1、Docker Container 两个特点：
1）、内部可以跑应用进程
2）、提供隔离的环境
Docker Container 环境的隔离需要Linux 的内核特性：1）、namespace——主要负责命名空间的隔离
2）、cgroup——主要负责资源使用的限制
两者的关系：
- 父进程通过 fork 创建子进程时，使用namespace 技术，实现子进程与其他进程（包含父进程）的命名空间隔离
- 子进程创建完毕以后，使用 cgroup 技术来处理子进程，实现进程的资源使用限制
- 系统在子进程所处 namespace 内部，创建需要的隔离环境，如隔离的网络栈等
- namespace 和 cgroup 两种技术都用上之后，进程所处的“隔离”环境才真正建立，这时 “容器”才真正诞生
整个流程可以总结为：使用Docker 创建一个进程，为这个进程创建隔离环境，这样的环境可以称之为 Docker Daemon（容器），然后再在容器内部运行用户应用进程。
Docker 关于 namespace 的简易示意图.jpg
2、Docker Container 网络模式
Docker Container 的网络，可以得出 4 种不同的模式：bridge 桥接模式、host 模式、other container 模式和 none 模式。
2.1、bridge 桥接模式
Brdige 桥接模式为 Docker Container 创建独立的网络栈，保证容器内的进程组使用独立的网络环境，实现容器间、容器与宿主机之间的网络栈隔离。另外，Docker 通过宿主机上的网桥 (docker0) 来连通容器内部的网络栈与宿主机的网络栈，实现容器与宿主机乃至外界的网络通信。
Bridge 桥接模式示意图如下：
Bridge 桥接模式的实现步骤主要如下：
- Docker Daemon 利用 veth pair 技术，在宿主机上创建两个虚拟网络接口设备，假设为 veth0 和 veth1。而 veth pair 技术的特性可以保证无论哪一个 veth 接收到网络报文，都会将报文传输给另一方。
- Docker Daemon 将 veth0 附加到 Docker Daemon 创建的 docker0 网桥上。保证宿主机的网络报文可以发往 veth0；
- Docker Daemon 将 veth1 添加到 Docker Container 所属的 namespace 下，并被改名为 eth0。如此一来，保证宿主机的网络报文若发往 veth0，则立即会被 eth0 接收，实现宿主机到 Docker Container 网络的联通性；同时，也保证 Docker Container 单独使用 eth0，实现容器网络环境的隔离性。
外界访问 Docker Container 内部服务的流程为：
- 外界访问宿主机的 IP 以及宿主机的端口 port_1；
- 当宿主机接收到这样的请求之后，由于 DNAT 规则的存在，会将该请求的目的 IP（宿主机 eth0 的 IP）和目的端口 port_1 进行转换，转换为容器 IP 和容器的端口 port_0;
- 由于宿主机认识容器 IP，故可以将请求发送给 veth pair；
- veth pair 的 veth0 将请求发送至容器内部的 eth0，最终交给内部服务进行处理。
Docker Container 访问宿主机以外世界的流程：
- Docker Container 内部进程获悉宿主机以外服务的 IP 地址和端口 port_2，于是 Docker Container 发起请求。容器的独立网络环境保证了请求中报文的源 IP 地址为容器 IP（即容器内部 eth0），另外 Linux 内核会自动为进程分配一个可用源端口（假设为 port_3）;
- 请求通过容器内部 eth0 发送至 veth pair 的另一端，到达 veth0，也就是到达了网桥（docker0）处；
- docker0 网桥开启了数据报转发功能（/proc/sys/net/ipv4/ip_forward），故将请求发送至宿主机的 eth0 处；
- 宿主机处理请求时，使用 SNAT 对请求进行源地址 IP 转换，即将请求中源地址 IP（容器 IP 地址）转换为宿主机 eth0 的 IP 地址；
- 宿主机将经过 SNAT 转换后的报文通过请求的目的 IP 地址（宿主机以外世界的 IP 地址）发送至外界。---外界响应请求后需要通过iptables规则来完成
iptables -I FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
#宿主机上发往 docker0 网桥的网络数据报文，如果是该数据报文所处的连接已经建立的话，则无条件接受，并由 Linux 内核将其发送到原来的连接上，即回到 Docker Container 内部。
2.2、host 模式
Docker Container 中的 host 模式与 bridge 桥接模式有很大的不同。最大的区别当属，host 模式并没有为容器创建一个隔离的网络环境。而之所以称之为 host 模式，是因为该模式下的 Docker Container 会和 host 宿主机共享同一个网络 namespace，故 Docker Container 可以和宿主机一样，使用宿主机的 eth0，实现和外界的通信。换言之，Docker Container 的 IP 地址即为宿主机 eth0 的 IP 地址。
host 网络模式图如下：
最左侧的 Docker Container，即采用了 host 网络模式，而其他两个 Docker Container 依然沿用 brdige 桥接模式，两种模式同时存在于宿主机上并不矛盾。
补充：
host 模式的 Docker Container 虽然可以让容器内部的服务和传统情况无差别、无改造的使用，但是由于网络隔离性的弱化，该容器会与宿主机共享竞争网络栈的使用；另外，容器内部将不再拥有所有的端口资源，原因是部分端口资源已经被宿主机本身的服务占用，还有部分端口已经用以 bridge 网络模式容器的端口映射。
2.3、other container 模式
other container 网络模式是 Docker 中一种较为特别的网络的模式。之所以称为“other container 模式”，是因为这个模式下的 Docker Container，会使用其他容器的网络环境。这个模式下容器的网络隔离性会处于 bridge 桥接模式与 host 模式之间。Docker Container 共享其他容器的网络环境，则至少这两个容器之间不存在网络隔离，而这两个容器又与宿主机以及除此之外其他的容器存在网络隔离。
other container 网络模式如下：
other container 网络模式的创建只需要两个步骤：
1）、查找 other container（即需要被共享网络环境的容器）的网络 namespace；
2）、将新创建的 Docker Container（也是需要共享其他网络的容器）的 namespace，使用 other container 的 namespace。
补充：
在这种模式下的 Docker Container 可以通过 localhost 来访问 namespace 下的其他容器，传输效率较高。虽然多个容器共享网络环境，但是多个容器形成的整体依然与宿主机以及其他容器形成网络隔离。另外，这种模式还节约了一定数量的网络资源。但是需要注意的是，它并没有改善容器与宿主机以外世界通信的情况。
2.4、none 模式
Docker Container 的第四种网络模式是 none 模式。顾名思义，网络环境为 none，即不为 Docker Container 任何的网络环境。一旦 Docker Container 采用了 none 网络模式，那么容器内部就只能使用 loopback 网络设备，不会再有其他的网络资源。
