初学Docker容器网络不得不看的学习笔记

落日映苍穹つ 2022-01-13 09:35 230阅读 0赞

[2019独角兽企业重金招聘Python工程师标准>>> ][2019_Python_] ![hot3.png][]

[【技术沙龙002期】数据中台：宜信敏捷数据中台建设实践|宜信技术沙龙 将于5月23日晚8点线上直播，点击报名][002_ _5_23_8]

## **一、关于Docker** ##

Docker 是一个开源的应用容器引擎，基于 Go 语言 并遵从Apache2.0协议开源。

Docker 可以让开发者打包他们的应用以及依赖包到一个轻量级、可移植的容器中，然后发布到任何流行的 Linux 机器上，也可以实现虚拟化。容器是完全使用沙箱机制，相互之间不会有任何接口（类似 iPhone 的 app）,更重要的是容器性能开销极低。

因为对比传统虚拟机有启动快、性能提升、运维成本等等绝对优势，越来越受开发运维童鞋的青睐。

## **二、关于Docker网络模式分类** ##

1、bridge模式，--net=bridge(默认)

2、host模式，--net=host

3、container模式 使用–net =container:指定容器名

4、none模式，--net=none

5、用户自定义模式

## **三、关于Docker网络模式详解** ##

### **3.1 bridge模式** ###

Docker网络的默认模式，在docker run启动容器的时候，如果不加--net参数，就默认采用这种网络模式。安装完docker，系统会自动添加一个供docker使用的网桥docker0。容器通过DHCP获取一个与docker0同网段的IP地址，并默认连接到docker0网桥，并将docker0的IP地址作为网关实现容器与宿主机的网络互通，另外，同一个宿主机下同样使用bridge模式的容器可以直接通讯。

**实验部分**

环境：VMware 安装Centos7虚拟机。

首先在Centos虚拟机中安装容器

yum -y install docker-io  ####安装docker

![1537500390546069989.png][]

启动容器服务并检查启动状态systemctl start docker

![1537500406586008344.png][]

启动docker服务后会发现主机多了一个docker0网卡 （PS：目前本机是通过192.168.32.129这个地址可以直接上网的）。

![1537500421979066840.png][]

我们启动一个Centos的容器并进入bash，由于我们没有本地没有centos的镜像文件，默认就直接从Docker的官网镜像仓库下载。

[root@cesrc ~]# docker run -itd centos /bin/bash

![1537500434083092209.png][]

查看启动的容器

[root@cesrc ~]# docker ps –a

![1537500572079098249.png][]

进入容器里面，查看IP配置。

[root@cesrc ~]# docker attach b670

![1537500606462042125.png][]

默认没有ifconfig命令，yum安装下net-tools

`yum install net-tools`

![1537501199237021429.png][]

查看容器的ip和路由配置，容器分到了与docker0同段地址并将默认路由指向docker0

![1537501223015051757.png][]

![1537501235654007743.png][]

此容器可以直接上网

![1537501251060096491.png][]

`iptables -t nat –vnL`，查看docker生成的iptables，可以看出相当于docker0对容器做了SNAT，

![1537501265523070978.png][]

再启动一个容器

`docker run -itd --name centos2 centos /bin/bash`

![1537501281060086348.png][]

此主机上的容器间可以直接通讯

![1537501295446097174.png][]

此模式的网络工作模式如下图所示

![1537501310466095712.png][]

### **3.2 host模式** ###

容器将不会虚拟出自己的网卡，配置自己的IP等，而是直接使用宿主机的IP和端口，但是文件系统是和宿主机隔离的

`docker run -itd --net=host --name host-rq centos /bin/bash`

![1537501332324096304.png][]

进入容器

![1537501344554089487.png][]

容器的进程如下，是和宿主机独立。

![1537501357939070454.png][]

### **3.3 Container模式** ###

此模式指定新创建的容器和已经存在的一个容器共享一个 Network，和已有指定的容器出了网络方面其他都是独立的。

创建原始的一个容器s-centos

[root@cesrc ~]# docker run -itd --name s-centos centos /bin/bash
    
    be7425c3fac6845c9d8d150f9b8c710f9268611fa3a6d86d59444ea1e4bfe415

创建新容器d-centos并使用原有容器的网络

[root@cesrc ~]# docker run -itd --net=container:s-centos --name d-centos centos /bin/bash
    
    d576e3009391111688004f57c1549572fd534d33d0e7ee7cc1e02a785f6c8c14

![1537501402416003609.png][]

分别进入容器内部，查看IP配置和文件系统是否独立

**S-centos**

![1537501418801020559.png][]

**D-centos**

![1537501434556079406.png][]

### **3.4 None模式** ###

此模式下创建的不会创建网络，容器里面就不会有ip容器中只有lo，用户可以在此基础上，对容器网络做定制，若想使用pipework手工配置指定docker容器的ip地址，必须要在none模式下才可以

`docker run -itd --net=none --name n-centos centos /bin/bash`

![1537501451465094358.png][]

None模式下生成的容器必须经过手工配置后才可以上网。

### **3.5 用户自定义模式** ###

用户自定义模式主要可选的有三种网络驱动：bridge、overlay、macvlan。bridge驱动用于创建类似于前面提到的bridge网络;overlay和macvlan驱动用于创建跨主机的网络，本例中我们使用Flannel和etcd使用overlay技术实现docker跨物理机通信。

Flannel实现的容器的跨主机通信通过如下过程实现：

在etcd中规划配置所有主机的docker0子网范围；每个主机上的flanneld根据etcd中的配置，为本主机的docker0分配子网，保证所有主机上的docker0网段不重复，并将结果（即本主机上的docker0子网信息和本主机IP的对应关系）存入etcd库中，这样etcd库中就保存了所有主机上的docker子网信息和本主机IP的对应关系；当需要与其他主机上的容器进行通信时，查找etcd数据库，找到目的容器的子网所对应的outip（目的宿主机的IP），将原始数据包封装在VXLAN或UDP数据包中，IP层以outip为目的IP进行封装；由于目的IP是宿主机IP，因此路由是可达的，VXLAN或UDP数据包到达目的宿主机解封装，解出原始数据包，最终到达目的容器。

![1537501542200091589.png][]

(图片摘自网络)

实验规划

![1537500161288018179.png][]

![1537501509645091827.png][]

#### **Node1节点安装etcd步骤如下** ####

**1、安装etcd程序**

yum install -y etcd

\*\*2、修改etcd配置文件，配置文件在/etc/etcd/etcd.conf，本实验etcd单机部署，群集配置部分没有做严格更改。\*\*配置如下：

#[Member]
    
    #ETCD_CORS=""
    
    ETCD_DATA_DIR="/var/lib/etcd/host129.etcd"  #etcd数据保存目录
    
    #ETCD_WAL_DIR=""
    
    #ETCD_LISTEN_PEER_URLS=http://192.168.32.129:2380  #集群内部通信使用的URL
    
    ETCD_LISTEN_CLIENT_URLS=http://127.0.0.1:2379,http://192.168.32.129:2379    #供外部客户端使用的URL
    
    #ETCD_MAX_SNAPSHOTS="5"
    
    #ETCD_MAX_WALS="5"
    
    ETCD_NAME="host129"    #etcd实例名称

**3、设置后期分给docker容器的网段**

etcdctl mk /network/config '{"Network":"172.18.0.0/16", "SubnetMin": "172.18.1.0", "SubnetMax": "172.18.254.0"}'

**4、设置开机启动etcd服务并启动该服务**

systemctl enable etcd
    
    systemctl start etcd

#### **Node2节点安装etcd步骤如下** ####

**1、安装Docker和Flannel服务**

yum install -y docker flannel

**2、修改Flannel配置文件如下**

Flanneld configuration options
    
    # etcd url location.  Point this to the server where etcd runs
    
    FLANNEL_ETCD_ENDPOINTS="http://192.168.32.129:2379" ##设置etcd地址和端口信息
    
    # etcd config key.  This is the configuration key that flannel queries
    
    # For address range assignment
    
    FLANNEL_ETCD_PREFIX="/network"
    
    # Any additional options that you want to pass
    
    FLANNEL_OPTIONS="-iface=ens33"     ##设置Flannel与etcd通讯网卡

**3、设置启动参数**

cd /usr/libexec/flannel/ 
    ./mk-docker-opts.sh –i

**4、启动Docker和Flannel服务**

systemctl enable docker flanneld
    
    systemctl start docker flannel

**5、开启宿主机转发功能\{一定要打开，很多网上教程都没有提这个，造成无法联通\}**

iptables -PFORWARD ACCEPT

**6、创建容器并进入容器，查看IP**

docker run -itd centos /bin/bash
    
    docker ps –a
    
    docker attach 6c

![1537501587123020324.png][]

在Node2节点上的操作同样在Node3执行一遍，最终看到Node3的获取的IP如图：

![1537501611226040379.png][]

测试容器

Node2和node3上的容器是可以互相访问

![1537501636134032651.png][]

![1537501660747063390.png][]

宿主机上生成了到各个node的路由条目

![1537501681612045166.png][]

![1537501692535096187.png][]

上述方式可以实现跨主机的docker通讯，除此之外还有其他两种方式:

*  在宿主机上添加到其他主机容器的静态路由方式
 *  桥接方式

这两种方式都比较好理解，参考网络摘抄的两张图片

原文链接：[https://www.cnblogs.com/yy-cxd/p/6553624.html][https_www.cnblogs.com_yy-cxd_p_6553624.html]

静态路由方法：

![1537501711720003458.png][]

桥接方法：

![1537501732435060838.png][]

## **四、关于Docker的常用概念和命令总结** ##

### **4.1 Docker 镜像** ###

我们都知道，操作系统分为内核和用户空间。对于 Linux 而言，内核启动后，会挂载 root 文件系统为其提供用户空间支持。而 Docker 镜像（Image），就相当于是一个 root 文件系统。比如官方镜像 ubuntu:16.04 就包含了完整的一套 Ubuntu 16.04 最小系统的 root 文件系统。

### **4.2 Docker 容器** ###

镜像（Image）和容器（Container）的关系，就像是面向对象程序设计中的 类 和 实例 一样，镜像是静态的定义，容器是镜像运行时的实体。容器可以被创建、启动、停止、删除、暂停等。

### **4.3 Docker Registry** ###

镜像构建完成后，可以很容易的在当前宿主机上运行，但是，如果需要在其它服务器上使用这个镜像，我们就需要一个集中的存储、分发镜像的服务，Docker Registry 就是这样的服务。

有公有，有私有。

**镜像管理命令**

**1) 获取镜像**

从 Docker 镜像仓库获取镜像的命令是 `docker pull`。其命令格式为：

docker pull [选项] [Docker Registry 地址[:端口号]/]仓库名[:标签]

命令参考 docker pull ubuntu:16.04

不指定tag默认就是下载最新的

`docker pull mirrors.aliyun.com:ubuntu` 从阿里云仓库

**2) 列出镜像**

docker image ls

列表包含了 仓库名、标签、镜像 ID、创建时间 以及 所占用的空间。

**3) 删除镜像**

`docker rmi` 镜像Id 删除镜像文件

`docker rmi -f` 镜像ID强制删除镜像

**4) 容器管理**

`docker create` 创建不启动

`docker start`启动容器

`docker stop 容器名称` 终止容器

`docker restart 容器名称`重启容器

`docker rm id` 删除容器

`docker run -it centos /bin/sh` 创建并启动容器 exit后容器自动退出，若想以守护进程方式继续运行，需要改为`docker run -itd centos /bin/sh`

`docker ps` 查看运行中的容器

`docker ps –a` 查看所有容器，包含停止的容器。

**5) 进入容器**

`docker attch` 名字进入容器

docker exec -it``` 容器```id command | docker exec -it 7813e41ec005 /bin/sh

**6) 导出容器至文件**

`docker export -o test_for_run_tar` 容器ID

或 `docker export 容器ID >test_for_stop_tar`

**7) 导入文件变成镜像**

`docker import test_for_run_tar - test/ubuntu:v1.0`

**8) 数据管理**

a)数据卷是一个可供容器使用的特殊目录，将操作系统的目录映射到容器

`docker run -d -P --name web -v /src/webapp:/opt/webapp centos /bin/sh`

挂载主机的/src/webapp到容器的/opt/webapp目录，默认可读写

docker run -d -P --name web -v /src/webapp:/opt/webapp:ro centos /bin/sh
    
    只读模式

b)数据卷容器，可供其他容器共享使用的容器

先建立一个数据卷容器

root@localhost /]# docker run -it -v /cunchu --name chuchurongqi centos
    
    [root@90bd63b06074 /]# ls
    
    bin cunchu dev etc home lib lib64 media mnt opt proc root run sbin srv sys tmp usr var
    
    [root@90bd63b06074 /]# cd cunchu/
    
    [root@90bd63b06074 cunchu]# vi qiang.txt

新建一个其他容器，使用--volumes-from 数据卷容器名字实现挂载容器卷里面的数据卷。

[root@localhost /]# docker run -it --volumes-from chuchurongqi --name db2 centos

作者：网络安全-王志强

原文首发于：宜信安全应急响应中心

来源：[宜信技术学院][Link 1]

转载于:https://my.oschina.net/u/4007037/blog/3051598

[2019_Python_]: https://my.oschina.net/u/2663968/blog/3061697
[hot3.png]: /images/20220113/6970876e26a540af83ca582486c2061b.png
[002_ _5_23_8]: https://mp.weixin.qq.com/s/24xdWJ2SZ4ODg5T6yD7BwQ
[1537500390546069989.png]: /images/20220113/6e0d08396cbe4bf297b5688645494d78.png
[1537500406586008344.png]: /images/20220113/e96bb4d57df749d3b1013490b1589543.png
[1537500421979066840.png]: /images/20220113/aeeee1d07595424a96f2f28cef0f06e9.png
[1537500434083092209.png]: /images/20220113/e698016de45042bfb17a3c64382dec5a.png
[1537500572079098249.png]: /images/20220113/7fb96fb6c8454bdd9164ca13e4bf0239.png
[1537500606462042125.png]: /images/20220113/5625e0681a0a45a9b1e0678bc9aa5fe7.png
[1537501199237021429.png]: /images/20220113/9b85e08721944f5bba517965bfebb656.png
[1537501223015051757.png]: /images/20220113/95ec19376ca243819d01c7447338d141.png
[1537501235654007743.png]: /images/20220113/5252acf68eac401ea4e56f54f6527e45.png
[1537501251060096491.png]: /images/20220113/0c9aaa4869664800ac8fcc776ece1c36.png
[1537501265523070978.png]: /images/20220113/8842c457be1a457487cc140262a0ad5c.png
[1537501281060086348.png]: /images/20220113/39207ba7317b4367be3861a817839689.png
[1537501295446097174.png]: /images/20220113/e304370dc9034d1b9f7bd1dc3e50fc06.png
[1537501310466095712.png]: /images/20220113/98d28950e21f4f58bb1ea4132b64f941.png
[1537501332324096304.png]: /images/20220113/2c3e9c742a2a45e0b19f41ed48303cf5.png
[1537501344554089487.png]: /images/20220113/a1465bfee94c4c99b6762c30250783e4.png
[1537501357939070454.png]: /images/20220113/581703cf1cba4101a3125877f941ea6d.png
[1537501402416003609.png]: /images/20220113/469f3f1ff4e14695b7be6a20aabd7941.png
[1537501418801020559.png]: /images/20220113/8974149350d14b7cb5854de7603f569f.png
[1537501434556079406.png]: /images/20220113/6e06249e5f704b19a04319d8c19a9a8a.png
[1537501451465094358.png]: /images/20220113/8bb35e67b95c4093b59827ae950ed640.png
[1537501542200091589.png]: /images/20220113/5af5f0d0cde646969f82777e6d8143a2.png
[1537500161288018179.png]: /images/20220113/d3a1a33671564919a4a9462d69e1d04c.png
[1537501509645091827.png]: /images/20220113/58c6af70d5114914af026c16a9eeb840.png
[1537501587123020324.png]: /images/20220113/9c461c85224940cda3cb96a14408de9f.png
[1537501611226040379.png]: /images/20220113/f9f52ff17d1c4939a823fd8b4cabbb2d.png
[1537501636134032651.png]: /images/20220113/ea06d3d3841a4ae691897e6c2c7524fa.png
[1537501660747063390.png]: /images/20220113/fba85c94c75b4d569eb7c6488e0575b1.png
[1537501681612045166.png]: /images/20220113/03789f519b474613b22e4495efdcd960.png
[1537501692535096187.png]: /images/20220113/f1dae3a558fd45a090b98fd6aa21a509.png
[https_www.cnblogs.com_yy-cxd_p_6553624.html]: https://www.cnblogs.com/yy-cxd/p/6553624.html
[1537501711720003458.png]: /images/20220113/8723fa6bc6a149ecb90856cfe9e9f974.png
[1537501732435060838.png]: /images/20220113/67d145715134444791e65c911733ca47.png
[Link 1]: http://college.creditease.cn