Docker的网络模式和网络隔离

2021-08-16 937

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

本文涉及的产品

全局流量管理 GTM，标准版 1个月

公共DNS（含HTTPDNS解析），每月1000万次HTTP解析

云解析 DNS，旗舰版 1个月

简介： RT

一、Docker的网络模式

docker的网络模式有Bridge、Host、Container、None四种模式

Bridge

当docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的docker容器默认会连接到这个虚拟网桥上；虚拟网桥的工作方式类似于物理交换机，主机上的所有容器就通过虚拟网桥连在一个二层网络中。
默认，Docker会从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。
在主机上创建一对虚拟网卡br设备，docker将br设备的一端放在新创建的容器中，并命名为eth0(容器内部网卡)，另一端放在主机中，以br-xxx这样类似的名称命名，并将这个网络设备加入到docker0(网桥中)。
如果有多个容器之间需要互相通信，使用Docker Compose或k8s编排工具。

[root@919 ~]# brctl show
bridge name    bridge id        STP enabled    interfaces
br-3721cd5a380d        8000.0242fae4b5b4    no        
br-c1a81e911a92        8000.0242bf8de935    no        
docker0                8000.0242ce2c4c07    no

Host

如果启动容器时使用host模式，那么这个容器将不会获取一个独立的“network namespace”，而是和宿主机共用一个“network namespace”。容器将不会虚拟出自己的网卡、配置自己IP等，而是直接使用宿主机的IP和端口；但是，容器的其他方面，如文件系统、系统进程等还是和宿主机隔离开的。

Container

这个模式指定新创建的容器和已经存在的容器共享一个“network namespace”，而不是和宿主机共享；新创建的容器也不会自己创建网卡、IP等。同样两个容器除了网络外，其他的还都是属于隔离；两个容器的进程可以通过宿主机的lo网卡设备进行通信。

[root@919 ~]# docker run -it --name centos1 centos1/centos:v1

[root@5b475c57a4b0 /]# ifconfig eth0
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.17.0.2  netmask 255.255.0.0  broadcast 172.17.255.255
        ether 02:42:ac:11:00:02  txqueuelen 0  (Ethernet)
        RX packets 8  bytes 656 (656.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 0  bytes 0 (0.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
[root@5b475c57a4b0 /]# read escape sequence

[root@919 ~]# docker run -it --name centos2 --net=container:centos1 centos1/centos:v1

[root@5b475c57a4b0 /]# ifconfig eth0
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.17.0.2  netmask 255.255.0.0  broadcast 172.17.255.255
        ether 02:42:ac:11:00:02  txqueuelen 0  (Ethernet)
        RX packets 8  bytes 656 (656.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 0  bytes 0 (0.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

None

使用none模式，docker容器拥有自己的network namespace，但是，并不为docker容器进行任何网络配置；也就是说，这个docker容器没有网卡、IP、路由等信息，需要我们自己为docker容器添加网卡、配置IP等。

二、Docker网络隔离、独立IP设置

在通常情况下，docker使用网桥(Bridge)与NAT的通信模式

netfilter规则

(1)容器访问外部网络

# SNAT
iptables -t nat -A POSTROUTING -s 172.17.0.0/16 -o docker0 -j MASQUERADE

(2)外部网络访问容器

# DNAT
docker run -d -p 80:80 apache

iptables -t nat -A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER

iptables -t nat -A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.2:80

docker网络模式修改

(1)docker进程网络修改
只要修改了进程网络后面的容器都会生效，主从的关系

-b,--bridge:
指定docker使用的网桥设备，默认情况下docker会自动创建和使用docker0网桥设备，通过此参数可以使用已经存在的设备。

[root@919 ~]# ifconfig docker0
docker0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.17.0.1  netmask 255.255.0.0  broadcast 172.17.255.255
        inet6 fe80::42:ceff:fe2c:4c07  prefixlen 64  scopeid 0x20<link>
        ether 02:42:ce:2c:4c:07  txqueuelen 0  (Ethernet)
        RX packets 35126  bytes 6686759 (6.3 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 42464  bytes 86634276 (82.6 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

--bip:
指定docker0的IP和掩码，使用标准的CIDR形式，如10.10.10.10/24

--dns:
配置容器的DNS，在启动docker进程时添加，所有容器全部生效

(2)docker容器网络修改
只在启动的容器生效

--dns:
用于指定启动的容器的DNS

--net:
用于指定容器的网络通讯方式，有如下四个值

bridge：docker默认方式，网桥模式
none：容器没有网络栈
container：使用其他容器的网络栈，docker容器会加入其他容器的network namespace
host：表示容器使用host的网络，没有自己独立的网络栈，容器可以完全访问host网络，非常不安全。

docker run -it --name centos1 --net=none centos
[root@919 ~]# docker run -it --name centos1 --net=none centos
[root@5b16b5f20c58 /]# ip a 
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever

(3)暴露端口

-p/P选项的使用格式

-p <containerport> # 将指定的容器端口映射至主机所有地址的一个动态端口
-p <hostport>:<containerport> # 映射至指定的主机端口
-p <IP>::<containerport> # 映射至指定的主机的IP的动态端口
-p <IP>:<hostport>:<containerport> # 映射至指定主机的IP的主机端口
-P # 暴露所需要的所有端口

docker port 可以查看容器当前的映射关系

[root@919 ~]# docker ps
CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS              PORTS                   NAMES
c99a91d6250d        centos              "/usr/sbin/init"    9 minutes ago       Up 9 minutes        0.0.0.0:32768->80/tcp   nginxv3
491ab139e4fd        centos              "/usr/sbin/init"    18 minutes ago      Up 18 minutes                               nginxv2
[root@919 ~]# docker port nginxv3
80/tcp -> 0.0.0.0:32768

(4)自定义docker0网桥的网络地址
修改/etc/docker/daemon.json

    {
        "bip":"192.168.1.5/24",
        "fixed-cidr":"10.20.0.0/16",
        "fixed-cidr-v6":"2001:db8::/64",
        "mtu":"1500",
        "default-gateway":"10.20.1.1",
        "default-gateway-v6":"2001:db8:abcd::89",
        "dns":["10.20.1.2","10.20.1.3"]
    }

常见隔离方式

网络命令空间隔离网络

docker network ls 查看当前可用的网络类型

docker network create -d <类型> <网络空间名称>

类型：

overlay network    # 覆盖型网络,不同的主机之间可以互相通信，需要借助一定的设备
bridge network  # 网桥

创建两个网络

[root@919 ~]# docker network create -d bridge lamp
3721cd5a380de3f27bc3b32c9dfd34f8262aac0917e30799085fc11d0d0d2068
[root@919 ~]# docker network ls
NETWORK ID          NAME                DRIVER              SCOPE
2f6d2d0b2eb2        bridge              bridge              local
8ff53f37566a        host                host                local
3721cd5a380d        lamp                bridge              local
c1a81e911a92        lnmp                bridge              local
b897072c940a        none                null                local

[root@919 ~]# ifconfig 
br-3721cd5a380d: flags=4099<UP,BROADCAST,MULTICAST>  mtu 1500
        inet 172.18.0.1  netmask 255.255.0.0  broadcast 172.18.255.255
        inet6 fe80::42:faff:fee4:b5b4  prefixlen 64  scopeid 0x20<link>
        ether 02:42:fa:e4:b5:b4  txqueuelen 0  (Ethernet)
        RX packets 3  bytes 182 (182.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 11  bytes 838 (838.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

br-c1a81e911a92: flags=4099<UP,BROADCAST,MULTICAST>  mtu 1500
        inet 172.19.0.1  netmask 255.255.0.0  broadcast 172.19.255.255
        inet6 fe80::42:bfff:fe8d:e935  prefixlen 64  scopeid 0x20<link>
        ether 02:42:bf:8d:e9:35  txqueuelen 0  (Ethernet)
        RX packets 41405  bytes 23602140 (22.5 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 41405  bytes 23602140 (22.5 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

运行容器，分别指定网络为刚才创建的名为lamp和lnmp的网络

[root@919 ~]# docker run -it  --name cento01 --network=lamp centos
[root@744bbf4fa6c0 /]# ifconfig eth0
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.18.0.2  netmask 255.255.0.0  broadcast 172.18.255.255
        ether 02:42:ac:12:00:02  txqueuelen 0  (Ethernet)
        RX packets 1402  bytes 8858081 (8.4 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 1395  bytes 95487 (93.2 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

[root@919 ~]# docker run -it  --name cento02 --network=lnmp centos
[root@0f79003592cd /]# ifconfig eth0
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.19.0.2  netmask 255.255.0.0  broadcast 172.19.255.255
        ether 02:42:ac:13:00:02  txqueuelen 0  (Ethernet)
        RX packets 2011  bytes 8895817 (8.4 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 1673  bytes 115079 (112.3 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

此时两个容器之间无法进行通信，但依旧可以连接外网

[root@0f79003592cd /]# ping 172.18.0.2
PING 172.18.0.2 (172.18.0.2) 56(84) bytes of data.
^C
--- 172.18.0.2 ping statistics ---
7 packets transmitted, 0 received, 100% packet loss, time 1005ms

[root@0f79003592cd /]# ping www.baidu.com
PING www.a.shifen.com (182.61.200.7) 56(84) bytes of data.
64 bytes from 182.61.200.7 (182.61.200.7): icmp_seq=1 ttl=54 time=4.48 ms

Docker的网络模式和网络隔离

一、Docker的网络模式

二、Docker网络隔离、独立IP设置

docker网络模式修改

常见隔离方式

热门文章

最新文章

相关课程

相关电子书

相关实验场景

推荐镜像

热门

活动广场

任务中心

开发者评测

高校计划

乘风者计划

训练营

阿里云MVP

话题

直播

下载

镜像站

技术资料

插件

Docker的网络模式和网络隔离

一、Docker的网络模式

二、Docker网络隔离、独立IP设置

docker网络模式修改

常见隔离方式

热门文章

最新文章

相关课程

相关电子书

相关实验场景

推荐镜像