關(guān)于docker網(wǎng)絡(luò)模式有四種，內(nèi)容如下，至于內(nèi)容從來哪的，我也不知道,反正網(wǎng)上找的
前言：我們在使用docker run創(chuàng)建Docker容器時(shí)库正，可以用--net選項(xiàng)指定容器的網(wǎng)絡(luò)模式，Docker有以下4種網(wǎng)絡(luò)模式：
·host模式厘唾，使用--net=host指定褥符。
·container模式，使用--net=container:NAME_or_ID指定抚垃。
·none模式喷楣，使用--net=none指定。
·bridge模式鹤树，使用--net=bridge指定铣焊，默認(rèn)設(shè)置。
- 下面分別介紹一下Docker的各個(gè)網(wǎng)絡(luò)模式罕伯。
一曲伊、四種模式
1. host模式
眾所周知，Docker使用了Linux的Namespaces技術(shù)來進(jìn)行資源隔離追他，如PID Namespace隔離進(jìn)程坟募，Mount Namespace隔離文件系統(tǒng)，Network Namespace隔離網(wǎng)絡(luò)等邑狸。一個(gè)Network Namespace提供了一份獨(dú)立的網(wǎng)絡(luò)環(huán)境懈糯，包括網(wǎng)卡、路由单雾、Iptable規(guī)則等都與其他的Network Namespace隔離赚哗。一個(gè)Docker容器一般會(huì)分配一個(gè)獨(dú)立的Network Namespace她紫。但如果啟動(dòng)容器的時(shí)候使用host模式，那么這個(gè)容器將不會(huì)獲得一個(gè)獨(dú)立的Network Namespace屿储，而是和宿主機(jī)共用一個(gè)Network Namespace犁苏。容器將不會(huì)虛擬出自己的網(wǎng)卡，配置自己的IP等扩所，而是使用宿主機(jī)的IP和端口。
例如朴乖，我們在10.10.101.105/24的機(jī)器上用host模式啟動(dòng)一個(gè)含有web應(yīng)用的Docker容器祖屏，監(jiān)聽tcp80端口。當(dāng)我們在容器中執(zhí)行任何類似ifconfig命令查看網(wǎng)絡(luò)環(huán)境時(shí)买羞，看到的都是宿主機(jī)上的信息袁勺。而外界訪問容器中的應(yīng)用，則直接使用10.10.101.105:80即可畜普，不用任何NAT轉(zhuǎn)換期丰，就如直接跑在宿主機(jī)中一樣。但是吃挑，容器的其他方面钝荡，如文件系統(tǒng)、進(jìn)程列表等還是和宿主機(jī)隔離的舶衬。
2. container模式
在理解了host模式后埠通，這個(gè)模式也就好理解了。這個(gè)模式指定新創(chuàng)建的容器和已經(jīng)存在的一個(gè)容器共享一個(gè)Network Namespace逛犹，而不是和宿主機(jī)共享端辱。新創(chuàng)建的容器不會(huì)創(chuàng)建自己的網(wǎng)卡，配置自己的IP虽画，而是和一個(gè)指定的容器共享IP舞蔽、端口范圍等。同樣码撰，兩個(gè)容器除了網(wǎng)絡(luò)方面渗柿，其他的如文件系統(tǒng)、進(jìn)程列表等還是隔離的灸拍。兩個(gè)容器的進(jìn)程可以通過lo網(wǎng)卡設(shè)備通信做祝。
3. none模式
這個(gè)模式和前兩個(gè)不同。在這種模式下鸡岗，Docker容器擁有自己的Network Namespace混槐，但是，并不為Docker容器進(jìn)行任何網(wǎng)絡(luò)配置轩性。也就是說声登，這個(gè)Docker容器沒有網(wǎng)卡、IP、路由等信息悯嗓。需要我們自己為Docker容器添加網(wǎng)卡件舵、配置IP等。
4. bridge模式
bridge模式是Docker默認(rèn)的網(wǎng)絡(luò)設(shè)置脯厨，此模式會(huì)為每一個(gè)容器分配Network Namespace铅祸、設(shè)置IP等，并將一個(gè)主機(jī)上的Docker容器連接到一個(gè)虛擬網(wǎng)橋上合武。下面著重介紹一下此模式临梗。
二、bridge模式的拓?fù)?/h1>
當(dāng)Docker server啟動(dòng)時(shí)稼跳，會(huì)在主機(jī)上創(chuàng)建一個(gè)名為docker0的虛擬網(wǎng)橋盟庞，此主機(jī)上啟動(dòng)的Docker容器會(huì)連接到這個(gè)虛擬網(wǎng)橋上。虛擬網(wǎng)橋的工作方式和物理交換機(jī)類似汤善，這樣主機(jī)上的所有容器就通過交換機(jī)連在了一個(gè)二層網(wǎng)絡(luò)中什猖。接下來就要為容器分配IP了，Docker會(huì)從RFC1918所定義的私有IP網(wǎng)段中红淡，選擇一個(gè)和宿主機(jī)不同的IP地址和子網(wǎng)分配給docker0不狮，連接到docker0的容器就從這個(gè)子網(wǎng)中選擇一個(gè)未占用的IP使用。如一般Docker會(huì)使用172.17.0.0/16這個(gè)網(wǎng)段在旱，并將172.17.42.1/16分配給docker0網(wǎng)橋（在主機(jī)上使用ifconfig命令是可以看到docker0的荤傲，可以認(rèn)為它是網(wǎng)橋的管理接口，在宿主機(jī)上作為一塊虛擬網(wǎng)卡使用）颈渊。單機(jī)環(huán)境下的網(wǎng)絡(luò)拓?fù)淙缦滤焓颍鳈C(jī)地址為10.10.101.105/24。
Docker完成以上網(wǎng)絡(luò)配置的過程大致是這樣的：
1.在主機(jī)上創(chuàng)建一對虛擬網(wǎng)卡veth pair設(shè)備俊嗽。veth設(shè)備總是成對出現(xiàn)的雾家，它們組成了一個(gè)數(shù)據(jù)的通道，數(shù)據(jù)從一個(gè)設(shè)備進(jìn)入绍豁，就會(huì)從另一個(gè)設(shè)備出來芯咧。因此，veth設(shè)備常用來連接兩個(gè)網(wǎng)絡(luò)設(shè)備竹揍。
2.Docker將veth pair設(shè)備的一端放在新創(chuàng)建的容器中敬飒，并命名為eth0。另一端放在主機(jī)中芬位，以veth65f9這樣類似的名字命名无拗，并將這個(gè)網(wǎng)絡(luò)設(shè)備加入到docker0網(wǎng)橋中，可以通過brctl show命令查看昧碉。
3.從docker0子網(wǎng)中分配一個(gè)IP給容器使用英染，并設(shè)置docker0的IP地址為容器的默認(rèn)網(wǎng)關(guān)揽惹。
網(wǎng)絡(luò)拓?fù)浣榻B完后，接著介紹一下bridge模式下容器是如何通信的四康。
三搪搏、bridge模式下容器的通信
在bridge模式下，連在同一網(wǎng)橋上的容器可以相互通信（若出于安全考慮闪金，也可以禁止它們之間通信疯溺，方法是在DOCKER_OPTS變量中設(shè)置--icc=false，這樣只有使用--link才能使兩個(gè)容器通信）哎垦。
容器也可以與外部通信喝检，我們看一下主機(jī)上的Iptable規(guī)則，可以看到這么一條
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
這條規(guī)則會(huì)將源地址為172.17.0.0/16的包（也就是從Docker容器產(chǎn)生的包）撼泛，并且不是從docker0網(wǎng)卡發(fā)出的，進(jìn)行源地址轉(zhuǎn)換澡谭，轉(zhuǎn)換成主機(jī)網(wǎng)卡的地址愿题。這么說可能不太好理解，舉一個(gè)例子說明一下蛙奖。假設(shè)主機(jī)有一塊網(wǎng)卡為eth0潘酗，IP地址為10.10.101.105/24，網(wǎng)關(guān)為10.10.101.254雁仲。從主機(jī)上一個(gè)IP為172.17.0.1/16的容器中ping百度（180.76.3.151）仔夺。IP包首先從容器發(fā)往自己的默認(rèn)網(wǎng)關(guān)docker0，包到達(dá)docker0后攒砖，也就到達(dá)了主機(jī)上缸兔。然后會(huì)查詢主機(jī)的路由表，發(fā)現(xiàn)包應(yīng)該從主機(jī)的eth0發(fā)往主機(jī)的網(wǎng)關(guān)10.10.105.254/24吹艇。接著包會(huì)轉(zhuǎn)發(fā)給eth0惰蜜，并從eth0發(fā)出去（主機(jī)的ip_forward轉(zhuǎn)發(fā)應(yīng)該已經(jīng)打開）。這時(shí)候受神，上面的Iptable規(guī)則就會(huì)起作用抛猖，對包做SNAT轉(zhuǎn)換，將源地址換為eth0的地址鼻听。這樣财著，在外界看來，這個(gè)包就是從10.10.101.105上發(fā)出來的撑碴，Docker容器對外是不可見的撑教。
那么，外面的機(jī)器是如何訪問Docker容器的服務(wù)呢醉拓？我們首先用下面命令創(chuàng)建一個(gè)含有web應(yīng)用的容器驮履，將容器的80端口映射到主機(jī)的80端口鱼辙。
docker run -d --name web -p 80:80 fmzhen/simpleweb
然后查看Iptable規(guī)則的變化，發(fā)現(xiàn)多了這樣一條規(guī)則：
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.5:80
此條規(guī)則就是對主機(jī)eth0收到的目的端口為80的tcp流量進(jìn)行DNAT轉(zhuǎn)換玫镐，將流量發(fā)往172.17.0.5:80倒戏，也就是我們上面創(chuàng)建的Docker容器。所以恐似，外界只需訪問10.10.101.105:80就可以訪問到容器中得服務(wù)杜跷。
除此之外，我們還可以自定義Docker使用的IP地址矫夷、DNS等信息葛闷，甚至使用自己定義的網(wǎng)橋，但是其工作方式還是一樣的双藕。
本文出自: 村里的男孩
