【Docker】知识八

┌─────────────────────────────────────────────┐
│                宿主机网络                    │
│            IP: 宿主机IP地址                  │
│        端口: 8080, 6379, 3306               │
└───────────────┬─────────────────────────────┘
                │ iptables NAT转发
┌───────────────▼─────────────────────────────┐
│              docker0网桥                    │
│            IP: 172.17.0.1/16                │
│        网关: 172.17.0.1                     │
└─┬─────────────┬─────────────┬──────────────┘
  │             │             │
  ▼             ▼             ▼
┌───────┐   ┌───────┐   ┌───────┐
│ Nginx │   │ Redis │   │ MySQL │
│172.17.0.2│   │172.17.0.3│   │172.17.0.4│
│   :80   │   │ :6379 │   │ :3306 │
└───────┘   └───────┘   └───────┘

二、四大核心组件解析

2.1 docker0网桥：网络的中心枢纽

docker0是一个虚拟的以太网桥，由Docker在启动时自动创建：

默认IP：172.17.0.1

子网掩码：/16（65,534个IP地址）

核心功能：连接容器网络接口，实现数据包转发

复制代码

# 查看docker0网桥状态
brctl show
# 输出：网桥名称、ID、STP状态、连接接口列表

2.2 veth pair：容器的"虚拟网线"

每个容器启动时，Docker会创建一对虚拟以太网设备：

一端在容器内：命名为eth0，分配私有IP（如172.17.0.2）

一端在宿主机：连接到docker0网桥

工作原理：就像一根虚拟的网线，将容器"插入"到docker0网桥上

2.3 iptables：流量控制与NAT转换

iptables是Linux的防火墙工具，Docker利用它实现：

端口映射：将宿主机端口转发到容器端口

NAT转换：容器访问外网时隐藏真实IP

访问控制：限制容器间的网络访问

2.4 容器网络命名空间：隔离的基础

每个容器都有独立的网络命名空间：

独立配置：IP地址、路由表、防火墙规则

进程隔离：容器内的网络操作不影响宿主机

安全屏障：防止网络攻击扩散

三、数据流向深度解析

3.1 外部访问容器（入站流量）

当外部客户端访问宿主机IP:8080时：

复制代码

客户端 → 宿主机:8080 → iptables DNAT规则 → 172.17.0.2:80

详细流程：

客户端发送请求到宿主机的8080端口

iptables的PREROUTING链匹配到Docker规则

DNAT（目标地址转换）将目标IP:端口改为172.17.0.2:80

数据包通过docker0网桥转发到Nginx容器

容器处理请求，响应数据按反向路径返回

3.2 容器访问外网（出站流量）

当容器内的应用访问互联网时：

复制代码

172.17.0.2 → docker0 → iptables MASQUERADE → 宿主机公网IP → 互联网

NAT转换原理：

源地址替换：将容器IP（172.17.0.2）替换为宿主机公网IP

连接跟踪：记录转换关系，确保响应能正确返回

端口复用：多个容器可以共享宿主机的外网连接

3.3 容器间通信（内部流量）

同一Bridge网络中的容器通信：

复制代码

172.17.0.2 → docker0 → 172.17.0.3

关键点：

二层通信：直接通过MAC地址在docker0网桥内转发

无需NAT：保持原始IP地址不变

高效传输：减少了网络转换开销

四、端口映射机制详解

端口映射是Bridge模式最常用的功能：

复制代码

# 三种端口映射方式
docker run -p 8080:80 nginx      # 宿主机8080映射到容器80
docker run -p 80 nginx           # 自动分配宿主机端口
docker run -p 192.168.1.100:8080:80 nginx  # 指定宿主机IP

4.1 iptables规则分析

当执行docker run -p 8080:80 nginx时，Docker会自动添加iptables规则：

复制代码

# 查看NAT表规则
iptables -t nat -L -n

# 关键规则：
# PREROUTING链：将到达8080端口的流量转发到容器IP
# POSTROUTING链：容器出站时进行MASQUERADE
# DOCKER链：具体的端口映射规则

4.2 连接跟踪机制

为了确保双向通信正确，Linux内核维护了一个连接跟踪表：

复制代码

# 查看活动连接
conntrack -L

# 连接跟踪记录示例：
# tcp  src=客户端IP dst=宿主机IP sport=随机 dport=8080
#      src=容器IP   dst=客户端IP sport=80   dport=随机

五、Bridge网络的优势与局限

5.1 优势

网络隔离：容器在独立的网络命名空间中

端口映射灵活：支持多种映射方式

容器间通信：同一Bridge网络内的容器可直接通信

外网访问：通过NAT实现容器访问互联网

兼容性好：支持大多数网络应用

5.2 局限性

性能开销：数据包需要经过网桥和iptables处理

IP地址限制：默认只有65,534个可用IP

单主机限制：默认Bridge网络只在单台主机内有效

配置复杂：需要理解网络原理才能排查问题

六、生产环境最佳实践

6.1 性能优化建议

调整网桥MTU：根据网络环境优化数据包大小

限制容器带宽：防止某个容器占用过多网络资源

优化iptables规则：按需配置，避免规则过多

6.2 安全配置

使用自定义网络：替代默认的docker0网络

配置网络策略：控制容器间通信权限

日志监控：记录关键网络事件

6.3 故障排查指南

检查网络连通性

复制代码

# 从容器的角度
docker exec <容器名> ping 8.8.8.8
docker exec <容器名> curl http://外网地址

# 从宿主机的角度
telnet 宿主机IP 映射端口

查看网络配置

复制代码

# 容器网络信息
docker inspect <容器名> | grep -A 10 Network

# iptables规则
iptables -t nat -L --line-numbers

# 网桥状态
brctl show

七、Bridge模式适用场景

7.1 推荐使用场景

Web应用部署：通过端口映射提供HTTP/HTTPS服务

开发测试环境：快速搭建多服务测试环境

微服务架构：服务间需要网络通信但不需要极致性能

数据库访问：通过端口映射提供数据库服务

7.2 不推荐使用场景

高性能网络应用：需要直接网络访问，考虑Host模式

跨主机容器通信：考虑Overlay网络或macvlan

特殊网络需求：如需要特定网络设备访问

总结

Bridge模式是Docker网络的基础，通过虚拟网桥、veth pair和iptables的巧妙组合，实现了容器的网络隔离与互联。理解其工作原理，不仅能帮助我们更好地使用Docker，还能在网络出现问题时快速定位和解决。

无论是简单的单容器部署，还是复杂的微服务架构，Bridge模式都能提供可靠、灵活的网络支持。掌握它，就掌握了Docker网络的核心。