實(shí)現(xiàn)原理
Docker使用Linux橋接（參考《Linux虛擬網(wǎng)絡(luò)技術(shù)》），在宿主機(jī)虛擬一個(gè)Docker容器網(wǎng)橋(docker0)俗冻，Docker啟動(dòng)一個(gè)容器時(shí)會(huì)根據(jù)Docker網(wǎng)橋的網(wǎng)段分配給容器一個(gè)IP地址堆巧，稱為Container-IP妄荔，同時(shí)Docker網(wǎng)橋是每個(gè)容器的默認(rèn)網(wǎng)關(guān)。因?yàn)樵谕凰拗鳈C(jī)內(nèi)的容器都接入同一個(gè)網(wǎng)橋谍肤，這樣容器之間就能夠通過容器的Container-IP直接通信啦租。
Docker網(wǎng)橋是宿主機(jī)虛擬出來的，并不是真實(shí)存在的網(wǎng)絡(luò)設(shè)備荒揣，外部網(wǎng)絡(luò)是無法尋址到的刷钢，這也意味著外部網(wǎng)絡(luò)無法通過直接Container-IP訪問到容器。如果容器希望外部訪問能夠訪問到乳附，可以通過映射容器端口到宿主主機(jī)（端口映射）内地，即docker run創(chuàng)建容器時(shí)候通過 -p 或 -P 參數(shù)來啟用，訪問容器的時(shí)候就通過[宿主機(jī)IP]:[容器端口]訪問容器赋除。
四類網(wǎng)絡(luò)模式
| Docker網(wǎng)絡(luò)模式 | 配置 | 說明 |
|---|---|---|
| host模式 | –net=host | 容器和宿主機(jī)共享Network namespace阱缓。 |
| container模式 | –net=container:NAME_or_ID | 容器和另外一個(gè)容器共享Network namespace。 kubernetes中的pod就是多個(gè)容器共享一個(gè)Network namespace举农。 |
| none模式 | –net=none | 容器有獨(dú)立的Network namespace荆针，但并沒有對其進(jìn)行任何網(wǎng)絡(luò)設(shè)置，如分配veth pair 和網(wǎng)橋連接，配置IP等航背。 |
| bridge模式 | –net=bridge | （默認(rèn)為該模式） |
host模式
如果啟動(dòng)容器的時(shí)候使用host模式喉悴，那么這個(gè)容器將不會(huì)獲得一個(gè)獨(dú)立的Network Namespace，而是和宿主機(jī)共用一個(gè)Network Namespace玖媚。容器將不會(huì)虛擬出自己的網(wǎng)卡箕肃，配置自己的IP等，而是使用宿主機(jī)的IP和端口今魔。但是勺像，容器的其他方面，如文件系統(tǒng)错森、進(jìn)程列表等還是和宿主機(jī)隔離的吟宦。
使用host模式的容器可以直接使用宿主機(jī)的IP地址與外界通信，容器內(nèi)部的服務(wù)端口也可以使用宿主機(jī)的端口涩维，不需要進(jìn)行NAT殃姓，host最大的優(yōu)勢就是網(wǎng)絡(luò)性能比較好，但是docker host上已經(jīng)使用的端口就不能再用了瓦阐，網(wǎng)絡(luò)的隔離性不好辰狡。
Host模式如下圖所示：
container模式
這個(gè)模式指定新創(chuàng)建的容器和已經(jīng)存在的一個(gè)容器共享一個(gè) Network Namespace，而不是和宿主機(jī)共享垄分。新創(chuàng)建的容器不會(huì)創(chuàng)建自己的網(wǎng)卡宛篇，配置自己的 IP，而是和一個(gè)指定的容器共享 IP薄湿、端口范圍等叫倍。同樣，兩個(gè)容器除了網(wǎng)絡(luò)方面豺瘤，其他的如文件系統(tǒng)吆倦、進(jìn)程列表等還是隔離的。兩個(gè)容器的進(jìn)程可以通過 lo 網(wǎng)卡設(shè)備通信坐求。
Container模式示意圖：
none模式
使用none模式蚕泽，Docker容器擁有自己的Network Namespace，但是桥嗤，并不為Docker容器進(jìn)行任何網(wǎng)絡(luò)配置须妻。也就是說，這個(gè)Docker容器沒有網(wǎng)卡泛领、IP荒吏、路由等信息。需要我們自己為Docker容器添加網(wǎng)卡渊鞋、配置IP等绰更。
這種網(wǎng)絡(luò)模式下容器只有l(wèi)o回環(huán)網(wǎng)絡(luò)瞧挤，沒有其他網(wǎng)卡。none模式可以在容器創(chuàng)建時(shí)通過--network=none來指定儡湾。這種類型的網(wǎng)絡(luò)沒有辦法聯(lián)網(wǎng)特恬，封閉的網(wǎng)絡(luò)能很好的保證容器的安全性。
None模式示意圖:
bridge模式
當(dāng)Docker進(jìn)程啟動(dòng)時(shí)徐钠，會(huì)在主機(jī)上創(chuàng)建一個(gè)名為docker0的虛擬網(wǎng)橋癌刽，此主機(jī)上啟動(dòng)的Docker容器會(huì)連接到這個(gè)虛擬網(wǎng)橋上。虛擬網(wǎng)橋的工作方式和物理交換機(jī)類似丹皱，這樣主機(jī)上的所有容器就通過交換機(jī)連在了一個(gè)二層網(wǎng)絡(luò)中妒穴。
從docker0子網(wǎng)中分配一個(gè)IP給容器使用宋税，并設(shè)置docker0的IP地址為容器的默認(rèn)網(wǎng)關(guān)摊崭。在主機(jī)上創(chuàng)建一對虛擬網(wǎng)卡veth pair設(shè)備，Docker將veth pair設(shè)備的一端放在新創(chuàng)建的容器中杰赛，并命名為eth0（容器的網(wǎng)卡）呢簸，另一端放在主機(jī)中，以vethxxx這樣類似的名字命名乏屯，并將這個(gè)網(wǎng)絡(luò)設(shè)備加入到docker0網(wǎng)橋中根时。可以通過brctl show命令查看辰晕。
bridge模式是docker的默認(rèn)網(wǎng)絡(luò)模式蛤迎，不寫--net參數(shù)，就是bridge模式含友。使用docker run -p時(shí)替裆，docker實(shí)際是在iptables做了DNAT規(guī)則，實(shí)現(xiàn)端口轉(zhuǎn)發(fā)功能窘问×就可以使用iptables -t nat -vnL查看。
bridge模式如下圖所示：
