1帖世、網(wǎng)絡(luò)相關(guān)定義

網(wǎng)絡(luò)是可以幾乎實(shí)時(shí)地彼此發(fā)送和接收數(shù)據(jù)的計(jì)算機(jī)和其他設(shè)備的集合。網(wǎng)絡(luò)中的每個(gè)機(jī)器稱之為一個(gè)節(jié)點(diǎn)。每個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)都有地址淮蜈，這是用于標(biāo)識(shí)節(jié)點(diǎn)的一連串字節(jié)。所有的現(xiàn)代計(jì)算機(jī)網(wǎng)絡(luò)都是包交換(瘋分組交換)網(wǎng)絡(luò)已卷。協(xié)議(protocol)是定義計(jì)算機(jī)如何通信的一組明確的規(guī)則：包括地址格式梧田、數(shù)據(jù)如何分包等等。針對(duì)網(wǎng)絡(luò)通信的不同方面侧蘸，定義有很多不同的協(xié)議裁眯。例如：超文本傳輸協(xié)議（HTTP）定義了Web瀏覽器如何與服務(wù)器通信。
基于數(shù)據(jù)包的通信方式

image.png

2讳癌、網(wǎng)絡(luò)分層

網(wǎng)絡(luò)分層模型：

image.png

IP地址和路由

image.png

公有IP和私有IP

Public IP：互聯(lián)網(wǎng)上的唯一標(biāo)識(shí)穿稳，可以訪問(wèn)internet
Private IP：不可以在互聯(lián)網(wǎng)上使用，僅供機(jī)構(gòu)內(nèi)部使用
A類：10.0.0.0--10.255.255.255 (10.0.0.0/8)
B類：172.16.0.0--172.31.255.255 (172.16.0.0/12)
C類：192.168.0.0--192.168.255.255(192.168.0.0/16)

網(wǎng)絡(luò)地址轉(zhuǎn)換NAT

image.png

image.png

NAT(地址轉(zhuǎn)換技術(shù))詳解：
https://blog.csdn.net/gui951753/article/details/79593307
https://www.cnblogs.com/dear-hehe/p/9667049.html
https://blog.csdn.net/SmalOSnail/article/details/53018236

Ping和telnet

Ping(ICMP協(xié)議)：驗(yàn)證IP的可達(dá)性

image.png

telnet：驗(yàn)證服務(wù)的可用性

image.png

Linux網(wǎng)絡(luò)命名空間：network namespace

namespace(命名空間)和cgroup是軟件容器化（想想Docker）趨勢(shì)中的兩個(gè)主要內(nèi)核技術(shù)析桥。簡(jiǎn)單來(lái)說(shuō)司草，cgroup是一種對(duì)進(jìn)程進(jìn)行統(tǒng)一的資源監(jiān)控和限制艰垂，它控制著你可以使用多少系統(tǒng)資源（CPU泡仗，內(nèi)存等）。而namespace是對(duì)全局系統(tǒng)資源的一種封裝隔離猜憎，它通過(guò)Linux內(nèi)核對(duì)系統(tǒng)資源進(jìn)行隔離和虛擬化的特性娩怎，限制了您可以看到的內(nèi)容。

Linux 3.8內(nèi)核提供了6種類型的命名空間：Process ID (pid)胰柑、Mount (mnt)截亦、Network (net)、InterProcess Communication (ipc)柬讨、UTS崩瓤、User ID (user)。例如踩官，pid命名空間內(nèi)的進(jìn)程只能看到同一命名空間中的進(jìn)程却桶。mnt命名空間，可以將進(jìn)程附加到自己的文件系統(tǒng)（如chroot）蔗牡。

網(wǎng)絡(luò)命名空間為命名空間內(nèi)的所有進(jìn)程提供了全新隔離的網(wǎng)絡(luò)協(xié)議棧颖系。這包括網(wǎng)絡(luò)接口，路由表和iptables規(guī)則辩越。通過(guò)使用網(wǎng)絡(luò)命名空間就可以實(shí)現(xiàn)網(wǎng)絡(luò)虛擬環(huán)境嘁扼，實(shí)現(xiàn)彼此之間的網(wǎng)絡(luò)隔離，這對(duì)于云計(jì)算中租戶網(wǎng)絡(luò)隔離非常重要黔攒，Docker中的網(wǎng)絡(luò)隔離也是基于此實(shí)現(xiàn)的

veth pair 不是一個(gè)設(shè)備趁啸，而是一對(duì)設(shè)備强缘，以連接兩個(gè)虛擬以太端口。操作veth pair不傅，需要跟namespace一起配合欺旧。兩個(gè)namespace ns1/ns2 中各有一個(gè)tap組成veth pair，兩個(gè)tap 上配置的ip進(jìn)行互ping

Docker的四種網(wǎng)絡(luò)模式

Bridge模式

當(dāng)Docker進(jìn)程啟動(dòng)時(shí)蛤签，會(huì)在主機(jī)上創(chuàng)建一個(gè)名為docker0的虛擬網(wǎng)橋辞友，此主機(jī)上啟動(dòng)的Docker容器會(huì)連接到這個(gè)虛擬網(wǎng)橋上。虛擬網(wǎng)橋的工作方式和物理交換機(jī)類似震肮，這樣主機(jī)上的所有容器就通過(guò)交換機(jī)連在了一個(gè)二層網(wǎng)絡(luò)中称龙。

從docker0子網(wǎng)中分配一個(gè)IP給容器使用，并設(shè)置docker0的IP地址為容器的默認(rèn)網(wǎng)關(guān)戳晌。在主機(jī)上創(chuàng)建一對(duì)虛擬網(wǎng)卡veth pair設(shè)備鲫尊，Docker將veth pair設(shè)備的一端放在新創(chuàng)建的容器中，并命名為eth0（容器的網(wǎng)卡）沦偎，另一端放在主機(jī)中疫向，以vethxxx這樣類似的名字命名，并將這個(gè)網(wǎng)絡(luò)設(shè)備加入到docker0網(wǎng)橋中豪嚎∩ν眨可以通過(guò)brctl show命令查看。

bridge模式是docker的默認(rèn)網(wǎng)絡(luò)模式侈询，不寫(xiě)--net參數(shù)舌涨，就是bridge模式。使用docker run -p時(shí)扔字，docker實(shí)際是在iptables做了DNAT規(guī)則囊嘉，實(shí)現(xiàn)端口轉(zhuǎn)發(fā)功能「镂可以使用iptables -t nat -vnL查看扭粱。

bridge模式如下圖所示：

image.png

image.png

容器的端口映射

Docker允許通過(guò)外部訪問(wèn)容器或者容器之間互聯(lián)的方式來(lái)提供網(wǎng)絡(luò)服務(wù)。
容器啟動(dòng)之后震檩，容器中可以運(yùn)行一些網(wǎng)絡(luò)應(yīng)用琢蛤，通過(guò)-p或-P參數(shù)來(lái)指定端口映射。

注意：

• 宿主機(jī)的一個(gè)端口只能映射到容器內(nèi)部的某一個(gè)端口上恳蹲，比如：8080->80之后虐块，就不能8080->81
• 容器內(nèi)部的某個(gè)端口可以被宿主機(jī)的多個(gè)端口映射,比如：8080->80，8090->80,8099->80
  具體操作：

[root@192 ~]# docker run --name web -d -p 80:80 nginx
29508d9441aea6d0b4bacf31dae00146582c03e06be4860c8c0b70f8f83551f7
[root@192 ~]# docker ps
CONTAINER ID        IMAGE               COMMAND                  CREATED             STATUS              PORTS                NAMES
29508d9441ae        nginx               "nginx -g 'daemon of…"   28 minutes ago      Up 28 minutes       0.0.0.0:80->80/tcp   web

在瀏覽器鍵入192.168.218.132即可

image.png

詳細(xì)的Docker容器內(nèi)部端口映射到外部宿主機(jī)端口：https://www.cnblogs.com/kevingrace/p/9453987.html
https://www.cnblogs.com/diantong/p/11519571.html

Host模式

如果啟動(dòng)容器的時(shí)候使用host模式嘉蕾，那么這個(gè)容器將不會(huì)獲得一個(gè)獨(dú)立的Network Namespace贺奠，而是和宿主機(jī)共用一個(gè)Network Namespace谁尸。容器將不會(huì)虛擬出自己的網(wǎng)卡试吁，配置自己的IP等令漂，而是使用宿主機(jī)的IP和端口胖喳。但是，容器的其他方面儿普，如文件系統(tǒng)崎逃、進(jìn)程列表等還是和宿主機(jī)隔離的。

Host模式如下圖所示：

image.png

演示：

#docker run -tid --net=host --name docker_host1 ubuntu-base:v3
#docker run -tid --net=host --name docker_host2 ubuntu-base:v3

#docker exec -ti docker_host1 /bin/bash
#docker exec -ti docker_host1 /bin/bash

#ifconfig –a
#route –n</pre>

Container模式

這個(gè)模式指定新創(chuàng)建的容器和已經(jīng)存在的一個(gè)容器共享一個(gè) Network Namespace眉孩，而不是和宿主機(jī)共享个绍。新創(chuàng)建的容器不會(huì)創(chuàng)建自己的網(wǎng)卡，配置自己的 IP浪汪，而是和一個(gè)指定的容器共享 IP巴柿、端口范圍等。同樣死遭，兩個(gè)容器除了網(wǎng)絡(luò)方面广恢，其他的如文件系統(tǒng)、進(jìn)程列表等還是隔離的呀潭。兩個(gè)容器的進(jìn)程可以通過(guò) lo 網(wǎng)卡設(shè)備通信钉迷。

Container模式示意圖：

image.png

演示：

#docker run -tid --net=container:docker_bri1 --name docker_con1 ubuntu-base:v3

#docker exec -ti docker_con1 /bin/bash
#docker exec -ti docker_bri1 /bin/bash

#ifconfig –a
#route -n

None模式

使用none模式，Docker容器擁有自己的Network Namespace钠署，但是糠聪，并不為Docker容器進(jìn)行任何網(wǎng)絡(luò)配置。也就是說(shuō)踏幻，這個(gè)Docker容器沒(méi)有網(wǎng)卡枷颊、IP戳杀、路由等信息该面。需要我們自己為Docker容器添加網(wǎng)卡、配置IP等信卡。

Node模式示意圖：

image.png

演示：

#docker run -tid --net=none --name docker_non1 ubuntu-base:v3
#docker exec -ti docker_non1 /bin/bash

#ifconfig –a
#route -n

跨主機(jī)通信

Docker默認(rèn)的網(wǎng)絡(luò)環(huán)境下隔缀，單臺(tái)主機(jī)上的Docker容器可以通過(guò)docker0網(wǎng)橋直接通信，而不同主機(jī)上的Docker容器之間只能通過(guò)在主機(jī)上做端口映射進(jìn)行通信傍菇。這種端口映射方式對(duì)很多集群應(yīng)用來(lái)說(shuō)極不方便猾瘸。如果能讓Docker容器之間直接使用自己的IP地址進(jìn)行通信，會(huì)解決很多問(wèn)題丢习。按實(shí)現(xiàn)原理可分別直接路由方式牵触、橋接方式（如pipework）、Overlay隧道方式（如flannel咐低、ovs+gre）等揽思。

直接路由

通過(guò)在Docker主機(jī)上添加靜態(tài)路由實(shí)現(xiàn)跨宿主機(jī)通信：

image.png

Pipework

Pipework是一個(gè)簡(jiǎn)單易用的Docker容器網(wǎng)絡(luò)配置工具。由200多行shell腳本實(shí)現(xiàn)见擦。通過(guò)使用ip钉汗、brctl羹令、ovs-vsctl等命令來(lái)為Docker容器配置自定義的網(wǎng)橋、網(wǎng)卡损痰、路由等福侈。

• 使用新建的bri0網(wǎng)橋代替缺省的docker0網(wǎng)橋
• bri0網(wǎng)橋與缺省的docker0網(wǎng)橋的區(qū)別：bri0和主機(jī)eth0之間是veth pair

image.png

Flannel(Flannel + UDP 或者 Flannel + VxLAN)

Flannel實(shí)現(xiàn)的容器的跨主機(jī)通信通過(guò)如下過(guò)程實(shí)現(xiàn)：

• 每個(gè)主機(jī)上安裝并運(yùn)行etcd和flannel；
• 在etcd中規(guī)劃配置所有主機(jī)的docker0子網(wǎng)范圍卢未；
• 每個(gè)主機(jī)上的flanneld根據(jù)etcd中的配置肪凛，為本主機(jī)的docker0分配子網(wǎng)，保證所有主機(jī)上的docker0網(wǎng)段不重復(fù)辽社，并將結(jié)果（即本主機(jī)上的docker0子網(wǎng)信息和本主機(jī)IP的對(duì)應(yīng)關(guān)系）存入etcd庫(kù)中显拜，這樣etcd庫(kù)中就保存了所有主機(jī)上的docker子網(wǎng)信息和本主機(jī)IP的對(duì)應(yīng)關(guān)系；
• 當(dāng)需要與其他主機(jī)上的容器進(jìn)行通信時(shí)爹袁，查找etcd數(shù)據(jù)庫(kù)远荠，找到目的容器的子網(wǎng)所對(duì)應(yīng)的outip（目的宿主機(jī)的IP）；
• 將原始數(shù)據(jù)包封裝在VXLAN或UDP數(shù)據(jù)包中失息，IP層以outip為目的IP進(jìn)行封裝譬淳；
• 由于目的IP是宿主機(jī)IP，因此路由是可達(dá)的盹兢；
• VXLAN或UDP數(shù)據(jù)包到達(dá)目的宿主機(jī)解封裝邻梆，解出原始數(shù)據(jù)包，最終到達(dá)目的容器绎秒。

**Flannel模式如下圖所示： **

image.png

演示：

#/opt/bin/etcdctl get /coreos.com/network/config
#/opt/bin/etcdctl ls /coreos.com/network/subnets
#/opt/bin/etcdctl get /coreos.com/network/subnets/172.16.49.0-24</pre>

參考：
https://www.cnblogs.com/yy-cxd/p/6553624.html
https://www.cnblogs.com/Black-Hawk/articles/10709086.html
https://www.cnblogs.com/kevingrace/p/9453987.html