AI 助理
备案控制台
开发者社区 Java技术栈 文章 正文

面试官：Docker 有几种网络模式？5 年工作经验都表示答不上来。。（1）

2023-04-17 136
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： 面试官：Docker 有几种网络模式？5 年工作经验都表示答不上来。。

本文作者：知知行行

本文链接：https://www.cnblogs.com/loronoa/p/16566818.html

docker容器网络

Docker在安装后自动提供3种网络，可以使用docker network ls命令查看


[root@localhost ~]# docker network ls
NETWORK ID          NAME                DRIVER              SCOPE
cd97bb997b84        bridge              bridge              local
0a04824fc9b6        host                host                local
4dcb8fbdb599        none                null                loca

Docker使用Linux桥接，在宿主机虚拟一个Docker容器网桥(docker0)，Docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地址，称为Container-IP，同时Docker网桥是每个容器的默认网关。因为在同一宿主机内的容器都接入同一个网桥，这样容器之间就能够通过容器的Container-IP直接通信。


docker的4种网络模式


image.png

image.png


bridge模式

当Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。


从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。在主机上创建一对虚拟网卡veth pair设备，Docker将veth pair设备的一端放在新创建的容器中，并命名为eth0（容器的网卡），另一端放在主机中，以vethxxx这样类似的名字命名，并将这个网络设备加入到docker0网桥中。可以通过brctl show命令查看。


bridge模式是docker的默认网络模式，不写--network参数，就是bridge模式。使用docker run -p时，docker实际是在iptables做了DNAT规则，实现端口转发功能。可以使用iptables -t nat -vnL查看。


bridge模式如下图所示：


image.png


假设上图的docker2中运行了一个nginx，大家来想几个问题：


  • 同主机间两个容器间是否可以直接通信？比如在docker1上能不能直接访问到docker2的nginx站点？
  • 在宿主机上能否直接访问到docker2的nginx站点？
  • 在另一台主机上如何访问node1上的这个nginx站点呢？DNAT发布？


Docker网桥是宿主机虚拟出来的，并不是真实存在的网络设备，外部网络是无法寻址到的，这也意味着外部网络无法通过直接Container-IP访问到容器。如果容器希望外部访问能够访问到，可以通过映射容器端口到宿主主机（端口映射），即docker run创建容器时候通过 -p 或 -P 参数来启用，访问容器的时候就通过[宿主机IP]:[容器端口]访问容器。


container模式

这个模式指定新创建的容器和已经存在的一个容器共享一个 Network Namespace，而不是和宿主机共享。新创建的容器不会创建自己的网卡，配置自己的 IP，而是和一个指定的容器共享 IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过 lo 网卡设备通信。 container模式如下图所示：

image.png



host模式

如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Namespace，而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。


使用host模式的容器可以直接使用宿主机的IP地址与外界通信，容器内部的服务端口也可以使用宿主机的端口，不需要进行NAT，host最大的优势就是网络性能比较好，但是docker host上已经使用的端口就不能再用了，网络的隔离性不好。


Host模式如下图所示：


image.png


none模式 使用none模式，Docker容器拥有自己的Network Namespace，但是，并不为Docker容器进行任何网络配置。也就是说，这个Docker容器没有网卡、IP、路由等信息。需要我们自己为Docker容器添加网卡、配置IP等。


这种网络模式下容器只有lo回环网络，没有其他网卡。none模式可以在容器创建时通过--network none来指定。这种类型的网络没有办法联网，封闭的网络能很好的保证容器的安全性。


应用场景：


  • 启动一个容器处理数据，比如转换数据格式
  • 一些后台的计算和处理任务

none模式如下图所示：


image.png


docker network inspect bridge   #查看bridge网络的详细配置


docker容器网络配置

Linux内核实现名称空间的创建

ip netns命令


可以借助ip netns命令来完成对 Network Namespace 的各种操作。ip netns命令来自于iproute安装包，一般系统会默认安装，如果没有的话，请自行安装。


注意：ip netns命令修改网络配置时需要 sudo 权限。


可以通过ip netns命令完成对Network Namespace 的相关操作，可以通过ip netns help查看命令帮助信息：


[root@localhost ~]# ip netns help
Usage: ip netns list
       ip netns add NAME
       ip netns set NAME NETNSID
       ip [-all] netns delete [NAME]
       ip netns identify [PID]
       ip netns pids NAME
       ip [-all] netns exec [NAME] cmd ...
       ip netns monitor
       ip netns list-id


默认情况下，Linux系统中是没有任何 Network Namespace的，所以ip netns list命令不会返回任何信息。


创建Network Namespace

通过命令创建一个名为ns0的命名空间：


[root@localhost ~]# ip netns list

[root@localhost ~]# ip netns add ns0

[root@localhost ~]# ip netns list

ns0



新创建的 Network Namespace 会出现在/var/run/netns/目录下。如果相同名字的 namespace 已经存在，命令会报Cannot create namespace file "/var/run/netns/ns0": File exists的错误。


[root@localhost ~]# ls /var/run/netns/

ns0

[root@localhost ~]# ip netns add ns0

Cannot create namespace file "/var/run/netns/ns0": File exists



对于每个 Network Namespace 来说，它会有自己独立的网卡、路由表、ARP 表、iptables 等和网络相关的资源。


操作Network Namespace

ip命令提供了ip netns exec子命令可以在对应的 Network Namespace 中执行命令。


查看新创建 Network Namespace 的网卡信息


[root@localhost ~]# ip netns exec ns0 ip addr

1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN group default qlen 1000

   link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00



可以看到，新创建的Network Namespace中会默认创建一个lo回环网卡，此时网卡处于关闭状态。此时，尝试去 ping 该lo回环网卡，会提示Network is unreachable


[root@localhost ~]# ip netns exec ns0 ping 127.0.0.1

connect: Network is unreachable

127.0.0.1是默认回环网卡



通过下面的命令启用lo回环网卡：


[root@localhost ~]# ip netns exec ns0 ip link set lo up
[root@localhost ~]# ip netns exec ns0 ping 127.0.0.1
PING 127.0.0.1 (127.0.0.1) 56(84) bytes of data.
64 bytes from 127.0.0.1: icmp_seq=1 ttl=64 time=0.029 ms
64 bytes from 127.0.0.1: icmp_seq=2 ttl=64 time=0.029 ms
^C
--- 127.0.0.1 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1036ms
rtt min/avg/max/mdev = 0.029/0.029/0.029/0.000 ms




转移设备

我们可以在不同的 Network Namespace 之间转移设备（如veth）。由于一个设备只能属于一个 Network Namespace ，所以转移后在这个 Network Namespace 内就看不到这个设备了。


其中，veth设备属于可转移设备，而很多其它设备（如lo、vxlan、ppp、bridge等）是不可以转移的。


veth pair

veth pair 全称是 Virtual Ethernet Pair，是一个成对的端口，所有从这对端口一 端进入的数据包都将从另一端出来，反之也是一样。 引入veth pair是为了在不同的 Network Namespace 直接进行通信，利用它可以直接将两个 Network Namespace 连接起来。


image.png


创建veth pair

[root@localhost ~]# ip link add type veth
[root@localhost ~]# ip a
4: veth0@veth1: <BROADCAST,MULTICAST,M-DOWN> mtu 1500 qdisc noop state DOWN group default qlen 1000
    link/ether 0a:f4:e2:2d:37:fb brd ff:ff:ff:ff:ff:ff
5: veth1@veth0: <BROADCAST,MULTICAST,M-DOWN> mtu 1500 qdisc noop state DOWN group default qlen 1000
    link/ether 5e:7e:f6:59:f0:4f brd ff:ff:ff:ff:ff:ff



可以看到，此时系统中新增了一对veth pair，将veth0和veth1两个虚拟网卡连接了起来，此时这对 veth pair 处于”未启用“状态。


实现Network Namespace间通信

下面我们利用veth pair实现两个不同的 Network Namespace 之间的通信。刚才我们已经创建了一个名为ns0的 Network Namespace，下面再创建一个信息Network Namespace，命名为ns1


[root@localhost ~]# ip netns add ns1

[root@localhost ~]# ip netns list

ns1

ns0



然后我们将veth0加入到ns0，将veth1加入到ns1


[root@localhost ~]# ip link set veth0 netns ns0

[root@localhost ~]# ip link set veth1 netns ns1

1

然后我们分别为这对veth pair配置上ip地址，并启用它们


[root@localhost ~]# ip netns exec ns0 ip link set veth0 up

[root@localhost ~]# ip netns exec ns0 ip addr add 192.0.0.1/24 dev veth0

[root@localhost ~]# ip netns exec ns1 ip link set veth1 up

[root@localhost ~]# ip netns exec ns1 ip addr add 192.0.0.2/24 dev veth1



查看这对veth pair的状态


[root@localhost ~]# ip netns exec ns0 ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
4: veth0@if5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether 0a:f4:e2:2d:37:fb brd ff:ff:ff:ff:ff:ff link-netns ns1
    inet 192.0.0.1/24 scope global veth0
       valid_lft forever preferred_lft forever
    inet6 fe80::8f4:e2ff:fe2d:37fb/64 scope link
       valid_lft forever preferred_lft forever



[root@localhost ~]# ip netns exec ns1 ip a
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
5: veth1@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether 5e:7e:f6:59:f0:4f brd ff:ff:ff:ff:ff:ff link-netns ns0
    inet 192.0.0.2/24 scope global veth1
       valid_lft forever preferred_lft forever
    inet6 fe80::5c7e:f6ff:fe59:f04f/64 scope link
       valid_lft forever preferred_lft forever


从上面可以看出，我们已经成功启用了这个veth pair，并为每个veth设备分配了对应的ip地址。我们尝试在ns1中访问ns0中的ip地址


[root@localhost ~]# ip netns exec ns1 ping 192.0.0.1
PING 192.0.0.1 (192.0.0.1) 56(84) bytes of data.
64 bytes from 192.0.0.1: icmp_seq=1 ttl=64 time=0.033 ms
64 bytes from 192.0.0.1: icmp_seq=2 ttl=64 time=0.041 ms
^C
--- 192.0.0.1 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1001ms
rtt min/avg/max/mdev = 0.033/0.037/0.041/0.004 ms
[root@localhost ~]# ip netns exec ns0 ping 192.0.0.2
PING 192.0.0.2 (192.0.0.2) 56(84) bytes of data.
64 bytes from 192.0.0.2: icmp_seq=1 ttl=64 time=0.025 ms
64 bytes from 192.0.0.2: icmp_seq=2 ttl=64 time=0.025 ms
^C
--- 192.0.0.2 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1038ms
rtt min/avg/max/mdev = 0.025/0.025/0.025/0.000 ms




可以看到，veth pair成功实现了两个不同Network Namespace之间的网络交互。



文章标签：
容器
应用服务中间件
Linux
网络协议
Docker
nginx
数据格式
关键词：
Docker网络模式
网络模式
网络docker
Docker模式
Docker网络
开发工程师
目录
相关文章
刘大猫.
|
24天前
|
NoSQL 关系型数据库 MySQL
《docker高级篇（大厂进阶）：4.Docker网络》包括：是什么、常用基本命令、能干嘛、网络模式、docker平台架构图解
《docker高级篇（大厂进阶）：4.Docker网络》包括：是什么、常用基本命令、能干嘛、网络模式、docker平台架构图解
刘大猫.
153 56
《docker高级篇（大厂进阶）：4.Docker网络》包括：是什么、常用基本命令、能干嘛、网络模式、docker平台架构图解
WangBai
|
1月前
|
安全 Docker 容器
docker的默认网络模式有哪些
Docker 默认网络模式包括：1) bridge：默认模式，各容器分配独立IP，可通过名称或IP通信；2) host：容器与宿主机共享网络命名空间，性能最优但有安全风险；3) none：容器隔离无网络配置，适用于仅需本地通信的场景。
WangBai
42 6
龙大吉
|
1月前
|
存储 缓存 监控
Docker容器性能调优的关键技巧，涵盖CPU、内存、网络及磁盘I/O的优化策略，结合实战案例，旨在帮助读者有效提升Docker容器的性能与稳定性。
本文介绍了Docker容器性能调优的关键技巧，涵盖CPU、内存、网络及磁盘I/O的优化策略，结合实战案例，旨在帮助读者有效提升Docker容器的性能与稳定性。
龙大吉
130 7
三三是该溜子
|
15天前
|
缓存 安全 Java
【JavaEE】——单例模式引起的多线程安全问题：“饿汉/懒汉”模式，及解决思路和方法（面试高频）
单例模式下，“饿汉模式”，“懒汉模式”，单例模式下引起的线程安全问题，解锁思路和解决方法
三三是该溜子
48 0
mao29955
|
2月前
|
安全 网络安全 数据安全/隐私保护
利用Docker的网络安全功能来保护容器化应用
通过综合运用这些 Docker 网络安全功能和策略，可以有效地保护容器化应用，降低安全风险，确保应用在安全的环境中运行。同时，随着安全威胁的不断变化，还需要持续关注和研究新的网络安全技术和方法，不断完善和强化网络安全保护措施，以适应日益复杂的安全挑战。
mao29955
52 5
赵渝强老师
|
2月前
|
Docker 容器
【赵渝强老师】Docker的None网络模式
Docker容器在网络方面实现了逻辑隔离，提供了四种网络模式：bridge、container、host和none。其中，none模式下容器具有独立的网络命名空间，但不包含任何网络配置，仅能通过Local Loopback网卡（localhost或127.0.0.1）进行通信。适用于不希望容器接收任何网络流量或运行无需网络连接的特殊服务。
赵渝强老师
49 0
丰宝宝
|
25天前
|
SQL 安全 网络安全
网络安全与信息安全：知识分享####
【10月更文挑战第21天】 随着数字化时代的快速发展，网络安全和信息安全已成为个人和企业不可忽视的关键问题。本文将探讨网络安全漏洞、加密技术以及安全意识的重要性，并提供一些实用的建议，帮助读者提高自身的网络安全防护能力。 ####
丰宝宝
62 17
历年考试不作弊
|
1月前
|
存储 SQL 安全
网络安全与信息安全：关于网络安全漏洞、加密技术、安全意识等方面的知识分享
随着互联网的普及，网络安全问题日益突出。本文将介绍网络安全的重要性，分析常见的网络安全漏洞及其危害，探讨加密技术在保障网络安全中的作用，并强调提高安全意识的必要性。通过本文的学习，读者将了解网络安全的基本概念和应对策略，提升个人和组织的网络安全防护能力。
历年考试不作弊
98 9
技术混子
|
1月前
|
SQL 安全 网络安全
网络安全与信息安全：关于网络安全漏洞、加密技术、安全意识等方面的知识分享
随着互联网的普及，网络安全问题日益突出。本文将从网络安全漏洞、加密技术和安全意识三个方面进行探讨，旨在提高读者对网络安全的认识和防范能力。通过分析常见的网络安全漏洞，介绍加密技术的基本原理和应用，以及强调安全意识的重要性，帮助读者更好地保护自己的网络信息安全。
技术混子
51 10
mrq4nk6ni2neg
|
1月前
|
SQL 安全 网络安全
网络安全与信息安全：关于网络安全漏洞、加密技术、安全意识等方面的知识分享
在数字化时代，网络安全和信息安全已成为我们生活中不可或缺的一部分。本文将介绍网络安全漏洞、加密技术和安全意识等方面的内容，并提供一些实用的代码示例。通过阅读本文，您将了解到如何保护自己的网络安全，以及如何提高自己的信息安全意识。
mrq4nk6ni2neg
62 10

Java技术栈

热门文章

最新文章

  • 1
    Docker容器使用问题：Failed to get D-Bus connection: Operation not permitted
  • 2
    阿里云上搭建Docker Swarm模式集群最佳实践
  • 3
    Docker Volume 看这一篇就够了
  • 4
    宝塔一键部署项目及Linux服务器三种软件安装方式【JDK、Tmcat、Docker】
  • 5
    安装 Logstash （本地及 Docker) - Elastic Stack 实战手册
  • 6
    被k8s弃用的docker还值得学吗？
  • 7
    银河麒麟v10离线安装docker二进制包
  • 8
    Docker的宿主机是干什么的？底层原理是什么？
  • 9
    12-微服务技术栈（高级）：容器引擎Docker
  • 10
    【Docker专栏】Docker日志管理与监控的最佳方法
  • 1
    Kubernetes学习-集群搭建篇(二) 部署Node服务，启动JNI网络插件
    352
  • 2
    什么是网络安全等级保护测评（等保测评）？
    294
  • 3
    网络安全与信息安全：保护你的数据，保护你的世界
    56
  • 4
    网络防御前线：洞悉漏洞、加密之盾与安全意识觉醒
    45
  • 5
    探索现代网络安全的多层次防御机制
    239
  • 6
    网络安全与信息安全：防御前线的关键技术与意识觉醒
    49
  • 7
    数字堡垒的构建者：网络安全与信息安全的深层剖析
    66
  • 8
    Linux网络编程 网络基础知识
    78
  • 9
    开发板配置网络ssh登入
    79
  • 10
    网络编程知识点总结（7）
    61

    • 相关课程

    更多
  • Docker完全自学手册图文教程
  • AI开发者的Docker实践
  • Docker 入门
  • Java面试疑难点解析 - 面试技巧及语言基础
  • Java面试疑难点解析 - Java Web开发
  • Java面试疑难点解析 - 系统架构及项目设计

    • 相关电子书

    更多
  • 阿里云技术面试红宝书
  • 超全算法笔试-模拟题精解合集
  • 程序员面试宝典

    • 相关实验场景

    更多
  • 部署并使用Docker（AlibabaCloud Linux 3）
  • Docker Compose部署案例
  • Docker Compose入门
  • 部署并使用Docker（Alibaba Cloud Linux 3）
  • 部署并使用Docker（CentOS 8）
  • 部署并使用Docker（Alibaba Cloud Linux 2）

    • 推荐镜像

    更多
  • docker-ce
  • docker-toolbox
  • alpine
    • 下一篇
    DataWorks智能交互式数据开发与分析之旅