1、前言
Docker做为目前最火的轻量级容器技术，有不少使人称道的功能，如Docker的镜像管理。然而，Docker一样有着不少不完善的地方，网络方面就是Docker比较薄弱的部分。所以，咱们有必要深刻了解Docker的网络知识，以知足更高的网络需求。html
咱们在使用docker run建立Docker容器时，能够用--net选项指定容器的网络模式，Docker有如下4种网络模式：linux
- host模式，使用--net=host指定。
容器将不会虚拟出本身的网卡，配置本身的IP等，而是使用宿主机的IP和端口。nginx
- container模式，使用--net=container:NAME_or_ID指定。
建立的容器不会建立本身的网卡，配置本身的IP，而是和一个指定的容器共享IP、端口范围。web
- none模式，使用--net=none指定。
该模式关闭了容器的网络功能。docker
- bridge模式，使用--net=bridge指定，默认设置。
此模式会为每个容器分配、设置IP等，并将容器链接到一个docker0虚拟网桥，经过docker0网桥以及Iptables nat表配置与宿主机通讯。json
注意：使用docker network ls命令列出这些docker内置的网络模式。安全
Docker 网络模型服务器
2、host模式
众所周知，Docker使用了Linux的Namespaces技术来进行资源隔离，如PID Namespace隔离进程，Mount Namespace隔离文件系统，Network Namespace隔离网络等。一个Network Namespace提供了一份独立的网络环境，包括网卡、路由、Iptable规则等都与其余的Network Namespace隔离。一个Docker容器通常会分配一个独立的Network Namespace。但若是启动容器的时候使用host模式，那么这个容器将不会得到一个独立的Network Namespace，而是和宿主机共用一个Network Namespace。容器将不会虚拟出本身的网卡，配置本身的IP等，而是使用宿主机的IP和端口。网络
例如，咱们在10.10.101.105/24的机器上用host模式启动一个含有web应用的Docker容器，监听tcp80端口。tcp
当咱们在容器中执行任何相似ifconfig命令查看网络环境时，看到的都是宿主机上的信息。而外界访问容器中的应用，则直接使用10.10.101.105:80便可，不用任何NAT转换，就如直接跑在宿主机中同样。可是，容器的其余方面，如文件系统、进程列表等仍是和宿主机隔离的。
下面关于网络命令空间的介绍来源：https://yq.aliyun.com/articles/53624
那么什么是网络名称空间？通常的说法是包括了Linux共享的一组网络接口和路由表条目的装置。您能够修改路由表条目使用策略路由。（这里有我写的介绍和可能的策略路由用例），但这并无从根本上改变网络接口和路由表/条目共享整个操做系统。网络名字空间改变这一基本假设。经过网络名字空间，你能有不一样并独立的网络接口和路由表，它们各自独立运做 这个概念经过一些例子来讲明多是最好的。沿途我会介绍一些新想法。首先，我须要提供一些假设。 假设 在这个例子中，我会使用Ubuntu Server 12.04.3 LTS.请注意不一样的Linux发行版对网络名字空间支持上的不一样。Ubuntu支持这个，可是RedHat不支持。（我不肯定Fedora，若是你知道，能够在评论中说出来。）若是你想使用网络名字空间,请确保你的Linux发行版支持。 另外，我回假设你使用root帐户运行，或者你会在必要的时候加上sudo来执行命令行。 建立和列出网络名字空间 建立一个网络名字空间是至关容易的。仅仅须要使用这个命令： 1 ip netns add <new namespace name> 打个比方,你想要建立一个名为“blue”的名字空间。你会使用这个命令: 1 ip netns add blue 使用这个命令验证网络名字空间是否建立: 1 ip netns list 你应该能看到你的网络名字空间被列出，你可使用它们了。 给网络名字空间分配接口 建立网络名字空间仅仅是个开始，接下来的部分是给名字空间指定接口。而后为网络链接配置这些接口。有一个注意，就是在我以前探索网络名字空间的时候发现，你没法把物理接口分配给一个名字空间。到底怎样才呢个使用它们呢，而后呢？ 原来你只能分配虚拟以太网接口(veth)到网络名称空间。虚拟以太网接口是一个有趣的结构。它老是一对一对的，他们像一个相连的管道——不管什么从其中一个veth接口进去，就会从另外一个等同的接口出来。所以,您可使用veth接口把一个网络名名字空间连接到存在物理接口的“默认”或“全局”网络名字空间。 让咱们来看看这是如何实现的。首先,您要建立一对veth: 1 ip link add veth0 type veth peer name veth1 我发现一些站点重复这个命令去建立veth1而后连接到veth0，可是个人测试代表，只要使用上面这个命令，会建立一对端口，而且自动创建链接。固然，你能够用其它名字代替veth0和veth1，若是你须要的话。 你可使用这个命令验证veth对被建立。 1 ip link list 你应该看到一对veth接口（使用你在上面的命令中指定的名称）列出。如今它们都属于”默认”或“全局”名字空间，和物理接口一道。 假设你想把全局名字空间连接到blue名字空间。这样作，你须要移动一个veth接口道blue名字空间中，可使用这个命令。 1 ip link set veth1 netns blue 若是你再次运行ip link list 命令，你会看到veth1接口从列表中消失了。如今它在blue名字空间中，所以你须要运行下面的命令来看。 1 ip netns exec blue ip link list 哇哦！这是一个有点复杂的命令，让咱们慢慢讲： 在第一部分，ip nets exec，这是在不一样网络名字空间执行命令的方法。 接下来是这个命令应该运行在的特定名称空间。（在这个例子中，是blue名字空间） 最后，你须要实际的命令在远程名字空间中执行。在这个例子中，你想要查看在blue名字空间的接口，所以你运行 ip link list。 当你运行那个命令，你就能看到一个回环接口和你刚才移入的veth1接口。 在网络名字空间配置接口 如今，veth1已经移动到蓝色的名称空间，咱们须要去实际配置那个接口。再一次，咱们会使用 ip netns exec 命令，这一次在blue名字空间中配置veth1接口。 1 ip netns exec blue ifconfig veth1 10.1.1.1/24 up 和以前同样，这个命令的格式以下： 1 ip netns exec <network namespace> <command to run against that namespace> 在这个例子里，你使用ifconfig给veth1接口指定了一个IP地址，而且开启了这个接口。（注解：你可使用 ip addr ， ip route ，以及 ip link 命令来完成相同的事情） 一旦veth1接口开启，你能仅仅经过一些不一样的命令验证blue名字空间中的网络设置是彻底隔离的。打个比方，让咱们肯定你的”全局”名字空间有物理接口在 172.16.1.0/24 范围，你的veth1接口在一个隔离的名字空间，而且分配了10.1.1.0/24范围。你可使用这些命令验证网络名字空间是如何保证网络配置隔离的： ip addr list 在全局名字空间没有显示任何10.1.1.0/24有关的接口或者地址。 ip netns exec blue ip addr list 将仅仅显示10.1.1.0/24有关的接口和地址，也不会显示任何来自全局名字空间的接口或地址。 一样的，ip route list 在每一个名称空间将显示不一样的路由表条目,包括不一样的默认网关。 连接网络名字空间到物理网络 这部分花了我一些时间。我无法解释为何，可是它这样运做了。一旦我搞懂了，一旦我搞懂了,它是显而易见的。让网络名字空间连接到物理网络的就是使用网桥。在个人例子中，我是用一个Open vSwitch(OVS)桥，可是一个标准Linux网桥也能工做的很好。把一个或多个物理接口和veth接口同样放到网桥中，而后，啪，它们就能用了。固然,若是你有不一样的名字空间,你可能想要/须要将它们链接到不一样的物理网络或不一样的vlan。
3、container模式
在理解了host模式后，这个模式也就好理解了。这个模式指定新建立的容器和已经存在的一个容器共享一个Network Namespace，而不是和宿主机共享。新建立的容器不会建立本身的网卡，配置本身的IP，而是和一个指定的容器共享IP、端口范围等。一样，两个容器除了网络方面，其余的如文件系统、进程列表等仍是隔离的。两个容器的进程能够经过lo网卡设备通讯。
联盟式容器是指使用某个已存在容器的网络接口的容器，接口被联盟内的各容器共享使用；所以，联盟式容器彼此间彻底隔离，例如：
联盟式容器彼此虽然共享同一个网络名称空间，但其它名称空间如User、Mount等仍是隔离的。
联盟式容器彼此间存在端口冲突的可能性，所以，一般只会在多个容器上的程序须要程序loopback接口互相通讯，或对已存的容器的网络属性进行监控时才使用此模式的网络模型。
bridge模式：（默认没有设置网络模式工做在bridge模式），咱们启动两个容器，两个容器之间互相隔离，并拥有本身的私有IP，并能够互相通讯，等会会介绍：
docker run --name b1 -it --rm busybox docker run --name b2 -it --rm busybox
container模式：
docker run --name b1 -it --rm busybox docker run --name b2 -it --rm --network container:b1 busybox
此时咱们在b2中使用ifconfig命令，能够看到b2与b1IP相同，彼此之间也能够通讯，效果如同一个主机上的两个进程。
4、none模式
此模式下容器不参与网络通讯，运行于此类容器中的进程仅能访问本地环回接口，仅适用于进程无须网络通讯的场景中，例如备份，进程诊断及各类离线任务等。
--network none:设置模式容器工做在none模式下。
在此模式下使用ifconfig -a 显示只有lo网卡。
5、Bridge模式（默认网络模式）
桥接式容器通常拥有两个接口：一个环回接口和一个链接至主机上某桥设备的以太网接口，在上面的图片就能够看到。
docker daemon启动时默认会建立一个名为docker0的网络桥，docker0网卡扮演二层交换机与网卡设备，不给IP就是交换机，给了IP便可以当交换机也能够当网卡。
而且咱们之后在此模式下建立的容器为桥接式容器，咱们每次启动一个容器，就会为这个容器分配一对网卡设备，其中一个网卡在容器上，另一个网卡在宿主机上，在宿主机上的网卡接口桥接至docker0。
--network bridge：设置容器工做在bridge模式下，即为将容器接口添加至docker0桥。
docker0桥为NAT桥，所以，桥接式容器可经过此桥接口访问外部网络，但防火墙规则阻止一切从外部网络访问桥接式容器的请求，固然也有解决办法，后面会介绍外部访问容器。
这里容器使用独立network Namespace，并链接到docker0虚拟网卡（默认模式）。经过docker0网桥以及Iptables nat表配置与宿主机通讯；bridge模式是Docker默认的网络设置，此模式会为每个容器分配Network Namespace、设置IP等，并将一个主机上的Docker容器链接到一个虚拟网桥上。
经常使用参数的用法
--name：设置容器名 docker run --name t1 -it busybox:latest --rm：退出容器即刻删除容器 docker run --name Nginx -it --network bridge --rm nginx --network:设置网络模式，默认bridge模式 docker run --name t1 -it --network bridge --rm busybox:latest --hostname:为容器设置指定主机名 docker run --name t1 -it --network bridge --hostname t1.magedu.com --rm busybox:latest 注意：使用hostname命令查看主机名 --dns：设置dns服务器 docker run --name t1 -it --network bridge --hostname t1.magedu.com --dns 114.114.114.114 --rm busybox:latest --dns-search：设置dns搜索域 docker run --name t1 -it --network bridge --hostname t1.magedu.com --dns 114.114.114.114 --dns-search ilinux.io --rm busybox:latest --add-host：在/etc/hosts文件中添加主机与ip的解析记录 docker run --name t1 -it --network bridge --hostname t1.magedu.com --dns 114.114.114.114 --dns-search ilinux.io --rm --add-host "docker.com:172.16.0.100" busybox:latest
6、 bridge模式的拓扑
当Docker server启动时，会在主机上建立一个名为docker0的虚拟网桥，此主机上启动的Docker容器会链接到这个虚拟网桥上。虚拟网桥的工做方式和物理交换机相似，这样主机上的全部容器就经过交换机连在了一个二层网络中。接下来就要为容器分配IP了，Docker会从RFC1918所定义的私有IP网段中，选择一个和宿主机不一样的IP地址和子网分配给docker0，链接到docker0的容器就从这个子网中选择一个未占用的IP使用。如通常Docker会使用172.17.0.0/16这个网段，并将172.17.42.1/16分配给docker0网桥（在主机上使用ifconfig命令是能够看到docker0的，能够认为它是网桥的管理接口，在宿主机上做为一块虚拟网卡使用）。单机环境下的网络拓扑以下，主机地址为10.10.101.105/24。
Docker完成以上网络配置的过程大体是这样的：
1. 在主机上建立一对虚拟网卡veth pair设备。veth设备老是成对出现的，它们组成了一个数据的通道，数据从一个设备进入，就会从另外一个设备出来。所以，veth设备经常使用来链接两个网络设备。
2. Docker将veth pair设备的一端放在新建立的容器中，并命名为eth0。另外一端放在主机中，以veth65f9这样相似的名字命名，并将这个网络设备加入到docker0网桥中，能够经过brctl show命令查看。
3. 从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。
7、bridge模式下容器的通讯
在bridge模式下，连在同一网桥上的容器能够相互通讯（若出于安全考虑，也能够禁止它们之间通讯，方法是在DOCKER_OPTS变量中设置–icc=false，这样只有使用–link才能使两个容器通讯）。
Docker能够开启容器间通讯（意味着默认配置--icc=true），也就是说，宿主机上的全部容器能够不受任何限制地相互通讯，这可能致使拒绝服务攻击。进一步地，Docker能够经过--ip_forward和--iptables两个选项控制容器间、容器和外部世界的通讯。
容器也能够与外部通讯，咱们看一下主机上的Iptable规则，能够看到这么一条（查看规则：iptables -t nat -vnL）：
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
这条规则会将源地址为172.17.0.0/16的包（也就是从Docker容器产生的包），而且不是从docker0网卡发出的，进行源地址转换，转换成主机网卡的地址。这么说可能不太好理解，举一个例子说明一下。假设主机有一块网卡为eth0，IP地址为10.10.101.105/24，网关为10.10.101.254。从主机上一个IP为172.17.0.1/16的容器中ping百度（180.76.3.151）。IP包首先从容器发往本身的默认网关docker0，包到达docker0后，也就到达了主机上。而后会查询主机的路由表，发现包应该从主机的eth0发往主机的网关10.10.105.254/24。接着包会转发给eth0，并从eth0发出去（主机的ip_forward转发应该已经打开）。这时候，上面的Iptable规则就会起做用，对包作SNAT转换，将源地址换为eth0的地址。这样，在外界看来，这个包就是从10.10.101.105上发出来的，Docker容器对外是不可见的。
上面添加规则来实现外部访问略为麻烦，咱们还有一种更好的方法，端口映射：
为docker run命令使用-p选项便可实现端口映射，无须手动添加规则
-p选项的使用格式 -p <containerPort> ---将指定的容器端口映射至主机全部地址的一个动态端口（随机端口） -p <hostPort>:<containerPort> ---将容器端口<containerPort>映射至指定的主机端口<hostPort> -p <ip>::<containerPort> ---将指定的容器端口<containerPort>映射至主机指定<ip>的动态端口 -p <ip>:<hostPort>:<containerPort> ---将指定的容器端口<containerPort>映射至主机指定<ip>的端口<hostPort> "动态端口"指随机端口，具体的映射结果可以使用docker port命令查看
那么，外面的机器是如何访问Docker容器的服务呢？咱们首先用下面命令建立一个含有web应用的容器，将容器的80端口映射到主机的80端口。
docker run --name=nginx_bridge --net=bridge -p 80:80 -d nginx
而后查看Iptable规则的变化，发现多了这样一条规则：
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.2:80
此条规则就是对主机eth0收到的目的端口为80的tcp流量进行DNAT转换，将流量发往172.17.0.2:80，也就是咱们上面建立的Docker容器。因此，外界只需访问10.10.101.105:80就能够访问到容器中的服务。
除此以外，咱们还能够自定义Docker使用的IP地址、DNS等信息，甚至使用本身定义的网桥，可是其工做方式仍是同样的。
参考：
https://www.cnblogs.com/zuxing/articles/8780661.html
https://yq.aliyun.com/articles/53624
https://www.cnblogs.com/jsonhc/p/7823286.html