Docker網路部分詳解(我有一杯酒,敬給這一場大夢,相見時不遠萬里,分別時各奔東西。) 阿新 • • 發佈:2021-10-10 一、docker網路概述 1.1 docker網路實現的原理 ____Docker使用Linux橋接,在宿主機虛擬一個Docker容器網橋(docker0),Docker啟動一個容器時會根據Docker網橋的網段分配給容器一個IP地址,稱為Container-IP, 同時Docker網橋是 每個容器的預設閘道器。因為在同一宿主機內的容器都接入同一個網橋,這樣容器之間就能夠通過容器的Container-IP直接通訊。 容器內先安裝net-tools工具yum install -y net-tools然後檢視容器IP(container ip) ____Docker網橋是宿主機虛擬出來的,並不是真實存在的網路裝置,外部網路是無法定址到的,這也意味著外部網路無法直接通過Container-IP訪問到容器。如果容器希望外部訪問能多訪問到,可以通過對映容器埠到宿主主機(埠對映),即docker run建立容器時候通過-p或-P引數來啟用,訪問容器的時候就通過[宿主機IP]:[容器埠]訪問容器。 如下案例: docker run -itd --name test1 -P nginx #使用大寫p進行隨機埠對映 docker run -itd --name test2 -p 43210:80 nginx #使用小寫p加埠進行指定的埠對映 docker ps -a [root@docker ~]# docker ps -a CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES 155ddb0c29b3 nginx "/docker-entrypoint.…" 4 seconds ago Up 3 seconds 0.0.0.0:43210->80/tcp, :::43210->80/tcp test2 0d1f97c0ae26 nginx "/docker-entrypoint.…" 10 minutes ago Up 10 minutes 0.0.0.0:49156->80/tcp, :::49153->80/tcp test1 瀏覽器訪問:http://192.168.80.10:49156/、http://192.168.80.10:43210/ ① 建立容器時啟用埠對映 ② 瀏覽器訪問測試 ③ 原因是通過iptables的DNAT完成ip的轉換 1.2 docker的網路模式 1、Host:容器將不會虛擬出自己的網絡卡,配置自己的IP等,而是使用宿主機的IP和埠。 2、Container:建立的容器不會建立自己的網絡卡,配置自己的IP,而是和一個指定的容器共享IP、埠範圍。 3、None:該模式關閉了容器的網路功能。 4、Bridge:預設為該模式,此模式會為每一個 容器分配、設定IP等,並將容器連線到一個docker0虛擬網橋,通過docker0網橋以及iptables nat表配置與宿主機通訊。 自定義網路:安裝Docker時,它會自動建立三個網路,bridge (建立容器預設連線到此網路)、none 、host 1)安裝Docker時,它會自動建立三個網路,bridge (建立容器預設連線到此網路)、none 、host。 docker network ls 或 docker network list #檢視docker網路列表 NETWORK ID NAME DRIVER SCOPE 3cce31b7db4e bridge bridge local 6f7e4930aab4 host host local 2ded2fffb055 none null local 2)使用docker run 建立Docker容器時,可以用--net或--network 選項指定容器的網路模式 host模式:使用--net=host 指定。 none模式:使用--net=none 指定。 container模式:使用--net=container:NAME_ _or_ ID指定。 bridge模式:使用--net=bridge 指定,預設設定,可省略。 二、docker網路模式詳解 2.1 host模式 相當於Vmware中的橋接模式,與宿主機在同一個網路中,但沒有獨立IP地址。 Docker使用了Linux的Namespaces技術來進行資源隔離,如PID Namespace隔離程序,Mount Namespace隔離檔案系統,Network Namespace隔離網路等。 一個Network Namespace提供了一份獨立的網路環境,包括網絡卡、路由、iptable規則 等都與其他的Network Namespace隔離。 ____一個Docker容器一般會分配一個獨立的Network Namespace 。但如果啟動容器的時候使用host模式,那麼這個容器將不會獲得一個獨立的NetworkNamespace,而是和宿主機共用一個Network Namespace。 容器將不會虛擬出自己的網絡卡、配置自己的IP等,而是使用宿主機的IP和埠。 2.2 container模式 ____在理解了host模式後,這個模式也就好理解了。這個模式指定新建立的容器和已經存在的一個容器共享一個Network Namespace(網路名稱空間),而不是和宿主機共享。新建立的容器不會建立自己的網絡卡,配置自己的IP,而是和一個指定的容器共享IP、埠範圍等。同樣,兩個容器除了網路方面,其他的如檔案系統、程序列表等還是隔離的。兩個容器的程序可以通過 lo網絡卡裝置通訊。 docker inspect -f '{{.State.Pid}}' 155ddb0c29b3 #檢視容器程序PID 22364 ls -l /proc/22364/ns ----------------------------------------------------------------- 總用量 0 lrwxrwxrwx. 1 root root 0 7月 26 17:47 ipc -> ipc:[4026532688] lrwxrwxrwx. 1 root root 0 7月 26 17:47 mnt -> mnt:[4026532683] lrwxrwxrwx. 1 root root 0 7月 26 16:35 net -> net:[4026532691] #檢視此項Network Namespace lrwxrwxrwx. 1 root root 0 7月 26 17:47 pid -> pid:[4026532689] lrwxrwxrwx. 1 root root 0 7月 26 17:47 user -> user:[4026531837] lrwxrwxrwx. 1 root root 0 7月 26 17:47 uts -> uts:[4026532687] ----------------------------------------------------------------- docker run -itd --name test3 --net=container:155ddb0c29b3 centos bash docker inspect -f '{{.State.Pid}}' 3a47d5cb641b 23428 ls -l /proc/23428/ns ----------------------------------------------------------------- 總用量 0 lrwxrwxrwx. 1 root root 0 7月 26 17:56 ipc -> ipc:[4026532783] lrwxrwxrwx. 1 root root 0 7月 26 17:56 mnt -> mnt:[4026532781] lrwxrwxrwx. 1 root root 0 7月 26 17:56 net -> net:[4026532691] #container模式的Network Namespace和上面的一致 lrwxrwxrwx. 1 root root 0 7月 26 17:56 pid -> pid:[4026532784] lrwxrwxrwx. 1 root root 0 7月 26 17:56 user -> user:[4026531837] lrwxrwxrwx. 1 root root 0 7月 26 17:56 uts -> uts:[4026532782] ----------------------------------------------------------------- ① 根據容器pid檢視該容器的Network Namespace ② 建立新容器,模式為container模式 ③ 檢視新建立容器的Network Namespace 和之前的是否一致,可以看出是一致的。 2.3 none模式 使用none模式,Docker 容器擁有自己的Network Namespace, 但是,並不為Docker容器進行任何網路配置。 也就是說,這個Docker容器沒有網絡卡、IP、路由等資訊。這種網路模式下容器只有lo迴環網路,沒有其他網絡卡。這種型別的網路沒有辦法聯網,封閉的網路能很好的保證容器的安全性。 2.4 bridge模式 空格 bridge模式是docker的預設網路模式,不用--net 引數,就是bridge模式。 ____相當於Vmware中的nat 模式,容器使用獨立network Namespace, 並連線到docker0虛擬網絡卡。通過docker0網橋以及iptables nat表配置與宿主機通訊,此模式會為每一個容器分配Network Namespace、 設定IP等, 並將一個主機上的Docker容器連線到一個虛擬網橋上。 (1) 當Docker程序啟動時,會在主機上建立一個名為docker0的虛擬網橋,此主機上啟動的Docker容器會連線到這個虛擬網橋上。虛擬網橋的工作方式和物理交換機類似,這樣主機上的所有容器就通過交換機連在了一個二層網路中。 (2) 從docker0子網中分配一-個IP給容器使用,並設定docker0的IP地址為容器的預設閘道器。在主機上建立—對虛擬網絡卡veth pair裝置。veth裝置總是成對出現的,它們組成了一個數據的通道,資料從一個裝置進入,就會從另一個裝置出來。因此,veth裝置常用來連線兩個網路裝置。 (3) Docker將 veth pair裝置的一-端放在新建立的容器中,並命名為eth0 ( 容器的網絡卡),另一端放在主機中,以veth* 這樣類似的名字命名,並將這個網路裝置加入到docker0網橋中。可以通過brctl show命令檢視。 (4) 使用docker run -p時,docker 實際是在iptables做了DNAT規則,實現埠轉發功能。可以使用iptables -t nat -vnL 檢視。 2.5 自定義網路模式 ##直接使用bridge模式,是無法支援指定IP執行docker的,例如執行以下命令就會報錯 docker run -itd --name test3 --network bridge --ip 172.17 .0.10 centos:7 /bin/bash 測試如下: 自定義網路模式建立步驟 1)可以先自定義網路,再使用指定IP執行docker docker network create --subnet=172.18.0.0/16 --opt "com.docker.network.bridge.name"="docker1" mynetwork #docker1為執行ifconfig -a命令時,顯示的網絡卡名,如果不使用–opt 引數指定此名稱,那你在使用ifconfig -a命令檢視網路資訊時,看到的是類似br-110eb56a0b22 這樣的名字,這顯然不怎麼好記。 #mynetwork為執行docker network list 命令時,顯示的bridge網路模式名稱。 2)使用指定IP執行docker docker run -itd --name test4 --net mynetwork --ip 172.18.0.10 centos /bin/bash 實際操作: ① 自定義網路docker1 ② 指定IP執行docker ③ 檢視建立的ip