02-docker的网络模式

网络基本概念：

Bridge & veth

Bridge

Bridge的中文含义是网桥，提到网桥就不得不提到类似的另外3种设备：集线器、交换机、路由器，它们的主要区别是对应的网络层次不一样，能够理解的信息不一样，从而导致转发行为有所不同。

集线器工作在物理层，由于物理层只是处理单纯的信号，无法理解数据包的内容，因此，它在收到数据后，只能向其他所有端口转发
网桥工作在数据链路层，因此，网桥能够读懂数据链路帧的头部信息，也就是其中的MAC信息，因此，它在收到数据后，可以用查询MAC地址转发表，从而判断可以将数据包从哪个端口转发出去
交换机有二层交换机和三层交换机之分，二层交换机相当于网桥，三层交换机工作在网络层，因此，三层交换机能够读懂IP包头的信息，因此，它能够通过查询路由表，从而将数据包转发给下一跳(常见的网络拓扑结构中，接入层一般使用二层交换机，它拥有较低的成本和较多的接口数量，而汇聚层和核心层一般使用三层交换机，它拥有较高的成本和较高的转发性能)
路由器工作在三层，与三层交换机的主要区别在路由表项数量、转发性能上

Linux中的Bridge是个虚拟网桥，可以将网络接口加入该虚拟网桥。Linux中操作Bridge的命令有ip bridge、bridge、brctl。

brctl命令可以用于操作网桥：

brctl show 查看网桥
brctl addbr $BRNAME 创建网桥
brctl delbr $BRNAME 删除网桥
brctl addif $BRNAME $DEV 将接口加入网桥
brctl delif $BRNAME $DEV 将接口从网桥中删除

bridge命令有两个常用的子命令：

bridge link 对接口进行操作，使用该命令也可以将接口加入网桥(如何删除呢？)
bridge fdb 对fdb转发表进行操作，可以查看fdb转发表，也可以向其中插入和删除一些表项

veth

veth是linux提供的一种虚拟网络接口，常用的场景是用于连接两个虚拟网络(虚拟网络设备或者网络命名空间)。

不要认为veth太过神秘，可以直接将veth理解成一根线，当数据发送给一端时，可以从另一端接收到。

因此，对veth的操作就是创建veth，然后将某一端加入某个网络环境(网络命名空间、bridge等)。

Docker网络模式简介

基于对Network Namespace的控制，docker可以为在容器创建隔离的网络环境，在隔离的网络环境下，容器具有完全独立的网络栈，与宿主机隔离，也可以使容器共享主机或者其他容器的网络命名空间，基本可以满足开发者在各种场景下的需要。按docker官方的说法，docker容器的网络有五种模式：

网络模式	简介
Bridge（默认模式）	此模式会为每一个容器分配、设置IP等，并将容器连接到一个docker0虚拟网桥，通过docker0网桥以及Iptables nat表配置与宿主机通信。
Host	容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。
Container	创建的容器不会创建自己的网卡，配置自己的IP，而是和一个指定的容器共享IP、端口范围。
None	该模式关闭了容器的网络功能，与宿主机、与其他容器都不连通的.
自定义网络模式	直接使用bridge模式，是无法支持指定IP运行docker的，可以先自定义网络，再使用指定IP运行docker

当你安装Docker时，它会自动创建三个网络（bridge、host、none）。你可以使用以下docker network ls命令列出这些网络：

我们在使用docker run创建Docker容器时，可以用 --net 选项指定容器的网络模式，Docker可以有以下4种网络模式：

bridge模式：使用 --net=bridge 指定，默认设置。
host模式：使用 --net=host 指定。
none模式：使用 --net=none 指定。
container模式：使用 --net=container:NAME_or_ID 指定。

五中网络模式

1. 默认网络模式（bridge）：Docker 默认使用 bridge 网络模式，创建一个名为 docker0 的虚拟网桥，并为每个容器分配一个 IP 地址。容器间可以通过 IP 地址相互通信。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。

当创建一个 Docker 容器的时候，同时会创建了一对 veth pair接口（当数据包发送到一个接口时，另外一个接口也可以收到相同的数据包）。这对接口一端在容器内，即 eth0；另一端在本地并被挂载到docker0 网桥，名称以 veth 开头（例如 veth35445b9）。通过这种方式，主机可以跟容器通信，容器之间也可以相互通信。Docker 就创建了在主机和所有容器之间一个虚拟共享网络。

示例：

# --net=bridge可以省略，默认模式
$ docker run --name=nginx_bridge --net=bridge -p 8080:80 -td nginx
# 查看容器详情
$ docker inspect nginx_bridge
# 筛选出容器IP
$ docker inspect --format='{{.NetworkSettings.IPAddress}}' nginx_bridge

对比一下宿主机的/etc/host，不一样

2. 主机模式（host）： 与宿主机在同一个网络中，但没有独立IP地址。一个Docker容器一般会分配一个独立的Network Namespace。但如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Namespace，而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。可以通过 --net=host 指定使用 host 网络。

使用host模式的容器可以直接使用宿主机的IP地址与外界通信，容器内部的服务端口也可以使用宿主机的端口，不需要进行NAT，host最大的优势就是网络性能比较好，但是docker host上已经使用的端口就不能再用了，网络的隔离性不好

示例：

$ docker run --name=nginx_host --net=host -p 8081:80 -td nginx
$ docker inspect nginx_host

对比下宿主机/etc/hosts，一模一样

3. Container模式： Docker网络container模式是指定其和已经存在的某个容器共享一个 Network Namespace，此时这两个容器共同使用同一网卡、主机名、IP 地址，容器间通讯可直接通过本地回环 lo 接口通讯。但这两个容器在其他的资源上，如文件系统、进程列表等还是隔离的。

示例：

# 创建容器
$ docker run --name=busybox_container --net=container:nginx_bridge -td busybox
$ 查看绑定容器的IP
$ docker inspect --format='{{.NetworkSettings.IPAddress}}' nginx_bridge
# 查看新创建容器的IP,通过上面这种方式查不出来busybox_container的网络，需要进入容器 ifconfig
$ docker inspect --format='{{.NetworkSettings.IPAddress}}' busybox_container
# 通过ifconfig查询ip
$ docker exec busybox_container ifconfig

4. None模式： 该模式关闭了容器的网络功能

容器有自己的网络命名空间，但不做任何配置，它与宿主机、与其他容器都不连通的。我们新建一个 none 模式的 busybox 镜像 b0：

示例：

$ docker run -dt --net=none --name busybox_none busybox
# 查看它的网络状态， 验证它仅有 lo 接口，不能与容器外通信
$ docker exec busybox_none ip a

5.自定义网络模式：直接使用bridge模式，是无法支持指定IP运行docker的，例如执行以下命令就会报错

创建自定义网络：可以先自定义网络，再使用指定IP运行docker，如果是网桥模式，先分配网桥名称和新网络模式名称

格式：

docker network create --subnet=新IP网段  --opt "com.docker.network.bridge.name"="新网桥名称"  新网络模式名称
docker run --network=新网络模式名称 --ip 自定义IP 镜像:标签 [启动命令]

docker network create --subnet=172.18.0.0/16 --opt "com.docker.network.bridge.name"="docker1" mynetwork

* docker1 为执行 ifconfig -a 命令时，显示的网卡名，如果不使用 --opt 参数指定此名称，那你在使用 ifconfig -a 命令查看网络信息时，看到的是类似 br-110eb56a0b22 这样的名字，这显然不怎么好记。
* mynetwork 为执行 docker network list 命令时，显示的bridge网络模式名称。

docker run -itd --name test4 --net mynetwork --ip 172.18.0.10 centos:7 /bin/bash

不同网络模式对比：

docker inspect test4 | grep IPAddress

Docker NAT iptables实现内外网络通信原理

默认情况下，容器可以主动访问到外部网络的连接，但是外部网络无法访问到容器

如果容器的宿主机上的ip_forward未打开，那么该宿主机上的容器则不能被其他宿主机访问

# 临时修改
$ echo 1 >  /proc/sys/net/ipv4/ip_forward
# 永久修改
$ echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
$ sysctl -p
# 查看是否开启 ipv4 转发
$ sysctl net.ipv4.ip_forward

静态路由,动态路由,默认路由

静态路由、动态路由和默认路由是网络中常见的路由类型，它们各自有着不同的特点和作用。静态路由的特点：1. 静态路由需要手动配置路由表，管理员需要手动管理路由，当网络规模小且变化较少时，使用静态路由比较方便。2. 静态路由的路由表不会自动更新，网络发生变化时，管理员需要手动更新路由表；而且，静态路由的计算不具有容错性，无法自动适应网络变化。3. 静态路由的路由控制能力较强，相对比较安全，但也容易出现“路由循环”等问题。动态路由的特点：1. 动态路由是自动计算出路由表，能够自动适应网络变化。2. 动态路由协议相对复杂，但它可以自动计算出更优的路由路径，提高网络传输效率。3. 动态路由能够自动分配网络地址和掩码，但这也会导致路由表增大和占用更多的硬件资源。默认路由的特点：1. 默认路由是当路由表中没有可用路由时，将数据包发送至默认网关。2. 默认路由的策略相对简单，主要应用于较小规模的网络中。3. 默认路由比较灵活，能够快速在网络中部署。4. 默认路由也经常被用于连接不同网络之间。总的来说，静态路由、动态路由和默认路由各有其特点。

SNAT 和 DNAT

SNAT是“Source Network Address Translation”的缩写，指的是一种将源IP地址转换为另一个IP地址的技术。在网络通信中，当内部网络的主机向外部网络发送数据包时，数据包的源IP地址会被修改为一个公共IP地址，这样外部网络就无法直接访问内部网络的真实IP地址。SNAT的主要作用是隐藏内部网络的真实IP地址，从而增强网络的安全性。
DNAT是“Destination Network Address Translation”的缩写，指的是一种将目标IP地址转换为另一个IP地址的技术。在网络通信中，当外部网络的主机向内部网络发送数据包时，数据包的目标IP地址会被修改为内部网络的某个主机的IP地址，从而实现数据包的路由。DNAT的主要作用是将外部网络的请求路由到内部网络的某个主机上，从而实现网络服务的访问。
总的来说，SNAT和DNAT都是网络地址转换技术，但它们的作用不同。SNAT主要用于隐藏内部网络的真实IP地址，增强网络的安全性；DNAT主要用于将外部网络的请求路由到内部网络的某个主机上，实现网络服务的访问。

容器访问外部实现

容器所有到外部网络的连接，源地址都会被 NAT 成本地系统的 IP 地址（即docker0地址）。这是使用 iptables 的源地址伪装操作实现的。

将net.ipv4.ip_forward参数的值设置为1，表示启用IP转发功能。这样，系统就会将接收到的IP数据包转发到其他网络接口（在此案例中为 docker0 转发到 ens33），实现网络之间的通信。

查看主机的 NAT 规则：iptables -t nat -vnL

其中，上述规则将所有源地址在 172.17.0.0/16网段的包（也就是从Docker容器产生的包），并且不是从docker0网卡发出的，进行源地址转换（SNAT），转换成主机网卡的地址。

【科普】MASQUERADE：IP伪装，自动获取当前ip地址来做NAT
上面这么说可能不太好理解，举一个例子说明一下
当前主机有一块网卡为bond0，IP地址为192.168.1.10/24，网关为192.168.1.2。从主机上一个IP为172.17.0.10/16的容器中ping百度（39.156.66.18）。IP包首先从容器发往自己的默认网关docker0，包到达docker0后，也就到达了主机上（此定义需要开启 ipv4 网口间转发的内核配置，才能实现 docker0 到 ens33 网口的传递转发）。然后会查询主机的路由表，发现包应该从主机的ens33发往主机的网关192.168.1.2/24。接着包会转发给ens33，并从ens33发出去（主机的ip_forward转发应该已经打开）。这时候，上面的Iptable规则就会起作用，通过MASQUERADE IP伪装，自动获取ens33 ip地址来对包做SNAT转换，将源地址换为ens33的地址。这样，在外界看来，这个包就是从192.168.1.10上发出来的，Docker容器对外是不可见的。

查看路由表，可以看到是走默认路由

route -n && ip route

容器访问外部流程图：

外部访问容器实现

容器允许外部访问，可以在 docker run 时候通过 -p 或 -P 参数来启用，不管用那种办法，其实也是在本地的 iptable 的 nat 表中添加相应的规则。

$ docker run -d -P nginx
# 使用 -P 标记时，Docker 会随机映射一个随机端口到内部容器开放的网络端口：
$ docker  run  -d -p 8880:80 nginx
$ iptables  -t  nat -nvL

上面圈中的就是刚刚创建两个容器的端口转发规则，其中，上述的规则映射了 0.0.0.0，意味着将接受主机来自所有接口的包，并且不是从docker0网卡导入的，进行目的地址转换（DNAT），转换成容器网卡的地址。

外部访问容器流程图：

docker 网络实战

docker 模拟网桥网络实验：

docker run -d --name test1 busybox /bin/sh -c "while true; do sleep 3600; done"
docker exec -it test1 /bin/sh
ip a

每创建一个docker都会为docker环境创建一个独立的namespace
docker run -d --name test2 busybox /bin/sh -c "while true; do sleep 3600; done"
docker exec test2 ip a

两个docker之间的网络是互通的

模拟docker veth创建过程：

创建两个namespace

检查namespace的网络环境和外界环境的链路

让test1 网络环境的lo起来，状态变为UNKONWN，单个端口是无法UP起来，所以状态是UNNONE

通过配置ip地址操作让两个namespace连起来：

docker网络技术原理：
NAT实现底层原理：iptables

创建一个veth-test1 类型为veth，并为其配对一个veth-test2的接口
ip link add veth-test1 type veth peer name veth-test2

ip link

目前看两张虚拟网卡只有mac地址，还没有ip

为test1 namespace网络环境分配虚拟网卡veth-test1
ip link set veth-test1 netns test1

ip link 查看本地veth-test1已经消失，只剩下veth-test2

同理，分配veth-test2到test2网络环境中
ip link set veth-test2 netns test2

查看网卡是否成功分配到两个网络环境中：
ip netns exec test1 ip link && ip netns exec test2 ip link

给两个网络环境下的虚拟网卡配置ip地址并开启虚拟网卡：
ip netns exec test1 ip addr add 192.168.1.1/24 dev veth-test1 && ip netns exec test1 ip link set dev veth-test1 up
ip netns exec test2 ip addr add 192.168.1.2/24 dev veth-test2 && ip netns exec test2 ip link set dev veth-test2 up

检查是否成功分配ip地址：
ip netns exec test1 ip a && ip netns exec test2 ip a

两张虚拟网卡可以ping通：

docker和主机之间的网络：

veth网络环境中的ip

查看外部网络环境：
docker network ls

bridge为本机组件
看一下bridge网络，docker0在本机的namespace，容器也有其单独的namespace
docker network inspect bridge

看一下本机网络；

docker inspect查看，网关为172.17.0.1，通过docker0网桥实现和主机互通，外部的namespace 和内部的namespace是通过一对veth pair实现的，而外部的veth012194b连接在了docker0上面，从而实现互通

通过工具检测veth网卡和bridge相连：

yum -y install bridge-utils

再跑一个test3
docker run -d --name test2 busybox /bin/sh -c "while true; do sleep 360000; done"

本机也多了一张网卡，链接到了 bridge 上面

docker container之间的网络之bridge

docker link：实现一个容器服务访问另外一个容器服务
创建一个容器，并在已有的容器基础上创建一个link：
docker run -d --name test1 busybox /bin/sh -c "while true; do sleep 360000; done"
docker run -d --name test2 --link test1 busybox /bin/sh -c "while true; do sleep 360000; done"

进入test2容器，使用ping test1命令可以通（使用--link已经给test2分配给了一个dns：test1 -cname-> test1的ip）：

但是进入test1容器，无法和02相通，link具有方向性：

docker run容器时通过手动创建的网桥指定新创建的网络环境：
创建一个bridge：
docker network create -d bridge my-bridge
brctl show

docker network ls

跑一个test3连接my-bridge网桥：
docker run -d --name test3 --network my-bridge busybox /bin/sh -c "while true; do sleep 360000; done"
docker network inspect my-bridge ,成功将test3容器连接到my-bridge