聊一聊Docker网络通信

fateame

　　基于Docker run创建docker容器时，可以使用--net选项指定容器的网络模式，Docker默认有一下四种网络模式':
　　1）host模式：

　　默认docker容器运行会分配独立的networknamspace隔离子系统，基于host模式，容器将不会获得一个独立的networknamespace，而是和宿主机共用一个network namespace，容器将不会虚拟出自己的网卡等信息，而是使用宿主机的IP和端口
　　2）container模式
　　其实container模式，其实就是容器之间共享一个networknamespace，而不是和宿主机共享，也就是说新创建的容器不会创建自己的网卡，配置自己的IP，而是和一个指定的容器共享网络环境，同样，两个容器除了网络方面相同之外，其他的包括文件系统，进程列表等还是隔离的，
　　3）None模式：
　　None模式与其他模式都不同，这种模式docker容器会拥有自己独立的networknamespace,但是呢，并不会为docker容器进行任何网络配置，也就是说，该docker容器没有网络信息，需要手动自定义等，我们可以借助pipwork工具为docker容器指定IP信息等；
　　4）Bridge桥接模式

　　bridge模式是docker默认的网络模式，该模式宿主机会为每一个容器自动分配一个networknamespace，默认会将docker容器连接到一个虚拟网桥交换机docker0上，

　　PS:Docker Bridge创建创建过程:
　　1）首先宿主机上创建一对虚拟网卡veth pair设备，veth设备总是成对出现的，形成一个通信通道，数据传输就是基于这个链路的，veth设备常用来连接两个网络设备
　　2）Docker将veth pair设备的一端放在容器中，并命名为eth0,然后将另一端加入docker0网桥中，可以通过brctl show命令查看
　　3）从docker0字网卡中分配一个IP到给容器使用，并设置docker0的IP地址为容器默认网关

　　4）此时容器IP与宿主机是可以通信的，宿主机也可以访问容器中的ip地址，在bridge模式下，连接同一网桥的容器之间可以相互通信，同时容器可以访问外网，但是其他物理机不能访问docker容器IP，需要通过NAT将容器的IP的port映射为宿主机的IP和port；
　　【外部访问容器】

　　容器中可以运行一些网络应用，要让外部也可以访问这些应用，可以用过-P或-p参数指定端口映射。当使用-P标记时，docker会随机映射一个49000~49900的端口到内部容器开放的网络端口。使用docker ps可以看到，本地主机的49155被映射到了容器的500端口，此时访问本机的49155端口。即可访问容器内部web应用提供的界面
　　IP :主机端口:包含端口   |IP : :包含端口  | 主机端口:包含端口
　　#映射所有所有接口
　　使用[hostport:containport]格式本地的5000端口映射到容器的5000端口，此时默认会绑定本地所有接口上的所有地址
　　[root@www-jfedu-net ~]# docker run -d -p 5000:5000  docker.io/centos /usr/sbin/init /bin/bash
　　5b2bba28f744d661c33d1cb2d34292795204096b5d5264037d61a568ff91e37b
　　映射到指定地址的任意端口

　　使用[ip::containerport]绑定localhost的任意端口到容器的5000端口，本地主机会自动分配一个端口
　　# docker run -itd --name centosv1 -p 127.0.0.1::5000 e934aafc2206 /bin/bash

　　#映射到指定地址的指定端口
　　使用[ip:hostport:containerport]格式指定映射使用一个特定的地址
　　# docker run -itd -p 127.0.0.1:1001:1002 6fae60ef3446 python app.py
　　# docker ps -l
　　CONTAINER ID        IMAGE               COMMAND                  CREATED             STATUS              PORTS                    NAMES
　　5b2bba28f744        docker.io/centos    "/usr/sbin/init /b..."   About an hour ago   Up About an hour    0.0.0.0:5000->5000/tcp   naughty_nightingale
　　# docker logs -f 5b2bba28f744     同样，可以通过docker logs -f 命令查看应用信息
　　Ps:我们可以通过使用docker port来查看当前映射的端口配置，也可以查看绑定的地址

　　这里需要注意的是，容器有自己的内部网络和IP地址（使用doker inspect可以获取所有的变量，docker还可以有一个可变的网络配置）
　　-p标记可以多次使用来绑定多个端口

　　例如：
　　docker run -d -p 5000:5000 -p 3000:80 training/webapp python app.py
　　【容器互联】
　　我们称之为容器互联是指容器之间的连接，除了映射之外，另一种跟容器中应用交互的方式，该系统会在源和接受容器之间创建一个隧道，接受容器可以看到源容器指定的信息

　　在这里，我们互涉及到自定义容器命名，因为连接系统一句容器的名称来执行，因此首先要自定义好记得容器命名。虽然当创建容器的时候，系统默认会分配一个名字，自定义命名容器好处一下两点：
　　自定义命名，比较好几，比如web应用容器我们可以给取名为web
　　当要连接其他容器 的时候，可以作为一个有用的参考点，比如连接web容器到db容器
　　使用--name标记为容器自定义命名，上述提到，在此不需要在详细讲述
　　#使用--link参数可以实现容器之间安全的进行交互
　　下面创建一个新的数据库容器举例：
　　# docker run -d --name dbserver training/postgres
　　创建一个web容器，并将它连接到dbserver容器
　　# docker run -d -P --name web --link dbserver:db training/webapp  python app.py  
　　docker 在两个互联容器之间创建了一个安全的隧道，而且不用映射它们的端口到宿主机主机上，在启动dbserver容器的时候并没有使用-p和-P标记，从而避免暴露数据库端口到外部网络上

　　此时，db 容器和 web 容器建立互联关系。--link 参数的格式为 --link name:alias ，其中 name 是要链接的容器的名称， alias 是这个连接的别名。使用 docker ps 来查看容器的连接

　　我们进入webserver容器看看，查看hosts文件，127.17.0.2是dbserver的IP；172.17.0.3是本机的ip；这里有两个hosts,都存在着各自的解析IP和主机名信息
　　# docker exec -it 99a1e9ad54da  /bin/bash

　　可以在webserver容器中安装ping命令来测试与dbserver容器的连通性

　　Ps:用户可以链接多个父容器到子容器，比如可以链接 多个web到dbserver容器上
　　【docker网络配置参数】
　　下面是一个跟 Docker 网络相关的命令列表。其中有些命令选项只有在 Docker 服务启动的时候才能配置，而且不能马上生效。
　　 -b BRIDGE or --bridge=BRIDGE --指定容器挂载的网桥
　　--bip=CIDR --定制 docker0 的掩码
　　-H SOCKET... or --host=SOCKET... --Docker 服务端接收命令的通道
　　--icc=true|false --是否支持容器之间进行通信
　　--ip-forward=true|false --请看下文容器之间的通信
　　--iptables=true|false --禁止 Docker 添加 iptables 规则
　　--mtu=BYTES --容器网络中的 MTU
　　下面2个命令选项既可以在启动服务时指定，也可以 Docker 容器启动（ docker run ）时候指定。在Docker 服务启动的时候指定则会成为默认值，后面执行 docker run 时可以覆盖设置的默认值。
　　--dns=IP_ADDRESS... --使用指定的DNS服务器
　　--dns-search=DOMAIN... --指定DNS搜索域最后这些选项只有在 docker run 执行时使用，因为它是针对容器的特性内容。
　　-h HOSTNAME or --hostname=HOSTNAME --配置容器主机名
　　--link=CONTAINER_NAME:ALIAS --添加到另一个容器的连接
　　--net=bridge|none|container:NAME_or_ID|host --配置容器的桥接模式
　　-p SPEC or --publish=SPEC --映射容器端口到宿主主机
　　-P or --publish-all=true|false --映射容器所有端口到宿主主机
　　[高级拓展]

　　配置docker0网桥
　　Docker服务默认会创建一个docker网桥（其中又一个docker0的内部接口），它在内核层联通了其他的物理或虚拟网卡，这将所有容器和本地主机都放在同一个物理网络
　　docker默认 指定了 docker0接口的IP地址和子网掩码，让主机和容器之间可以通过网桥相互通信，还给出了MTU（接口允许的最大传输单元）通常是1500 Bytes，或宿主机网络路由上支持的默认值，这些值都可以在服务启动的时候进行配置
　　*--bip=CIDR  --IP地址加上子网掩码格式，例如：192.168.1.5/24
　　*--mtu=BYTES  --覆盖默认的docker mtu配置
　　也可以在配置文件中DOCKER_OPTS,然后重启服务，由于目前docker网桥是linux网桥，用户可以使用brctl  show来查看网桥和端口连接信息。
　　
　　每次创建一个容器的时候，docker从可用的地址段中选择一个空闲的IP地址分配给容器eth0端口，使用本地主机的docker0的ip作为容器的默认网关
　　
　　自定义网桥

　　除了默认的docker0网桥，用户可以指定网桥来连接各个容器
　　在启动docker服务的时候，使用-b或者是--bridge来指定使用网桥，如果服务已经运行，那需要先停止服务，并删除旧的网桥
　　
　　[root@www-jfedu-net ~]# systemctl stop docker
　　[root@www-jfedu-net ~]# ifconfig docker0 down
　　[root@www-jfedu-net ~]# brctl delbr docker0
　　/etc/sysconfig/network-scripts下，修改ifconfig-eth0网卡配置，同时增加ifcfg-br0网桥配置，
　　vim  /etc/sysconfig/network-scripts/ifcfg-eth0
　　BOOTPROTO=none
　　DEFROUTE=yes
　　DEVICE=eth0
　　GATEWAY=10.104.128.1
　　HWADDR=52:54:00:34:47:66
　　IPADDR=10.104.137.230
　　NETMASK=255.255.192.0
　　NM_CONTROLLED=no
　　ONBOOT=yes
　　TYPE=Ethernet
　　USERCTL=no
　　vim  /etc/sysconfig/network-scripts/ifcfg-br0
　　
　　BOTPROTO=static
　　DEVICE=br0
　　TYPE=Bridge
　　NM_CONTROLLED=no
　　IPADDR=10.104.137.231
　　NETMASK=255.255.192.0
　　GATEWAY=10.104.191.255
　　DNS1=61.177.7.1
　　DNS2=8.8.8.8
　　配置docker服务，默认桥接到创建的网桥上
　　

　　启动 Docker 服务。 新建一个容器，可以看到它已经桥接到了 br0 上。可以继续用 brctl show 命令查看桥接的信息。另外，在容器中可以使用 ip addr 和 ip route 命令来查看 IP 地址配置和路由信息
　　[讨论]
　　其实docker端口映射是通过两种机制来实现的，
　　首先，docker默认情况下会修改宿主机的iptables规则
　　其次，docker会在宿主机上启动一个轻量级的代理程序，这个程序监听了宿主机所有网络接口，监听端口是为容器动态分配的端，我们可以通过查看系统正在运行的进程，就能看到这个proxy代理程序了
　　
　　# ps -ef | grep docker