Docker | 网络

一、简介

docker 不启动，默认网络情况。

在 CentOS7 的安装过程中如果有选择相关虚拟化的的服务安装系统后，启动网卡时会发现有一个以网桥连接的私网地址的 virbr0 网卡 (virbr0 网卡：它还有一个固定的默认 IP 地址 192.168.122.1)，是做虚拟机网桥的使用的，其作用是为连接其上的虚机网卡提供 NAT 访问外网的功能。 Linux 安装，勾选安装系统的时候附带了 libvirt 服务才会生成的一个东西，如果不需要可以直接将 libvirtd 服务卸载，yum remove libvirt-libs.x86_64。

docker 启动后，网络情况。
会产生一个名为 docker0 的虚拟网桥

查看 docker 网络模式命令。
默认创建 3 大网络模式

二、常用基本命令

2.1、All 命令

2.2、查看网络

docker network ls

2.3、查看网络源数据

docker network inspect  XXX 网络名字

2.4、删除网络

docker network rm XXX 网络名字

2.5、案例

三、作用

容器间的互联和通信以及端口映射。
容器 IP 变动时候可以通过服务名直接网络通信而不受到影响。

四、网络模式

4.1、总体介绍

网络模式：

• bridge 模式：使用 --network bridge 指定，默认使用 docker0。
• host 模式：使用 --network host 指定。
• none 模式：使用 --network none 指定。
• container 模式：使用 --network container:NAME 或者容器 ID 指定。

4.2、容器实例内默认网络 IP 生产规则

1、先启动两个 ubuntu 容器实例。

4.3、网络模式示例

4.3.1、bridge

Docker 服务默认会创建一个 docker0 网桥（其上有一个 docker0 内部接口），该桥接网络的名称为 docker0，它在内核层连通了其他的物理或虚拟网卡，这就将所有容器和本地主机都放到同一个物理网络。Docker 默认指定了 docker0 接口的 IP 地址和子网掩码，让主机和容器之间可以通过网桥相互通信。 查看 bridge 网络的详细信息，并通过 grep 获取名称项

docker network inspect bridge | grep name

[root@docker130 ~]# docker network inspect bridge | grep name
            "com.docker.network.bridge.name": "docker0",

ifconfig

[root@docker130 ~]# ifconfig | grep docker 
docker0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500

说明：

• 1、Docker 使用 Linux 桥接，在宿主机虚拟一个 Docker 容器网桥 (docker0)，Docker 启动一个容器时会根据 Docker 网桥的网段分配给容器一个 IP 地址，称为 Container-IP，同时 Docker 网桥是每个容器的默认网关。因为在同一宿主机内的容器都接入同一个网桥，这样容器之间就能够通过容器的 Container-IP 直接通信。
• 2、docker run 的时候，没有指定 network 的话默认使用的网桥模式就是 bridge，使用的就是 docker0。在宿主机 ifconfig，就可以看到 docker0 和自己 create 的 network eth0，eth1，eth2…… 代表网卡一，网卡二，网卡三……，lo 代表 127.0.0.1，即 localhost，inet addr 用来表示网卡的 IP 地址。
• 3、网桥 docker0 创建一对对等虚拟设备接口一个叫 veth，另一个叫 eth0，成对匹配。
  • 整个宿主机的网桥模式都是 docker0 ，类似一个交换机有一堆接口，每个接口叫 veth，在本地主机和容器内分别创建一个虚拟接口，并让他们彼此联通（这样一对接口叫 veth pair）；
  • 每个容器实例内部也有一块网卡，每个接口叫 eth0；
  • docker0 上面的每个 veth 匹配某个容器实例内部的 eth0，两两配对，一一匹配。

通过上述，将宿主机上的所有容器都连接到这个内部网络上，两个容器在同一个网络下，会从这个网关下各自拿到分配的 ip，此时两个容器的网络是互通

启动两个服务：

docker run -d -p 8081:8080 --name tomcat81 billygoo/tomcat8-jdk8
docker run -d -p 8082:8080 --name tomcat82 billygoo/tomcat8-jdk8

两两匹配验证

4.3.2、host

直接使用宿主机的 IP 地址与外界进行通信，不再需要额外进行 NAT 转换。

说明：
容器将不会获得一个独立的 Network Namespace，而是和宿主机共用一个 Network Namespace。容器将不会虚拟出自己的网卡而是使用宿主机的 IP 和端口。

警告：

docker run -d -p 8083:8080 --network host --name tomcat83 billygoo/tomcat8-jdk8

问题：
docker 启动时总是遇见标题中的警告。
原因：
docker 启动时指定 --network=host 或 -net=host，如果还指定了 -p 映射端口，那这个时候就会有此警告，并且通过 -p 设置的参数将不会起到任何作用，端口号会以主机端口号为主，重复时则递增。
解决：
解决的办法就是使用 docker 的其他网络模式，例如 --network=bridge，这样就可以解决问题，或者直接无视。
正确：

docker run -d --network host --name tomcat83 billygoo/tomcat8-jdk8

无之前的配对显示了，看容器实例内部

没有设置 -p 的端口映射了，如何访问启动的 tomcat83？

http://宿主机IP:8080/

此时容器的 IP 借用主机的，所以容器共享宿主机网络 IP，这样的好处是外部主机与容器可以直接通信。

4.3.3、none

在 none 模式下，并不为 Docker 容器进行任何网络配置。
也就是说，这个 Docker 容器没有网卡、IP、路由等信息，只有一个 lo 需要我们自己为 Docker 容器添加网卡、配置 IP 等。
禁用网络功能，只有 lo 标识 (就是 127.0.0.1 表示本地回环)。

案例：

docker run -d -p 8084:8080 --network none --name tomcat84 billygoo/tomcat8-jdk8

进入容器内部查看：

4.3.4、container

container ⽹络模式。
新建的容器和已经存在的一个容器共享一个网络 ip 配置而不是和宿主机共享。新创建的容器不会创建自己的网卡，配置自己的 IP，而是和一个指定的容器共享 IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。

案例 1：

docker run -d -p 8085:8080 --name tomcat85 billygoo/tomcat8-jdk8
docker run -d -p 8086:8080 --network container:tomcat85 --name tomcat86 billygoo/tomcat8-jdk8

运行结果：

案例 2：
Alpine 操作系统是一个面向安全的轻型 Linux 发行版
Alpine Linux 是一款独立的、非商业的通用 Linux 发行版，专为追求安全性、简单性和资源效率的用户而设计。可能很多人没听说过这个 Linux 发行版本，但是经常用 Docker 的朋友可能都用过，因为他小，简单，安全而著称，所以作为基础镜像是非常好的一个选择，可谓是麻雀虽小但五脏俱全，镜像非常小巧，不到 6M 的大小，所以特别适合容器打包。

docker run -it --name alpine1 alpine /bin/sh
docker run -it --network container:alpine1 --name alpine2 alpine /bin/sh

运行结果，验证共用搭桥：

4.3.5、自定义网络

过时的 link：

案例：

docker run -d -p 8081:8080 --name tomcat81 billygoo/tomcat8-jdk8  
docker run -d -p 8082:8080 --name tomcat82 billygoo/tomcat8-jdk8  

上述成功启动并用 docker exec 进入各自容器实例内部。

问题：
按照 IP 地址 ping 是 OK 的。

自定义桥接网络，自定义网络默认使用的是桥接网络 bridge。
新建自定义网络：

docker network create test_network

新建容器加入上一步新建的自定义网络：

docker run -d -p 8081:8080 --network test_network --name tomcat81 billygoo/tomcat8-jdk8
docker run -d -p 8082:8080 --network test_network --name tomcat82 billygoo/tomcat8-jdk8

互相 ping 测试

Docker 内部 DNS 解析机制

默认的 bridge 网络为了兼容性，没有内置 DNS 服务；而自定义网络强制开启了 Docker 内置的 DNS 维护功能。

为什么默认的 bridge 网络不行：
在 Docker 的早期设计中，默认的 bridge（即那个名为 docker0 的网桥）主要负责基础的网络联通。

• 没有 DNS 解析：在默认网桥上，Docker 不会为容器自动配置 DNS 记录。如果你想让两个容器互通，官方以前推荐的方法是使用 --link 参数，但这不仅麻烦，而且已经被官方废弃了。
• 设计初衷：默认网络更多是为了让容器能“快速上网”，而不是为了复杂的微服务互联。

为什么自定义网络可以：
当你执行 docker network create 时，Docker 为这个网络启动了一个内置的 DNS 服务器。

• 自动注册：在这个网络下启动的每一个容器，都会自动把自己的 容器名 (Container Name) 和 IP 地址 注册到这个内置 DNS 服务器中。
• 服务发现 (Service Discovery)：当你执行 ping tomcat81 时，容器会先询问 Docker 内置的 DNS：“嘿，tomcat81 的 IP 是多少？”。DNS 会返回正确的 IP，从而实现通信。
• 解耦：这种方式最强大的地方在于，即使容器重启后 IP 变了，只要名字没变，DNS 就会自动更新映射，你的程序依然能通过名字找到它。

验证内置 DNS：
可以进入自定义网络的容器内部，查看它的 DNS 配置文件：
会发现 nameserver 指向了一个特殊的地址（通常是 127.0.0.11），这就是 Docker 内置 DNS 的监听地址。

docker exec -it tomcat81 cat /etc/resolv.conf

结论与建议：
在生产环境和实际开发中，永远优先选择“自定义网络”。

这不仅是为了能用容器名互相 ping 通（这对 Spring Boot 微服务连接数据库非常关键），更是为了实现更好的网络隔离。比如你可以让 web-net 里的前端容器连不上 db-net 里的数据库容器，从而增强安全性。

五、Docker 平台架构图解

整体说明：
从其架构和运行流程来看，Docker 是一个 C/S 模式的架构，后端是一个松耦合架构，众多模块各司其职。

Docker 运行的基本流程为：

• 1、用户是使用 Docker Client 与 Docker Daemon 建立通信，并发送请求给后者。
• 2、Docker Daemon 作为 Docker 架构中的主体部分，首先提供 Docker Server 的功能使其可以接受 Docker Client 的请求。
• 3、Docker Engine 执行 Docker 内部的一系列工作，每一项工作都是以一个 Job 的形式的存在。
• 4、Job 的运行过程中，当需要容器镜像时，则从 Docker Registry 中下载镜像，并通过镜像管理驱动 Graph driver 将下载镜像以 Graph 的形式存储。
• 5、当需要为 Docker 创建网络环境时，通过网络管理驱动 Network driver 创建并配置 Docker 容器网络环境。
• 6、当需要限制 Docker 容器运行资源或执行用户指令等操作时，则通过 Execdriver 来完成。
• 7、Libcontainer 是一项独立的容器管理包，Network driver 以及 Exec driver 都是通过 Libcontainer 来实现具体对容器进行的操作。

整体架构：