Docker学习六、docker网络管理

一、Linux网络设备的基本概念

在学习docker网络管理之前先要了解一些Linux网络设备的基本概念：

Linux Bridge，即Linux网桥设备，是Linux提供的一种虚拟网络设备之一。其工作方式非常类似于物理的网络交换机设备。Linux Bridge可以工作在二层，也可以工作在三层，默认工作在二层。工作在二层时，可以在同一网络的不同主机间转发以太网报文；一旦你给一个Linux Bridge分配了IP地址，也就开启了该Bridge的三层工作模式。在Linux下，你可以用iproute2工具包或brctl命令对Linux bridge进行管理。
VETH(Virtual Ethernet )是Linux提供的另外一种特殊的网络设备，中文称为虚拟网卡接口。它总是成对出现，要创建就创建一个Pair。一个Pair中的veth就像一个网络线缆的两个端点，数据从一个端点进入，必然从另外一个端点流出。每个veth都可以被赋予IP地址，并参与三层网络路由过程。
Network namespace，网络名字空间，允许你在Linux创建相互隔离的网络视图，每个网络名字空间都有独立的网络配置，比如：网络设备、路由表等。新建的网络名字空间与主机默认网络名字空间之间是隔离的。我们平时默认操作的是主机的默认网络名字空间。

关于Linux Bridge和VETH的具体工作原理，可以参考IBM developerWorks上的这篇文章《Linux 上的基础网络设备详解》。

关于namespace的知识补充：docker容器本质上是宿主机的进程，Docker通过namespace实现了资源隔离，通过cgroups实现了资源限制，通过写时复制机制（copy-on-write）实现了高效的文件操作。namespace在linux中是实现资源隔离的一种手段，也是轻量级虚拟化的一种手段。可以实现多个用户，也可以实现多个网络设备访问（虚拟化网络），但是实体网络却只有一个。资源隔离意味着比如不通PID命名空间看到的PID进程是不一样的，不通命名空间看到的IPC通信是不一样的。命名空间分类：

图片.png

二、Docker网络拓扑图

通常情况下，Docker使用网桥（bridge）和NAT的通信模式（还有其他模式，暂时只学习这一种），其网络拓扑图如下：

图片.png

如图所示：

默认情况下，我们在宿主机上看到的都是default network namespace的视图，Docker在安装完以后，Docker Daemon会在default network namespace创建一个名字为docker0的虚拟网桥，其IP默认为172.17.0.1/16，负责容器与容器之间（网桥）、容器访问外部网络（SNAT转换）、外部网络访问容器（DNAT转换）的通信，同时也会创建一个新的network namespace。
每当运行一个容器，Docker就会将容器放入新建的network namespace中，同时会创建一个虚拟网卡接口（VETH），一端连接在网桥docker0上面，另一端插在容器上充当eth0，用于连接两个不同的network namespace。