Docker网络

Docker网络是Docker中的重中之重，只有明白了它，我们才能真正的明白docker的工作原理

前置条件：两个个运行着的容器

宿主机端口 32799

容器镜像端口 8080

容器IP 172.17.0.2

宿主机端口 49157

容器镜像端口 80

容器IP 172.17.0.3

容器网关 172.17.0.1

image-20241208132645459

image-20241208133618413

一、Docker请求如何是转发到指定的容器的

首先，在外部我们只能通过宿主机（也就是运行docker的服务器）来进行访问

下面以此为例，这是一个springboot项目

image-20241208134535115

所以我们的请求肯定首先会通过宿主机的网卡，宿主机会监听端口

1
netstat -tuln | grep 32799

image-20241208134728539

然后宿主机在看到请求要请求到该端口，就会通过 iptables 这个文件查看该请求最终要请求的destination

1
sudo iptables -t nat -L -n -v

image-20241208135037614

最终我们会看到，我们在页面上访问的 http://192.168.187.30:32799/hello/world，最终会通过配置的规则，最终会定位到 172.17.0.2:8080

下面画一张图，方便理解

image-20241208135541871

二、Docker中的网络

2.1 Bridge模式

2.1.1 Bridge模式讲解

当Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。

从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。在主机上创建一对虚拟网卡veth pair设备，Docker将veth pair设备的一端放在新创建的容器中，并命名为eth0（容器的网卡），另一端放在主机中，以vethxxx这样类似的名字命名，并将这个网络设备加入到docker0网桥中。可以通过brctl show命令查看。

bridge模式是docker的默认网络模式，不写–net参数，就是bridge模式。使用docker run -p时，docker实际是在iptables做了DNAT规则，实现端口转发功能。可以使用iptables -t nat -vnL查看。

1
docker network ls

image-20241208141525431

1
docker network inspect da

image-20241208141602257

此方法是最是简单，但是由于需要通过Ip来进行访问，不利于生产环境，或者一个新的环境不知道ip的情况，我们期望的是类似于 baidu 一样，我们至于要记住 www.baidu.com 而不需要记住，该域名背后的ip是什么是最好的，所以Docker官方提供了 --link=xxx 的方式来进行将域名和ip进行绑定

我们重新运行下mynginx123 这个容器

1
docker run -d --name=mynginx123 -P --link=dockerfiledeploy  centos_nginx:latest

image-20241208145616920

我们发现，我们可以通过容器名称来ping通不同的容器了

但是，这种方式有一个致命的问题，就是，绑定的容器的ip变了，就无法使用了

1
docker run -d --name=A -P --link=B  <docker_image>

就是说，--link方式是将容器B的ip和容器名称放在我们当前容器的hosts配置文件中，且不通知容器B，如果某天容器B的IP地址发生变化，那么容器A的容器中依旧保存的是原来的IP，此时就会导致不可用，只能重启通过--link进行绑定

image-20241208150323341

2.2.2 自定义Bridge模式网络

1
2
# 创建一个驱动是bridge 子网是从172.16.0.0开始的，网关是 172.16.0.1
docker network create --driver=bridge --subnet=172.16.0.0/16 --gateway=172.16.0.1 mynet

image-20241208151152969

image-20241208151218007

我们以该网络作为我们的docker网络，启动一个容器

1
docker run -d --name=mynginx1234 -P --network=mynet  centos_nginx:latest

image-20241208151547060

1
docker inspect 32

image-20241208151649047

对比下之前使用默认网络模式启动的 mynginx123

1
docker inspect 09

image-20241208151803867

我们再继续使用我们创建的mynet运行一个mynginx12345 容器

1
docker run -d --name=mynginx12345 -P --network=mynet  centos_nginx:latest

image-20241208152038791

接下来我们看下我们的 mynet下挂了多少个容器

1
docker network inspect 2c

image-20241208152219350

此时我们再通过 ping 容器名称的方式，看能否ping的通

image-20241208152751281

此种方式可以通过 容器名称 进行ping通，而且也不是将指定域名写死在hosts文件里面

2.2 host模式

如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Namespace，而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。

使用host模式的容器可以直接使用宿主机的IP地址与外界通信，容器内部的服务端口也可以使用宿主机的端口，不需要进行NAT，host最大的优势就是网络性能比较好，但是docker host上已经使用的端口就不能再用了，网络的隔离性不好。

2.3 container模式

这个模式指定新创建的容器和已经存在的一个容器共享一个 Network Namespace，而不是和宿主机共享。新创建的容器不会创建自己的网卡，配置自己的 IP，而是和一个指定的容器共享 IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过 lo 网卡设备通信。

2.4 none模式

使用none模式，Docker容器拥有自己的Network Namespace，但是，并不为Docker容器进行任何网络配置。也就是说，这个Docker容器没有网卡、IP、路由等信息。需要我们自己为Docker容器添加网卡、配置IP等。

这种网络模式下容器只有lo回环网络，没有其他网卡。none模式可以在容器创建时通过–network=none来指定。这种类型的网络没有办法联网，封闭的网络能很好的保证容器的安全性。

三、图片总结

docker网络