作者 |?渡、

來源 | CSDN博客

Docker網絡原理

容器是相對獨立的環境，相當于一個小型的Linux系統，外界無法直接訪問，那他是怎么做的呢，這里我們先了解下Linux veth pair。

1. Linux veth pair

veth pair是成對出現的一種虛擬網絡設備接口，一端連著網絡協議棧，一端彼此相連。如下圖所示：

veth pair將兩個網絡veth0和veth1連通。

2. 理解Docker0

我們先查看本地ip

這里我們分析可得，有三個網絡：

lo 127.0.0.1 # 本機回環地址 eth0 172.31.179.120 # 阿里云的私有IP（如果你是虛擬機就是虛擬機的ip） docker0?172.17.0.1???????#?docker網橋

lo和eth0在我們的虛擬機啟動的時候就會創建，但是docker0在我們安裝了docker的時候就會創建。docker0用來和虛擬機之間通信。

問題：Docker 是如何處理容器網絡訪問的？

我們先啟動一個tomcat容器來說明。

[root@jiangnan tomcat1]# docker pull tomcat [root@jiangnan tomcat1]# docker images REPOSITORY TAG IMAGE ID CREATED SIZE tomcat latest fb5657adc892 2 months ago 680MB [root@jiangnan tomcat1]# docker run -d -p 8081:8080 --name tomcat01 tomcat 914a7d82b017f63f81c6eba49af5471441f1946c9d45509b69ab2c50c2713b6f [root@jiangnan?tomcat1]#

這里啟動了tomcat01，我們再來查看網絡

發現：我們前面查看的時候還是三組網卡，當啟動了一個tomcat容器之后，多了一組網卡201: vethad33778@if200，而且還是成對的。同樣我們再來啟動一個tomcat02會又多出一對網卡。

進入了tomcat01容器內可以看到tomcat01對應的ip地址為：172.17.0.2

在宿主機上也可ping通。

說明：tomcat02對應的ip為172.17.0.3，也可以ping通。

結論：我們每啟動一個容器，就會多出一對網卡，同時他們被連接到docker0上，而docker0又和虛擬機之間連通。

也可以通過inspect查看。

[root@jiangnan tomcat1]# docker network ls NETWORK ID NAME DRIVER SCOPE 4d3e75606593 bridge bridge local # 這個就是docker0 8e92ee24e5f6 host host local e85ffb1f2cc3 none null local [root@jiangnan tomcat1]# docker inspect 4d3e75606593 "IPAM": { "Driver": "default","Options": null,"Config": [{"Subnet": "172.17.0.0/16","Gateway": "172.17.0.1" # 網關}]},"Containers": { # 容器"15910ee083965d60c46bf9b3b292570fef9b8925905aa4df90c6d48142bb2eee": {"Name": "tomcat01","EndpointID": "9c7a5ab65f1fc91b1d92ad61dec9b2f518f67f69f662522483dca789616f42aa","MacAddress": "02:42:ac:11:00:02","IPv4Address": "172.17.0.2/16","IPv6Address": ""},"6c9a6a5d8eca9ad52926008c7b30516d23293ff8ad1f38947957d571431d5297": {"Name": "tomcat02","EndpointID": "f83c1e643236cd65f50fba03929ca14d5df8d135b1f6cb8adf203cf96084f7aa","MacAddress": "02:42:ac:11:00:03","IPv4Address": "172.17.0.3/16","IPv6Address": ""}},

我們可以抽象為這樣一個網絡模型。

在這里，我們可以看到Docker0相當于一個路由器的作用，任何一個容器啟動默認都是docker0網絡。

docker默認會給容器分配一個可用ip，并把它同docke0相連。使用到的就是veth pair技術。

3. 容器互聯–Link

在網絡模型圖中可以看出，容器和容器之間不能直接連通。

前面我們啟動的兩個tomcat對應的hosts如下：

[root@jiangnan tomcat1]# docker exec -it tomcat01 cat /etc/hosts 127.0.0.1 localhost ::1 localhost ip6-localhost ip6-loopback fe00::0 ip6-localnet ff00::0 ip6-mcastprefix ff02::1 ip6-allnodes ff02::2 ip6-allrouters 172.17.0.2 3ecb3204e2dc root@3ecb3204e2dc:/usr/local/tomcat#[root@jiangnan tomcat1]# docker exec -it tomcat02 cat /etc/hosts 127.0.0.1 localhost ::1 localhost ip6-localhost ip6-loopback fe00::0 ip6-localnet ff00::0 ip6-mcastprefix ff02::1 ip6-allnodes ff02::2 ip6-allrouters 172.17.0.3 6c9a6a5d8eca [root@jiangnan?tomcat1]#

發現：他們的hosts中只有各自的ip地址。

但是在實際的工作中，容器使用的是虛擬ip，每次啟動ip都會變化，思考一個場景，我們編寫一個微服務，數據庫連接地址原來是使用ip的，如果ip變化就不行了，那我們能不能使用服務名訪問呢？

我們在啟動一個tomcat03，使用--link綁定到tomcat02上。然后看它的hosts是什么樣的。

[root@jiangnan tomcat1]# docker run -d -p 8083:8080 --name tomcat03 --link tomcat02 tomcat db75c42f7f7f609218deb290d3e923e3c7da6bcf8c0b38cde27962fb2b9e9a54 [root@jiangnan tomcat1]# docker exec -it tomcat03 cat /etc/hosts 127.0.0.1 localhost ::1 localhost ip6-localhost ip6-loopback fe00::0 ip6-localnet ff00::0 ip6-mcastprefix ff02::1 ip6-allnodes ff02::2 ip6-allrouters 172.17.0.3 tomcat02 e4060ea4ee28 # 發現tomcat2直接被寫在這里 172.17.0.4 db75c42f7f7f root@db75c42f7f7f:/usr/local/tomcat#

發現：使用了–link，不但有了自己的ip，而且還有了tomcat02的服務名。但是tomcat02中并沒有tomcat03的，因為–link是單向的。

這樣就實現了容器和容器之間的連通。不需要通過ip地址連通，而是通過服務名就可以。

但是使用--link的方法過時了，我們一般使用自定義網絡。

4. 自定義網絡（推薦）

docker0的特點：

• 它是默認的

• 域名訪問不通

• –link 域名通了，但是刪了又不行

docker為我們提供了三種網絡模式

[root@jiangnan tomcat1]# docker network ls NETWORK ID NAME DRIVER SCOPE 4d3e75606593 bridge bridge local 8e92ee24e5f6 host host local e85ffb1f2cc3 none null local [root@jiangnan?tomcat1]#

這其中默認使用的是bridge，也就是我們的docker0網卡。

在我們啟動容器的時候，實際上是如下命令

[root@jiangnan?tomcat1]#?docker?run?-d?-P?--name?tomcat01?--net?bridge?tomcat

這個--net是默認的，所以被省略了。

下面我們自定義一個網絡mynet。

# 自定義創建的默認default "bridge" [root@jiangnan tomcat1]# docker network create --driver bridge --subnet 192.168.0.0/16 --gateway 192.168.0.1 mynet 3136d64109c6f285bc69d3ee4be901524292d0e5ddd9e414d49197dfa6c19ba1 [root@jiangnan tomcat1]# docker network ls NETWORK ID NAME DRIVER SCOPE 4d3e75606593 bridge bridge local 8e92ee24e5f6 host host local 3136d64109c6 mynet bridge local # 多了一個mynet e85ffb1f2cc3 none null local[root@jiangnan tomcat1]# docker network inspect mynet [{"Name": "mynet","Id": "3136d64109c6f285bc69d3ee4be901524292d0e5ddd9e414d49197dfa6c19ba1","Created": "2022-02-27T14:15:44.676693958+08:00","Scope": "local","Driver": "bridge","EnableIPv6": false,"IPAM": {"Driver": "default","Options": {},"Config": [{"Subnet": "192.168.0.0/16", # 子網地址"Gateway": "192.168.0.1" # 網關}]},"Internal": false,"Attachable": false,"Ingress": false,"ConfigFrom": {"Network": ""},"ConfigOnly": false,"Containers": {},"Options": {},"Labels": {}} ] [root@jiangnan?tomcat1]#

下面我們使用自定義的網絡啟動tomcat

[root@jiangnan tomcat1]# docker run -d -p 8081:8080 --name tomcat-net-01 --net mynet tomcat 675439c851dc29355c03f82bb163f9e5a326e230447d86d40d53ff08766cfd06 [root@jiangnan tomcat1]# docker run -d -p 8082:8080 --name tomcat-net-02 --net mynet tomcat 31f12c9332e8b4b6e66619dc988533f2863b80e71dbf490c8313694637814ca1 [root@jiangnan tomcat1]# docker ps CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES 31f12c9332e8 tomcat "catalina.sh run" 3 seconds ago Up 2 seconds 0.0.0.0:8082->8080/tcp, :::8082->8080/tcp tomcat-net-02 675439c851dc tomcat "catalina.sh run" 12 seconds ago Up 12 seconds 0.0.0.0:8081->8080/tcp, :::8081->8080/tcp tomcat-net-01 [root@jiangnan?tomcat1]#

查看網絡

[root@jiangnan tomcat1]# docker inspect mynet [{"Name": "mynet","Id": "3136d64109c6f285bc69d3ee4be901524292d0e5ddd9e414d49197dfa6c19ba1","Created": "2022-02-27T14:15:44.676693958+08:00","Scope": "local","Driver": "bridge","EnableIPv6": false,"IPAM": {"Driver": "default","Options": {},"Config": [{"Subnet": "192.168.0.0/16","Gateway": "192.168.0.1"} ]},"Internal": false,"Attachable": false,"Ingress": false,"ConfigFrom": {"Network": ""},"ConfigOnly": false,"Containers": {"31f12c9332e8b4b6e66619dc988533f2863b80e71dbf490c8313694637814ca1": {"Name": "tomcat-net-02","EndpointID": "1c0e9dbffff295f2326bfd1e2847c0f1d9136ff00519101bb11d922e7da4f818","MacAddress": "02:42:c0:a8:00:03","IPv4Address": "192.168.0.3/16","IPv6Address": ""},"675439c851dc29355c03f82bb163f9e5a326e230447d86d40d53ff08766cfd06": {"Name": "tomcat-net-01","EndpointID": "2653da0a25d166f0d7222235e85d8231d9424e19949b6e6b7cfa1a3eddcc462b","MacAddress": "02:42:c0:a8:00:02","IPv4Address": "192.168.0.2/16","IPv6Address": ""}},"Options": {},"Labels": {}} ] [root@jiangnan tomcat1]## 我們來測試ping容器名和ip試試，都可以ping通 [root@jiangnan ~]# docker exec -it tomcat-net-01 ping 192.168.0.3 PING 192.168.0.3 (192.168.0.3) 56(84) bytes of data. 64 bytes from 192.168.0.3: icmp_seq=1 ttl=64 time=0.093 ms [root@jiangnan ~]# docker exec -it tomcat-net-01 ping tomcat-net-02 PING tomcat-net-02 (192.168.0.3) 56(84) bytes of data. 64 bytes from tomcat-net-02.mynet (192.168.0.3): icmp_seq=1 ttl=64 time=0.063 ms 64 bytes from tomcat-net-02.mynet (192.168.0.3): icmp_seq=2 ttl=64 time=0.066 ms

發現：不用--link也可以直接通過服務名ping通了。

5. 網絡連通

docker0和自定義網絡肯定不通，我們使用自定義網絡的好處就是網絡隔離。

但是在實際的工作中，比如我們部署了mysql使用了一個網段。部署了tomcat使用了另一個網段，兩個網段之間肯定是不能相互連通的，但是tomcat和mysql又需要相互連通，我們就要使用網絡連通。原理圖如下：

網絡連通就是將一個容器和一個網段之間的連通。

比如我前面使用的默認docker0的tomcat01，需要連接到mynet網絡。

# docker network connect 網絡 容器 [root@jiangnan tomcat1]# docker network connect mynet tomcat01 [root@jiangnan tomcat1]# docker network inspect mynet [{"Name": "mynet","Id": "3136d64109c6f285bc69d3ee4be901524292d0e5ddd9e414d49197dfa6c19ba1","Created": "2022-02-27T14:15:44.676693958+08:00","Scope": "local","Driver": "bridge","EnableIPv6": false,"IPAM": {"Driver": "default","Options": {},"Config": [{"Subnet": "192.168.0.0/16","Gateway": "192.168.0.1"} ]},"Internal": false,"Attachable": false,"Ingress": false,"ConfigFrom": {"Network": ""},"ConfigOnly": false,"Containers": {"2e709013935463c29caf28771bb49925fee4e02842459b339d7dd1ad5dedf9b7": {"Name": "tomcat-net-01","EndpointID": "9f3a46bad37ade7935e283715caa5699e9a7e22175b592f4a4792a37c351d969","MacAddress": "02:42:c0:a8:00:02","IPv4Address": "192.168.0.2/16","IPv6Address": ""},"5c0c544f2507d9f5f456feceddbd853ebccc07cea8c39c8479693731e480bf55": {"Name": "tomcat01","EndpointID": "d05abb2d31af4067c5a45f299ce7b4401b1fa81638a44b6c09f3de7f8f4221fe","MacAddress": "02:42:c0:a8:00:04","IPv4Address": "192.168.0.4/16","IPv6Address": ""},"d6066db5fdd0b508514107a896ed20b639eaa47dbd97a025ad0c52250766c8a4": {"Name": "tomcat-net-02","EndpointID": "3a5f6f2a07d900303382b290825c9f52640689c859608c741c7c7d81031e107e","MacAddress": "02:42:c0:a8:00:03","IPv4Address": "192.168.0.3/16","IPv6Address": ""}},"Options": {},"Labels": {}} ] [root@jiangnan?tomcat1]#

通過這種方式直接將tomcat01加到了mynet網絡中。

6. 總結

• veth pair是成對出現的一種虛擬網絡設備接口，一端連著網絡協議棧，一端彼此相連。

• docker中默認使用docker0網絡。

• docker0相當于一個路由器的作用，任何一個容器啟動默認都是docker0網絡。

• docker0是容器和虛擬機之間通信的橋梁。

• 推薦使用自定義網絡，更好實現使用服務名的連通方式，避免ip改變的尷尬。

• 網絡之間不能直接連通，網絡連通是將一個容器和一個網絡之間的連通，實現跨網絡操作。

往期推薦

為什么大家都在抵制用定時任務實現「關閉超時訂單」功能？

如果被問到分布式鎖，應該怎樣回答？

別再用 Redis List 實現消息隊列了，Stream 專為隊列而生

Java 底層知識：什么是?“橋接方法”?？

點分享

點收藏

點點贊

點在看

總結

以上是生活随笔為你收集整理的深入理解 Docker 网络原理的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。