docker高级网络配置｜从端口映射到自定义网桥
概述今天将介绍Docker 的一些高级网络配置和选项。
当 Docker 启动时，会自动在主机上创建一个docker0虚拟网桥，实际上是 Linux 的一个 bridge，可以理解为一个软件交换机。它会在挂载到它的网口之间进 行转发。
同时，Docker随机分配一个本地未占用的私有网段（在 RFC1918 中定义）中的一 个地址给 docker0接口。比如典型的172.17.42.1 ，掩码为 255.255.0.0。此后启动的容器内的网口也会自动分配一个同一网段（172.17.0.0/16）的地址。
当创建一个 Docker 容器的时候，同时会创建了一对veth pair接口（当数据包 发送到一个接口时，另外一个接口也可以收到相同的数据包）。这对接口一端在容 器内，即eth0；另一端在本地并被挂载到docker0网桥，名称以veth开 头（例如vethAQI2QT ）。通过这种方式，主机可以跟容器通信，容器之间也可 以相互通信。Docker 就创建了在主机和所有容器之间一个虚拟共享网络。
https://p3-sign.toutiaoimg.com/pgc-image/a5136345514945a1a5775f5c3cac0dc4~tplv-tt-large.image?x-expires=1973027063&x-signature=RfXTW7FuF3O02FHSl5mnKY96Pck%3D
docker网络
容器访问控制
容器的访问控制，主要通过 Linux上的 iptables防火墙来进行管理和实 现。 iptables 是 Linux上默认的防火墙软件，在大部分发行版中都自带。
篇幅有限，iptables内容这里就不多说啦~
容器访问外部网络
容器要想访问外部网络，需要本地系统的转发支持。在Linux 系统中，检查转发是 否打开。
$sysctl net.ipv4.ip_forward net.ipv4.ip_forward = 1
如果为 0，说明没有开启转发，则需要手动打开。
$sysctl -w net.ipv4.ip_forward=1
容器之间访问
容器之间相互访问，需要两方面的支持。
容器的网络拓扑是否已经互联。默认情况下，所有容器都会被连接到docker0网桥上。
本地系统的防火墙软件 -- iptables是否允许通过。
映射容器端口到宿主主机的实现
默认情况下，容器可以主动访问到外部网络的连接，但是外部网络无法访问到容器。
容器访问外部实现
容器所有到外部网络的连接，源地址都会被NAT成本地系统的 IP 地址。这是使用 iptables 的源地址伪装操作实现的。
查看主机的NAT 规则。
https://p3-sign.toutiaoimg.com/pgc-image/ef91c3df6fed4127bc753d26cef35ca0~tplv-tt-large.image?x-expires=1973027063&x-signature=WNZ2Se82U3cxKPcCLX%2B0DC0kOxk%3D
其中，上述规则将所有源地址在172.17.0.0/16网段，目标地址为其他网段 （外部网络）的流量动态伪装为从系统网卡发出。MASQUERADE 跟传统 SNAT 的好处是它能动态从网卡获取地址。
外部访问容器实现
容器允许外部访问，可以在 docker run时候通过-p或-P参数来启用。
不管用那种办法，其实也是在本地的 iptable 的 nat 表中添加相应的规则。
使用 -P 时：
https://p3-sign.toutiaoimg.com/pgc-image/dd3b276c8cda45fba5c82feeeadfa790~tplv-tt-large.image?x-expires=1973027063&x-signature=c0EBZwO6FaL9jTraKeXpscyOfNk%3D
使用 -p 80:80时：
https://p3-sign.toutiaoimg.com/pgc-image/225f93b5becb424589207233ee87a702~tplv-tt-large.image?x-expires=1973027063&x-signature=XpwSktTpIj9yPAjr3EGW6gGj85I%3D
注意：
这里的规则映射了 0.0.0.0 ，意味着将接受主机来自所有接口的流量。用户 可以通过 -p IP:host_port:container_port 或 -p IP::port 来指定允 许访问容器的主机上的 IP、接口等，以制定更严格的规则。
如果希望永久绑定到某个固定的 IP 地址，可以在 Docker 配置文件 /etc/docker/daemon.json 中添加如下内容：
{ "ip": "0.0.0.0" }
配置 docker0 网桥
Docker 服务默认会创建一个docker0网桥（其上有一个docker0内部接 口），它在内核层连通了其他的物理或虚拟网卡，这就将所有容器和本地主机都放 到同一个物理网络。
Docker 默认指定了docker0接口 的 IP 地址和子网掩码，让主机和容器之间可 以通过网桥相互通信，它还给出了 MTU（接口允许接收的最大传输单元），通常 是 1500 Bytes，或宿主主机网络路由上支持的默认值。这些值都可以在服务启动的 时候进行配置。
也可以在配置文件中配置 DOCKER_OPTS，然后重启服务。
由于目前 Docker 网桥是 Linux 网桥，用户可以使用 brctl show 来查看网桥和 端口连接信息。
$ sudo brctl show bridge name bridge id STP enabled interfaces docker0 8000.3a1d7362b4ee no veth65f9 vethdda6
每次创建一个新容器的时候，Docker从可用的地址段中选择一个空闲的IP 地址分 配给容器的 eth0 端口。使用本地主机上docker0接口的IP作为所有容器的默认 网关。
https://p3-sign.toutiaoimg.com/pgc-image/e010d7c441194660b6cacdd63df43011~tplv-tt-large.image?x-expires=1973027063&x-signature=x6tKKA8UmCc3%2F%2B%2F3HUQxDT3JYcc%3D
自定义网桥
除了默认的docker0网桥，用户也可以指定网桥来连接各个容器。
在启动 Docker 服务的时候，使用 -b BRIDGE或 --bridge=BRIDGE 来指定使用 的网桥。
如果服务已经运行，那需要先停止服务，并删除旧的网桥。
$ sudo systemctl stop docker $ sudo ip link set dev docker0 down $ sudo brctl delbr docker0
然后创建一个网桥 bridge0 。
$ sudo brctl addbr bridge0 $ sudo ip addr add 192.168.5.1/24 dev bridge0 $ sudo ip link set dev bridge0 up
查看确认网桥创建并启动。
https://p3-sign.toutiaoimg.com/pgc-image/bcde48147bf444639e2e0d978a6ab28b~tplv-tt-large.image?x-expires=1973027063&x-signature=prwJdQBUsAj5JcJSM1StDMZOjYA%3D
在 Docker 配置文件 /etc/docker/daemon.json 中添加如下内容，即可将 Docker 默认桥接到创建的网桥上。
{ "bridge": "bridge0", }
启动 Docker 服务。
新建一个容器，可以看到它已经桥接到了 bridge0 上。
可以继续用brctl show命令查看桥接的信息。另外，在容器中可以使用 ip addr 和 ip route 命令来查看IP 地址配置和路由信息。
<hr>
docker网络还是比较复杂的（对于我这种网络空白的来说），篇幅有限，关于docker网络配置就介绍到这里了，感兴趣的朋友可以测试下~
后面会分享更多关于devops和DBA内容，感兴趣的朋友可以关注下~
https://p3-sign.toutiaoimg.com/pgc-image/1538363306877f8a7d9f948~tplv-tt-large.image?x-expires=1973027063&x-signature=41xbTajcUUCK7Z6%2B6AjgTgN3hIg%3D 转发了 刚接触docker知识，一头雾水，求教如果我有两个应用，一个tomcat的，一个go的，都用80端口，docker化后它们之间怎么避开端口冲突的？ 不错 [鼾睡] 转发了 好 比如外面宿主主机对外开放的也是80端口，请问它是怎么区分外部80端口的访问是针对内部哪个容器的？//@波波说运维: 你可以分为两个容器，然后映射到外面宿主机的端口时用不同端口就行//@寻求改变2015: 刚接触docker知识，一头雾水，求教如果我有两个应用，一个tomcat的，一个go的，都用80端口，docker化后它们之间怎么避开端口冲突的？ 转发了 转发了
页:
[1]
2