docker容器虚拟化


文章目录

  • docker容器虚拟化
  • 1. 虚拟化网络：网络通信的物理设备到网卡都是用纯软件的方式来实现
  • 2. 单节点容器间同信
  • 3. 不同节点容器间通信


1. 虚拟化网络：网络通信的物理设备到网卡都是用纯软件的方式来实现

  • 网络名称空间（Network Namespace ） 是 Linux 内核提供的功能，是实现网络虚拟化的重要功能，
  • 它能创建多个隔离的网络空间，每个容器和虚拟机有独自的ip地址 。
  • 不管是虚拟机还是容器，运行的时候仿佛自己都在独立的网络中。而且不同网络名称空间的资源相互不可见，彼此之间无法通信。
  • 一个名称空间使用一个网卡，其它名称空间都是看不见当前所在名称空间的，因为一个设备只能属于一个名称空间。网卡数量不够
  • 每个名称空间使用一个网卡，每一个名称空间都能配置IP地址，并且与外部网络直接通信，因为它们使用的是物理网卡。
  • 所拥有的名称空间数量超过物理网卡数量，可以使用虚拟网卡设备，用纯软件的方式来模拟一组设备来使用。Linux内核级支持2种级别设备的模拟，一种是二层设备（数据链路层，交换机），一种是三层设备（网络层，路由器）。
  • Linux内核模拟的二层设备，每个网络接口设备是成对出现的，可以模拟为一根网线的两端，其中一端模拟主机的虚拟网卡，另一端模拟虚拟交换机，就相当于让一个主机连到一个交换机上去。Linux内核原生支持二层虚拟网桥设备，即用软件虚拟交换机的功能
  • 再有一个名称空间，它有创建了一对虚拟网卡，一端连接名称空间，一端连接虚拟交换机，此时就相当于两个名称空间连接到了同一个交换机网络中，两个名称空间在一个网段上可以互相通信

2. 单节点容器间同信

  • 同一个物理机上的两个容器想通信，在这台主机上建立一个虚拟交换机，而后让两个容器各自用纯软件的方式创建一对虚拟网卡，一半在容器上，一半在虚拟交换机上，从而实现通信
  • 构建的容器要跨交换机通信，在同一网段
  • 通过名称空间创建一对网卡，一端连SW1，另一端连SW2，这样一来两个交换机就连起来了
  • 在不同网段
    -

    • docker 虚拟环境查看 docker容器实现虚拟化的层面_名称空间

  • 在两台交换机之间加一个路由器，Linux内核本身就是支持路由转发的，只需要我们将路由转发功能打开即可。此时我们可以再启动一个容器，这个容器里面就跑一个内核，并将其转发功能打开，这样一来就模拟了一台路由器，通过这台路由器来实现路由转发。
  • R1这边有4个端口
ip转发功能
[root@SYL4 ~]# ls /proc/sys/net/ipv4/ip_forward
/proc/sys/net/ipv4/ip_forward
[root@SYL4 ~]# cat /proc/sys/net/ipv4/ip_forward   //ip转发功能
1
[root@SYL4 ~]#

3. 不同节点容器间通信

  • 使用NAT技术。C1访问到目标是C5,C1将自己的ip转换成主机1的ip，然后将主机1封装传到主机2（在同一网段），然后主机2拆包知道找C5，然后发给他，反之亦然。
  • SNAT：（Source nat ） 源nat，用于局域网和多个公共IP的情况，内部的服务器出外网的时候,将自己的转换成公网ip，只转换源IP
  • DNAT：（Destination nat ）目的nat，用于局域网中设置外部服务（Web服务）。公共IP可以提供端口号服务，公网访问专网时源地址不变，只转换目的IP，公网能找到内部网
  • nat：网络地址转换
  • C1和C5采用桥接的方式，容易会产生广播风暴（无效的信息），在大规模的虚拟机或容器的场景中，使用桥接的方式无疑是自取灭亡
  • Overlay Network（叠加网络）的技术来实现不同节点间容器的相互通信功能。
  • 主机1桥接到虚拟交换机在通过内部ip转发（/proc/sys/net/ipv4/ip_forward ）到外部进行通信
  • C1访问C2，C1是内部网络，不能出去，用内部ip转发功能到以主机1的身份，然后用主机1访问到主机2，主机2拆包发现是C2,然后发给他。
  • 叠加网络会将报文进行隧道转发，在报文发出去之前要为其添加一个IP首部，1.1是源，1.2是目标，当宿主机2收到报文后解封装发现要找的目标容器是C2，于是把包转发给C2。

前要为其添加一个IP首部，1.1是源，1.2是目标，当宿主机2收到报文后解封装发现要找的目标容器是C2，于是把包转发给C2。

  • C2回应C1，源是1.2，目标是1.1