Docker的四种网络模式
- 一、实现原理
- 二、网络详解
- 1.分析
- 2.四种网络模式
- 1.host模式
- 2.container模式
- 3.none模式
- 4.bridge模式
- 三、网络模式veth讲解
- 四、自定义网络配置
一、实现原理
- Docker使用Linux桥接,在宿主机虚拟一个Docker容器网桥(docker0),Docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地址,称为Container-IP,同时Docker网桥是每个容器的默认网关。因为在同一宿主机内的容器都接入同一个网桥,这样容器之间就能够通过容器的Container-IP直接通信。
- Docker网桥是宿主机虚拟出来的,并不是真实存在的网络设备,外部网络是无法寻址到的,这也意味着外部网络无法通过直接Container-IP访问到容器。如果容器希望外部访问能够访问到,可以通过映射容器端口到宿主主机(端口映射),即docker run创建容器时候通过 -p 或 -P 参数来启用,访问容器的时候就通过[宿主机IP]:[容器端口]访问容器。
二、网络详解
1.分析
docker 网络模式 (k8s CNI网络插件)
NAT 模式 (默认)
NAT宿主网络
None模式
有的网络不需要与网络进行通讯,没有协议栈的要求
k8s最适合编排没有状态的服务(交付到k8s里面的服务是没有状态的,最多只需要横向扩容)
Host模式
docker和宿主机在同一个网段(不隔离)
容器隔离了6个名称空间(namespace资源隔离-用容器化技术封装)
mount 文件系统,挂载点
user 操作
pid 进程编号
uts 主机名和主机域
ipc 信号量、消息队列、共享内存
net 网络设备、网络协议栈、端口等
2.四种网络模式
docker network ls //查看网络列表
- 安装docker时,它会自动创建三个网络,bridge(创建容器默认连接到该网络)、none和host
Docker网络模式 | 配置 | 说明 |
host模式 | -net=host | 容器和宿主机共享Network namespace。 |
container模式 | -net=container:NAME_or_ID | 容器和另外一个容器共享Network namespace。 kubernetes中的pod就是多个容器共享一个Network namespace。 |
none模式 | -net=none | 容器有独立的Network namespace,但并没有对其进行任何网络设置,如分配veth pair 和网桥连接,配置IP等。 |
bridge模式 | -net=bridge | (默认为该模式) |
1.host模式
- 容器将不会获得一个独立的network namespace(网络命名空间),而是和宿主机共用一个network namespace。容器将不会虚拟出自己的网卡,配置自己的IP等,而是使用宿主机的IP和端口,(也就是说如果容器是个web,那直接访问宿主机端口,不需要做NAT转换,跟在宿主机跑web一样。容器中除了网络,其他都还是隔离的。)
- 使用host模式的容器可以直接使用宿主机的IP地址与外界进行通信,容器内部的服务端口也可以使用宿主机的端口,不需要进行NAT,host最大的优势就是网络性能比较好,但是docker host上已经使用的端口就不能再使用了,网络的隔离性不好。
2.container模式
- 这个模式指定新创建的容器和已经存在的一个容器共享一个network namespace,而不是和宿主机共享。新创建的容器不会创建自己的网卡,配置自己的IP,而是和一个指定的容器共享IP、端口范围等。同样,两个容器除了网络方面,其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过lo网卡设备通信
3.none模式
- 使用none模式,Docker容器拥有自己的Network Namespace,但是,并不为Docker容器进行任何网络配置。也就是说,这个Docker容器没有网卡、IP、路由等信息。需要我们自己为Docker容器添加网卡、配置IP等。该模式关闭了容器的网络功能
- 这种网络模式下容器只有lo回环网络,没有其他网卡。none模式可以在容器创建时通过–network=none来指定。这种类型的网络没有办法联网,封闭的网络能很好的保证容器的安全性。
4.bridge模式
- 此模式会为每一个容器分配、设置IP等,并将容器连接到一个docker0虚拟网桥,通过docker0网桥以及iptables nat表配置与宿主机通信
- 当Docker进程启动时,会在主机上创建一个名为docker0的虚拟网桥,此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似,这样主机上的所有容器就通过交换机连在了一个二层网络中。
- 从docker0子网中分配一个IP给容器使用,并设置docker0的IP地址为容器的默认网关。在主机上创建一对虚拟网卡veth pair设备,Docker将veth pair设备的一端放在新创建的容器中,并命名为eth0(容器的网卡),另一端放在主机中,以vethxxx这样类似的名字命名,并将这个网络设备加入到docker0网桥中。可以通过brctl show命令查看。
- bridge模式是docker的默认网络模式,不写–net参数,就是bridge模式。使用docker run -p时,docker实际是在iptables做了DNAT规则,实现端口转发功能。可以使用iptables -t nat -vnL查看。
三、网络模式veth讲解
四、自定义网络配置
- 创建容器时默认使用的是桥接模式,但是使用bridge不支持为容器指定IP
[root@localhost ~]# docker run -itd --name test1 --network bridge --ip 172.17.0.10 centos:7 /bin/bash
20dc45293929f81013a60391bef2626f581a8d3d4f29b8a87ac8b1f9b585ab2a
docker: Error response from daemon: user specified IP address is supported on user defined networks only. #提示想要为容器指定IP只能在用户自定义的网络中才行
- 配置自定义固定IP
[root@localhost ~]# docker network create --subnet=172.31.0.0/24 test
#创建自定义网络test
[root@localhost ~]# docker run -itd --name web1 --net test --ip 172.31.0.10 centos:7 /bin/bash
- 创建一个容器,指定网络为test,指定IP地址172.31.0.10