docker【6】docker网络配置

朱雀 2022-08-18 13:15 251阅读 0赞

--------------------

**docker 网络配置详解:**

# 1、Docker原生网络实现 #

为了实现容器到容器和容器到宿主机之间的通信，Docker本身就已经提供了几种解决方案。当Docker进程启动之后，它会配置一个虚拟的网桥叫docker0在宿主机上，实际上是 Linux 的一个 bridge。这个接口允许Docker去分配虚拟的子网给即将启动的容器们。这个网桥在容器内的网络和宿主机网络之间将作为接口的主节点。

Docker容器启动后，将创建一个新的虚拟接口并分配一个网桥子网内的IP地址。这个IP地址嵌在容器内网络中，用于提供容器网络到宿主机docker0网桥上的一个通道。Docker自动配置iptables规则来放行并配置NAT，连通宿主机上的docker0。

同时，Docker 随机分配一个本地未占用的私有网段（在 RFC1918 中定义）中的一个地址给 docker0 接口。比如典型的 172.17.42.1，掩码为 255.255.0.0。此后启动的容器内的网口也会自动分配一个同一网段（172.17.0.0/16）的地址。

在宿主机上使用如下命：ip addr

lin@ubuntu:~$ ip addr
       1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default 
          link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
          inet 127.0.0.1/8 scope host lo
             valid_lft forever preferred_lft forever
          inet6 ::1/128 scope host 
             valid_lft forever preferred_lft forever
       2: eno16777736: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
          link/ether 00:0c:29:33:ca:0f brd ff:ff:ff:ff:ff:ff
          inet 192.168.0.167/24 brd 192.168.0.255 scope global eno16777736
             valid_lft forever preferred_lft forever
          inet6 fe80::20c:29ff:fe33:ca0f/64 scope link 
             valid_lft forever preferred_lft forever
       3: docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
          link/ether 02:42:86:27:36:61 brd ff:ff:ff:ff:ff:ff
          inet 172.17.0.1/16 scope global docker0
             valid_lft forever preferred_lft forever
          inet6 fe80::42:86ff:fe27:3661/64 scope link 
             valid_lft forever preferred_lft forever
       5: vethedf2614@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master docker0 state UP group default 
          link/ether b2:0c:cb:5c:5b:2c brd ff:ff:ff:ff:ff:ff link-netnsid 0
          inet6 fe80::b00c:cbff:fe5c:5b2c/64 scope link 
             valid_lft forever preferred_lft forever

可以看到 docker0 这个是docker启动时在宿主机上创建的虚拟网卡, 用来管理docker container的网络

宿主机安装 brctl  apt-get install bridge-utils ；

使用命令：brctl show

lin@ubuntu:~$ brctl show
       bridge name     bridge id               STP enabled     interfaces
       docker0         8000.024286273661       no              vethedf2614

可以看到虚拟的网络关系，其中 vethedf2614 是docker container的虚拟网卡， docker每新建一个container, docker0 就会创建一个新的虚拟网卡，名称以 veth 开头，其余是随机的.

下图是他的一个结构：

![Image 1][]

# 2、docker 的四种网络模式 #

Docker在创建容器时有四种网络模式，bridge为默认不需要用--net去指定，其他三种模式需要在创建容器时使用--net去指定。

*  bridge模式，使用--net=bridge指定，默认设置。
 *  none模式，使用--net=none指定。
 *  host模式，使用--net=host指定。
 *  container模式，使用--net=container:容器名称或ID指定。（如：--net=container:30b668ccb630）

bridge模式：docker网络隔离基于网络命名空间<Network Namespace>，在物理机上创建docker容器时会为每一个docker容器分配网络命名空间，并且把容器IP桥接到物理机的虚拟网桥上。

none模式：此模式下创建容器是不会为容器配置任何网络参数的，如：容器网卡、IP、通信路由等，全部需要自己去配置。

host模式：此模式创建的容器没有自己独立的网络命名空间，是和物理机共享一个Network Namespace，并且共享物理机的所有端口与IP，并且这个模式认为是不安全的。

container模式：此模式和host模式很类似，只是此模式创建容器共享的是其他容器的IP和端口而不是物理机，此模式容器自身是不会配置网络和端口，创建此模式容器进去后，你会发现里边的IP是你所指定的那个容器IP并且端口也是共享的，而且其它还是互相隔离的，如进程等。

下面简单介绍一下 docker内部网桥的新建与容器指定网桥

使用  如下命令可以看到docker内置的三种network 默认下使用bridge

lin@ubuntu:~$ docker network ls
       NETWORK ID          NAME                DRIVER
       590c6ae86a55        bridge              bridge              
       c0573deb0a47        none                null                
       f026186657d8        host                host

使用如下命令可以新构建一个bridge network

lin@ubuntu:~$  docker network create -d bridge my-bridge-network 
       157484bdedf67edde93eef23217bef2419ba216e7e5b6f33751b6d609fc61bdd

再次查看

lin@ubuntu:~$ docker network ls
       NETWORK ID          NAME                DRIVER
       157484bdedf6        my-bridge-network   bridge              
       590c6ae86a55        bridge              bridge              
       c0573deb0a47        none                null                
       f026186657d8        host                host

查看网桥信息

lin@ubuntu:~$ docker network inspect bridge

会发现 自己创建的网桥的信息是空的。

断开容器的网桥连接

$ docker network disconnect bridge containerName

运行一个容器（db） 指定网桥 是刚刚新建的网桥

$ docker run -d --net=my-bridge-network --name db training/postgres

这时候网桥信息是有内容的。

下面做一个两个容器间测试网络是否联通的例子：

正常情况下docker默认的是bridge这个网桥，若是运行两个容器，查看网桥信息

lin@ubuntu:~$ docker network inspect bridge      
       [
          { 
              "Name": "bridge",
              "Id": "590c6ae86a557283cfb7c00e7c0f5c11b43b34162e00d00b480fe04b2ee67725",
              "Scope": "local",
              "Driver": "bridge",
              "IPAM": { 
                  "Driver": "default",
                  "Config": [
                      { 
                          "Subnet": "172.17.0.0/16"
                      }
                  ]
              },
              "Containers": { 
                  "36f7d9838bb6980886431d38e144817134959418dcba825ef44e215b579a5d22": { 
                      "EndpointID": "f6805702ba96d55da6377ee0494a643b8be77affac7c6749705b3ee8604e9185",
                      "MacAddress": "02:42:ac:11:00:02",
                      "IPv4Address": "172.17.0.2/16",
                      "IPv6Address": ""
                  },
                  "e378315ac723940d7825481a4352fa39fd61c373d9b0a26e67e6ae4676c9ce41": { 
                      "EndpointID": "b0f9a3ee5e2e8570ecc13447338d1ba917696b18fe5d30a10976f8e6792d4157",
                      "MacAddress": "02:42:ac:11:00:03",
                      "IPv4Address": "172.17.0.3/16",
                      "IPv6Address": ""
                  }
              },
              "Options": { 
                  "com.docker.network.bridge.default_bridge": "true",
                  "com.docker.network.bridge.enable_icc": "true",
                  "com.docker.network.bridge.enable_ip_masquerade": "true",
                  "com.docker.network.bridge.host_binding_ipv4": "0.0.0.0",
                  "com.docker.network.bridge.name": "docker0",
                  "com.docker.network.driver.mtu": "1500"
              }
          }
       ]
       lin@ubuntu:~$

可以看到连个容器，分别用了172.17.0.2 和172.17.0.3 两个IP。进入容器 使用ping命令是可以ping通两个容器的

root@36f7d9838bb6:/# ping 172.17.0.3
       PING 172.17.0.3 (172.17.0.3) 56(84) bytes of data.
       64 bytes from 172.17.0.3: icmp_seq=1 ttl=64 time=0.125 ms
       64 bytes from 172.17.0.3: icmp_seq=2 ttl=64 time=0.080 ms

[https://docs.docker.com/engine/userguide/networkingcontainers/][https_docs.docker.com_engine_userguide_networkingcontainers]

# 3、docker 自定义网桥 #

很多时间，你并不需要docker给你分配的默认为172.17.x.x的ip 这样就需要自定义docker网桥；

## 1、查看docker运行状态    ##

lin@ubuntu:~$ ps -ef | grep docker  
       root      7673     1  0 10:51 ?        00:00:31 /usr/bin/docker daemon -H fd://
       lin@ubuntu:~$

## 2、docker 正在运行，需要先停止docker ##

$ sudo service docker stop

## 3、查看docker默认网桥    ##

lin@ubuntu:~$ ifconfig | grep docker0
       docker0   Link encap:Ethernet  HWaddr 02:42:86:27:36:61

## 4、停止docker默认网桥并删除 ##

lin@ubuntu:~$ brctl show lin@ubuntu:~$ sudo ip link set dev docker0 down
       lin@ubuntu:~$ sudo brctl delbr docker0

## 6、自定义网桥分配Ip ##

lin@ubuntu:~$ sudo brctl addbr bridge0
       lin@ubuntu:~$ sudo ip addr add 192.168.1.1/24 dev bridge0 
       lin@ubuntu:~$ sudo ip link set dev bridge0 up

## 7、查看是否配置成功 ##

lin@ubuntu:~$ ip addr show bridge0

## 8、配置docker文件，默认桥接到创建的网桥上 ##

echo 'DOCKER_OPTS="-b=bridge0"' >> /etc/default/docker

## 9、重启docker服务 ##

sudo service docker start

[Image 1]: 
[https_docs.docker.com_engine_userguide_networkingcontainers]: https://docs.docker.com/engine/userguide/networkingcontainers/