不支持内部容器设置固定IP)

除了默认的 docker0 网桥，用户也可以指定网桥来连接各个容器。

在启动 Docker 服务的时候，使用 -b BRIDGE 或 –bridge=BRIDGE 来指定使用的网桥， 如果服务已经运行，那需要先停止服务，并删除旧的网桥，执行命令如下：

systemctl stop docker
ip link set dev docker0 down
brctl delbr docker0

然后创建一个网桥bridge0：

brctl addbr bridge0
ip addr add 192.168.5.1/24 dev bridge0
ip link set dev bridge0 up

查看确认网桥创建并启动，如图：

在 Docker 配置文件 /etc/docker/daemon.json 中添加如下内容，即可将 Docker 默认桥接到 创建的网桥上，如图：

最后执行命令启动docker，systemctl start docker

也可以通过brctl show 命令查看网桥信息，如图：

如果提示没有brctl命令，可执行yum -y install bridge-utils安装

4、如何查找设备对(veth)的对应情况

比如我们在宿主机查看当前容器创建的设备对情况，通过ip a 命令查看网卡信息，如图：

上面的183表示的是宿主机的表示(如果通过ifconfig命令是看不到183的，此时可以通过ip link show veth039b1a7查看)，veth039b1a7表示设备对位于宿主机的网卡名，后面的182是设备对的另一端在容器中对应的标识，进入容器中，查看网卡信息，如图：