Docker 网络
Docker 网络的底层是Linux的Netwotk Namespace。所以需要先了解Netwotk Namespace。
Netwotk Namespace
Netwotk Namespace 是Linux用于实现网络虚拟化的重要功能，他能创建多个隔离的网络空间，每个独立网络空间内的防火墙、网卡、路由表、邻居表、协议栈都是独立的。
不管是虚拟机还是容器，当运行在独立的命名空间时，就像是一台独立的主机一样。
现在的需求是：创建2个Netwotk Namespace，然后连通他们。
创建2个命名空间
创建网络接口veth pair
如果要让两个命名空间连通，需要用到虚拟设备接口技术veth pair。该技术需要一对网络接口分别置于两个命名空间中。
下面命令用来创建一对网络接口veth-ns1 和 veth-ns2
sh
ip link add veth-ns1 type veth peer name veth-ns2此时通过ip link 查看当前网络地址情况，看到新增了两个胡同的veth pair,他们都有MAC地址，但是状态都是DOWN，都没有IP。
命名空间添加veth接口
通过ip link set 命令，将刚才两个接口分配给两个命名空间
sh
ip link set veth-ns1 netns ns1
ip link set veth-ns2 netns ns2此时分别在两个命名空间中执行 ip link 命令，可以看到他们都新增了网络接口
为veth 接口分配IP
通过ip netns exec命令，为每个命名空间添加IP
sh
ip netns exec ns1 ip addr add 192.168.1.1/24 dev veth-ns1
ip netns exec ns2 ip addr add 192.168.1.2/24 dev veth-ns2此时通过在ns1与ns2中运行ip a命令，可以看到接口都有ip了
启动veth接口
通过ip link set dev 接口 up 来启动指定的网络接口。
sh
ip netns exec ns1 ip link set dev veth-ns1 up
ip netns exec ns2 ip link set dev veth-ns2 up相互ping
CNM
docker网络架构由三部分组成：CNM、Libnetwork 与Driver。
CNM （Container Network Model，容器网络模型）：是一种网络连接的解决方案，是一种设计规范、设计标准，其规定了Docker网络的基础组成要素。
CNM中定义了三个基本要素：沙盒Sandbox，终端Endpoint 与网络Network。
- 沙盒：一个独立的网络栈，包括以太网接口、端口号、路由表、DNS配置等。LInux Network Namespace 是沙盒的标准实现。
- 终端：虚拟网络接口，负责创建连接，即将沙盒连接到网络上，一个终端只能接入一个网络。
- 网络：802.1d网桥的软件实现，是需要交互的终端的集合。
Libnetwork
Libnetwork 是开源的、go语言编写、跨平台的CNM的标准实现。
Libnetwork 除了实现CNM的三个组件，还实现了本地服务发现、容器负载均衡、网络控制层与管理层功能。
Driver
不同的网络类型对应不同的底层Driver，这些Driver负责在主机上真正实现需要的网络功能，例如创建veth pair 设备等。
无论哪种网络类型。工作方式都是类似的。
-
调用Docker 引擎的API 发出请求
-
Libnetwork 做出框架性处理
-
将请求转发给对应的Driver。
通过docker network ls 命令可以查看当前主机所连接的网络及网络类型
bridge 网络
bridge 网络 也称单机桥接网络，是Docker 默认的网络模式。该模式只能存在单个Docker主机上，只能连接所在Docker主机上的容器。
docker0网桥
bridge网络 模式中有个默认的虚拟网桥docker0，通过ip a 或者ifconfig 命令可以查看
docker0网桥的工作原理
在Linux主机上，Docker 的bridge 网络在创建时会创建一个默认网桥docker0。
容器和网桥通过veth pair 技术连接；
网桥与外网通过网络地址转换NAT技术连接，就是将通信的数据包中的内网地址转换为外网地址。
查看网络连接情况
通过 docker netwotk inspect 命令查看当前bridge网络的连接情况。
Containers 中可以看到bb1 和bb2 两个容器，这两个容器和宿主机就是三个完全独立的Network Namespace。
查看宿主机接口
发现除了回环地址lo，本地网卡ens33，网桥docker0外，还有两个veth网络接口。
这两个veth就是由Libnetwork 生成的veth pair中宿主机的EndPoint。
- vethxxx@if4:表示第5个接口，用来连接外部的第四个接口
- vethxxx@if6:表示第7个接口，用来连接外部的第六个接口
查看容器接口
可以看到两个容器都包含eth0接口。
bb1的接口4，即eth@if5 来凝结宿主机的第5个接口
bb2的接口6，即eth@if7 来凝结宿主机的第7个接口
查看网桥连接
先安装网桥的工具包bridge-utils
sh
yum -y install bridge-utils可以看到网桥有两个接口。
创建网络
通过docker network create 命令可以创建指定名称和类型的网络
sh
docker network create -d bridge bridge2-d : 指定网络类型。
bridge2是网络名称。
通过docker network ls可以看到刚才创建的网络。
创建容器指定网络
创建一个新的BusyBox容器bb3 ，然后连接在新建的bridge2 网络上。
sh
docker run -d --name bb3 --network bridge2 /bin/sh -c "while true; do sleep 3600; done"通过--network 指定要连接到的网络，如果不指定，就连接默认的。
查看新建的网络详情
可以看到bb3容器已经连上了。
此时查看宿主机网络接口和bb3容器网络接口，发现他们的接口都对应上了。
容器连接到指定网络
现将容器bb2连接到bridge2 上。可以使用docker network connect 命令
sh
docker network connect bridge2 bb2此时bb2容器连接在两个网络上，具有两个IP
此时容器bb2 和bb3 可以ping 通
但是bb3 和bb2的另一个网段是ping不通的。
容器除了可以直接ping IP外，还可以直接ping 容器名称
sh
docker exec bb3 ping bb2创建定向连接容器
自定义的bridge网络，可以通过容器名互相ping。但是默认的bridge不行。
如果想在默认的bridge网络上通过容器名称进行连接，则在创建容器时通过--link 指定。
docker run -d --name bb4 --link bb1 busybox /bin/sh -c "while true; do sleep 3600; done"此时bb4 可以用容器名称ping bb1
sh
docker exec bb4 ping bb1注意：bb1 无法通过容器名称ping bb4 ，因为--link 是一种定向连接，带有指向性和方向性。
创建共享网络命名空间容器
创建容器时可以指定其与已经存在的容器共享 Network Namespace 。但要求已存在容器必须采用bridge模式。
sh
docker run -d --name bb1-1 --network container:bb1 busybox /bin/sh -c "while true; do sleep 3600; done"此时这两个容器的网络接口完全相同。
none网络
none网络，即没有网络。容器仍是一个独立的Network Namespace ，但是没有网络接口，没有IP。
创建none网络容器
在docker run 命令中，通过--network none 指定没有网络
sh
docker run -d --name bb5 --network none busybox /bin/sh -c "while true; do sleep 3600; done"
# 查看容器详情，发现没有IP，没有网关，没有MAC地址
docker inspect bb5
# 查看网络接口，发现只有一个回环地址lo，没有其他接口
docker exec bb5 ip ahost网络
host网络：与宿主机host共用一个Network Namespace。该网络类型的容器没有独立的网络空间，没有独立IP。全部与host共用。
创建host网络容器
通过--network host指定为host网络。
sh
docker run -d --name bb6 --network host busybox /bin/sh -c "while true; do sleep 3600; done"
# 查看host网络详情，发现bb6 连接在该网络上，但是没有IP、MAC，并且该网络没有网关Gateway。
# 因为该网络模式相当于没有网络，容器与宿主机共用Network Namespace，不需要网络连接。
docker network inspect host关于端口映射
由于容器和宿主机共用一个Network Namespace。所以无论IP还是Port ，容器和宿主机都是相同的。所以容器中的Port 不存在映射问题，host中的Port 和容器中的Port相同。
sh
# 运行tomcat
docker run --name mytom --network host -dp 8081:8080 tomcat:8.5.32上面虽指定了端口映射，但是网络是host类型，所以端口映射不起作用。
此时仍需要通过8080端口访问。
由于端口相同的特性，所以当采用host网络模式时，一个宿主机只能启动一个应用的一个容器，否则会出现端口号冲突。