深入理解Docker网络模式

发布时间:2024年01月18日

目录

前言

一、网络相关

1.IP(Internet Protocol)

2.子网掩码(Subnet Mask)

3.网关(Gateway)

4.DNS(Domain Name System)

5.端口号(Port Number)

二、默认网络

2.1 Host

2.2 Container

2.3 None

2.4 Bridge

2.4.1Bridge模式的拓扑

2.4.2?Docker:网络模式详解

2.4.3 bridge模式下容器的通信

三、自定义网络模式


前言

????????当你开始大规模使用Docker时,你会发现需要了解很多关于网络的知识。Docker作为目前最火的轻量级容器技术,有很多令人称道的功能,如Docker的镜像管理。然而,Docker同样有着很多不完善的地方,网络方面就是Docker比较薄弱的部分。因此,我们有必要深入了解Docker的网络知识,以满足更高的网络需求。本文首先介绍了Docker自身的4种网络工作方式,然后介绍一些自定义网络模式。

一、网络相关

1.IP(Internet Protocol)

????????IP是互联网协议的简称,它是互联网上的计算机和设备之间进行通信时使用的一种标识。每台计算机或设备都被分配一个唯一的IP地址,它由32位或128位的二进制数表示。IP地址可以用IPv4或IPv6表示,其中IPv4是常用的版本。

2.子网掩码(Subnet Mask)

????????互联网是由许多小型网络构成的,每个网络上都有许多主机,这样便构成了一个有层次的结构。
IP 地址在设计时就考虑到地址分配的层次特点,将每个 IP 地址都分割成网络号和主机号两部分,以便于IP地址的寻址操作
子网掩码是 “255.255.255.0” 的网络:
最后面一个数字可以在 0~255 范围内任意变化,因此可以提供 256 IP 地址。但是实际可用的 IP
址数量是 256-2 ,即 254 个,因为主机号不能全是 “0” 或全是 “1”
子网掩码是 “255.255.0.0” 的网络:
后面两个数字可以在 0~255 范围内任意变化,可以提供 2552 IP 地址。但是实际可用的 IP 地址数量
2552-2 ,即 65023 个。 IP 地址的子网掩码设置不是任意的。如果将子网掩码设置过大,也就是说子网范围扩大,那么,根
据子网寻径规则,很可能发往和本地主机不在同一子网内的目标主机的数据,会因为错误的判断而
认为目标主机是在同一子网内,那么,数据包将在本子网内循环,直到超时并抛弃,使数据不能正
确到达目标主机,导致网络传输错误;如果将子网掩码设置得过小,那么就会将本来属于同一子网
内的机器之间的通信当做是跨子网传输,数据包都交给缺省网关处理,这样势必增加缺省网关的负
担,造成网络效率下降。
因此,子网掩码应该根据网络的规模进行设置。如果一个网络的规模不超过 254 台电脑,采用
“255.255.255.0” 作为子网掩码就可以了,现在大多数局域网都不会超过这个数字,因此
“255.255.255.0” 是最常用的 IP 地址子网掩码;假如在一所大学具有 1500 多台电脑,这种规模的局
域网可以使用 “255.255.0.0”

3.网关(Gateway)

????????网关是连接不同网络之间的设备,它提供了数据包在网络间转发的功能。在一个局域网中,网关是连接该局域网和外部网络(如Internet)的节点。当计算机或设备需要访问其他网络时,数据包会通过网关进行转发。

4.DNS(Domain Name System)

????????DNS是域名系统的缩写,它将域名(如www.example.com)转换为IP地址。DNS服务器存储了域名和相应的IP地址之间的映射关系。当用户输入一个域名时,计算机会发送DNS查询请求,以获取相应的IP地址,然后将请求发送到该IP地址对应的服务器。

5.端口号(Port Number)

????????端口号用于标识网络中的不同应用程序或服务。它是一个16位的数字,范围从0到65535。端口号分为两类:系统端口号(0-1023)和动态或私有端口号(1024-65535)。例如,Web服务器使用端口号80,邮件服务器使用端口号25。

二、默认网络

当你安装Docker时,它会自动创建三个网络。你可以使用以下docker network ls命令列出这些网络:

1

2

3

4

5

$ docker network ls

NETWORK ID????????? NAME??????????????? DRIVER

7fca4eb8c647??????? bridge????????????? bridge

9f904ee27bf5??????? none????????????????null

cf03ee007fb4??????? host??????????????? host

Docker内置这三个网络,运行容器时,你可以使用该--network标志来指定容器应连接到哪些网络。

该bridge网络代表docker0所有Docker安装中存在的网络。除非你使用该docker run --network=<NETWORK>选项指定,否则Docker守护程序默认将容器连接到此网络。

我们在使用docker run创建Docker容器时,可以用 --net 选项指定容器的网络模式,Docker可以有以下4种网络模式:

  • host模式:使用 --net=host 指定。
  • none模式:使用 --net=none 指定。
  • bridge模式:使用 --net=bridge 指定,默认设置。
  • container模式:使用 --net=container:NAME_or_ID 指定。

下面分别介绍一下Docker的各个网络模式。

2.1 Host

相当于Vmware中的桥接模式,与宿主机在同一个网络中,但没有独立IP地址。众所周知,Docker使用了Linux的Namespaces技术来进行资源隔离,如PID Namespace隔离进程,Mount Namespace隔离文件系统,Network Namespace隔离网络等。一个Network Namespace提供了一份独立的网络环境,包括网卡、路由、Iptable规则等都与其他的Network Namespace隔离。一个Docker容器一般会分配一个独立的Network Namespace。但如果启动容器的时候使用host模式,那么这个容器将不会获得一个独立的Network Namespace,而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡,配置自己的IP等,而是使用宿主机的IP和端口。

例如,我们在10.10.0.186/24的机器上用host模式启动一个含有nginx应用的Docker容器,监听tcp80端口。

1

2

3

4

5

6

7

8

# 运行容器;

$ docker run --name=nginx_host --net=host -p 80:80 -d nginx

74c911272942841875f4faf2aca02e3814035c900840d11e3f141fbaa884ae5c

# 查看容器;

$ docker ps??

CONTAINER ID??????? IMAGE?????????????? COMMAND????????????????? CREATED???????????? STATUS????????????? PORTS?????????????? NAMES

74c911272942??????? nginx???????????????"nginx -g 'daemon ..."???25 seconds ago????? Up 25 seconds?????????????????????????? nginx_host

当我们在容器中执行任何类似ifconfig命令查看网络环境时,看到的都是宿主机上的信息。而外界访问容器中的应用,则直接使用10.10.0.186:80即可,不用任何NAT转换,就如直接跑在宿主机中一样。但是,容器的其他方面,如文件系统、进程列表等还是和宿主机隔离的。

1

2

$ netstat -nplt | grep nginx

tcp??????? 0????? 0 0.0.0.0:80????????????? 0.0.0.0:*?????????????? LISTEN????? 27340/nginx: master

?

2.2 Container

在理解了host模式后,这个模式也就好理解了。这个模式指定新创建的容器和已经存在的一个容器共享一个Network Namespace,而不是和宿主机共享。新创建的容器不会创建自己的网卡,配置自己的IP,而是和一个指定的容器共享IP、端口范围等。同样,两个容器除了网络方面,其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过lo网卡设备通信。

2.3 None

该模式将容器放置在它自己的网络栈中,但是并不进行任何配置。实际上,该模式关闭了容器的网络功能,在以下两种情况下是有用的:容器并不需要网络(例如只需要写磁盘卷的批处理任务)。

overlay

在docker1.7代码进行了重构,单独把网络部分独立出来编写,所以在docker1.8新加入的一个overlay网络模式。Docker对于网络访问的控制也是在逐渐完善的。

2.4 Bridge

2.4.1Bridge模式的拓扑

当Docker server启动时,会在主机上创建一个名为docker0的虚拟网桥,此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似,这样主机上的所有容器就通过交换机连在了一个二层网络中。接下来就要为容器分配IP了,Docker会从RFC1918所定义的私有IP网段中,选择一个和宿主机不同的IP地址和子网分配给docker0,连接到docker0的容器就从这个子网中选择一个未占用的IP使用。如一般Docker会使用172.17.0.0/16这个网段,并将172.17.0.1/16分配给docker0网桥(在主机上使用ifconfig命令是可以看到docker0的,可以认为它是网桥的管理接口,在宿主机上作为一块虚拟网卡使用)。单机环境下的网络拓扑如下,主机地址为10.10.0.186/24。

2.4.2?Docker:网络模式详解

Docker完成以上网络配置的过程大致是这样的:

1. 在主机上创建一对虚拟网卡veth pair设备。veth设备总是成对出现的,它们组成了一个数据的通道,数据从一个设备进入,就会从另一个设备出来。因此,veth设备常用来连接两个网络设备。

2. Docker将veth pair设备的一端放在新创建的容器中,并命名为eth0。另一端放在主机中,以veth65f9这样类似的名字命名,并将这个网络设备加入到docker0网桥中,可以通过brctl show命令查看。

1

2

3

$ brctl show

bridge name???? bridge id?????????????? STP enabled???? interfaces

docker0???????? 8000.02425f21c208?????? no

3. 从docker0子网中分配一个IP给容器使用,并设置docker0的IP地址为容器的默认网关。

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

# 运行容器;

$ docker run --name=nginx_bridge --net=bridge -p 80:80 -d nginx???????

9582dbec7981085ab1f159edcc4bf35e2ee8d5a03984d214bce32a30eab4921a

# 查看容器;

$ docker ps

CONTAINER ID??????? IMAGE????????? COMMAND????????????????? CREATED???????????? STATUS????????????? PORTS??????????????? NAMES

9582dbec7981??????? nginx??????????"nginx -g 'daemon ..."???3 seconds ago?????? Up 2 seconds??????? 0.0.0.0:80->80/tcp?? nginx_bridge

# 查看容器网络;

$ docker inspect 9582dbec7981

"Networks": {

????"bridge": {

????????"IPAMConfig":?null,

????????"Links":?null,

????????"Aliases":?null,

????????"NetworkID":?"9e017f5d4724039f24acc8aec634c8d2af3a9024f67585fce0a0d2b3cb470059",

????????"EndpointID":?"81b94c1b57de26f9c6690942cd78689041d6c27a564e079d7b1f603ecc104b3b",

????????"Gateway":?"172.17.0.1",

????????"IPAddress":?"172.17.0.2",

????????"IPPrefixLen": 16,

????????"IPv6Gateway":?"",

????????"GlobalIPv6Address":?"",

????????"GlobalIPv6PrefixLen": 0,

????????"MacAddress":?"02:42:ac:11:00:02"

????}

}

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

39

40

41

$ docker network inspect bridge

[

????{

????????"Name":?"bridge",

????????"Id":?"9e017f5d4724039f24acc8aec634c8d2af3a9024f67585fce0a0d2b3cb470059",

????????"Created":?"2017-08-09T23:20:28.061678042-04:00",

????????"Scope":?"local",

????????"Driver":?"bridge",

????????"EnableIPv6":?false,

????????"IPAM": {

????????????"Driver":?"default",

????????????"Options":?null,

????????????"Config": [

????????????????{

????????????????????"Subnet":?"172.17.0.0/16"

????????????????}

????????????]

????????},

????????"Internal":?false,

????????"Attachable":?false,

????????"Ingress":?false,

????????"Containers": {

????????????"9582dbec7981085ab1f159edcc4bf35e2ee8d5a03984d214bce32a30eab4921a": {

????????????????"Name":?"nginx_bridge",

????????????????"EndpointID":?"81b94c1b57de26f9c6690942cd78689041d6c27a564e079d7b1f603ecc104b3b",

????????????????"MacAddress":?"02:42:ac:11:00:02",

????????????????"IPv4Address":?"172.17.0.2/16",

????????????????"IPv6Address":?""

????????????}

????????},

????????"Options": {

????????????"com.docker.network.bridge.default_bridge":?"true",

????????????"com.docker.network.bridge.enable_icc":?"true",

????????????"com.docker.network.bridge.enable_ip_masquerade":?"true",

????????????"com.docker.network.bridge.host_binding_ipv4":?"0.0.0.0",

????????????"com.docker.network.bridge.name":?"docker0",

????????????"com.docker.network.driver.mtu":?"1500"

????????},

????????"Labels": {}

????}

]

网络拓扑介绍完后,接着介绍一下bridge模式下容器是如何通信的。

2.4.3 bridge模式下容器的通信

在bridge模式下,连在同一网桥上的容器可以相互通信(若出于安全考虑,也可以禁止它们之间通信,方法是在DOCKER_OPTS变量中设置–icc=false,这样只有使用–link才能使两个容器通信)。

Docker可以开启容器间通信(意味着默认配置--icc=true),也就是说,宿主机上的所有容器可以不受任何限制地相互通信,这可能导致拒绝服务攻击。进一步地,Docker可以通过--ip_forward和--iptables两个选项控制容器间、容器和外部世界的通信。

容器也可以与外部通信,我们看一下主机上的Iptable规则,可以看到这么一条

1

-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE

这条规则会将源地址为172.17.0.0/16的包(也就是从Docker容器产生的包),并且不是从docker0网卡发出的,进行源地址转换,转换成主机网卡的地址。这么说可能不太好理解,举一个例子说明一下。假设主机有一块网卡为eth0,IP地址为10.10.101.105/24,网关为10.10.101.254。从主机上一个IP为172.17.0.1/16的容器中ping百度(180.76.3.151)。IP包首先从容器发往自己的默认网关docker0,包到达docker0后,也就到达了主机上。然后会查询主机的路由表,发现包应该从主机的eth0发往主机的网关10.10.105.254/24。接着包会转发给eth0,并从eth0发出去(主机的ip_forward转发应该已经打开)。这时候,上面的Iptable规则就会起作用,对包做SNAT转换,将源地址换为eth0的地址。这样,在外界看来,这个包就是从10.10.101.105上发出来的,Docker容器对外是不可见的。

那么,外面的机器是如何访问Docker容器的服务呢?我们首先用下面命令创建一个含有web应用的容器,将容器的80端口映射到主机的80端口。

1

$ docker run --name=nginx_bridge --net=bridge -p 80:80 -d nginx

然后查看Iptable规则的变化,发现多了这样一条规则:

1

-A?DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.2:80

此条规则就是对主机eth0收到的目的端口为80的tcp流量进行DNAT转换,将流量发往172.17.0.2:80,也就是我们上面创建的Docker容器。所以,外界只需访问10.10.101.105:80就可以访问到容器中的服务。

除此之外,我们还可以自定义Docker使用的IP地址、DNS等信息,甚至使用自己定义的网桥,但是其工作方式还是一样的。

三、自定义网络模式

注:自定义网络模式,本身也是一个较大的知识点,本讲主要是站在容器五种网络类型层面解析一下,学习该模式前,先了解docker network几个常用的命令(如下命令,先混个脸熟)。

docker network ls?? ?查看已存在的网络模式列表
docker network create -d [mode_type] **_name?? ?创建新的自定义网络
docker network rm ?[id | name]?? ?移除自定义网络模式
docker network connect ? ?[id | name]?? ?连接到特定网络
docker network disconnect ?net_name contain_id/name?? ?给指定容器,取消某个网络模式
docker network [birdge | none | host | 自定义]?? ?查看网络模式的详细网络信息

容器命令

docer exec -it container_[id | name]?? ?进入容器内部
docker inspect ?container_ [id | name]?? ?查看指定容器网络模式详细信息

1.创建bridge网络?

docker network ls
docker network create -d bridge b-net #创建自定义网络
docker network create -d bridge c-net
docker network ls
docker network rm c-net  #实验完毕移除自定义网络
docker network rm b-net

需要说明的是,docker network create?自定义网络时,不指定网络模式,默认就是bridge桥接模式

docker network create mybridgework  #不用-d指定网络模式,默认就是bridge
docker network ls
docker network inspect mybridgework  #查看自定义网络详细信息
docker network rm mybridgework   #实验完毕移除自定义网络

直接ping通就可以了

文章来源:https://blog.csdn.net/weixin_74268571/article/details/135646441
本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。