一、Docker網路概述

1、Docker網路實現的原理

　　Docker使用Linux橋接，在宿主機虛擬一個Docker容器網橋（docker0），docker啟動一個容器時會根據docker網橋的網段分配給容器一個IP地址，稱為Container-IP，同時Docker網橋是每個容器的預設閘道器。

　　因為在同一宿主機內的容器都接入同一個網橋，這樣容器之間就能夠通過容器的Container-IP直接通訊。

　　Docker網橋是宿主機虛擬出來的，並不是真實存在的網路裝置，外部網路時無法定址到的，這也意味著外部網路無法直接通過Container-IP訪問到容器。

　　如果容器希望外部訪問能夠訪問到，可以通過對映容器埠到宿主機（埠對映），即dockerrun建立容器的時候通過-p或-P引數來啟用，訪問容器的時候就通過[宿主機IP]:[容器埠]訪問容器。

　　1.1隨機對映埠（從32768開始）

docker run -d --name test1 -P nginx（映象）

　　1.2指定對映埠

docker run -d --name test2 -p 1212:80 nginx

　　1.3瀏覽器訪問測試

二、Docker的網路模式

　　Host：容器不會虛擬出自己的網絡卡，配置主機的IP等，而是使用宿主機的IP和埠

　　Container：建立的容器不會建立自己的網絡卡，配置自己的IP，而是和一個指定的容器共享IP，埠範圍

　　None：該模式關閉了容器的網路功能

　　Bridge：預設為該模式，此模式會為每一個容器分配，設定IP等，並將容器連線到一個docker0的虛擬網橋，通過docker0網橋以及iptablesnat表配置與宿主機通訊

　　自定義網路

1、預設網路

　　當你安裝Docker時，它會自動建立三個網路bridge （建立容器預設連線到此網路）、none、host。你可以使用以下dockernetworkls或者dockernetworklist命令列出這些網路

2、使用docker run建立docker容器時，可以用--net或--network選項指定容器的網路模式

　　host模式：使用--net=host指定

　　none模式：使用--net=none 指定

　　container模式：使用--net=container:NAME__or_ID 指定

　　bridge模式：使用--net=bridge 指定，預設設定，可省略

三、Docker網路模式詳解

1、host模式

　　host模式：使用--net=host指定

　　相當於VMware中的橋接模式，與宿主機在同一個網路中，但是沒有獨立IP地址

　　Docker使用了Linux的Namespace技術來進行資源隔離，如PIDNamespace隔離程序，MountNamespace隔離檔案系統，NetworkNamespace隔離網路等。一個NetworkNamespace提供了一份獨立的網路環境，包括網絡卡，路由，iptable規則等都與其他NetworkNamespace隔離。一個Docker容器一般會分配一個獨立的NetworkNamespace。

　　但是如果啟動容器的時候使用host模式，那麼這個容器將不會獲得一個獨立的NetworkNamespace ，而是和宿主機共用一個NetworkNamespace 。容器將不會虛擬出自己的網絡卡，配置自己的IP等，而是使用宿主機的IP和埠範圍。此時容器不再擁有隔離的、獨立的網路棧。不擁有埠資源。

2、container模式

　　在理解了host模式後，這個模式也就好理解了。

　　這個模式指定新建立的容器和已經存在的一個容器共享一個NetworkNamespace （網路名稱空間），而不是和宿主機共享。

　　新建立的容器不會建立自己的網絡卡，配置自己的IP，而是和一個指定的容器共享IP、埠範圍等。同樣，兩個容器除了網路方面，其他的如檔案系統、程序列表等還是隔離的。兩個容器的程序可以通過lo網絡卡裝置通訊。

docker inspect -f '{{.State.Pid}}' 155ddb0c29b3                         #檢視容器程序PID
22364
ls -l /proc/22364/ns                                                 #檢視容器的程序、網路、檔案系統等名稱空間編號
-----------------------------------------------------------------
總用量 0
lrwxrwxrwx. 1 root root 0 7月  26 17:47 ipc -> ipc:[4026532688]
lrwxrwxrwx. 1 root root 0 7月  26 17:47 mnt -> mnt:[4026532683]
lrwxrwxrwx. 1 root root 0 7月  26 16:35 net -> net:[4026532691]       #檢視此項Network Namespace
lrwxrwxrwx. 1 root root 0 7月  26 17:47 pid -> pid:[4026532689]
lrwxrwxrwx. 1 root root 0 7月  26 17:47 user -> user:[4026531837]
lrwxrwxrwx. 1 root root 0 7月  26 17:47 uts -> uts:[4026532687]
-----------------------------------------------------------------
docker run -itd --name test3 --net=container:155ddb0c29b3 centos bash
docker inspect -f '{{.State.Pid}}' 3a47d5cb641b
23428
ls -l /proc/23428/ns
-----------------------------------------------------------------
總用量 0
lrwxrwxrwx. 1 root root 0 7月  26 17:56 ipc -> ipc:[4026532783]
lrwxrwxrwx. 1 root root 0 7月  26 17:56 mnt -> mnt:[4026532781]
lrwxrwxrwx. 1 root root 0 7月  26 17:56 net -> net:[4026532691]       #container模式的Network Namespace和上面的一致
lrwxrwxrwx. 1 root root 0 7月  26 17:56 pid -> pid:[4026532784]
lrwxrwxrwx. 1 root root 0 7月  26 17:56 user -> user:[4026531837]
lrwxrwxrwx. 1 root root 0 7月  26 17:56 uts -> uts:[4026532782]
————————————————

3、none模式

　　使用none模式，Docker容器擁有自己的NetworkNamespace ，但是，並不為Docker容器進行任何網路配置。

　　也就是說，這個Docker容器沒有網絡卡、IP、路由等資訊。這種網路模式下容器只有lo迴環網路，沒有其他網絡卡。這種型別的網路沒有辦法聯網，封閉的網路能很好的保證容器的安全性。

4、bridge模式

　　bridge模式是docker的預設網路模式，不用--net引數，就是bridge模式。

　　相當於VMware中的nat模式，容器使用獨立networkNamespace ，並連線到docker0虛擬網絡卡。通過docker0網橋以及iptablesnat表配置與宿主機通訊，此模式會為每一個容器分配NetworkNamespace、設定IP等，並將一個主機上的Docker容器連線到一個虛擬網橋上。

　　4.1當Docker程序啟動時，會在主機上建立一個名為docker0的虛擬網橋，此主機上啟動的Docker容器會連線到這個虛擬網橋上。虛擬網橋的工作方式和物理交換機類似，這樣主機上的所有容器就通過交換機連在了一個二層網路中。

　　4.2從docker0子網中分配一個IP給容器使用，並設定docker0的IP地址為容器的預設閘道器。在主機上建立一對虛擬網絡卡vethpair裝置。veth裝置總是成對出現的，它們組成了一個數據的通道，資料從一個裝置進入，就會從另一個裝置出來。因此，veth裝置常用來連線兩個網路裝置。

　　4.3Docker將vethpair裝置的一端放在新建立的容器中，並命名為eth0 （容器的網絡卡），另一端放在主機中，以veth*這樣類似的名字命名，並將這個網路裝置加入到docker0網橋中。可以通過brctlshow命令檢視。

　　4.4使用dockerrun -p 時，docker實際是在iptables做了DNAT規則，實現埠轉發功能。可以使用iptables -tnat -nL檢視。

5、自定義網路模式

#直接使用bridge模式，是無法支援指定IP執行docker的，例如執行以下命令就會報錯
docker run -itd --name test4 --network bridge --ip 172.17.0.10 centos:7 /bin/bash 

#可以先自定義網路，再使用指定IP執行docker
docker network create --subnet=172.20.0.0/16 --opt "com.docker.network.bridge.name"="docker1" mynetwork
 
#docker1 為執行 ifconfig -a 命令時，顯示的網絡卡名，如果不使用 --opt 引數指定此名稱，那你在使用 ifconfig -a 命令檢視網路資訊時，看到的是類似br-110eb56a0b22 這樣的名字，這顯然不怎麼好記。
#mynetwork為執行docker network list命令時，顯示的bridge網路模式名稱
  
docker run -itd --name test5 --net mynetwork --ip 172.20.0.10 centos:7 /bin/bash
ifconfig                                 #該命令需要安裝net-tools