Docker 之容器间通讯配置

当你开始大规模使用Docker时，你会发现须要了解不少关于网络的知识。Docker做为目前最火的轻量级容器技术，有不少使人称道的功能，如Docker的镜像管理。然而，Docker一样有着不少不完善的地方，网络方面就是Docker比较薄弱的部分。所以，咱们有必要深刻了解Docker的网络知识，以知足更高的网络需求。

咱们安装Docker时，它会自动建立三个网络，bridge（建立容器默认链接到此网络）、 none 、host

• host：容器将不会虚拟出本身的网卡，配置本身的IP等，而是使用宿主机的IP和端口。
• None：该模式关闭了容器的网络功能，至关于一个回环网络。
• Bridge：此模式会为每个容器分配、设置IP等，并将容器链接到一个叫docker0的虚拟网桥，经过docker0网桥以及Iptables nat表配置与宿主机通讯。

[root@docker03 ~]# docker network ls            # 执行该命令查看docker建立的网络
NETWORK ID          NAME                DRIVER              SCOPE
ec6c04260126        bridge              bridge              local
26342588dbd3        host                host                local
a1ab061af018        none                null                local

三个网络解释以下：
None：该模式将容器放置在它本身的网络栈中，可是并不进行任何配置。实际上，该模式关闭了容器的网络功能，相似于会换地址，在如下两种状况下是有用的：容器并不须要网络（例如只须要写磁盘卷的批处理任务）
Host：至关于Vmware中的桥接模式，与宿主机在同一个网络中，但没有独立的IP地址。众所周知，Docker使用了Linux的Namespaces技术来进行资源隔离，如PID Namespace隔离进程，Mount Namespace隔离文件系统，Network Namespace隔离网络等。一个Network Namespace提供了一份独立的网络环境，包括网卡、路由、Iptable规则等都与其余的Network Namespace隔离。一个Docker容器通常会分配一个独立的Network Namespace。但若是启动容器的时候使用host模式，那么这个容器将不会得到一个独立的Network Namespace，而是和宿主机共用一个Network Namespace。容器将不会虚拟出本身的网卡，配置本身的IP等，而是使用宿主机的IP和端口。基于Host模式启动的容器，在容器内执行ifconfig时，看到的都是宿主机上的信息。该模式不够灵活，容易出现端口冲突问题
Bridge：至关于Vmware中的NAT模式，容器使用独立的network Namespace，而且链接到docker0虚拟网卡（默认模式）。经过docker网桥以及IPtables nat表配置与宿主机通讯；Bridge模式是Docker默认的网络设置，此模式会为每个容器分配一个Network nameSpace、设置IP等，并将一个主机上的Docker容器链接到一个虚拟网桥docker0上
overlay：顾名思义：覆盖，但它又不是覆盖，它的做用就是在容器原有的网络基础之上，再添加一块网卡，并为其分配一个IP地址，能够将全部的docker容器关联到同一个局域网中，适用于容器与容器是跨主机进行通讯的场景。

在生产环境中，应用的最多的就是Bridge模式和overlay模式了。

1、Bridge模式
当Docker server启动时，会在主机上建立一个名为docker0的虚拟网桥，此主机上启动的Docker容器就会链接到这个虚拟网桥上。虚拟网桥的工做方式和物理交换机相似，这样主机上的全部容器就经过交换机连在了一个二层网络中，通常Docker会使用172.17.0.0/16这个网段，并将这个网段分配给docker0网桥使用（在主机上使用ifconfig命令能够看到docker0），而后为容器分配一个同网段的IP地址。
单机环境下的网络拓扑以下（主机地址是10.10.0.186/24）：

Docker 完成以上网络配置的过程大体是这样的：

• 在主机上建立一对虚拟网卡veth pair设备。veth设备老是成对出现的，它们组成了一个数据的通道，数据从一个设备进入，就会从另外一个设备出来。所以，veth设备经常使用来链接两个网络设备。
• Docker将veth pair设备的一端放在新建立的容器中，并命名为eth0。另外一端放在主机中，以veth65f9这样相似的名字命名，并将这个网络设备加入到docker0网桥中，能够经过brctl show命令查看。
• 从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。

当全部的容器都是基于默认的docker0进行建立的，那么抛开防火墙、IPtables等相关的设置外，理论上，各个容器是能够相互通讯的，可是docker0这个网络是系统自带的，有些功能不可以实现，而且不够灵活。

其实咱们也是能够自定义建立网络的，而且能够指定其具体属于哪一个网段等。这是docker 0没法实现的，那么，若是各个容器，不是基于同一个网络（如Docker0）建立的话，那么？如何使它们互通呢？

实现的效果以下：

• 基于docker0（docker的驱动名称使bridge）网络建立2个容器，分别是box一、box2。
• 建立自定义网络，网络类型为bridge，名称为my_net1.基于此网络建立两个容器box3,box4（若不指定网段，会使用172.18.0.0/16这个网段，基于docker0增长一个网络位）
• 建立自定义网络，网络类型为bridge，名称为my_net2，指定网段为172.20.18.0/24，基于此网络建立两个容器box5(ip为172.20.18.6)，box6（IP为172.20.18.8）。
• 配置实现box2可以和box3相互通讯，box4和box5能够相互通讯。

[root@docker03 ~]# docker run -itd --name test1 --network bridge busybox
#建立一个容器box1，--network选项能够省略，默认就是bridge，这里只是为了展现命令
[root@docker03 ~]# docker run -itd --name test2 --network bridge busybox          # 同上
[root@docker03 ~]# docker network create -d bridge my_net1             #建立一个桥接网络，名称为my_net1
[root@docker03 ~]# docker run -itd --name test3 --network my_net1 busybox                #基于my_net1建立容器test3
[root@docker03 ~]# docker run -itd --name test4 --network my_net1 busybox                # 同上
[root@docker03 ~]# docker network create -d bridge --subnet 172.20.18.0/24 my_net2               # 建立一个桥接网络my_net2，并指定其网段
[root@docker03 ~]# docker run -itd --name test5 --network my_net2 --ip 172.20.18.5 busybox       #基于my_net2网络，建立一个容器test5，而且指定其IP地址
[root@docker03 ~]# docker run -itd --name test6 --network my_net2 --ip 172.20.18.6 busybox
[root@docker03 ~]# docker network connect my_net1 test2          #将test2链接到my_net1这个网络
[root@docker03 ~]# docker exec test2 ping test3           #进行ping测试，能够发现test2 能够ping通test3了。
#而若是没有将box2链接到网络my_net1，是绝对不会ping通
PING test3 (172.18.0.2): 56 data bytes
64 bytes from 172.18.0.2: seq=0 ttl=64 time=0.121 ms
64 bytes from 172.18.0.2: seq=1 ttl=64 time=0.059 ms
64 bytes from 172.18.0.2: seq=2 ttl=64 time=0.061 ms
[root@docker03 ~]# docker network connect my_net2 test4    # 将test4链接到my_net2网络
#同box2和box3的ping测试，若没有将box4链接到box5所在的网络，是不可能ping通的。
[root@docker03 ~]# docker exec test5 ip a         # 查看test5 的IP
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
16: eth0@if17: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue 
    link/ether 02:42:ac:14:12:05 brd ff:ff:ff:ff:ff:ff
    inet 172.20.18.5/24 brd 172.20.18.255 scope global eth0          # 肯定其IP
       valid_lft forever preferred_lft forever
[root@docker03 ~]# docker exec test4 ping test5     # 能够ping通
PING test5 (172.20.18.5): 56 data bytes
64 bytes from 172.20.18.5: seq=0 ttl=64 time=0.112 ms
64 bytes from 172.20.18.5: seq=1 ttl=64 time=0.065 ms
64 bytes from 172.20.18.5: seq=2 ttl=64 time=0.058 ms

通过以上配置，已经实现了最终的效果，须要注意的是，咱们彻底能够将建立的my_net一、my_net2网络驱动理解为一个交换机，而执行命令docker network connect my_net1 test2，则至关于将test2这个容器添加了一块网卡，而后链接到了my_net1这个交换机，而后这个容器就多了一块网卡，而且拥有my_net1这个交换机中IP地址。在上述的配置中，test2不但能够和test3进行通讯，也是能够和test4进行通讯的，由于它们都是链接在了my_net1这个“交换机”上。

注意：

• 容器之间可使用容器名进行通讯，但前提使用的是自定义的网络，如上面的my_net一、my_net2；
• 若是在建立自定义网络的同时，指定了该网络的网段，那么，使用此网络的容器也能够指定容器的IP地址，若没有指定该网络的网段，则不能够指定容器的IP地址。