五种网络模式
- bridge(默认)
- host
- container
- none
- 自定义(macvlan)
bridge模式
docker run --name tomcat -d -p 9100:8080 tomcat
bridge模式是docker的默认网络模式,不写 -network 参数,就是 bridge 模式。
当Docker进程启动时,会在主机上创建一个名为 docker0 的虚拟网桥,此主机上启动的Docker容器会链接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似,这样主机上的所有容器就通过交换机连在一个二层网络中。
从 docker0 子网中分配一个IP给容器使用,并设置 docker0 的IP地址为容器的默认网关。在主机上创建一对虚拟网卡 veth pair
设备。
veth pair
是一种成对出现的特殊网络设备,可以把它想象成由一根虚拟网线连接起来的一对网卡,网卡的一头(eth0@if29)在容器中,另一头(vethadb3128@if28)挂在网桥 docker0 上,其效果就是将 eth0@if29 也挂在了 docker0 上。

应用特点
隔离性好,会占用宿主机端口,只占用一个真实IP,适用于大多数场景。
需要对宿主机端口资源进行规划。
host模式
docker run --name t2 --network=host -d tomcat
curl http://localhost:8080
如果启动容器的时候使用 host 模式,那么这个容器将不会获得一个独立的 Network Namespace,而是和宿主机共用一个 Network Namespace。容器将不会虚拟出自己的网卡,配置自己的IP等,而是使用宿主机的IP和端口。

应用特点
隔离性最差,只占用一个真实IP,会占用宿主机端口,会出现端口冲突,性能最好。
能确认所有容器端口不冲突且默认都需要对外暴露时使用。
container模式
这个模式指定新创建的容器和已经存在的一个容器共享一个 Network Namespace,而不是和宿主机共享。新创建的容器不会创建自己的网卡,配置自己的IP,而是和一个指定的容器共享IP、端口范围等。同样,两个容器除了网络方面,其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过 Io 网卡设备通信。
//这里共享的是host模式
所以使用 container 模式,就是和host模式主机共享IP。

注意tomcat默认暴露 8080 端口,这里利用 bridge模式绑定80端口
docker run --name tomcat -d -p 80:80 tomcat
第一次本地访问失败
[root@localhost ~]# curl localhost:80
curl: (56) Recv failure: Connection reset by peer
将nginx通过container模式
绑定到tomcat容器,这样通过 tomcat 容器的 80 端口便可以转发给 nginx 处理
docker run -d --name nginx --net container:tomcat nginx
[root@localhost ~]# curl localhost:80
<!DOCTYPE html>
<html>
<head>
<title>Welcome to nginx!</title>
<style>
...
应用特点
隔离性好,只占用一个真实IP,会占用容器端口,性能差,开发网关应用时可以考虑。
none模式
docker run -it --net=none busybox
在这种模式下,Docker容器拥有自己的 Network Namespace,但是,并不为 Docker 容器进行任何网络配置。也就是说,这个 Docker 容器没有网卡、IP、路由等信息。需要我们自己为 Docker 容器添加网卡、配置IP等。
应用特点
一切全靠自定义,各项特性靠自己决定。
自定义模式
macvlan
docker network create -d macvlan \
--subnet=192.168.31.0/24 \
--ip-range=192.168.31.0/24 \
--gateway=192.168.31.1 \
-o parent=ens33 \
macvlan31
加入 macvlan 网络
docker run -itd --name tomcat-1 --ip=192.168.31.111 --network macvlan31 tomat
docker run -itd --name tomcat-2 --ip=192.168.31.112 --network macvlan31 tomat
Docker 内置的 Macvlan 驱动(Windows上是 Transparent)就是为此场景而生。通过为容器提供 MAC 和 IP 地址,让容器在物理网络上成为‘一等公民’。因此无需端口映射或者额外桥接,可以直接通过主机接口(或子接口)访问容器接口。但是,Macvlan 的缺点是需要将主机网卡(NIC)设置为混杂模式(Promiscuous Mode),这在大部分公有云平台上是不允许的。所以 Macvlan 对于公司内部的数据中心网络来说很棒(假设公司网络组能接受 NIC 设置为混杂模式),但是 Macvlan 在公有云上并不可行。
Macvlan 本身是 linux kernel 模块,其功能是允许在同一个物理网卡上配置多个 MAC 地址,即多个 interface,每个 interface 可以配置自己的 IP。macvlan 本质上是一种网卡虚拟化技术。

Macvlan的特点
优点
- 独立IP,维护方便,不占用主机端口号,使用容器默认端口
- 拥有稳定的IP后,容器间跨主机通信成为可能,因为无论是物理机、虚拟机、容器都是物理网络的‘一等公民’,容器间通信时直接指定IP即可
缺点
- 网络环境需要支持混杂模式,公有云不支持(不过都上公有云了,为什么不直接用云供应商提供的容器服务呢?)
- 部分大规模应用集群,内网ip地址是稀缺资源,例如阿里云、腾讯云,不适合使用 Macvlan
- 默认容器端口均对外暴露,需要在内网构建应用防火墙/网关决定哪些IP的哪些端口允许外界访问,哪些不允许
overlay模式
总结
-
在需要多个docker容器在同一个宿主机上进行通信,最好就直接使用默认的bridge模式;
-
当多个应用程序需要组成集群提供高可用服务时候,overlay肯定是最佳的选择;
-
host模式对于优化性能以及在容器需要处理大量端口的情况下很有用,因为它不需要NAT,并且也不会为每个端口创建“ userland-proxy”。当想要容器对网络传输效率有较高要求,就可以选择host模式,但是要注意端口占用的问题哦
网友评论