Docker的一个常见使用场景是网络服务，Docker有自己的网络模型，让容器可以与外界通信。
最初，Docker容器必须通过手工设置网络，手动暴露给外部世界。当前的网络模型允许容器在相同的主机上（或者跨越不同的主机）自动找到彼此，并且以更受控制的方式暴露于全世界。
Docker为开发人员提供了四种用于容器网络的基本方式。前两种bridge和overlay网络覆盖了生产中最常见的使用情况。另外两种主机和Macvlan网络覆盖不太常见的情况。
Docker网络：桥接网络
桥接网络允许在同一个Docker主机上运行的容器相互通信。一个新的Docker实例带有一个名为bridge的默认桥接网络，默认情况下所有新启动的容器都连接到它。
桥接网络带有许多方便的现成默认设置，但它们可能需要在生产中进行微调。例如，桥上的容器会自动将所有端口暴露给对方，但对外界无关。这对于需要测试容器之间的通信非常有用，但不适用于部署实时服务。
为获得最佳效果，请创建自己的桥接网络。用户定义的网桥具有默认bridge不具有的功能：
DNS解析可以在自定义桥上的容器之间自动工作。这样，就不需要像使用默认桥时那样使用原始IP地址进行通信。容器可以使用容器名称通过DNS定位其他容器。
容器可以在运行时从定制桥上添加和移除。
环境变量可以在自定义桥上的容器之间共享。
总之，你开始可以使用默认桥调试容器，但对于任何严肃的生产工作，都需要创建自定义桥。
Docker网络：Overlay网络
Birdge网络适用于同一主机上的容器。Overlay网络适用于运行在不同主机上的容器，如swarm中的容器。这可以让跨主机上的容器找到彼此并进行通信，而无需担心如何为每个参与的容器配置。
Docker的swarm模式编排器会自动创建一个Overlay网络ingress。默认情况下，swarm上的任何服务都将自己附加到ingress。但是与默认桥相同，这不是生产系统的最佳选择，因为默认值可能不合适。最好的办法是创建一个自定义Overlay网络，不管有或没有swarm，根据需要将节点连接到它。
如果你想使用一个Overlay网络，而这个网络中的容器不在swarm中运行，那么这是创建自定义Overlay网络的另一个用例。请注意，Overlay网络上的每个Docker主机都必须具有适当端口才能看到它的对等端，并且不需要swarm模式，每个节点都需要访问某种键值存储。
另外请注意，Overlay网络默认只允许256个不同的IP地址。你可以提高这个限制，但是Docker建议使用多个Overlay。
Docker网络：主机网络（Host networking）
主机网络驱动程序允许容器将其网络堆栈与主机上的堆栈一起运行。主机网络中容器端口80上的Web服务器可从主机本身的端口80获得。
主机网络最大的好处是速度。如果需要提供容器端口访问权限，并且希望尽可能接近底层操作系统，那么这就是要选的方法。 但这是以牺牲灵活性为代价的：如果将端口80映射到容器，则其他容器不能在该主机上使用这个端口。
Docker网络：Macvlan网络
Macvlan网络适用于直接与底层物理网络连接的应用程序，例如网络流量监控应用程序。 macvlan驱动程序不仅将IP地址分配给容器，而且还将物理MAC地址分配给容器。
请注意，这种类型的Docker网络有与使用虚拟机创建虚拟MAC地址时重复的风险。简而言之，Macvlan应仅保留用于除非依赖物理网络地址才能工作的应用程序。
Docker网络：创建和管理网络
Docker中的所有网络管理均使用docker network命令完成。 它的许多子命令与其他Docker命令类似; 例如，docker network ls显示当前Docker实例上的所有已配置网络：
$ docker network ls
NETWORK ID NAME DRIVER SCOPE
2e0adaa0ce4a bridge bridge local
0de3da43b973 host host local
724a28c6d86d none null local
要创建网络，请使用create子命令和--driver标志来指示使用哪个驱动程序（bridge, overlay, macvlan）：
Host-networked容器不需要为它们创建网络。相反，使用--network主机标志启动容器。 容器上的任何进程都会侦听其预先配置的端口，因此请确保首先设置这些端口。
创建网络的选项还包括指定其子网，IP地址范围和网关，这与使用其他方式创建网络的情况很相似。
容器在网桥上默认运行。要使用特定网络，只需在启动容器时使用--network标志并指定网络名称即可。
还可以将正在运行的容器与网络配对：
$ docker network connect bridge my_container
将my_container附加到bridge，同时保留它已有的任何现有网络连接。
当一个容器关闭时，与其相关的任何网络都将保持不变。如果要手动删除网络，可以使用docket network rm <network_name>命令执行此操作，或使用docker network prune删除主机上不再使用的所有网络。
Docker网络和Kubernetes网络
如果你将Kubernetes视为一种编排解决方案，但已经将相当数量的工作投入到Docker网络设置中，听到Docker和Kubernetes处理网络之间不存在一对一的对应关系，你将不会感到兴奋。
详细信息在Kubernetes文档中进行了描述，但简短的版本是关于如何分配和管理网络资源的基本模型。 因此，你需要为你的应用程序设计一个Kubernetes特定的网络设置。
一种可能的中间解决方案是使用与Docker自己的网络控制协同工作的Kubernetes容器网络接口（CNI）插件。但最好只是一个临时解决方案; 在某些时候，你需要从内到外使用自己的网络来构建你的Kubernetes项目。
