Docker網(wǎng)絡(luò)

I. Docer的通信方式

默認(rèn)情況下，Docker使用網(wǎng)橋（brige）+ NAT的通信模型.
Docker啟動(dòng)時(shí)會(huì)自動(dòng)創(chuàng)建網(wǎng)橋Docker0，并配置ip 172.17.0.1/16

ifconfig docker0 docker0 Link encap:Ethernet HWaddr 02:42:e0:31:ac:10inet addr:172.17.0.1 Bcast:0.0.0.0 Mask:255.255.0.0UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1RX packets:1846 errors:0 dropped:0 overruns:0 frame:0TX packets:5562 errors:0 dropped:0 overruns:0 carrier:0collisions:0 txqueuelen:0RX bytes:168242 (168.2 KB) TX bytes:23550976 (23.5 MB)

Docker容器內(nèi)容及容器與宿主機(jī)通信方式（Brige方式）

當(dāng)Docker啟動(dòng)容器時(shí)，會(huì)創(chuàng)建一對(duì)veth虛擬網(wǎng)絡(luò)設(shè)備：

• 一個(gè)附加到網(wǎng)橋上;
• 一個(gè)加入容器的網(wǎng)張命名空間并被改名為eth0

Docker容器與外部網(wǎng)張通信（NAT方式）

1）容器訪問(wèn)外網(wǎng)

Docker通過(guò)創(chuàng)建如下MASQUERADE規(guī)則進(jìn)行外部網(wǎng)絡(luò)訪問(wèn)：

iptables -t nat -A POSTROUTING -s 172.17.0.0/16 !-o docker0 -j MASQUERADE

規(guī)則說(shuō)明：獎(jiǎng)所有從容器（172.17.0.0/16）發(fā)往外網(wǎng)的包的源地址都改為Host(宿主機(jī))的IP。

2）外網(wǎng)訪問(wèn)容器

當(dāng)容器提供的服務(wù)需要暴露給外部網(wǎng)絡(luò)里，Docker啟動(dòng)容器里，會(huì)創(chuàng)建SNAT規(guī)則。eg，啟動(dòng)一個(gè)apache容器：

docker run -d -p 80:80 apache

在上述命令背后其實(shí)會(huì)創(chuàng)建如下SNAT規(guī)則：

iptables -t nat -A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER iptables -t nat -A DOCKER !-i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.2:80

II. Docker的網(wǎng)絡(luò)配置

Docker中很多網(wǎng)絡(luò)相關(guān)的參數(shù)主是有：

• Docker進(jìn)程本身的，影響所有docker容器；
• Docker容器相關(guān)的，只影響當(dāng)前容器；

1. 網(wǎng)絡(luò)配置參數(shù)

1）Docker進(jìn)程的網(wǎng)絡(luò)配置

相關(guān)參數(shù)如下：

-b, --bridge="" ;//指定Docker使用的網(wǎng)絡(luò)設(shè)備。默認(rèn)下，Docker會(huì)創(chuàng)建docker0網(wǎng)橋設(shè)備，通過(guò)該參數(shù)可以指定Docker使用已存在的網(wǎng)橋設(shè)備--bip="" ;//指定網(wǎng)橋設(shè)備的docker0的IP和掩碼，使用標(biāo)準(zhǔn)的CIDR形式，如192.168.1.5/24--dns=[] ;//強(qiáng)制docker使用指定的DNS servers--dns-search=[] ;//強(qiáng)制docker使用指定的DNS search domains--icc=true ;//打開(kāi)inter-container溝通--ip="0.0.0.0" ;//綁定容器端口時(shí)的默認(rèn)IP--ip-forward=true ;//打開(kāi) net.ipv4.ip_forward--iptables=true; //打開(kāi)docker的iptables rules增加--mtu=0; //設(shè)置容器的網(wǎng)絡(luò)MTU,如果沒(méi)有設(shè)置任何值則默認(rèn)route MTU ，當(dāng)默認(rèn)路由不存在時(shí)，使用1500

Note:

--dns/--dns-search: 配置容器的DNS，改參數(shù)可以在啟動(dòng)Docker進(jìn)程時(shí)指定（成為所有容器的默認(rèn)值），也可以在啟動(dòng)容器（docker run）時(shí)指定（覆蓋默認(rèn)值）。

2）容器的網(wǎng)絡(luò)配置

下面是docker run時(shí)的一些網(wǎng)絡(luò)配置參數(shù)：

--net="bridge" //用于指定容器使用的網(wǎng)絡(luò)通信方式；

它有如下四個(gè)值：

• bridge : Docker容器的默認(rèn)通信方式；
• none : 容器沒(méi)有網(wǎng)絡(luò)棧，此時(shí)容器無(wú)法與外界通信；
• container:<name|id> : 使用其他容器（name或id）的網(wǎng)絡(luò)棧。實(shí)際上，Docker會(huì)將該容器加到指定的容器network namespace, 這是一種非常有用的方式。
• host : 表示容器使用Host的網(wǎng)絡(luò)，沒(méi)有自己獨(dú)立的網(wǎng)絡(luò)棧。實(shí)際上，在這種情況下，Docker不會(huì)給容器創(chuàng)建單獨(dú)的網(wǎng)絡(luò)名字空間（newwork namespace）.由于容器可以完全訪問(wèn)Host的網(wǎng)絡(luò)，所以此方式也是不安全的。

2. 配置DNS

一般來(lái)說(shuō)每個(gè)容器的hostname和DNS配置信息是不同的，我們不可能為每個(gè)容器都構(gòu)建一個(gè)鏡像，并在鏡像中指定這些信息。實(shí)際上，Docker在啟動(dòng)容器時(shí)，會(huì)使用bind mount動(dòng)態(tài)掛載/etc/hostname，/etc/hosts，/etc/resolv.conf幾個(gè)文件，覆蓋鏡像中原來(lái)的文件。通過(guò)如下命令我們可以在容器內(nèi)看到這個(gè)信息：

docker exec -it {容器} /bin/bash mount/dev/vda1 on /etc/resolv.conf type ext4 (rw,relatime,errors=remount-ro,data=ordered) /dev/vda1 on /etc/hostname type ext4 (rw,relatime,errors=remount-ro,data=ordered) /dev/vda1 on /etc/hosts type ext4 (rw,relatime,errors=remount-ro,data=ordered)

所以，我們可以通過(guò)命令行參數(shù)在啟動(dòng)Doker時(shí)指定DNS

3. Docker網(wǎng)絡(luò)相關(guān)的一些參考

• 關(guān)于docker網(wǎng)絡(luò)的概念：理解Docker容器網(wǎng)絡(luò)之Linux Network Namespace

• 關(guān)于源地址和目地地址的轉(zhuǎn)換關(guān)系：iptables中DNAT、SNAT和MASQUERADE的理解

• Docker相關(guān)的網(wǎng)絡(luò)詳解：Docker網(wǎng)絡(luò)詳解

• iptables命令詳解：iptables命令詳解

轉(zhuǎn)載于:https://www.cnblogs.com/Terry-Wu/p/7461453.html

總結(jié)

以上是生活随笔為你收集整理的Docker系统六：Docker网络管理的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。