Docker网络学习

2023-09-16 22:22:55

文章目录

Docker容器网络

1.Docker为什么需要网络管理

容器的网络默认与宿主机及其他容器都是相互隔离， 但同时我们也要考虑下面的一些
问题， 比如
• 多个容器之间是如何通信的
• 容器和宿主机是如何通信的
• 容器和外界主机是如何通信的
• 容器中要运行一些网络应用(如 nginx、 web 应用、数据库等)，如果要让外部也可
以访问这些容器内运行的网络应用应该如何实现
• 容器不想让它的网络与宿主机、与其他容器隔离应该如何实现
• 容器根本不需要网络的时候应该如何实现
• 容器需要更高的定制化网络（如定制特殊的集群网络、定制容器间的局域网）应
该如何实现

2. Docker网络简介

Docker 容器网络是为应用程序所创造的虚拟环境的一部分，它能让应用从宿主机操作
系统的网络环境中独立出来，形成容器自有的网络设备、 IP 协议栈、端口套接字、 IP
路由表、防火墙等等与网络相关的模块。Docker 为实现容器网络，主要采用的架构由三部分组成： CNM、 Libnetwork 和驱动 。

CNM

Docker 网络架构采用的设计规范是 CNM（Container Network Model）。 CNM 中规定
了 Docker 网络的基础组成要素： Sandbox、 Endpoint、 Network。

Sandbox：提供了容器的虚拟网络栈，也即端口、套接字、 IP 路由表、防火墙、
DNS 配置等内容。主要用于隔离容器网络与宿主机网络，形成了完全独立的容器网络
环境。
• Network： Docker 内部的虚拟子网，使得网络内的参与者能够进行通讯。
• Endpoint：就是虚拟网络的接口，就像普通网络接口一样， Endpoint 的主要职责
是负责创建连接。 Endpoint 类似于常见的网络适配器，那也就意味着一个 Endpoint 只
能接入某一个网络， 当容器需要接入到多个网络，就需要多个 Endpoint。
如上图所示，容器 B 有两个 Endpoint 并且分别接入 Networkd A 和 Network B。那么
容器 A 和容器 B 之间是可以实现通信的，因为都接入了 NetworkA。但是容器 A 和容
器 C 不可以通过容器 B 的两个 Endpoint 通信。

Libnetwork

Libnetwork 是 CNM 的一个标准实现。 Libnetwork 是开源库，采用 Go 语言编写（跨
平台的），也是 Docker 所使用的库， Docker 网络架构的核心代码都在这个库中。
Libnetwork 实现了 CNM 中定义的全部三个组件，此外它还实现了本地服务发现、基
于 Ingress 的容器负载均衡，以及网络控制层和管理层等功能 。

3. 常见的网络类型

  1. bridge网络

    bridge 驱动会在 Docker 管理的主机上创建一个 Linux 网桥。默认情况下，网桥上的容器可以相互通信。也可以通过 bridge 驱动程序配置，实现对外部容器的访问。Docker 容器的默认网络驱动.当我们需要多个容器在同一个 Docker 主机上通信时，桥接网络是最佳选择。

  2. host网络

对于独立容器，移除容器和 Docker 主机之间的网络隔离，并直接使用主机的网络。当网络堆栈不应该与 Docker 主机隔离，但是希望容器的其他资源被隔离时，主机网络是最佳选择。

  1. container网络

    这个模式指定新创建的容器和引进存在的一个容器共享一个网络 ，而不是和宿主机共享。新创建的容器不会创建自己的网卡，配置自己的 ip，而是和一个指定的容器共享 ip，端口等，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过 lo 网卡设备通信

  2. none网络

    Docker 容器拥有自己的 Network Namespace，但是，并不为 Docker 容器进行任何网络配置。也就是说，这个 Docker 容器没有网卡、 IP、路由等信息。容器完全网络隔离

  3. overlay网络

    借助 Docker 集群模块 Docker Swarm 搭建的跨 Docker Daemon 网络。将多个Docker 守护进程连接在一起，使集群服务能够相互通信。当我们需要运行在不同Docker 主机上的容器进行通信时，或者当多个应用程序使用集群服务协同工作时，覆盖网络是最佳选择。

另外，在 Docker 安装时，会自动安装一块 Docker 网卡称为 docker0，它是一个网
桥设备，主要用于 Docker 各容器及宿主机的网络通信

[root@aliyun ~]# ifconfig
docker0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.17.0.1  netmask 255.255.0.0  broadcast 172.17.255.255
        ether 02:42:6e:f7:9f:92  txqueuelen 0  (Ethernet)
        RX packets 728  bytes 83656 (81.6 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 915  bytes 77233 (75.4 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

4. docker 网络管理命令

命令别名功能
docker network create创建网络
docker network connect连接网络
docker network disconnect断开网络
docker network lsdocker network list列出网络
docker network prune删除不使用的网络
docker network inspect查看网络详情
docker network rmdocker network remove删除 1 个或者多个网络

docker network create

功能：创建网络

docker network create [OPTIONS] NETWORK

关键参数
￮ -d, --driver： 网络驱动
￮ --gateway： 网关地址
￮ --subnet： 表示网段的 CIDR 格式的子网
￮ --ipv6： 启用 ipv6

[root@aliyun ~]# docker network create --driver=bridge --subnet=192.168.1.0/24 net1

docker network inspect

功能：查看网络详情

docker network inspect [OPTIONS] NETWORK [NETWORK...]

关键参数
￮ -f,–format:指定格式

[root@aliyun ~]# docker network inspect net1

docker network connect

功能：将容器连接到网络。可以按名称或 ID 连接容器。 一旦连接，容器可以与同
一网络中的其他容器通信

docker network connect [OPTIONS] NETWORK CONTAINER

关键参数
￮ --ip： 指定 IP 地址
￮ --ip6： 指定 IPv6 地址

将正在运行的容器连接到网络
[root@aliyun ~]# docker network connect net1 tmpfs_test
容器启动时将容器连接到网络
[root@aliyun ~]# docker run --network=net1 nginx
指定容器ip,ip必须是网段下的IP
[root@aliyun ~]# docker network connect --ip 192.168.1.10 net1 test

docker network disconnect

功能：断开网络

docker network disconnect [OPTIONS] NETWORK CONTAINER

关键参数

  • -f：强制退出

docker network prune

功能：删除不使用网络

docker network prune [OPTIONS]

关键参数
￮ -f, --force ： 不提示

docker network rm

功能：删除 1 个或者多个网络

docker network rm NETWORK [NETWORK...]

关键参数
￮ -f:强制退出

docker network ls

功能：列出网络列表

docker network ls [OPTIONS] 别名 docker network list

关键参数
￮ -f, --filter:指定过滤条件
￮ --format:指定格式
￮ --no-trunc:不截断
￮ -q, --quiet :仅仅显示 id

5.两种网络加入差异

创建容器再指定网络

[root@aliyun ~]# docker run -d --name test nginx:latest
[root@aliyun ~]# docker network connect net1 test
[root@aliyun ~]# docker inspect test
"bridge": {
                    "IPAMConfig": null,
                    "Links": null,
                    "Aliases": null,
                    "NetworkID": "6bc4a0a0d86299aea2951a3be2f0c0bc2a2fce2d4f8ca2480f41b0e8673df2df",

                "net1": {
                    "IPAMConfig": {},
                    "Links": null,
                    "Aliases": [
                        "cdc5c617ea77"
                    ],
                    "NetworkID": "b444785e73a714682b22eeaf1ea49d217573685c7ed78da035e293e4d57d9729",

创建容器时指定网络

[root@aliyun ~]# docker run -itd --name demo --network net1 nginx:latest
92dd23a7de980a4dcb314c1f26bfc201e42d63acbfdec37f5cfdefef8e2babb7
[root@aliyun ~]# docker inspect demo
                "net1": {
                    "IPAMConfig": null,
                    "Links": null,
                    "Aliases": [
                        "92dd23a7de98"
                    ],
                    "NetworkID": "b444785e73a714682b22eeaf1ea49d217573685c7ed78da035e293e4d57d9729",
                    "EndpointID": 
]

先创建容器再指定网络容易会有一个默认的bridge网络，而创建时指定网络则不会有。

6.网络讲解

docker Bridge 网络

Docker Bridge 网络采用内置的 bridge 驱动， bridge 驱动底层采用的是 Linux 内核中Linux bridge 技术。就网络而言， bridge 网络是在网络段之间转发流量的链路层设备，而网桥可以是在主机内核中运行的硬件设备或软件设备；就 Docker 而言，桥接网络使用软件网桥 docker0，它允许连接到同一网桥网络的容器进行通信，同时提供与未连接到该网桥网络容器的隔离。默认情况下，创建的容器在没有使用–network 参数指定要加入的 docker 网络时，默认都是加入 Docker 默认的单机桥接网络

在这里插入图片描述

默认的 bridge 网络会被映射到内核中为 docker0 的网桥上。Docker 默认的 bridge 网络和 Linux 内核中的 docker0 网桥是一一对应的关系。bridge 是 Docker 对网络的命名，而 docker0 是内核中网桥的名字

在这里插入图片描述

这里的bridge和虚拟机里的桥接网络类型不太一样。可以把这个看作与虚拟机里的NAT类型相似。宿主机能上公网,那么连接此网络的容器也可以上公网。此为默认网络类型(也就是说运行容器时不指定网络，默认都属于这种
类型)。宿主机上的docker0网卡就是属于此网络.

但容器停止或者删除时会自动和docker0断开连接。

创建自定义 bridge

[root@aliyun ~]# docker network create -d bridge new-bridge

DNS 解析
Docker 自定义桥接网络是支持通过 Docker DNS 服务进行域名解析的， 也就是说我们可以直接使用容器名进行通信，因为 DNS 服务可以解析容器名到 IP 地址的映射， 但是默认的 bridge 网络是不支持 DNS 的。也就是说指定自定义的bridge才能使用ping命令，ping容器名。

docker Host 网络

Docker 容器运行默认都会分配独立的 Network Namespace 隔离子系统， 但是如果基
于 host 网络模式，容器将不会获得一个独立的 Network Namespace，而是和宿主机
共用同一个 Network Namespace，容器将不会虚拟出自己的网卡， IP 等，而是直接使
用宿主机的 IP 和端口。

在这里插入图片描述

连接到 host 网络的容器共享宿主机的网络栈，容器的网络配置与宿主机完全一样。我
们可以通过 --network=host 指定使用 host 网络

docker Container 网络

Docker Container 的 other container 网络模式是 Docker 中一种较为特别的网络的模
式。之所以称为“other container 模式”，是因为这个模式下的 Docker Container，会使
用其他容器的网络环境。之所以称为“特别”，是因为这个模式下容器的网络隔离性会处
于 bridge 桥接模式与 host 模式之间。 Docker Container 共享其他容器的网络环境，则
至少这两个容器之间不存在网络隔离，而这两个容器又与宿主机以及除此之外其他的
容器存在网络隔离

在这里插入图片描述

使用场景

在这种模式下的 Docker Container 可以通过 localhost 来访问 namespace 下的其他容
器，传输效率较高。但是两个容器之间存在依赖，如果依赖容器重启了，会导致另外
一个服务的网络不可用

docker none 网络

none 网络就是指没有网络。挂在这个网络下的容器除了 lo(本地回环)，没有其他任何网卡 。连接此网络的容器没有IP地址等信息，只有lo本地回环网卡。无法连接公网网络。

更多推荐

Mock数据：单元测试中的心灵鸡汤

在当今的软件开发领域，质量控制已经成为了一个不可或缺的环节。为了确保软件的稳定性和可靠性，开发者们投入了大量的时间和精力进行各种测试。其中，单元测试作为最基础的测试方法，其重要性不言而喻。然而，单元测试中的一个关键问题是如何获取和管理测试数据。这就是Mock数据发挥作用的地方。本文将为您深入剖析Mock数据的定义、优势

echarts制作关系图谱

<!DOCTYPEhtml><html><head><metacharset="utf-8"/><title>ECharts</title><!--引入刚刚下载的ECharts文件--><scriptsrc="https://cdnjs.cloudflare.com/ajax/libs/echarts/5.4.3/ec

SpringMVC的拦截器和JSR303的使用

目录一、JSR303二、拦截器（interceptor）一、JSR3031.1.什么是JSR303JSR303，它是JavaEE（现在称为JakartaEE）规范中的一部分。JSR303定义了一种用于验证Java对象的标准规范，也称为Bean验证。Bean验证是一种用于验证对象属性的框架，它可以确保对象符合特定的规则和

Jmeter 分布式压测

‍你可以使用JMeter来模拟高并发秒杀场景下的压力测试。这里有一个例子，它模拟了同时有5000个用户，循环10次的情况‍。请求默认配置token配置秒杀接口结果分析但是，实际企业中，这种压测方式根本不满足实际需求。下面介绍一种分布式压测。使用场景单台的JMeter压测能力有限，最大并发压测在1k内的，单机基本满足日常

从零开始搭建医药领域知识图谱实现智能问答与分析服务（含码源）：含Neo4j基于垂直网站数据的医药知识图谱构建、医药知识图谱的自动问答等

项目设计集合（人工智能方向）：助力新人快速实战掌握技能、自主完成项目设计升级，提升自身的硬实力（不仅限NLP、知识图谱、计算机视觉等领域）：汇总有意义的项目设计集合，助力新人快速实战掌握技能，助力用户更好利用CSDN平台，自主完成项目设计升级，提升自身的硬实力。专栏订阅：项目大全提升自身的硬实力[专栏详细介绍：项目设计

学术团体的机器人相关分会和机器人相关大赛的说明

1.中国机械工程学会（机器人分会）2017年成立，地点华中科技大学：中国机械工程学会机器人分会在汉成立(huanqiu.com)链接：中国机械工程学会(cmes.org)侧重点：工业机械臂、工厂和物流相关的移动机器人、码垛和焊接相关的机器人，偏重机械方面？举办会议名称：第N届中国机器人学术年会指导或者主办机器人相关大赛

在gazebo仿真环境中加载多个机器人

文章目录前言一、基本概念1、xacro2、Gazebo加载单个机器人模型二、原先launch文件代码三、修改launch文件加载多个机器人总结前言单个机器人的各项仿真实验都基本完成，也实现了远程控制，接下来主要对多机器人编队进行仿真实验，在进行多机器人编队控制前，先要在gazebo仿真中加载多个机器人。一、基本概念在g

D*算法(C++/MATLAB)

前言路径规划一直是机器人、自动驾驶、游戏开发等领域中的关键问题。D算法和A算法都是用于解决路径规划问题的重要算法。本文将深入介绍D算法的原理、实现和应用，并对比D算法与A*算法的区别。什么是D*算法？D算法（D-Star算法）是一种增量式路径搜索算法，最早由SvenKoenig和MaximLikhachev在2002年

并发编程——ReentrantReadWriteLock

文章目录为什么要出现读写锁读写锁的核心思想写锁的操作写锁加锁-acquire写锁-释放锁操作读锁的操作读锁的加锁操作总结为什么要出现读写锁因为ReentrantLock是互斥锁，如果有一个操作是读多写少，同时还需要保证线程安全，那么使用ReentrantLock会导致效率比较低。因为多个线程在对同一个数据进行读操作时，

mysql常用数据类型（mysql数据类型）字符集

文章目录mysql常用数据类型什么时候用等长数据类型，什么时候用变长数据类型？什么时候用char，什么时候用binary？怎么区分文本数据和二进制数据？mysql字符集与数据类型的区别与联系mysql常用数据类型MySQL支持多种数据类型，以下是一些最常用的：数值类型：INT：用于存储整数。FLOAT：用于存储浮点数。

MYSQL的多版本并发控制MVCC(Multi-Version Concurrency Control)

1、概述MVCC是一种用于数据库管理系统的并发控制技术，允许多个事务同时访问数据库，而不会导致读写冲突。也就是说在读写的时候，线程不用去争抢读写锁。因为加锁的过程比较耗性能。当然很多时候还是必须的，不能避免，比如说，去ATM机取钱的时候，同时又在手机APP上进行提现，这种操作就需要加锁，不能让其同时提现，一次只能一个操

热文推荐
  1. Redis 面霸篇：从高频问题透视核心原理

    Redis为什么这么快？很多人只知道是K/VNoSQl内存数据库，单线程……这都是没有全面理解Redis导致无法继续深问下去。这个问题是基础摸底，我们可以从Redis不同数据类型底层的数据结构实现、完全基于内存、IO多路复用网络模型、线程模型、渐进式rehash…...到底有多快？我们可以先说到底有多快，根据官方数据，

  2. 设计模式解析之模板方法模式：设计灵活可扩展的算法框架

    目录1.引言2.概要2.1概念2.2结构2.3类图2.4工作流程3.应用场景3.1适用情况：3.2常见例子：4.代码衍化过程初版：甲乙学生都抄试卷第二版：提炼代码第三版：抽象出算法骨架第四版：模板方法变化过程总结及未来展望5.总结1.引言在软件开发中，设计和实现算法是一项常见的任务。然而，随着需求的变化和代码的增长，算

  3. 十二、MySql的事务（下）

    文章目录一、事务隔离级别（一）如何理解隔离性（二）隔离级别1.读未提交【ReadUncommitted】：2.读提交【ReadCommitted】：3.可重复读【RepeatableRead】：4.串行化【Serializable】:（三）查看与设置隔离性1.查看全局隔离级别2.查看会话(当前)全局隔离级别3.设置全局

  4. C++ - AVL 树 介绍 和 实现 （上篇）

    前言之前我介绍了二叉搜索树，可看一下博客：C++-搜索二叉树_chihiro1122的博客-CSDN博客二叉搜索树的效率可以达到O(logn)。这个复杂度的算法的效率是非常恐怖的，2的30次方大概是10亿左右。也就是说如果用暴力查找需要找10亿次，而最好的效率的二叉搜索树只用搜索30次。是非常恐怖的。为什么说是最好效率

  5. 如何连接到远程桌面

    远程桌面连接是一个非常有用的工具，尤其是当越来越多的人在家工作或使用自己的设备工作时。使用远程桌面连接软件，管理员即使不在您的设备附近，也可以解决问题，他们可以远程访问它并快速解决可能出现的任何问题。什么是远程桌面连接远程桌面连接是一种远程操作电脑的模式，它可以用于可视化访问远程计算机的桌面环境，用于管理员在客户机上对

  6. 找不到msvcp140.dll的解决方法，以及msvcp140.dll丢失的原因

    在计算机使用过程中，我们可能会遇到无法启动程序的问题，提示找不到msvcp140.dll。这使得许多用户感到困扰，因为msvcp140.dll是MicrosoftVisualC++Redistributable的一个组件，它包含了C++运行时库。这个库对于许多应用程序和游戏来说都是必需的。那么，为什么会出现找不到msv

  7. Spring MVC 请求参数绑定

    文章目录默认⽀持ServletAPI作为⽅法参数绑定简单类型参数绑定Pojo类型参数绑定⽇期类型参数（需要配置⾃定义类型转换器）路径变量参数SpringMVC是一个用于构建Web应用程序的框架，它提供了一种方便的方式来处理HTTP请求和响应。在SpringMVC中，请求参数绑定是将HTTP请求中的参数映射到控制器方法的

  8. Spring MVC 请求映射路径的配置，实现前后端交互

    目录一、什么是请求映射路径二、SpringMVC的请求参数三、日期类型的参数传递四、SpringMVC如何响应JSON数据一、什么是请求映射路径在SpringMVC中，请求映射路径（RequestMappingPath）是指与特定的请求处理方法关联的URL路径。通过在SpringMVC的控制器类上使用注解（如@Requ

  9. IP代理安全吗？如何防止IP被限制访问？

    你是否遇到过可以正常上网，但访问某个网站却被禁止？注册某个网站账号，却被封号？那都是因为IP出现问题！您的IP地址透露很多关于您的信息，包括您的位置和互联网活动。在本文中，我们将一起了解IP地址，网站如何利用它来跟踪您，以及与IP代理如何帮助您更好的推进业务。什么是IP地址？IP地址是互联网协议地址（InternetP