深入解析Docker网桥模式：从docker0到容器网络的完整通信链路

1. 简介docker 网桥模式

Docker 启动时默认创建 docker0 虚拟网桥（Linux bridge），并分配私有 IP 地址范围（如 172.17.42.1/16），它的作用相当于一个虚拟交换机，让宿主机和多个容器之间可以通信。

Docker 创建容器时，会分配一对虚拟以太网设备（veth pair），一端放在容器内（通常命名为 eth0）另一端连接到 docker0 网桥，Docker 会从子网中为容器分配一个 IP 地址，容器内的默认网关设置为 docker0 的 IP 地址，通过 iptables 设置 NAT 规则实现容器与外部网络通信。

2. 采用网桥模式创建redis容器

bash 复制代码

docker run -d --name redis -p 6379:6379 redis:6.2.5

ps: 网络模式默认就是网桥模式

3. 分析docker0 与容器的网卡映射关系

查看redis容器的网卡：

bash 复制代码

docker exec -it 450b2337fc1c  ip addr

输出如下：

bash 复制代码

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
256535: eth0@if256536: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
    link/ether 02:42:ac:12:00:02 brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 172.18.0.2/16 brd 172.18.255.255 scope global eth0
       valid_lft forever preferred_lft forever

可以看到容器网卡接口索引是256535：网卡名称是：eth0，@if256536表示这个网卡接口的对端接口索引是256536

执行以下命令，查找接口索引为256536的网卡接口：

bash 复制代码

ip link | grep 256536

输出如下：

bash 复制代码

256536: veth4a50f5e@if256535: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master docker0 state UP mode DEFAULT group default

这里，256536是宿主机上，虚拟网卡 veth4a50f5e 接口的接口索引；veth4a50f5e 是宿主机端的 veth 接口名称；@if256535 表示这个接口的对端接口索引是 256535（即容器内的 eth0 的接口索引）。

执行以下命令查看连接到docker0的虚拟网卡接口：

bash 复制代码

ip link show master docker0

得到如下输出：

bash 复制代码

256536: veth4a50f5e@if256535: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master docker0 state UP mode DEFAULT group default 
    link/ether 02:ac:01:6c:71:d8 brd ff:ff:ff:ff:ff:ff link-netnsid 0

这里，veth4a50f5e 就是连接到docker0的虚拟网卡接口

4. 分析 iptables 转发规则

bash 复制代码

iptables-save -t nat

输出如下：

bash 复制代码

-A DOCKER ! -i docker0 -p tcp -m tcp --dport 6379 -j DNAT --to-destination 172.18.0.2:6379

这条规则的意思是：把所有不是从 docker0 网卡进入、目标端口为 6379 的 TCP 流量，重定向到容器 IP 172.18.0.2 的 6379 端口。

为什么加 ! -i docker0？这相当于只处理来自"外部（宿主机或外网）"的流量，而不是容器内部之间的通信。如果不加 ! -i docker0，Docker 容器之间通信也会被错误重定向，可能导致死循环或转发混乱。通过排除 docker0 网卡，确保这条规则只匹配从宿主机外部来的连接请求（例如本地开发机访问 localhost:6379）。

5. 分析docker-proxy 代理

执行以下命令看宿主机上的 6379 端口所属进程：

bash 复制代码

netstat -tulnp | grep 6379

输出如下：

bash 复制代码

tcp        0      0 0.0.0.0:6379            0.0.0.0:*               LISTEN      20010/docker-proxy  
tcp6       0      0 :::6379                 :::*                    LISTEN      20015/docker-proxy

其中，pid为20010，进程名为docker-proxy的进程监听ipv4的6379端口， pid为20015，进程名为docker-proxy的进程监听ipv6的6379端口，

查看进程20010的命令行参数：

bash 复制代码

ps -ef  |grep 20010

输出如下：

bash 复制代码

root     20010 27367  0 21:27 ?        00:00:00 /usr/bin/docker-proxy -proto tcp -host-ip 0.0.0.0 -host-port 6379 -container-ip 172.18.0.2 -container-port 6379

这个结果的意思是：

Docker 启动了一个代理程序 docker-proxy，它监听宿主机的 0.0.0.0:6379，并将所有进入该端口的 TCP 流量转发到容器内的 172.18.0.2:6379。

查看进程20015的命令行参数：

bash 复制代码

ps -ef  |grep 20015

输出如下：

bash 复制代码

root     20015 27367  0 21:27 ?        00:00:00 /usr/bin/docker-proxy -proto tcp -host-ip :: -host-port 6379 -container-ip 172.18.0.2 -container-port 6379

这个结果的意思是：

Docker 启动了一个代理程序 docker-proxy，它监听宿主机的 :::6379，并将所有进入该端口的 TCP 流量转发到容器内的 172.18.0.2:6379。

6. 从外部进入容器的流量是通过docker-proxy还是iptables的DNAT？

docker-proxy 和 iptables 都可以实现流量转发到容器，那么从外部进入容器的流量是通过docker-proxy还是iptables的DNAT呢？

这取决于 Docker 的网络配置和系统环境：现代 Docker（默认）主要使用的是 iptables DNAT，而 docker-proxy 是作为某些场景的补充或兼容机制存在，比如容器需要访问宿主机本身的公开端口（特殊回环场景），或者某些旧版 Docker 或特殊配置下作为备用路径。

7. 分析容器网络空间

查看redis容器内的进程：

bash 复制代码

docker top redis

输出如下：

bash 复制代码

UID                 PID                 PPID                C                   STIME               TTY                 TIME                CMD
polkitd             20048               20029               0                   21:27               ?                   00:00:00            redis-server *:6379

查看容器进程命令行参数:

bash 复制代码

ps -ef  |grep 20015

输出如下：

bash 复制代码

polkitd  20048 20029  0 21:27 ?        00:00:01 redis-server *:6379

进入redis容器网络空间：

bash 复制代码

nsenter -t $container_pid -n /bin/sh

ps : container_pid 即 20048

执行命令：

bash 复制代码

netstat -tunlp

输出如下：

bash 复制代码

sh-4.2# netstat -tunlp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 0.0.0.0:6379            0.0.0.0:*               LISTEN      20048/redis-server  
tcp6       0      0 :::6379                 :::*                   LISTEN      20048/redis-server

可以发现在容器的网络空间中，可以查看容器启动的进程监听的端口，而在宿主机上则看不到。这是因为在 Docker 容器中，每个容器默认会被分配一个独立的网络命名空间，容器内的所有进程共享同一个网络命名空间。

深入解析Docker网桥模式：从docker0到容器网络的完整通信链路

1. 简介docker 网桥模式

2. 采用网桥模式创建redis容器

3. 分析docker0 与容器的网卡映射关系

4. 分析 iptables 转发规则

5. 分析docker-proxy 代理

6. 从外部进入容器的流量是通过docker-proxy还是iptables的DNAT？

7. 分析容器网络空间

8.分析宿主机与容器之间的通信过程