docker容器网络

2023-10-03 10:17:52

docker容器网络

docker在安装后自动提供3种网络

 # docker network ls 查看

[root@node0 ~]# docker network ls
NETWORK ID     NAME      DRIVER    SCOPE
ca3ffc857d6b   bridge    bridge    local
a3c6e9e82d4c   host      host      local
68e0702fcaa6   none      null      local

docker使用linux桥接，会虚拟一个docker容器网桥（docker0）

启动容器时会根据docker0得网段分配ip地址，称作Container-IP（类似DHCP）
docker0是每个容器得默认网关
各容器根据Container-IP直接通信

[root@node0 ~]# ip a|grep docker0
3: docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
19: vethb965cf0@if18: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master docker0 state UP group default 
23: veth022ea6e@if22: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master docker0 state UP group default 

[root@node0 ~]# docker run -it --rm busybox
/ # route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         172.17.0.1      0.0.0.0         UG    0      0        0 eth0
172.17.0.0      0.0.0.0         255.255.0.0     U     0      0        0 eth0

docker4种网络模式

网络模式	配置	说明
host	--network host	容器和宿主机共享Network namespace
container	--network container:NAME_OR_ID	容器和另外一个容器共享Network namespace
none	--network none	容器有独立的Network namespace，但并没有对其进行任何网络设置，如分配veth pair 和网桥连接，配置IP等
bridge	--network bridge	默认模式

bridge模式

docker启动时创建docker0虚拟网桥，

在此主机创建的容器都会连接至该虚拟网桥上
该主机所有容器都连接在一个二层网络中
bridge模式是docker的默认网络模式，不写--network参数，就是bridge模式。

从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。在主机上创建一对虚拟网卡veth pair设备，Docker将veth pair设备的一端放在新创建的容器中，并命名为eth0（容器的网卡），另一端放在主机中，以vethxxx这样类似的名字命名，并将这个网络设备加入到docker0网桥中。

[root@node0 ~]# docker run fxx013/web:v0.3
[root@node0 ~]# docker network ls
NETWORK ID     NAME      DRIVER    SCOPE
ca3ffc857d6b   bridge    bridge    local
a3c6e9e82d4c   host      host      local
68e0702fcaa6   none      null      local
[root@node0 ~]# nmcli device 
DEVICE       TYPE      STATE      CONNECTION 
ens160       ethernet  connected  ens160     
docker0      bridge    connected  docker0    
vethf26accc  ethernet  unmanaged  --         
lo           loopback  unmanaged  --         

[root@node0 ~]# ip a|grep veth
31: vethf26accc@if30: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master docker0 state UP group default 

[root@node0 ~]# docker run -it --rm fxx013/web:v0.3
/ # ip a|grep eth0
18: eth0@if31: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue 
    inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0

如果容器希望外部访问能够访问到，可以通过映射容器端口到宿主主机（端口映射），即docker run创建容器时候通过 -p 或 -P 参数来启用，访问容器的时候就通过[宿主机端口]:[容器端口]访问容器。

docker run -p

//映射容器端口到宿主机端
[root@node0 ~]# docker run -it -p 80:80 --rm fxx013/web:v0.3
[root@node0 ~]# ss -antl
State   Recv-Q  Send-Q   Local Address:Port   Peer Address:Port  
LISTEN  0       128            0.0.0.0:80          0.0.0.0:*     
LISTEN  0       128            0.0.0.0:22          0.0.0.0:*     
LISTEN  0       128               [::]:22             [::]:*

[root@node0 ~]# docker ps
CONTAINER ID   IMAGE             COMMAND                  CREATED              STATUS              PORTS                NAMES
c87b0434bf11   fxx013/web:v0.3   "/bin/httpd -f -h /w…"   About a minute ago   Up About a minute   0.0.0.0:80->80/tcp   gracious_pasteur
29258754a787   fxx013/web:v0.3   "/bin/httpd -f -h /w…"   14 minutes ago       Up 14 minutes                            kind_mclean
[root@node0 ~]# docker inspect c87b0434bf11
。。。
 "IPAddress": "172.17.0.3",
//主机访问
[root@node0 ~]# curl 172.17.0.3
hello world
//外部访问（如下图）

container模式

特点：

这个模式指定新创建的容器和已经存在的一个容器共享一个 Network Namespace
和一个指定的容器共享 IP、端口范围等
除了网络方面，其他的如文件系统、进程列表等还是隔离的。
两个容器的进程可以通过 lo 网卡设备通信。

container模式如下图所示：

[root@node0 ~]# docker run -it --rm fxx013/web:v0.3
[root@node0 ~]# docker ps
CONTAINER ID   IMAGE             COMMAND                  CREATED          STATUS          PORTS                NAMES
d78098f34642   fxx013/web:v0.3   "/bin/httpd -f -h /w…"   9 seconds ago    Up 8 seconds
[root@node0 ~]# docker inspect d78098f34642
...
 "IPAddress": "172.17.0.4",
 
[root@node0 ~]# docker run  -it --rm --network container:d78098f34642 busybox:latest 
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
34: eth0@if35: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue 
    link/ether 02:42:ac:11:00:04 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.4/16 brd 172.17.255.255 scope global eth0
       valid_lft forever preferred_lft forever

host模式

特点:

和宿主机共用一个Network Namespace
使用宿主机的IP和端口
文件系统、进程列表等还是和宿主机隔离的
可以直接使用宿主机的IP地址与外界通信,网络好
唯一端口，不能重复使用，网络隔离性差

[root@node0 ~]# docker run  -it --rm --network host busybox:latest 
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens160: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq qlen 1000
    link/ether 00:0c:29:bb:6f:ff brd ff:ff:ff:ff:ff:ff
    inet 192.168.94.142/24 brd 192.168.94.255 scope global dynamic ens160
       valid_lft 1025sec preferred_lft 1025sec
    inet6 fe80::c566:2591:64e:9b7c/64 scope link 
       valid_lft forever preferred_lft forever
[root@node0 ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens160: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
    link/ether 00:0c:29:bb:6f:ff brd ff:ff:ff:ff:ff:ff
    inet 192.168.94.142/24 brd 192.168.94.255 scope global dynamic noprefixroute ens160
       valid_lft 989sec preferred_lft 989sec
    inet6 fe80::c566:2591:64e:9b7c/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever

none模式

容器创建后不进行任何网络配置
只有lo回环网络
网络安全性较好

[root@node0 ~]# docker run  -it --rm --network none busybox:latest 
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever

码农公寓

docker容器网络

docker4种网络模式

bridge模式

container模式

host模式

none模式

相关文章