标准的Docker支持4类网络模式
- host模式：容器和宿主机共享Network namespace。
- container模式： 容器和另外一个容器共享Network namespace。
- none模式：容器有独立的Network namespace，但并没有对其进行任何网络设置，如分配veth pair 和网桥连接，配置IP等。
- bridge模式：docker默认模式，就是利用在Docker网络学习第一篇-Linux虚拟网络讲到的Birdge实现。
host模式
就是和主机使用同一个network namespace, 直接使用主机的ip和端口与外界通信。下面通过nginx演示，在nginx-conf/default.conf 配置文件中指定端口为11111
docker run --rm --name nginx-test --net=host -v /data/ljgeng/nginx-conf:/etc/nginx/conf.d nginx
另起一个窗口，输入命令curl -I localhost:11111, 可以看到返回响应码200，说明访问是成功的。nginx-test 并没有指定任何端口映射，容器中的11111端口实际就是主机端口，从表现的现象来看，确实可以直接使用了主机ip和端口和nginx-test通信，要进一步验证nginx-test和主机是使用同一个network namespace，首先得了解下面这个知识：
不同network namespace中的进程有不同的net:[]号码发配，拥有相同net:[]号码的进程属于同一个network namesapce
- 首先查看nginx-test进程号
docker inspect nginx-test -f "{{.State.Pid}}"
16705
- 查看 nginx-test的 net 号
ll /proc/16705/ns
...
lrwxrwxrwx 1 root root 0 Aug 17 11:03 net -> net:[4026531956]
...
- 查看 主机的net号
ll /proc/self/ns
...
lrwxrwxrwx 1 root root 0 Aug 17 11:18 net -> net:[4026531956]
...
可以看出nginx-test与主机net号确实相同，说明使用了同一个network namespace, 模式示例图如下：
图1
container模式
和host不同的是，容器和另一个容器共享namespace。两个容器的进程可以通过 lo 网卡设备通信，现有两个容器， nginx-test 和 nginx-test1, 后者与前者共享network namespace，前者端口设置为11111， 后者为11112。
- 窗口1执行
docker run --rm --name nginx-test -v /data/ljgeng/nginx-conf:/etc/nginx/conf.d nginx
- 窗口2执行
docker run --rm --name nginx-test1 \
--net=container:nginx-test -v /data/ljgeng/nginx-conf1:/etc/nginx/conf.d nginx
- 窗口3执行
docker exec -it nginx-test1 /bin/sh -c "apt-get update && apt install curl && curl -I localhost:11111"
...
HTTP/1.1 200 OK
...
none模式
通过--network=none来指定。这种类型的网络没有办法联网，封闭的网络可以很好的保证容器的安全性。
bridge模式
在Docker进程启动时会自动创建一个虚拟网桥 docker0, 在创建某一个具体的容器时，如果没有指定--net 或者指定--net=bridge, 那么在创建容器的同时会创建一对veth pair 设备，一端放在容器中，一端接入网桥docker0上。
图2
通过brctl show 查看 网桥设备
[root@2030-edu-01-no ~]# brctl show
bridge name bridge id STP enabled interfaces
br-40a246442710 8000.024299092001 no
docker0 8000.0242612d67e0 no veth0734eff
...
在启动容器时 通过-p port:port指定映射端口，实际是利用DANT进行的转发，DNAT知识可以在Docker网络学习第二篇-认识iptables 查看。使用iptables -t nat -vnL 查看转发规则。
使用docker network create <network-name> （可以使用-d 指定驱动，默认是bridge） 命令时，实际就是创建了一个网桥，同一个网桥内的容器可以互相通信；
使用ip netns ls 查看时，并没有发现docker容器的namespace, 这是因为docker启动容器后会以进程号创建新的名字空间，而在较新的版本里面，默认删除了系统中的名字空间信息文件,如果想恢复，只需要执行
ln -s /proc/容器进程号/ns/net /var/run/netns/容器命令即可。
网友评论