zhouzhongping/wiki
1
0
Fork 0
Code
e268fc074b
wiki/FormalSciences/ComputerScience/OperatingSystem/Docker/3.Advanced/Docker 网络.md
7Wate e268fc074b
项目：重构
2024-10-13 20:52:05 +08:00

19 KiB
Raw Blame History

title description keywords tags author date
Docker 网络 Docker 网络
Docker
网络
Docker/高级
技术/操作系统
仲平 2024-03-05

Docker 网络

Docker 网络是容器间通信的基础，它提供了不同容器之间的网络连接和通信能力。**Docker 默认的网络是 bridge 网络，它是一种虚拟的以太网桥，用于连接未指定网络配置的容器。**除了 bridge 网络之外，Docker 还提供了其他网络驱动类型，如 host、ipvlan、macvlan 和 overlay 等，用于满足不同的网络需求。

特点

  • 自动连接：当启动容器时，如果没有明确指定网络，容器会自动加入到 bridge 网络。这种默认行为简化了容器间通信的设置。
  • 隔离与通信：bridge 网络允许容器之间相互通信，但默认情况下对外部网络是不可见的。要从外部访问容器内的应用，需要设置端口映射。
  • 内部 DNS 解析：Docker 为 bridge 网络提供了内部 DNS 解析，容器可以使用其他容器的名字进行相互通信，而不是依赖于 IP 地址，提高了配置的灵活性和容器间互联的便利性。

命令

以下是一些常用的 Docker 网络命令：

  • docker network ls：列出所有当前的 Docker 网络。
  • docker network create [OPTIONS] NETWORK：创建一个新的 Docker 网络。可以使用 --driver bridge 来指定网络驱动。
  • docker network rm NETWORK：删除一个或多个 Docker 网络。
  • docker network inspect NETWORK：显示一个或多个 Docker 网络的详细信息。
  • docker network connect NETWORK CONTAINER：将一个容器连接到一个网络。对于已经运行的容器添加网络连接特别有用。
  • docker network disconnect NETWORK CONTAINER：将一个容器从一个网络断开。
  • docker run --network NETWORK：在创建容器时，指定容器连接的网络。如果不指定，容器将连接到默认的 bridge 网络。
  • docker run -p HOST_PORT:CONTAINER_PORT：在运行容器时创建端口映射，将宿主机的端口映射到容器的端口，允许从外部访问容器的服务。

管理

Docker 网络的管理涉及以下几个方面：

步骤 1: 创建自定义网络

首先，我们可以创建一个自定义的网络，以实现更好的网络隔离和通信管理。

docker network create --driver bridge my-custom-network

这个命令创建了一个名为 my-custom-network 的新网络，使用的是 bridge 驱动。

步骤 2: 在自定义网络中启动容器

现在，我们可以在这个新创建的网络中启动容器了。例如，我们可以运行一个简单的 web 应用容器：

docker run -d --name my-web-app --network my-custom-network -p 8080:80 nginx

这个命令做了几件事情：

  • -d：以 detached 模式运行容器，即在后台运行。
  • --name my-web-app：给容器指定一个名称，这里是 my-web-app。
  • --network my-custom-network：指定容器加入 my-custom-network 网络。
  • -p 8080:80：将容器内部使用的端口 80 映射到宿主机的端口 8080 上。这意味着，你可以通过访问宿主机的 8080 端口来访问容器内部运行的 Nginx 服务。

步骤 3: 验证网络和端口映射

在容器启动后，你可以使用以下命令来检查网络设置和端口映射是否按预期工作：

docker container inspect my-web-app

这个命令会输出很多信息，包括容器的网络配置。你可以查找到 Networks 部分，确保容器已经加入到 my-custom-network 网络。同时，查看 Ports 部分，确认端口映射设置正确。

步骤 4: 访问你的 Web 应用

既然我们已经将容器的 80 端口映射到了宿主机的 8080 端口，你可以通过浏览器访问 http://<宿主机IP>:8080 来查看 Nginx 的欢迎页面。这表明你的容器已经成功运行，并且端口映射工作正常。

网络类型

Docker 提供了多种网络类型，可以根据需求选择合适的网络驱动和配置。下面是一个关于 Docker 网络驱动的表格整理：

网络驱动 介绍 优点 缺点 配置方式 适用场景
Bridge 默认网络驱动，创建桥接网络 简单易用，容器之间可以互相通信 容器与宿主机之间的网络性能有一定损耗 docker network create --driver bridge my-bridge-network 多个容器需要在同一网络中进行通信
Host 容器直接使用宿主机网络栈 最大化网络性能，容器与宿主机共享网络资源 容器与宿主机之间的网络隔离性较弱 在运行容器时使用 --network host 参数 需要容器与宿主机共享网络资源的场景
IPvlan 容器直接使用宿主机物理网络接口 容器与外部网络直接通信，性能较好 需要满足宿主机网络接口的限制，配置较为复杂 docker network create --driver ipvlan my-ipvlan-network 需要容器具有独立的 IP 地址的场景
Macvlan 容器直接使用宿主机物理网络接口 容器与外部网络直接通信，性能较好 需要满足宿主机网络接口的限制，配置较为复杂 docker network create --driver macvlan my-macvlan-network 需要容器具有独立的 MAC 和 IP 地址的场景
Overlay 多主机网络，用于跨主机容器通信 容器可以在多个主机之间进行通信，支持跨主机容器编排和服务发现 需要配置额外的网络管理工具和服务 使用 Docker Swarm 模式创建 Overlay 网络 多主机环境下需要容器之间进行通信的场景
None 容器不连接到任何网络 提供完全的网络隔离，适用于一些特殊的使用场景 容器无法与其他容器或外部网络进行通信 在运行容器时使用 --network none 参数 需要在容器中运行一些网络隔离的工具或测试环境

桥接网络（Bridge Network）

桥接网络是 Docker 默认网络的一种模式，它允许容器通过一个虚拟网桥接口连接到宿主机的物理网络。这种网络模式下，Docker 会为每个容器分配一个唯一的 IP 地址，并使用 NAT（网络地址转换）技术将容器内部的 IP 地址映射到宿主机的 IP 地址上，从而实现容器与外部网络的通信。

要创建一个桥接网络，可以使用以下命令：

docker network create my-bridge-network

主机网络（Host Network）

主机网络模式允许容器直接使用宿主机的网络栈，与宿主机共享网络命名空间。这意味着容器将使用宿主机的 IP 地址和端口，与宿主机一样具有与外部网络通信的能力。这种模式适用于需要容器与宿主机共享网络资源的场景，但也带来了安全性和隔离性的考虑。

要在容器中使用主机网络模式，可以在运行容器时使用 --network host 参数：

docker run --network host my-container

当涉及到 Docker 网络连接时，除了桥接网络、主机网络和 None 网络之外，还有两种重要的网络连接方式：ipvlan 和 macvlan。这两种连接方式可以提供更高级的网络功能和更好的性能。下面我们将深入了解这两种网络连接方式的概念、用法和适用场景。

IPvlan Network

IPvlan 是一种网络连接方式，允许容器直接使用宿主机的网络接口，并为每个容器分配独立的 MAC 和 IP 地址。与桥接网络不同，IPvlan 不需要进行 NAT 转换，从而提供了更好的性能和更低的延迟。

在 IPvlan 中，有两种模式可供选择：

  • L2 模式（Layer 2 mode）：容器可以直接使用宿主机的网络接口，每个容器分配一个独立的 MAC 地址。这种模式适用于需要容器与外部网络直接通信的场景，如虚拟机迁移和容器之间的高性能通信。
  • L3 模式（Layer 3 mode）：容器使用宿主机的网络接口，并为每个容器分配一个独立的 IP 地址。这种模式适用于需要容器与外部网络进行通信，但不需要直接与其他容器通信的场景。

使用 IPvlan 连接容器

要在 Docker 中使用 IPvlan 连接容器，需要满足以下要求：

  • 宿主机的内核版本必须支持 IPvlan。
  • 宿主机的网络接口必须支持多播（multicast）。

以下是使用 IPvlan 连接容器的示例命令：

docker network create -d ipvlan --subnet=192.168.0.0/24 --gateway=192.168.0.1 -o parent=eth0 my-ipvlan-network

docker run --network=my-ipvlan-network --ip=192.168.0.2 my-container

在上面的示例中，我们创建了一个名为 my-ipvlan-network 的 IPvlan 网络，并将容器连接到该网络。容器被分配了一个 IP 地址（192.168.0.2），并使用了宿主机的 eth0 接口。

Macvlan Network

Macvlan 是另一种网络连接方式，允许容器直接使用宿主机的网络接口，并为每个容器分配独立的 MAC 地址。与 IPvlan 类似，Macvlan 也提供了更好的性能和更低的延迟。

在 Macvlan 中，有三种模式可供选择：

  • 桥接模式（Bridge mode）：容器使用宿主机的网络接口，并分配一个独立的 MAC 地址。这种模式适用于需要容器与外部网络直接通信的场景。
  • VEPA 模式（Virtual Ethernet Port Aggregator mode）：容器使用宿主机的网络接口，并分配一个独立的 MAC 地址。这种模式适用于需要容器与外部网络通信，并且需要在物理网络上进行流量分析的场景。
  • Private 模式：容器使用宿主机的网络接口，并分配一个独立的 MAC 地址。这种模式适用于需要容器与外部网络通信，但不需要与其他容器直接通信的场景。

使用 Macvlan 连接容器

要在 Docker 中使用 Macvlan 连接容器，需要满足以下要求：

  • 宿主机的内核版本必须支持 Macvlan。
  • 宿主机的网络接口必须支持 promiscuous 模式。

以下是使用 Macvlan 连接容器的示例命令：

docker network create -d macvlan --subnet=192.168.0.0/24 --gateway=192.168.0.1 -o parent=eth0 my-macvlan-network

docker run --network=my-macvlan-network --ip=192.168.0.2 my-container

在上面的示例中，我们创建了一个名为 my-macvlan-network 的 Macvlan 网络，并将容器连接到该网络。容器被分配了一个 IP 地址（192.168.0.2），并使用了宿主机的 eth0 接口。

None 网络

None 网络模式是一种特殊的网络模式，它表示容器不连接到任何网络。在这种模式下，容器只能与它自己隔离，并且无法与其他容器或外部网络进行通信。这种模式适用于一些特殊的使用场景，例如需要在容器中运行一些网络隔离的工具或测试环境。

要在容器中使用 None 网络模式，可以在运行容器时使用 --network none 参数：

docker run --network none my-container

自定义网络

Docker 允许用户创建自定义网络，以满足特定的网络需求。自定义网络可以提供更好的隔离性、灵活性和可管理性。

1. 创建自定义网络

首先，确定你需要的网络类型。Docker 支持多种网络类型（例如，bridge、overlay、macvlan），但对于大多数单宿主场景，bridge 类型是最常用的。

可以使用以下命令创建具有自定义子网和网关的 bridge 类型网络：

docker network create --driver bridge --subnet=192.168.1.0/24 --gateway=192.168.1.1 my-custom-network
选项 描述
--driver 指定网络的驱动类型。常用的驱动有 bridge、overlay、macvlan 等。
--subnet 定义网络的 IP 地址范围。例如，--subnet=192.168.1.0/24 指定了一个包含 256 个可能 IP 地址的网络。
--ip-range 指定允许分配给容器的 IP 地址范围。它必须在 --subnet 指定的范围内。
--gateway 定义网络的网关地址。容器将使用这个地址作为出口网关。
--aux-address 为网络上的特定用途保留 IP 地址。例如，可以为网络服务保留地址。
--ipam-driver 指定 IP 地址管理（IPAM）驱动，默认是 default。
--ipam-opt 传递给 IPAM 驱动的选项。
--opt 或 -o 设置驱动特定的选项和参数。例如，-o com.docker.network.bridge.name=docker1 可以设置桥接网络的名称。
--label 为网络添加元数据标签。

2. 指定容器的网络设置

在你的自定义网络中启动容器时，可以使用 --ip 选项为容器指定一个固定的 IP 地址：

docker run -d --name my-container --network my-custom-network --ip=192.168.1.5 nginx

确保指定的 IP 地址在 --subnet 指定的范围内。

如果需要，可以在启动容器时通过 --dns 选项指定一个或多个 DNS 服务器：

docker run -d --name my-container --network my-custom-network --dns=8.8.8.8 nginx
选项 描述
--dns 设置容器使用的 DNS 服务器的 IP 地址。
--dns-search 设置容器 DNS 搜索域名，用于解析未完全限定的域名（FQDN）。
--dns-option 设置容器 DNS 解析器的内部选项。

3. 管理和验证网络配置

创建网络和容器后，可以使用以下命令查看网络的详细信息，验证配置是否正确：

docker network inspect my-custom-network

这将显示网络的配置详情，包括分配给网络中容器的 IP 地址。

为了测试容器间的网络通信，可以在两个或更多容器之间进行 ping 测试，确保它们能够相互通信。

Docker Swarm 模式下的网络

Docker Swarm 是 Docker 的集群管理和编排工具，用于在多个 Docker 守护进程上运行和管理容器。在 Docker Swarm 模式下，网络的管理和配置与单个 Docker 守护进程的方式有所不同。Docker Swarm 提供了一种名为 Overlay 网络的特殊网络类型，用于实现跨主机容器的通信。

Overlay 网络

Overlay 网络是一种多主机网络，它允许在 Docker Swarm 集群中的多个节点上创建和管理网络。Overlay 网络使用 VXLAN（Virtual Extensible LAN）技术来实现容器之间的通信，提供了跨主机的网络隔离和连接。

要创建一个 Overlay 网络，需要先初始化一个 Docker Swarm 集群，然后使用以下命令创建网络：

docker network create --driver overlay my-overlay-network

这将创建一个名为 my-overlay-network 的 Overlay 网络。

在 Overlay 网络中启动服务

在 Overlay 网络中启动服务与在普通网络中启动服务类似，只需将服务加入到 Overlay 网络即可。以下是一个示例命令：

docker service create --name my-service --network my-overlay-network nginx

这将在 Swarm 集群中启动一个名为 my-service 的服务，并将其加入到 my-overlay-network 网络中。服务将在 Swarm 集群中的多个节点上运行，并通过 Overlay 网络进行通信。

跨主机通信

在 Overlay 网络中，容器可以跨主机进行通信，无需显式配置。Docker Swarm 使用内置的路由和负载均衡机制来处理跨主机通信。

例如，如果在 Swarm 集群中有两个节点，分别是 Node1 和 Swarm 节点上的网络管理有一些特殊考虑。

Overlay 网络

Overlay 网络是 Docker Swarm 模式下的一种网络类型，它允许在多个 Swarm 节点之间创建跨主机的容器网络。Overlay 网络提供了容器之间的透明通信，并支持容器的动态伸缩和服务发现。

要创建一个 Overlay 网络，可以使用以下命令：

docker network create --driver overlay my-overlay-network

在创建 Overlay 网络时，Docker 会自动配置网络的路由和负载均衡，使得容器可以在不同的 Swarm 节点上进行通信。

跨主机通信

在 Docker Swarm 模式下，容器可以在不同的 Swarm 节点上运行。为了实现跨主机的容器通信，需要使用 Overlay 网络。

以下是在 Swarm 模式下实现跨主机通信的一般步骤：

  1. 创建一个 Overlay 网络：

    docker network create --driver overlay my-overlay-network

  2. 在 Swarm 中创建服务：

    docker service create --name my-service --network my-overlay-network my-image

    这将在 Swarm 中创建一个名为 my-service 的服务，并将其连接到 my-overlay-network 网络。

  3. 根据需要进行扩展：

    docker service scale my-service=3

    这将将 my-service 服务的副本数扩展到 3 个。

  4. 验证容器间的通信：

    docker exec -it <container_id> ping <container_name>

    使用上述命令在一个容器中执行 ping 命令，以验证与另一个容器的通信。

负载均衡

在 Docker Swarm 模式下，Overlay 网络提供了内置的负载均衡功能。当多个副本的服务容器运行在不同的 Swarm 节点上时，Docker 会自动将流量分发到这些容器上，实现负载均衡。

负载均衡是通过 Swarm 内部的 DNS 解析和代理实现的。当一个服务容器被创建时，Docker 会自动为该容器分配一个虚拟 IP 地址，并将其注册到内部 DNS 服务中。当其他容器或外部客户端访问该服务时，DNS 解析会将请求路由到可用的服务副本上。

操作示例

下面是一个在 Docker Swarm 模式下创建 Overlay 网络和服务的操作示例：

  1. 创建一个 Overlay 网络：

    docker network create --driver overlay my-overlay-network

  2. 构建一个包含 Web 应用的镜像：

    docker build -t my-web-app .

  3. 将镜像推送到 Docker 镜像仓库：

    docker push my-web-app:latest

  4. 在 Swarm 中创建一个服务：

    docker service create --name my-service --network my-overlay-network -p 8080:80 my-web-app

    这将在 Swarm 中创建一个名为 my-service 的服务，并将其连接到 my-overlay-network 网络。同时，将容器内部的 80 端口映射到宿主机的 8080 端口上，以便从外部访问该服务。

  5. 验证服务是否正常运行：

    curl http://localhost:8080

    如果一切正常，你应该能够看到 Web 应用返回的内容。