云原生Docker网络管理

目录

Docker网络

[Docker 网络实现原理](#Docker 网络实现原理)

为容器创建端口映射

查看容器的输出和日志信息

[Docker 的网络模式](#Docker 的网络模式)

查看docker网络列表

指定容器网络模式

网络模式详解

host模式

container模式

none模式

bridge模式

自定义网络


Docker网络

Docker 网络实现原理

Docker使用Linux桥接,在宿主机虚拟一个Docker容器网桥(docker0),

Docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地址,称为Container-IP,

同时Docker网桥是每个容器的默认网关。

因为在同一宿主机内的容器都接入同一个网桥,这样容器之间就能够通过容器的 Container-IP 直接通信。

Docker网桥是宿主机虚拟出来的,并不是真实存在的网络设备,外部网络是无法寻址到的,

这也意味着外部网络无法直接通过 Container-IP 访问到容器。

如果容器希望外部访问能够访问到,可以通过映射容器端口到宿主主机(端口映射),

即 docker run 创建容器时候通过 -p 或 -P 参数来启用,

访问容器的时候就通过[宿主机IP]:[容器端口]访问容器

为容器创建端口映射
复制代码
方法一
docker run -d --name test1 -P nginx#随机映射端口(从32768开始)
 
浏览器访问:http://192.168.142.20:32768
复制代码
方法二
docker run -d --name test2 -p 43000:80 nginx  #指定映射端口
 
浏览器访问:http://192.168.142.20:43000
复制代码
如果浏览器访问不了,需要去 /etc/sysctl.conf 下加一个路由转发
 
net.ipv4.ip_forward = 1
查看容器的输出和日志信息
复制代码
docker logs 容器的ID/名称

Docker 的网络模式

复制代码
  1. ●Host:容器将不会虚拟出自己的网卡,配置自己的IP等,而是使用宿主机的IP和端口。

  2. ●Container:创建的容器不会创建自己的网卡,配置自己的IP,而是和一个指定的容器共享IP、端口范围。

  3. ●None:该模式关闭了容器的网络功能。

  4. ●Bridge:默认为该模式,此模式会为每一个容器分配、设置IP等,并将容器连接到一个docker0虚拟网桥,通过docker0网桥以及iptables nat 表配置与宿主机通信。

  5. ●自定义网络

  6. 安装Docker时,它会自动创建三个网络,bridge(创建容器默认连接到此网络)、 none 、host

查看docker网络列表
复制代码
docker network ls	 或  docker network list
指定容器网络模式
  1. 使用docker run创建Docker容器时,可以用 --net 或 --network 选项指定容器的网络模式

  2. ●host模式:使用 --net=host 指定。

  3. ●none模式:使用 --net=none 指定。

  4. ●container模式:使用 --net=container:NAME_or_ID 指定。

  5. ●bridge模式:使用 --net=bridge 指定,默认设置,可省略。

网络模式详解

host模式
复制代码
相当于Vmware中的桥接模式,与宿主机在同一个网络中,但没有独立IP地址。
Docker使用了Linux的Namespaces技术来进行资源隔离,
如PID Namespace隔离进程,Mount Namespace隔离文件系统,Network Namespace隔离网络等。
一个Network Namespace提供了一份独立的网络环境,包括网卡、路由、iptable规则等都与其他的Network Namespace隔离。 
一个Docker容器一般会分配一个独立的Network Namespace。 
但如果启动容器的时候使用host模式,那么这个容器将不会获得一个独立的Network Namespace, 
而是和宿主机共用一个Network Namespace。
容器将不会虚拟出自己的网卡、配置自己的IP等,而是使用宿主机的IP和端口。

#创建容器web 3,指定网络模式为 host
#因为是host模式,所有宿主机和容器共享ip和端口
 docker run -d --name web3 --net=host nginx
 
#访问宿主机的ip和80端口,则可以访问到web3的nginx服务
http://192.168.142.20:80
container模式
复制代码
在理解了host模式后,这个模式也就好理解了。
这个模式指定新创建的容器和已经存在的一个容器共享一个Network Namespace,而不是和宿主机共享。 
新创建的容器不会创建自己的网卡,配置自己的IP,而是和一个指定的容器共享IP、端口范围等。
同样,两个容器除了网络方面,其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过lo网卡设备通信。

基于镜像centos:7 创建一个名为test1的容器
[root@localhost ~]# docker run -itd --name test1 centos:7 /bin/bash
bf8f801bdf5d93ac110f261799fd675845ae4374fdddc426657f90038bdb8f9d
 
[root@localhost ~]# docker ps -a
CONTAINER ID   IMAGE      COMMAND       CREATED          STATUS          PORTS     NAMES
bf8f801bdf5d   centos:7   "/bin/bash"   15 seconds ago   Up 13 seconds             test1
 
#查看容器的pid号
[root@localhost ~]# docker inspect -f '{{.State.Pid}}' bf8f801bdf5d
47047
 
#查看该容器的命名空间编号
[root@localhost ~]# ls -l /proc/47047/ns
total 0
lrwxrwxrwx. 1 root root 0 Jun  5 18:33 ipc -> ipc:[4026532634]
lrwxrwxrwx. 1 root root 0 Jun  5 18:33 mnt -> mnt:[4026532632]
lrwxrwxrwx. 1 root root 0 Jun  5 18:32 net -> net:[4026532637]
lrwxrwxrwx. 1 root root 0 Jun  5 18:33 pid -> pid:[4026532635]
lrwxrwxrwx. 1 root root 0 Jun  5 18:33 user -> user:[4026531837]
lrwxrwxrwx. 1 root root 0 Jun  5 18:33 uts -> uts:[4026532633]

创建test2容器,使用container网络模式,和test1共享network Namespace
[root@localhost ~]# docker run -itd --name test2 --net=container:bf8f801bdf5d centos:7 /bin/bash
664cb2dfa2c2d5f5575ea53ec5baa791e1cfe9eafdfb6249a3f1da1c0da98a05
[root@localhost ~]# docker ps -a
CONTAINER ID   IMAGE      COMMAND       CREATED          STATUS          PORTS     NAMES
664cb2dfa2c2   centos:7   "/bin/bash"   13 seconds ago   Up 12 seconds             test2
bf8f801bdf5d   centos:7   "/bin/bash"   4 minutes ago    Up 4 minutes              test1
 
 
#查看test2容器的pid
[root@localhost ~]# docker inspect -f '{{.State.Pid}}' 664cb2dfa2c2
47165
 
#查看该容器的命名空间编号
[root@localhost ~]# ls -l /proc/47165/ns
total 0
lrwxrwxrwx. 1 root root 0 Jun  5 18:37 ipc -> ipc:[4026532735]
lrwxrwxrwx. 1 root root 0 Jun  5 18:37 mnt -> mnt:[4026532733]
lrwxrwxrwx. 1 root root 0 Jun  5 18:37 net -> net:[4026532637]
lrwxrwxrwx. 1 root root 0 Jun  5 18:37 pid -> pid:[4026532739]
lrwxrwxrwx. 1 root root 0 Jun  5 18:37 user -> user:[4026531837]
lrwxrwxrwx. 1 root root 0 Jun  5 18:37 uts -> uts:[4026532734]
none模式
复制代码
使用none模式,Docker容器拥有自己的Network Namespace,
但是,并不为Docker容器进行任何网络配置。 
也就是说,这个Docker容器没有网卡、IP、路由等信息。
这种网络模式下容器只有lo回环网络,没有其他网卡。
这种类型的网络没有办法联网,封闭的网络能很好的保证容器的安全性。
bridge模式
复制代码
bridge模式是docker的默认网络模式,不用--net参数,就是bridge模式。

相当于Vmware中的 nat 模式,容器使用独立network Namespace,并连接到docker0虚拟网卡。
通过docker0网桥以及iptables nat表配置与宿主机通信,此模式会为每一个容器分配Network Namespace、设置IP等,并将一个主机上的 Docker 容器连接到一个虚拟网桥上。 

   

(1)当Docker进程启动时,会在主机上创建一个名为docker0的虚拟网桥,此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似,这样主机上的所有容器就通过交换机连在了一个二层网络中。

(2)从docker0子网中分配一个IP给容器使用,并设置docker0的IP地址为容器的默认网关。在主机上创建一对虚拟网卡veth pair设备。 veth设备总是成对出现的,它们组成了一个数据的通道,数据从一个设备进入,就会从另一个设备出来。因此,veth设备常用来连接两个网络设备。

(3)Docker将 veth pair 设备的一端放在新创建的容器中,并命名为 eth0(容器的网卡),另一端放在主机中, 以 veth* 这样类似的名字命名, 并将这个网络设备加入到 docker0 网桥中。可以通过 brctl show 命令查看。

(4)使用 docker run -p 时,docker实际是在iptables做了DNAT规则,实现端口转发功能。可以使用iptables -t nat -vnL 查看。
自定义网络
复制代码
#直接使用bridge模式,是无法支持指定IP运行docker的,例如执行以下命令就会报错
docker run -itd --name test3 --network bridge --ip 172.17.0.10 centos:7 /bin/bash
 
//创建自定义网络
#可以先自定义网络,再使用指定IP运行docker
docker network create --subnet=172.18.0.0/16 --opt "com.docker.network.bridge.name"="docker1"  mynetwork
----------------------------------------------------------------------------------------------------------
#docker1 为执行 ifconfig -a 命令时,显示的网卡名,如果不使用 --opt 参数指定此名称,那你在使用 ifconfig -a 命令查看网络信息时,看到的是类似 br-110eb56a0b22 这样的名字,这显然不怎么好记。
#mynetwork 为执行 docker network list 命令时,显示的bridge网络模式名称。
----------------------------------------------------------------------------------------------------------
docker run -itd --name test5 --net mynetwork --ip 172.18.0.10 centos:7 /bin/bash
相关推荐
椰汁菠萝5 分钟前
ubuntu下免sudo执行docker
ubuntu·docker·免sudo
没有名字的小羊39 分钟前
2.安装Docker
运维·docker·容器
xiezhr1 小时前
50 个常用 Docker 命令
运维·docker·容器
退役小学生呀9 天前
三、kubectl使用详解
云原生·容器·kubernetes·k8s
被困者9 天前
Linux部署Sonic前后端(详细版)(腾讯云)
spring cloud·云原生·eureka
API开发10 天前
苹果芯片macOS安装版Homebrew(亲测) ,一键安装node、python、vscode等,比绿色软件还干净、无污染
vscode·python·docker·nodejs·openssl·brew·homebrew
程序员小潘10 天前
Kubernetes多容器Pod实战
云原生·容器·kubernetes
进击的码码码码N10 天前
Docker 镜像加速
运维·docker·容器
Q_w774210 天前
基于 Docker 的服务部署探索(Day 2)
运维·docker·容器
white.tie10 天前
docker方式启动Jenkins
docker·容器·jenkins