Docker网络架构

2020-12-10

字数统计: 1.7k字 | 阅读时长: 7分

阅读量

一、Docker网络有哪些

学习Docker，会学习到docker网络，一个网络是一组可以相互联通的端点。Docker在安装时就会创建3个网络

1 2	# 查看网络 docker network ls

其余2个是自己创建的网络，可以暂时不关注

host网络：与宿主机在同一个网络中，与宿主机共用一个Network Namespace。容器将不会虚拟自己的网卡和IP，而是使用宿主机的IP和端口。若端口冲突就不能使用该模式了

none网络：关闭容器的网络，放在上面的容器都是不需要网络的。例如生成随机密码的功能

bridge网络：容器使用独立的Network Namespace，并连接到docker0虚拟网桥。如果不指明网络，默认创建的容器都会挂在docker0中。容器通过docker0网桥以及Iptables net表配置与宿主机通信。

二、Bridge网络是什么

Docker derver启动的时候，主机会自动创建docker0的虚拟网桥，所有新创建的容器都会连接到这个网桥之上，这样主机的容器相当于在一个二层网络中。Bridge网络会为每个容器分配veth pair对，网卡的一头在容器中，一头在挂在网桥docker0上。

1 2	# 查看主机的网桥 brctl show

可以看到docker0网桥上已经挂载了3个网卡了。这里说明已经创建了三个容器，这三个就是容器的虚拟网卡。

1 2	# 查看bridge网络的相关信息 docker network inspect bridge

可以看到bridge网段是172.17.0.0/16，网关占用第一个ip（172.17.0.1），剩下的ip随机分配给创建的容器

接下来看一下mysqltest容器的网络配置：

apt-get install net-tools // 安装ifconfig

apt-get install iputils-ping // 安装ping

apt-get install iproute2 // 安装ip

可以看到为该容器分配的ip是172.17.0.3，容器端网卡是eth0@if1232。

通过ip addr 命令找到另一端网卡vethc991ce1

通过brctl show 命令看到vethc991ce1挂在docker0上

我们可以看到mysqltest容器2端有一对veth pair(vethc991ce1和eth0@if1232)，这2端一端(eth0@if1232)在容器中，一端(vethc991ce1)挂在docker0，这相当于eth0@if1232也挂在docker0上，从而将容器连接到bridge网络中

当前的容器网络拓扑图如下：

三、容器之间是怎么相互通信的

1、主机内部，相同网络

Docker基于veth pair网卡对，实现相同网络之间的通信，不是直接端对端，是通过bridge间接实现通信。

1607567734591

在mysql2容器内部，ping mysql1的ip，可以看到是可以互通的

在mysql2容器内部可以看到路由表：接口是eth0，通过网卡将信息传输到docker0，docker0广播地址，通过网卡找到mysql1

2、主机内部，不同网络

不同网络之间是不能直接进行通信的，也就是在172.17.0.2容器内部不能ping通172.18.0.4。如下图是连接不通的网络拓扑图：

可以通过以下2种方法实现不同网络直接的通信：

方法一：把容器加入到另一个网络中，把想要通信的容器放在同一容器

也就是将peer0.org2容器加入到bridge

通过ifconfig可以看到peer0.org2容器在之前的网卡基础上(lo,eth0)增加了eth1网卡，且分配了一个bridge网络网段的ip。

# 将04aec1064812(peer0.org2)容器加入到bridge网络中
[centos@wunaichi-fabric ~]$ docker network connect bridge 04aec1064812
# 进入04aec1064812容器
[centos@wunaichi-fabric ~]$ docker exec -it 04aec1064812 bash
# 查看ip 可以看到在以前的基础上增加了eth1网卡，且分配了一个bridg网段的ip
root@04aec1064812:/opt/gopath/src/github.com/hyperledger/fabric/peer# ifconfig
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.18.0.4  netmask 255.255.0.0  broadcast 0.0.0.0
        ether 02:42:ac:12:00:04  txqueuelen 0  (Ethernet)
        RX packets 2487840  bytes 433949085 (413.8 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 2455380  bytes 426722690 (406.9 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

eth1: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.17.0.5  netmask 255.255.0.0  broadcast 0.0.0.0
        ether 02:42:ac:11:00:05  txqueuelen 0  (Ethernet)
        RX packets 8  bytes 656 (656.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 0  bytes 0 (0.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        loop  txqueuelen 1000  (Local Loopback)
        RX packets 38  bytes 3151 (3.0 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 38  bytes 3151 (3.0 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

查看bridge网络也可以看到peer0.org2容器

进入peer0.org2容器可以看到该容器同时属于2个网络中

1607505281057

这样我们的网络拓扑图会变成这样：

peer0.org2加入到新网络之后，会产生一对veth pair在bridge网络上，这样就和在同一网络通信是一致的了。

方法二：修改底层iptables实现网络的通信

# iptables-save 查看iptables规则
[centos@wunaichi-fabric ~]$ sudo iptables-save
...
-A DOCKER-ISOLATION -i br-b86310df8e66 -o br-7a0183b7dfed -j DROP
-A DOCKER-ISOLATION -i br-7a0183b7dfed -o br-b86310df8e66 -j DROP
-A DOCKER-ISOLATION -i docker0 -o br-7a0183b7dfed -j DROP
-A DOCKER-ISOLATION -i br-7a0183b7dfed -o docker0 -j DROP
-A DOCKER-ISOLATION -i docker0 -o br-b86310df8e66 -j DROP
-A DOCKER-ISOLATION -i br-b86310df8e66 -o docker0 -j DROP
...

为什么2个网络不通其实原理就在这里：在iptables规则就drop掉了网桥docker0和br-b86310df8e66之间的双向流量。规则的命名DOCKER-ISOLATION也可知道docker 在设计上就是隔离了不同的network。

所以这里最直接的办法就是修改iptables规则：增加双向关系