docker网络

docker网络

bridge（run默认的网络类型）

容器内部：

1. 当docker进程启动时，会在主机上创建一个docker0的虚拟网桥，docker跑的容器都会连接到到这个虚拟网桥。

2. 虚拟网桥的工作方式类似于物理交换机，这样主机上的容器就通过交换机连在了一个二层网络中。

3. 同一台服务器的docker起的容器，都能相互访问。

容器上网：

docker0会提供一个nat的方式连接到宿主机网卡就能访问外网。（容器是连接到docker0的）

 

外网访问容器：

1. 不能直接访问到内部（小人不能直接ping通nginx，只能访问映射好的端口）

2. 当小人访问宿主机的80端口时，先是访问的宿主机的80端口，实际上是docker在做iptable转发，把192.168.47.189：80映射到172.17.0.2：80。

总结：bridge就是加桥。

实验：

#pull个cengtos镜像下来
[root@t2 ~]# docker  pull centos
[root@t2 ~]# docker run -it --name="wangluo1" centos /bin/bash
[root@f954e23fda2c /]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
10: eth0@if11: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
    link/ether 02:42:ac:11:00:03 brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 172.17.0.3/16 brd 172.17.255.255 scope global eth0
       valid_lft forever preferred_lft forever
#可以看到这容器分配了一个 172.17.0.3
#我这台机器上还有另一个容器，所以分配3

可以ping通百度。

#再开一个容器，它们之间可以相互通信
[root@t2 ~]# docker run -it --name="wangluo2" centos /bin/bash 
[root@db7156a224e5 /]# ping 172.17.0.3
PING 172.17.0.3 (172.17.0.3) 56(84) bytes of data.
64 bytes from 172.17.0.3: icmp_seq=1 ttl=64 time=0.116 ms
64 bytes from 172.17.0.3: icmp_seq=2 ttl=64 time=0.058 ms
64 bytes from 172.17.0.3: icmp_seq=3 ttl=64 time=0.069 ms

 

docker网络之host

如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Namespace，而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。

使用host模式的容器可以直接使用宿主机的IP地址与外界通信，容器内部的服务端口也可以使用宿主机的端口，不需要进行NAT，host最大的优势就是网络性能比较好，但是docker host上已经使用的端口就不能再用了，网络的隔离性不好。 如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Namespace，而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。

使用host模式的容器可以直接使用宿主机的IP地址与外界通信，容器内部的服务端口也可以使用宿主机的端口，不需要进行NAT，host最大的优势就是网络性能比较好，但是docker host上已经使用的端口就不能再用了，网络的隔离性不好。

docker网络之container

这个模式指定新创建的容器和已经存在的一个容器共享一个 Network Namespace，而不是和宿主机共享。新创建的容器不会创建自己的网卡，配置自己的 IP，而是和一个指定的容器共享 IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过 lo 网卡设备通信。

docker网络之none

使用none模式，Docker容器拥有自己的Network Namespace，但是，并不为Docker容器进行任何网络配置。也就是说，这个Docker容器没有网卡、IP、路由等信息。需要我们自己为Docker容器添加网卡、配置IP等。

none模式可以在容器创建时通过--network=none来指定。这种类型的网络没有办法联网，封闭的网络能很好的保证容器的安全性

参考：https://www.jianshu.com/p/22a7032bb7bd

overlay网络模型图