Docker容器虚拟化

虚拟化网络

Network Namespace 是 Linux 内核提供的功能，是实现网络虚拟化的重要功能，它能创建多个隔离的网络空间，它们有独自网络栈信息。不管是虚拟机还是容器，运行的时候仿佛自己都在独立的网络中。而且不同Network Namespace的资源相互不可见，彼此之间无法通信。

假如我们的物理机有4块物理网卡，我们要创建4个名称空间，而这些设备是可以单独关联至某个单独的名称空间使用的

?

如上图所示，把第一块网卡分配给第一个名称空间，第二块分给第二个名称空间，第三块分给第三个名称空间，第四块分给第四个名称空间。此时其它名称空间都是看不见当前所在名称空间的，因为一个设备只能属于一个名称空间。

这种方式使得每一个名称空间都能配置IP地址，并且与外部网络直接通信，因为它们使用的是物理网卡。

但如果我们所拥有的名称空间数量超过物理网卡数量呢？此时我们可以使用虚拟网卡设备，用纯软件的方式来模拟一组设备来使用。Linux内核级支持2种级别设备的模拟，一种是二层设备，一种是三层设备。

Linux内核模拟的二层设备，每个网络接口设备是成对出现的，可以模拟为一根网线的两端，其中一端模拟主机的虚拟网卡，另一端模拟虚拟交换机，就相当于让一个主机连到一个交换机上去。Linux内核原生支持二层虚拟网桥设备，即用软件虚拟交换机的功能。如下图所示：

?

那么此时如果再有一个名称空间，它有创建了一对虚拟网卡，一端连接名称空间，一端连接虚拟交换机，此时就相当于两个名称空间连接到了同一个交换机网络中，此时如果两个名称空间的网卡地址配置在同一网段，那么很显然他们之间是可以互相通信的。如下图所示：

?

从网络通信的物理设备到网卡都是用纯软件的方式来实现，这种实现方式就叫做虚拟化网络。

单节点容器间通信

如果在同一个物理机上的两个容器想通信，我们的办法就是在这台主机上建立一个虚拟交换机，而后让两个容器各自用纯软件的方式创建一对虚拟网卡，一半在容器上，一半在虚拟交换机上，从而实现通信。如下图所示：

?

这就是单节点上两个容器间的通信方式。单节点上两个容器之间的通信也有一些复杂情况，比如我们期望构建的容器要跨交换机通信呢？

我们做两个虚拟交换机，两个交换机上各自连接不同的容器，如上图所示，此时如果要C1和C3通信又该如何实现呢？其实我们可以通过名称空间创建一对网卡，一端连SW1，另一端连SW2，这样一来两个交换机就连起来了，照理说这样一来C1和C3这两个处于不同交换机的容器就可以实现通信了，但是这样一来又存在另一个问题，那就是如果C1和C3在不同网络呢？如果不在同一网络我们就必须要通过路由转发才能使其通信，也就是我们得在两台交换机之间加一个路由器，其实Linux内核本身就是支持路由转发的，只需要我们将路由转发功能打开即可。此时我们可以再启动一个容器，这个容器里面就跑一个内核，并将其转发功能打开，这样一来就模拟了一台路由器，通过这台路由器来实现路由转发。

不同节点容器间通信

?

如上图所示，此时如果C1要与C5进行通信又该如何实现呢？如果我们采用桥接的方式，很容易产生广播风暴，因此，在大规模的虚拟机或容器的场景中，使用桥接的方式无疑是自取灭亡，所以我们不应该使用桥接的方式来实现通信。

如果一来，我们既不能桥接，又需要与外部来实现通信，那就只能使用NAT技术了。通过DNAT将容器的端口暴露到宿主机上，通过访问宿主机的端口来实现访问容器内部的目的，而在请求端我们需要做SNAT将数据包通过宿主机的真实网卡转发出去。但这样做的话，因为要进行两次NAT转换，所以效率会比较低。

此时我们可以采用一种叫做Overlay Network（叠加网络）的技术来实现不同节点间容器的相互通信功能。

?

Overlay Network会将报文进行隧道转发，也就是在报文发出去之前要为其添加一个IP首部，也就是上图的1.1和1.2这部分，这里的1.1是源，1.2是目标，当宿主机2收到报文后解封装发现要找的目标容器是C2，于是把包转发给C2。

docker容器网络

Docker在安装后自动提供3种网络，可以使用docker network ls命令查看

[root@localhost ~]# docker network ls
NETWORK ID ? ? NAME ? ?  DRIVER ?  SCOPE
8e45d0fc3051 ? bridge ?  bridge ?  local
f71399cce556 ? host ? ?  host ? ?  local
0cc079361c52 ? none ? ?  null ? ?  local

?

Docker使用Linux桥接，在宿主机虚拟一个Docker容器网桥(docker0)，Docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地址，称为Container-IP，同时Docker网桥是每个容器的默认网关。因为在同一宿主机内的容器都接入同一个网桥，这样容器之间就能够通过容器的Container-IP直接通信。

docker的4种网络模式

?

bridge模式

当Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。

从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。在主机上创建一对虚拟网卡veth pair设备，Docker将veth pair设备的一端放在新创建的容器中，并命名为eth0（容器的网卡），另一端放在主机中，以vethxxx这样类似的名字命名，并将这个网络设备加入到docker0网桥中。可以通过brctl show命令查看。

bridge模式是docker的默认网络模式，不写--network参数，就是bridge模式。使用docker run -p时，docker实际是在iptables做了DNAT规则，实现端口转发功能。可以使用iptables -t nat -vnL查看。

bridge模式如下图所示：

?

假设上图的docker2中运行了一个nginx，大家来想几个问题：

• 同主机间两个容器间是否可以直接通信？比如在docker1上能不能直接访问到docker2的nginx站点？

• 在宿主机上能否直接访问到docker2的nginx站点？

• 在另一台主机上如何访问node1上的这个nginx站点呢？DNAT发布？

Docker网桥是宿主机虚拟出来的，并不是真实存在的网络设备，外部网络是无法寻址到的，这也意味着外部网络无法通过直接Container-IP访问到容器。如果容器希望外部访问能够访问到，可以通过映射容器端口到宿主主机（端口映射），即docker run创建容器时候通过 -p 或 -P 参数来启用，访问容器的时候就通过[宿主机IP]:[容器端口]访问容器。

container模式

这个模式指定新创建的容器和已经存在的一个容器共享一个 Network Namespace，而不是和宿主机共享。新创建的容器不会创建自己的网卡，配置自己的 IP，而是和一个指定的容器共享 IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过 lo 网卡设备通信。

container模式如下图所示：

?

host模式

如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Namespace，而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。

使用host模式的容器可以直接使用宿主机的IP地址与外界通信，容器内部的服务端口也可以使用宿主机的端口，不需要进行NAT，host最大的优势就是网络性能比较好，但是docker host上已经使用的端口就不能再用了，网络的隔离性不好。

Host模式如下图所示：

?

none模式

使用none模式，Docker容器拥有自己的Network Namespace，但是，并不为Docker容器进行任何网络配置。也就是说，这个Docker容器没有网卡、IP、路由等信息。需要我们自己为Docker容器添加网卡、配置IP等。

这种网络模式下容器只有lo回环网络，没有其他网卡。none模式可以在容器创建时通过--network none来指定。这种类型的网络没有办法联网，封闭的网络能很好的保证容器的安全性。

应用场景：

• 启动一个容器处理数据，比如转换数据格式

• 一些后台的计算和处理任务

none模式如下图所示：

[root@localhost ~]# docker network inspect bridge
[
 ?  {
 ? ? ? ?"Name": "bridge",
 ? ? ? ?"Id": "8e45d0fc305178e204c2108bcda096941e7ade302ba5c740b1d0cda5837aeecd",
 ? ? ? ?"Created": "2021-07-29T06:19:50.652939742-04:00",
 ? ? ? ?"Scope": "local",
 ? ? ? ?"Driver": "bridge",
 ? ? ? ?"EnableIPv6": false,
 ? ? ? ?"IPAM": {
 ? ? ? ? ? ?"Driver": "default",
 ? ? ? ? ? ?"Options": null,
 ? ? ? ? ? ?"Config": [
 ? ? ? ? ? ? ?  {
 ? ? ? ? ? ? ? ? ? ?"Subnet": "172.17.0.0/16",

Linux内核实现名称空间的创建

ip netns命令

可以借助ip netns命令来完成对 Network Namespace 的各种操作。ip netns命令来自于iproute安装包，一般系统会默认安装，如果没有的话，请自行安装。

注意：ip netns命令修改网络配置时需要 sudo 权限。

可以通过ip netns命令完成对Network Namespace 的相关操作，可以通过ip netns help查看命令帮助信息：

[root@localhost ~]# ip netns help
Usage:  ip netns list
    ip netns add NAME
    ip netns attach NAME PID
    ip netns set NAME NETNSID
    ip [-all] netns delete [NAME]
    ip netns identify [PID]
    ip netns pids NAME
    ip [-all] netns exec [NAME] cmd ...
    ip netns monitor
    ip netns list-id [target-nsid POSITIVE-INT] [nsid POSITIVE-INT]
NETNSID := auto | POSITIVE-INT

?

默认情况下，Linux系统中是没有任何 Network Namespace的，所以ip netns list命令不会返回任何信息。

创建Network Namespace

通过命令创建一个名为ns0的命名空间：

[root@localhost ~]# ip netns list
[root@localhost ~]# ip netns add ns0
[root@localhost ~]# ip netns list
ns0

?

新创建的 Network Namespace 会出现在/var/run/netns/目录下。如果相同名字的 namespace 已经存在，命令会报Cannot create namespace file "/var/run/netns/ns0": File exists的错误。

#这里如果是touch创建的或者其他命令创建出来的都不行，只能用ip netns命令
[root@localhost ~]# ls /var/run/netns/
ns0
[root@localhost ~]# ip netns add ns0
Cannot create namespace file "/var/run/netns/ns0": File exists

?

对于每个 Network Namespace 来说，它会有自己独立的网卡、路由表、ARP 表、iptables 等和网络相关的资源。

操作Network Namespace

ip命令提供了ip netns exec子命令可以在对应的 Network Namespace 中执行命令。

查看新创建 Network Namespace 的网卡信息

[root@localhost ~]# ip netns exec ns0 ip addr
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN group default qlen 1000
 ?  link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00

?

可以看到，新创建的Network Namespace中会默认创建一个lo回环网卡，此时网卡处于关闭状态。此时，尝试去 ping 该lo回环网卡，会提示Network is unreachable

[root@localhost ~]# ip netns exec ns0 ping 127.0.0.1
connect: Network is unreachable

?

通过下面的命令启用lo回环网卡：

[root@localhost ~]# ip netns exec ns0 ip link set lo up
[root@localhost ~]# ip netns exec ns0 ping 127.0.0.1
PING 127.0.0.1 (127.0.0.1) 56(84) bytes of data.
64 bytes from 127.0.0.1: icmp_seq=1 ttl=64 time=0.020 ms
64 bytes from 127.0.0.1: icmp_seq=2 ttl=64 time=0.022 ms
^C
--- 127.0.0.1 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1014ms
rtt min/avg/max/mdev = 0.020/0.021/0.022/0.001 ms

?

转移设备

我们可以在不同的 Network Namespace 之间转移设备（如veth）。由于一个设备只能属于一个 Network Namespace ，所以转移后在这个 Network Namespace 内就看不到这个设备了。

其中，veth设备属于可转移设备，而很多其它设备（如lo、vxlan、ppp、bridge等）是不可以转移的。

veth pair

veth pair 全称是 Virtual Ethernet Pair，是一个成对的端口，所有从这对端口一 端进入的数据包都将从另一端出来，反之也是一样。 引入veth pair是为了在不同的 Network Namespace 直接进行通信，利用它可以直接将两个 Network Namespace 连接起来。

?

创建veth pair

[root@localhost ~]# ip link add type veth
[root@localhost ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
 ?  link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
 ?  inet 127.0.0.1/8 scope host lo
 ? ? ? valid_lft forever preferred_lft forever
 ?  inet6 ::1/128 scope host 
 ? ? ? valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
 ?  link/ether 00:50:56:39:09:0e brd ff:ff:ff:ff:ff:ff
 ?  inet 192.168.11.22/24 brd 192.168.11.255 scope global noprefixroute ens33
 ? ? ? valid_lft forever preferred_lft forever
 ?  inet6 fe80::250:56ff:fe39:90e/64 scope link 
 ? ? ? valid_lft forever preferred_lft forever
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default 
 ?  link/ether 02:42:d9:39:73:be brd ff:ff:ff:ff:ff:ff
 ?  inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
 ? ? ? valid_lft forever preferred_lft forever
4: veth0@veth1: <BROADCAST,MULTICAST,M-DOWN> mtu 1500 qdisc noop state DOWN group default qlen 1000
 ?  link/ether ba:82:ed:06:7b:8e brd ff:ff:ff:ff:ff:ff
5: veth1@veth0: <BROADCAST,MULTICAST,M-DOWN> mtu 1500 qdisc noop state DOWN group default qlen 1000
 ?  link/ether 26:51:f6:d3:c4:32 brd ff:ff:ff:ff:ff:ff

?

可以看到，此时系统中新增了一对veth pair，将veth0和veth1两个虚拟网卡连接了起来，此时这对 veth pair 处于”未启用“状态。

实现Network Namespace间通信

下面我们利用veth pair实现两个不同的 Network Namespace 之间的通信。刚才我们已经创建了一个名为ns0的 Network Namespace，下面再创建一个信息Network Namespace，命名为ns1

[root@localhost ~]# ip netns add ns1
[root@localhost ~]# ip netns list
ns1
ns0

?

然后我们将veth0加入到ns0，将veth1加入到ns1

[root@localhost ~]# ip link set veth0 netns ns0
[root@localhost ~]# ip link set veth1 netns ns1

?

然后我们分别为这对veth pair配置上ip地址，并启用它们

[root@localhost ~]# ip netns exec ns0 ip link set veth0 up
[root@localhost ~]# ip netns exec ns0 ip addr add 1.0.0.1/24 dev veth0
[root@localhost ~]# ip netns exec ns1 ip link set lo up
[root@localhost ~]# ip netns exec ns1 ip link set veth1 up
[root@localhost ~]# ip netns exec ns1 ip addr add 1.0.0.2/24 dev veth1

?

查看ns0和ns1里的veth网卡状态

[root@localhost ~]# ip netns exec ns0 ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
 ?  link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
 ?  inet 127.0.0.1/8 scope host lo
 ? ? ? valid_lft forever preferred_lft forever
 ?  inet6 ::1/128 scope host 
 ? ? ? valid_lft forever preferred_lft forever
4: veth0@if5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
 ?  link/ether ba:82:ed:06:7b:8e brd ff:ff:ff:ff:ff:ff link-netns ns1
 ?  inet 1.0.0.1/24 scope global veth0
 ? ? ? valid_lft forever preferred_lft forever
 ?  inet6 fe80::b882:edff:fe06:7b8e/64 scope link 
 ? ? ? valid_lft forever preferred_lft forever
[root@localhost ~]# ip netns exec ns1 ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
 ?  link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
 ?  inet 127.0.0.1/8 scope host lo
 ? ? ? valid_lft forever preferred_lft forever
 ?  inet6 ::1/128 scope host 
 ? ? ? valid_lft forever preferred_lft forever
5: veth1@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
 ?  link/ether 26:51:f6:d3:c4:32 brd ff:ff:ff:ff:ff:ff link-netns ns0
 ?  inet 1.0.0.2/24 scope global veth1
 ? ? ? valid_lft forever preferred_lft forever
 ?  inet6 fe80::2451:f6ff:fed3:c432/64 scope link 
 ? ? ? valid_lft forever preferred_lft forever

?

从上面可以看出，我们已经成功启用了这个veth pair，并为每个veth设备分配了对应的ip地址。我们尝试在ns1中访问ns0中的ip地址：

[root@localhost ~]# ip netns exec ns1 ping 1.0.0.1
PING 1.0.0.1 (1.0.0.1) 56(84) bytes of data.
64 bytes from 1.0.0.1: icmp_seq=1 ttl=64 time=0.054 ms
64 bytes from 1.0.0.1: icmp_seq=2 ttl=64 time=0.070 ms

?

可以看到，veth pair成功实现了两个不同Network Namespace之间的网络交互。

veth设备重命名

[root@localhost ~]# ip netns exec ns0 ip link set veth0 down
[root@localhost ~]# ip netns exec ns0 ip link set dev veth0 name eth0
[root@localhost ~]# ip netns exec ns1 ip link set veth1 down
[root@localhost ~]# ip netns exec ns1 ip link set dev veth1 name eth1
[root@localhost ~]# ip netns exec ns0 ifconfig -a
eth0: flags=4098<BROADCAST,MULTICAST>  mtu 1500
 ? ? ?  inet 1.0.0.1  netmask 255.255.255.0  broadcast 0.0.0.0
 ? ? ?  ether ba:82:ed:06:7b:8e  txqueuelen 1000  (Ethernet)
 ? ? ?  RX packets 16  bytes 1244 (1.2 KiB)
 ? ? ?  RX errors 0  dropped 0  overruns 0  frame 0
 ? ? ?  TX packets 16  bytes 1244 (1.2 KiB)
 ? ? ?  TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
[root@localhost ~]# ip netns exec ns1 ifconfig -a
eth1: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
 ? ? ?  inet 1.0.0.2  netmask 255.255.255.0  broadcast 0.0.0.0
 ? ? ?  inet6 fe80::2451:f6ff:fed3:c432  prefixlen 64  scopeid 0x20<link>
 ? ? ?  ether 26:51:f6:d3:c4:32  txqueuelen 1000  (Ethernet)
 ? ? ?  RX packets 27  bytes 2150 (2.0 KiB)
 ? ? ?  RX errors 0  dropped 0  overruns 0  frame 0
 ? ? ?  TX packets 28  bytes 2220 (2.1 KiB)
 ? ? ?  TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
[root@localhost ~]# ip netns exec ns0 ip link set eth0 up
[root@localhost ~]# ip netns exec ns1 ip link set eth1 up

?

四种网络模式配置

bridge模式配置

[root@localhost ~]# docker run -it --name t1 --rm busybox /bin/sh
/ # ifconfig
eth0 ? ?  Link encap:Ethernet  HWaddr 02:42:AC:11:00:02 ?
 ? ? ? ?  inet addr:172.17.0.2  Bcast:172.17.255.255  Mask:255.255.0.0
 ? ? ? ?  UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
 ? ? ? ?  RX packets:9 errors:0 dropped:0 overruns:0 frame:0
 ? ? ? ?  TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
 ? ? ? ?  collisions:0 txqueuelen:0 
 ? ? ? ?  RX bytes:766 (766.0 B)  TX bytes:0 (0.0 B)
?
lo ? ? ?  Link encap:Local Loopback ?
 ? ? ? ?  inet addr:127.0.0.1  Mask:255.0.0.0
 ? ? ? ?  UP LOOPBACK RUNNING  MTU:65536  Metric:1
 ? ? ? ?  RX packets:0 errors:0 dropped:0 overruns:0 frame:0
 ? ? ? ?  TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
 ? ? ? ?  collisions:0 txqueuelen:1000 
 ? ? ? ?  RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)
?
/ # exit
[root@localhost ~]# docker ps -a
CONTAINER ID ? IMAGE ? ? COMMAND ? CREATED ? STATUS ?  PORTS ? ? NAMES
#在创建容器时添加--network bridge与不加--network选项效果是一致的
[root@localhost ~]# docker run -it --name t1 --network bridge --rm busybox
/ # ifconfig
eth0 ? ?  Link encap:Ethernet  HWaddr 02:42:AC:11:00:02 ?
 ? ? ? ?  inet addr:172.17.0.2  Bcast:172.17.255.255  Mask:255.255.0.0
 ? ? ? ?  UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
 ? ? ? ?  RX packets:9 errors:0 dropped:0 overruns:0 frame:0
 ? ? ? ?  TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
 ? ? ? ?  collisions:0 txqueuelen:0 
 ? ? ? ?  RX bytes:766 (766.0 B)  TX bytes:0 (0.0 B)
?
lo ? ? ?  Link encap:Local Loopback ?
 ? ? ? ?  inet addr:127.0.0.1  Mask:255.0.0.0
 ? ? ? ?  UP LOOPBACK RUNNING  MTU:65536  Metric:1
 ? ? ? ?  RX packets:0 errors:0 dropped:0 overruns:0 frame:0
 ? ? ? ?  TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
 ? ? ? ?  collisions:0 txqueuelen:1000 
 ? ? ? ?  RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)
?
/ # exit
这里可以说明，docker默认使用的就是bridge模式

?

none模式配置

[root@localhost ~]# docker run -it --name t1 --network none --rm busybox
/ # ifconfig
lo ? ? ?  Link encap:Local Loopback ?
 ? ? ? ?  inet addr:127.0.0.1  Mask:255.0.0.0
 ? ? ? ?  UP LOOPBACK RUNNING  MTU:65536  Metric:1
 ? ? ? ?  RX packets:0 errors:0 dropped:0 overruns:0 frame:0
 ? ? ? ?  TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
 ? ? ? ?  collisions:0 txqueuelen:1000 
 ? ? ? ?  RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)
?
/ # exit
这里可以看到，none模式只有lo回环网络，没有其他网卡。

?

container模式配置

启动第一个容器

[root@localhost ~]# docker run -it --name t1 --rm busybox
/ # ifconfig 
eth0 ? ?  Link encap:Ethernet  HWaddr 02:42:AC:11:00:02 ?
 ? ? ? ?  inet addr:172.17.0.2  Bcast:172.17.255.255  Mask:255.255.0.0
 ? ? ? ?  UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
 ? ? ? ?  RX packets:8 errors:0 dropped:0 overruns:0 frame:0
 ? ? ? ?  TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
 ? ? ? ?  collisions:0 txqueuelen:0 
 ? ? ? ?  RX bytes:696 (696.0 B)  TX bytes:0 (0.0 B)

?

第二个容器

[root@localhost ~]# docker run -it --name t2 --rm busybox
/ # ifconfig
eth0 ? ?  Link encap:Ethernet  HWaddr 02:42:AC:11:00:03 ?
 ? ? ? ?  inet addr:172.17.0.3  Bcast:172.17.255.255  Mask:255.255.0.0
 ? ? ? ?  UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
 ? ? ? ?  RX packets:6 errors:0 dropped:0 overruns:0 frame:0
 ? ? ? ?  TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
 ? ? ? ?  collisions:0 txqueuelen:0 
 ? ? ? ?  RX bytes:516 (516.0 B)  TX bytes:0 (0.0 B)

?

这里可以看到两个容器的IP地址是不一样的，也就是说没有共享网络，没有使用container模式，我们可以把第二个容器的启动方式指定为container模式，使t1、t2的容器IP一致，也就是共享IP，但是文件系统不共享。

[root@localhost ~]# docker run -it --name t2 --rm --network container:t1 busybox
/ # ifconfig
eth0 ? ?  Link encap:Ethernet  HWaddr 02:42:AC:11:00:02 ?
 ? ? ? ?  inet addr:172.17.0.2  Bcast:172.17.255.255  Mask:255.255.0.0
 ? ? ? ?  UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
 ? ? ? ?  RX packets:15 errors:0 dropped:0 overruns:0 frame:0
 ? ? ? ?  TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
 ? ? ? ?  collisions:0 txqueuelen:0 
 ? ? ? ?  RX bytes:1186 (1.1 KiB)  TX bytes:0 (0.0 B)
#可以看到我们的IP地址和T1一致，表示已经共享IP

?

我们在t1容器上创建一个目录

/ # mkdir /tmp/data
/ # ls /tmp
data

?

在t2上查看/tmp下会不会有这个目录。

/ # ls /tmp
/ # 
#到t2容器上检查/tmp目录会发现并没有这个目录，因为文件系统是处于隔离状态，仅仅是共享了网络而已。

?

在t2容器上部署一个站点

/ # echo ‘hello world‘ > /tmp/index.html
/ # ls /tmp
index.html
/ # httpd -h /tmp
/ # netstat -antl
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address ? ? ? ? ? Foreign Address ? ? ? ? State ? ? ? 
tcp ? ? ? ?0 ? ? ?0 :::80 ? ? ? ? ? ? ? ? ? :::* ? ? ? ? ? ? ? ? ?  LISTEN

?

在t1容器上用本地地址去访问此站点

/ # wget -O - -q 127.0.0.1:80
hello world

?

由此可见，container模式下的容器间关系就相当于一台主机上的两个不同进程

host模式配置

启动容器时直接指明模式为host

[root@localhost ~]# docker run -it --name t1 --rm --network host busybox
/ # ifconfig
docker0   Link encap:Ethernet  HWaddr 02:42:72:B9:31:48  
          inet addr:172.17.0.1  Bcast:172.17.255.255  Mask:255.255.0.0
          inet6 addr: fe80::42:72ff:feb9:3148/64 Scope:Link
          UP BROADCAST MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:13 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:0 (0.0 B)  TX bytes:1166 (1.1 KiB)

ens33     Link encap:Ethernet  HWaddr 00:50:56:39:09:0E  
          inet addr:192.168.11.22  Bcast:192.168.11.255  Mask:255.255.255.0
          inet6 addr: fe80::250:56ff:fe39:90e/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:6271 errors:0 dropped:0 overruns:0 frame:0
          TX packets:2556 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:5296993 (5.0 MiB)  TX bytes:220082 (214.9 KiB)

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)
/ # echo ‘hello world‘ > /tmp/index.html
/ # httpd -h /tmp
/ # netstat -antl
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      
tcp        0      0 192.168.11.22:22        192.168.11.1:59524      ESTABLISHED 
tcp        0      0 192.168.11.22:22        192.168.11.1:52812      ESTABLISHED 
tcp        0      0 192.168.11.22:22        192.168.11.1:52273      ESTABLISHED 
tcp        0      0 192.168.11.22:22        192.168.11.1:52810      ESTABLISHED 
tcp        0      0 :::80                   :::*                    LISTEN      
tcp        0      0 :::22                   :::*                    LISTEN

?

容器的常用操作

查看容器的主机名

[root@localhost ~]# docker run -it --name t1 --rm busybox
/ # hostname
6997c68d5a85

?

在容器启动时注入主机名

?
[root@localhost ~]# docker run -it --name t1 --hostname panghu --rm busybox
/ # hostname
panghu
/ # cat /etc/hosts
127.0.0.1   localhost
::1 localhost ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
172.17.0.2  panghu          #注入主机名时会自动创建主机名到IP的映射关系
/ # cat /etc/resolv.conf
# Generated by NetworkManager
nameserver 114.114.114.114      #DNS也会自动配置为宿主机的DNS
/ # ping www.baidu.com
PING www.baidu.com (182.61.200.7): 56 data bytes
64 bytes from 182.61.200.7: seq=0 ttl=127 time=46.518 ms
64 bytes from 182.61.200.7: seq=1 ttl=127 time=38.678 ms

?

手动指定容器要使用的DNS

[root@localhost ~]# docker run -it --name t1 --hostname panghu --dns 192.168.11.2 busybox
/ # cat /etc/resolv.conf 
nameserver 192.168.11.2
/ # nslookup -type=a www.baidu.com
Server:		192.168.11.2
Address:	192.168.11.2:53

Non-authoritative answer:
www.baidu.com	canonical name = www.a.shifen.com
Name:	www.a.shifen.com
Address: 182.61.200.6
Name:	www.a.shifen.com
Address: 182.61.200.7

?

手动往/etc/hosts文件中注入主机名到IP地址映射

[root@localhost ~]# docker run -it --name t1 --hostname panghu --add-host www.a.com:10.0.0.1 --rm busybox
/ # cat /etc/hosts
127.0.0.1   localhost
::1 localhost ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
10.0.0.1    www.a.com
172.17.0.2  panghu

?

开放容器端口

执行docker run的时候有个-p选项，可以将容器中的应用端口映射到宿主机中，从而实现让外部主机可以通过访问宿主机的某端口来访问容器内应用的目的。

-p选项能够使用多次，其所能够暴露的端口必须是容器确实在监听的端口。

-p选项的使用格式：

• -p <containerPort>

  • 将指定的容器端口映射至主机所有地址的一个动态端口

• -p <hostPort>:<containerPort>

  • 将容器端口<containerPort>映射至指定的主机端口<hostPort>

• -p <ip>::<containerPort>

  • 将指定的容器端口<containerPort>映射至主机指定<ip>的动态端口

• -p <ip>:<hostPort>:<containerPort>

  • 将指定的容器端口<containerPort>映射至主机指定<ip>的端口<hostPort>

动态端口指的是随机端口，具体的映射结果可使用docker port命令查看。

[root@localhost ~]# docker run --name web --rm -p 80 phsama/a1:v1.1

?

以上命令执行后会一直占用着前端，我们新开一个终端连接来看一下容器的80端口被映射到了宿主机的什么端口上

[root@localhost ~]# docker port web
80/tcp -> 0.0.0.0:49157
80/tcp -> :::49157

?

由此可见，容器的80端口被暴露到了宿主机的49157端口上，此时我们在宿主机上访问一下这个端口看是否能访问到容器内的站点

[root@localhost ~]# curl http://127.0.0.1:49157
....
<html xmlns="http://www.w3.org/1999/xhtml" xml:lang="en">
 ?  <head>
 ? ? ?  <title>Test Page for the Nginx HTTP Server on Red Hat Enterprise Linux</title>
 ? ? ?  <meta http-equiv="Content-Type" content="text/html; charset=UTF-8" />
 ? ? ?  <style type="text/css">
 ? ? ? ? ?  /*<![CDATA[*/
 ? ? ? ? ?  body {
 ? ? ? ? ? ? ?  background-color: #fff;
 ? ? ? ? ? ? ?  color: #000;
 ? ? ? ? ? ? ?  font-size: 0.9em;
 ? ? ? ? ? ? ?  font-family: sans-serif,helvetica;
 ? ? ? ? ? ? ?  margin: 0;
 ? ? ? ? ? ? ?  padding: 0;
....

?

iptables防火墙规则将随容器的创建自动生成，随容器的删除自动删除规则。

将容器端口映射到指定IP的随机端口

[root@localhost ~]# docker run --name web --rm -p 192.168.11.22::80 nginx

?

在另一个终端上查看端口映射情况

[root@localhost ~]# docker port web
80/tcp -> 192.168.11.22:49153

?

将容器端口映射到宿主机的指定端口

[root@localhost ~]# docker run --name web --rm -p 80:80 nginx

?

在另一个终端查看端口映射情况

[root@localhost ~]# ss -antl
State ? ? ? ? Recv-Q ? ? ? ? Send-Q ? ? ? ? ? ? ? ? Local Address:Port ? ? ? ? ? ? ? ? Peer Address:Port ? ? ?  Process ? ? ? ?
LISTEN ? ? ? ?0 ? ? ? ? ? ? ?128 ? ? ? ? ? ? ? ? ? ? ? ? ?0.0.0.0:80 ? ? ? ? ? ? ? ? ? ? ? ?0.0.0.0:* ? ? ? ? ? ? ? ? ? ? ? ? ?
LISTEN ? ? ? ?0 ? ? ? ? ? ? ?128 ? ? ? ? ? ? ? ? ? ? ? ? ?0.0.0.0:22 ? ? ? ? ? ? ? ? ? ? ? ?0.0.0.0:* ? ? ? ? ? ? ? ? ? ? ? ? ?
LISTEN ? ? ? ?0 ? ? ? ? ? ? ?128 ? ? ? ? ? ? ? ? ? ? ? ? ? ? [::]:80 ? ? ? ? ? ? ? ? ? ? ? ? ? [::]:* ? ? ? ? ? ? ? ? ? ? ? ? ?
LISTEN ? ? ? ?0 ? ? ? ? ? ? ?128 ? ? ? ? ? ? ? ? ? ? ? ? ? ? [::]:22 ? ? ? ? ? ? ? ? ? ? ? ? ? [::]:*

?

自定义docker0桥的网络属性信息

官方文档相关配置

自定义docker0桥的网络属性信息需要修改/etc/docker/daemon.json配置文件

[root@localhost ~]# vim /etc/docker/daemon.json
{
 ? ?"bip": "10.0.0.1/24",
 ? ?"registry-mirrors": ["https://******.mirror.aliyuncs.com"]
}
[root@localhost ~]# systemctl daemon-reload 
[root@localhost ~]# systemctl restart docker
[root@localhost ~]# ip a
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default 
 ?  link/ether 02:42:27:b5:b5:23 brd ff:ff:ff:ff:ff:ff
 ?  inet 10.0.0.1/24 brd 10.0.0.255 scope global docker0
 ? ? ? valid_lft forever preferred_lft forever
#如果要指定其他的参数可以再/etc/docker/daemon.json里再加
{
 ?"bip": "192.168.1.5/24",
 ?"fixed-cidr": "192.168.1.5/25",
 ?"fixed-cidr-v6": "2001:db8::/64",
 ?"mtu": 1500,
 ?"default-gateway": "10.20.1.1",
 ?"default-gateway-v6": "2001:db8:abcd::89",
 ?"dns": ["10.20.1.2","10.20.1.3"]
}
#这里需要注意，除了最后一行，前面的任何一行都要在结尾加上","，不然就会报错

?

docker创建自定义桥

创建一个额外的自定义桥，区别于docker0

[root@localhost ~]# docker network ls
NETWORK ID ? ? NAME ? ?  DRIVER ?  SCOPE
aa3e6cfeef52 ? bridge ?  bridge ?  local
ec02e10c370a ? host ? ?  host ? ?  local
1d5cc4a5d4ec ? none ? ?  null ? ?  local
[root@localhost ~]# docker network create -d bridge --subnet "192.168.1.0/24" --gateway "192.168.1.1" br0
f671537f3dff5be7988d203fc1cd1e5d0c20ce64cda3816493beb0523aa9c381
[root@localhost ~]# docker network ls
NETWORK ID ? ? NAME ? ?  DRIVER ?  SCOPE
f671537f3dff ? br0 ? ? ? bridge ?  local
aa3e6cfeef52 ? bridge ?  bridge ?  local
ec02e10c370a ? host ? ?  host ? ?  local
1d5cc4a5d4ec ? none ? ?  null ? ?  local
[root@localhost ~]# ip a
4: br-f671537f3dff: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default 
 ?  link/ether 02:42:a5:89:67:03 brd ff:ff:ff:ff:ff:ff
 ?  inet 192.168.1.1/24 brd 192.168.1.255 scope global br-f671537f3dff
 ? ? ? valid_lft forever preferred_lft forever

?

使用新创建的自定义桥来创建容器：

[root@localhost ~]# docker run -it --name t1 --network br0 busybox
/ # ifconfig 
eth0 ? ?  Link encap:Ethernet  HWaddr 02:42:C0:A8:01:02 ?
 ? ? ? ?  inet addr:192.168.1.2  Bcast:192.168.1.255  Mask:255.255.255.0
 ? ? ? ?  UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
 ? ? ? ?  RX packets:12 errors:0 dropped:0 overruns:0 frame:0
 ? ? ? ?  TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
 ? ? ? ?  collisions:0 txqueuelen:0 
 ? ? ? ?  RX bytes:1032 (1.0 KiB)  TX bytes:0 (0.0 B)

?

再创建一个容器，使用默认的bridge桥：

[root@localhost ~]# docker run -it --name t2 --rm busybox
/ # ifconfig 
eth0 ? ?  Link encap:Ethernet  HWaddr 02:42:AC:11:00:02 ?
 ? ? ? ?  inet addr:172.17.0.2  Bcast:172.17.255.255  Mask:255.255.0.0
 ? ? ? ?  UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
 ? ? ? ?  RX packets:12 errors:0 dropped:0 overruns:0 frame:0
 ? ? ? ?  TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
 ? ? ? ?  collisions:0 txqueuelen:0 
 ? ? ? ?  RX bytes:1032 (1.0 KiB)  TX bytes:0 (0.0 B)