Docker网络学习第五篇-基础网络模式

标准的Docker支持4类网络模式

host模式：容器和宿主机共享Network namespace。
container模式：容器和另外一个容器共享Network namespace。
none模式：容器有独立的Network namespace，但并没有对其进行任何网络设置，如分配veth pair 和网桥连接，配置IP等。
bridge模式：docker默认模式，就是利用在Docker网络学习第一篇-Linux虚拟网络讲到的Birdge实现。

host模式

就是和主机使用同一个network namespace, 直接使用主机的ip和端口与外界通信。下面通过nginx演示，在nginx-conf/default.conf 配置文件中指定端口为11111

docker run --rm --name nginx-test --net=host -v /data/ljgeng/nginx-conf:/etc/nginx/conf.d nginx

另起一个窗口，输入命令curl -I localhost:11111, 可以看到返回响应码200，说明访问是成功的。nginx-test 并没有指定任何端口映射，容器中的11111端口实际就是主机端口，从表现的现象来看，确实可以直接使用了主机ip和端口和nginx-test通信，要进一步验证nginx-test和主机是使用同一个network namespace，首先得了解下面这个知识：

不同network namespace中的进程有不同的net:[]号码发配，拥有相同net:[]号码的进程属于同一个network namesapce

首先查看nginx-test进程号

docker inspect nginx-test  -f "{{.State.Pid}}"
16705

查看 nginx-test的 net 号

ll /proc/16705/ns
...
lrwxrwxrwx 1 root root 0 Aug 17 11:03 net -> net:[4026531956]
...

查看主机的net号

ll /proc/self/ns
...
lrwxrwxrwx 1 root root 0 Aug 17 11:18 net -> net:[4026531956]
...

可以看出nginx-test与主机net号确实相同，说明使用了同一个network namespace, 模式示例图如下：

图1

container模式

和host不同的是，容器和另一个容器共享namespace。两个容器的进程可以通过 lo 网卡设备通信，现有两个容器， nginx-test 和 nginx-test1, 后者与前者共享network namespace，前者端口设置为11111，后者为11112。

窗口1执行

docker run --rm --name nginx-test -v /data/ljgeng/nginx-conf:/etc/nginx/conf.d  nginx

窗口2执行

docker run --rm --name nginx-test1  \
--net=container:nginx-test -v /data/ljgeng/nginx-conf1:/etc/nginx/conf.d  nginx

窗口3执行

docker exec -it nginx-test1 /bin/sh -c "apt-get update && apt install curl && curl -I localhost:11111"

...
HTTP/1.1 200 OK
...

none模式

通过--network=none来指定。这种类型的网络没有办法联网，封闭的网络可以很好的保证容器的安全性。

bridge模式

在Docker进程启动时会自动创建一个虚拟网桥 docker0, 在创建某一个具体的容器时，如果没有指定--net 或者指定--net=bridge, 那么在创建容器的同时会创建一对veth pair 设备，一端放在容器中，一端接入网桥docker0上。

图2

通过brctl show 查看网桥设备

[root@2030-edu-01-no ~]# brctl show
bridge name bridge id       STP enabled interfaces
br-40a246442710     8000.024299092001   no      
docker0     8000.0242612d67e0   no      veth0734eff
                                               ...

在启动容器时通过-p port:port指定映射端口，实际是利用DANT进行的转发，DNAT知识可以在Docker网络学习第二篇-认识iptables 查看。使用iptables -t nat -vnL 查看转发规则。

使用docker network create <network-name> （可以使用-d 指定驱动，默认是bridge）命令时，实际就是创建了一个网桥，同一个网桥内的容器可以互相通信；

使用ip netns ls 查看时，并没有发现docker容器的namespace, 这是因为docker启动容器后会以进程号创建新的名字空间，而在较新的版本里面，默认删除了系统中的名字空间信息文件,如果想恢复，只需要执行 ln -s /proc/容器进程号/ns/net /var/run/netns/容器 命令即可。

最后编辑于：2020.08.17 15:02:33