Docker容器通過獨立IP暴露給局域網(wǎng)的方法
Docker容器非常輕量，系統(tǒng)開銷非常少，比VMware或者VirtualBox用起來方便，部署起來也非常容易。官方推薦我們通過端口映射的方式把Docker容器的服務提供給宿主機或者局域網(wǎng)其他容器使用。一般過程是：
1、Docker進程通過監(jiān)聽宿主機的某個端口，將該端口的數(shù)據(jù)包發(fā)送給Docker容器
2、宿主機可以打開防火墻讓局域網(wǎng)其他設備通過訪問宿主機的端口進而訪問docker的端口
這里以CDNS為例，CDNS是一個用于避免DNS污染的程序，通過CDNS可以把你的計算機變成一個抗污染的DNS服務器提供給局域網(wǎng)使用。Docker鏡像下載地址：https://hub.docker.com/r/alexzhuo/cdns/
原理是在Docker容器中啟動CDNS，監(jiān)聽53端口，Docker容器的IP地址為172.12.0.2，宿主機把5053端口映射到Docker容器上，訪問宿主機的127.0.0.1:5053就相當于訪問Docker的53端口，所以Docker的啟動方法是：
sudo docker run -itd -p 0.0.0.0:5053:53/udp --name=CureDNS alexzhuo/cdns cdns -c /etc/cdns.config.json
這樣我們使用dig工具通過5053端口查詢DNS就是無污染的DNS了，過程如下：
alex@alex-Lenovo-U310:~$ dig www.facebook.com @127.0.0.1 -p 5053 ; <<>> DiG 9.10.3-P4-Ubuntu <<>> www.facebook.com @127.0.0.1 -p 5053 ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 9522 ;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 2, ADDITIONAL: 5 ;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 4096 ;; QUESTION SECTION: ;www.facebook.com. IN A ;; ANSWER SECTION: www.facebook.com. 1550 IN CNAME star-mini.c10r.facebook.com. star-mini.c10r.facebook.com. 30 IN A 31.13.95.36 ;; AUTHORITY SECTION: c10r.facebook.com. 2010 IN NS a.ns.c10r.facebook.com. c10r.facebook.com. 2010 IN NS b.ns.c10r.facebook.com. ;; ADDITIONAL SECTION: a.ns.c10r.facebook.com. 2439 IN A 69.171.239.11 a.ns.c10r.facebook.com. 2439 IN AAAA 2a03:2880:fffe:b:face:b00c:0:99 b.ns.c10r.facebook.com. 3351 IN A 69.171.255.11 b.ns.c10r.facebook.com. 1253 IN AAAA 2a03:2880:ffff:b:face:b00c:0:99 ;; Query time: 47 msec ;; SERVER: 127.0.0.1#5053(127.0.0.1) ;; WHEN: Mon Apr 10 16:21:46 CST 2017 ;; MSG SIZE rcvd: 213
這里假設我們的宿主機IP是192.168.12.107
如果現(xiàn)在出現(xiàn)另外一臺局域網(wǎng)計算機，IP地址為192.168.12.113，它想把宿主機當成DNS服務器，那么我們就需要在192.168.12.113這臺計算機上訪問192.168.12.107：5053來查詢DNS，dig命令如下
dig www.facebook.com @192.168.12.107 -p 5053
這樣做顯然是很不方便的，我們現(xiàn)在希望不經(jīng)過宿主機這一套NAT和代理，想要直接在局域網(wǎng)內(nèi)的任意一臺計算機上直接通過IP訪問Docker容器，讓Docker容器完整的暴露在局域網(wǎng)里而不是僅單單暴露一個53端口。那么應該如何做呢？
首先通過觀察發(fā)現(xiàn)，Docker的默認啟動方式中，會產(chǎn)生一塊虛擬網(wǎng)卡，在這里我們可以理解這塊網(wǎng)卡連接著一個虛擬交換機，然后每個Docker容器又會擁有自己單獨的網(wǎng)卡和IP，而且所有Docker容器也連接在這個虛擬交換機的下面。我們可以在宿主機上通過ifconfig命令看到這個虛擬網(wǎng)卡。
alex@alex-Lenovo-U310:~$ ifconfig docker0 Link encap:以太網(wǎng) 硬件地址 02:42:cd:21:5c:81 inet 地址:172.17.0.1 廣播:0.0.0.0 掩碼:255.255.0.0 inet6 地址: fe80::42:cdff:fe21:5c81/64 Scope:Link UP BROADCAST RUNNING MULTICAST MTU:1500 躍點數(shù):1 接收數(shù)據(jù)包:2892 錯誤:0 丟棄:0 過載:0 幀數(shù):0 發(fā)送數(shù)據(jù)包:3517 錯誤:0 丟棄:0 過載:0 載波:0 碰撞:0 發(fā)送隊列長度:0 接收字節(jié):187022 (187.0 KB) 發(fā)送字節(jié):4771886 (4.7 MB) lo Link encap:本地環(huán)回 inet 地址:127.0.0.1 掩碼:255.0.0.0 inet6 地址: ::1/128 Scope:Host UP LOOPBACK RUNNING MTU:65536 躍點數(shù):1 接收數(shù)據(jù)包:9993 錯誤:0 丟棄:0 過載:0 幀數(shù):0 發(fā)送數(shù)據(jù)包:9993 錯誤:0 丟棄:0 過載:0 載波:0 碰撞:0 發(fā)送隊列長度:1 接收字節(jié):934304 (934.3 KB) 發(fā)送字節(jié):934304 (934.3 KB) wlp3s0 Link encap:以太網(wǎng) 硬件地址 74:e5:43:b0:dd:b0 inet 地址:192.168.12.107 廣播:192.168.12.255 掩碼:255.255.255.0 inet6 地址: fe80::8adf:28f7:5ec:3a5d/64 Scope:Link UP BROADCAST RUNNING MULTICAST MTU:1500 躍點數(shù):1 接收數(shù)據(jù)包:69760 錯誤:0 丟棄:0 過載:0 幀數(shù):0 發(fā)送數(shù)據(jù)包:64718 錯誤:0 丟棄:0 過載:0 載波:0 碰撞:0 發(fā)送隊列長度:1000 接收字節(jié):41517057 (41.5 MB) 發(fā)送字節(jié):9971762 (9.9 MB)
上面的docker0這塊網(wǎng)卡就是虛擬網(wǎng)卡，它的IP地址是172.17.0.1，它和其他的docker容器都連接在一個虛擬交換機上，網(wǎng)段為172.17.0.0/16，下面我們登錄到Docker容器里面，查看一下容器的網(wǎng)卡和IP
# ifconfig eth0 Link encap:Ethernet HWaddr 02:42:ac:11:00:02 inet addr:172.17.0.2 Bcast:0.0.0.0 Mask:255.255.0.0 inet6 addr: fe80::42:acff:fe11:2/64 Scope:Link UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:3449 errors:0 dropped:0 overruns:0 frame:0 TX packets:2811 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 RX bytes:4763490 (4.7 MB) TX bytes:219998 (219.9 KB) lo Link encap:Local Loopback inet addr:127.0.0.1 Mask:255.0.0.0 inet6 addr: ::1/128 Scope:Host UP LOOPBACK RUNNING MTU:65536 Metric:1 RX packets:0 errors:0 dropped:0 overruns:0 frame:0 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:1 RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)
可以看到這個容器的IP地址為172.17.0.2，現(xiàn)在我們到宿主機里看看ping 172.17.0.2能不能ping通。
答案當然是能ping通，能ping通的原因就是我們的宿主機里知道目標地址為172.17.0.1/16的路由信息，不信我們可以查看一下
alex@alex-Lenovo-U310:~$ ip route default via 192.168.12.1 dev wlp3s0 proto static metric 600 169.254.0.0/16 dev docker0 scope link metric 1000 172.17.0.0/16 dev docker0 proto kernel scope link src 172.17.0.1 192.168.12.0/24 dev wlp3s0 proto kernel scope link src 192.168.12.107 metric 600
從上面可以看出來，172.17.0.0/16這個網(wǎng)段的數(shù)據(jù)包可以通過docker0這塊網(wǎng)卡發(fā)送出去。也就是說，目前宿主機有兩個IP，一個是192.168.12.107,用于連接實體的局域網(wǎng)，一個是172.17.0.1，用來和Docker容器通信，從這可以看出宿主機和路由器的作用是一致的。而Docker容器只有一個IP就是172.17.0.2。如果docker容器想要訪問外網(wǎng)，那么它就會把數(shù)據(jù)包發(fā)送到網(wǎng)關172.17.0.1，然后由宿主機做NAT發(fā)送到192.168.12.1/24這個網(wǎng)段的網(wǎng)關上。
不光宿主機可以ping通容器，而且由于在docker容器中默認路由（網(wǎng)關）是172.17.0.1,所以docker容器不光可以ping主機的172.17.0.1,還能ping通主機的另一個IP：192.168.12.107
此時我們的網(wǎng)絡拓撲其實就變成了192.168.12.0/24這個網(wǎng)段里有個宿主機，為了方便理解，我們把這個宿主機看成一個路由器，路由器下面是172.17.0.1/16這個網(wǎng)段。我們把Docker容器看成實實在在的機器設備，連接在宿主機這個路由器的下面。這樣Docker的拓撲結(jié)構(gòu)就非常清晰了。我們可以發(fā)現(xiàn)這個拓撲結(jié)構(gòu)其實非常的簡單。就像家里上網(wǎng)的路由器一樣。打個比方：我家里有兩個路由器，一個路由器通過PPPOE撥號連接公網(wǎng)，內(nèi)網(wǎng)地址為192.168.12.1，另一個路由器連接在第一個路由器上面，WAN口IP是192.168.12.107，LAN口地址是172.17.0.1，我們的Docker容器看成一個個的電腦接在第二個路由器LAN上面，所以Docker容器的IP為172.17.0.2。
第二個路由器（宿主機）通過NAT讓我們的電腦們（Docker容器）可以訪問互聯(lián)網(wǎng)。電腦們（Docker容器們）可以互相ping通，也能ping通全部兩個路由器。第二個路由器可以ping通電腦們，但是第一個路由器ping不同電腦們。如果還是不理解拓撲結(jié)構(gòu)，可以自己在家里買兩個路由器一前一后放上試試。
現(xiàn)在問題來了，如果有一個電腦連接在第一個路由器的下面，和第二個路由器（宿主機）平級，其IP為192.168.12.113，現(xiàn)在它想ping通172.17.0.2這個Docker容器，發(fā)現(xiàn)是ping不通的。同樣第一臺路由器自己也是ping不通Docker容器的
原因很簡單，這臺新計算機只能ping通同網(wǎng)段的設備，比如路由器2，因為他們同屬于192.168.12.1/24這個網(wǎng)段。而172.17.0.2/16這個網(wǎng)段它并不知道怎么路由過去，只能把目標地址為172.17.0.1/16的數(shù)據(jù)包發(fā)給路由器一，可惜就連第一個路由器也不知道怎么個路由法。所以我們就ping不通了。
所以現(xiàn)在問題就很好解決了，我們只需要告訴這臺新電腦或者第一個路由器到172.17.0.2/16這個網(wǎng)段的路徑就可以了。
于是我們可以在新電腦或者路由器一中這樣寫
route add -net 172.17.0.1/16 gw 192.168.12.107
或者是
ip route add 172.17.0.1/16 via 192.168.12.107
普通路由器可以像這樣設置
現(xiàn)在新電腦訪問172.17.0.2的數(shù)據(jù)包就會先被發(fā)送到宿主機（第二個路由器）上，然后宿主機再轉(zhuǎn)發(fā)到Docker容器上，我們就把Docker容器暴露到局域網(wǎng)里了。
但此時你會發(fā)現(xiàn)你在新計算機上還是ping不通，這是為什么呢。因為路由器二（宿主機）對它的內(nèi)網(wǎng)機器也就是Docker容器們?nèi)块_啟了NAT，源IP為172.17.0.2/16的數(shù)據(jù)包不會出現(xiàn)在宿主機以外的網(wǎng)絡中，因為他們被NAT了。這個NAT是Docker進程默認自動幫我們實現(xiàn)的，我們先看一下
alex@alex-Lenovo-U310:~$ sudo iptables -t nat -L -n Chain PREROUTING (policy ACCEPT) target prot opt source destination DOCKER all -- 0.0.0.0/0 0.0.0.0/0 ADDRTYPE match dst-type LOCAL Chain INPUT (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination DOCKER all -- 0.0.0.0/0 !127.0.0.0/8 ADDRTYPE match dst-type LOCAL Chain POSTROUTING (policy ACCEPT) target prot opt source destination MASQUERADE all -- 172.17.0.0/16 0.0.0.0/0 MASQUERADE tcp -- 172.17.0.2 172.17.0.2 tcp dpt:53 MASQUERADE udp -- 172.17.0.2 172.17.0.2 udp dpt:53 Chain DOCKER (2 references) target prot opt source destination RETURN all -- 0.0.0.0/0 0.0.0.0/0 DNAT tcp -- 0.0.0.0/0 127.0.0.1 tcp dpt:5053 to:172.17.0.2:53 DNAT udp -- 0.0.0.0/0 127.0.0.1 udp dpt:5053 to:172.17.0.2:53
注意那句MASQUERADE all -- 172.17.0.0/16 0.0.0.0/0會導致所有172.17.0.0/16的數(shù)據(jù)包都不能到達docker以外的網(wǎng)絡，所以我們要關掉這個NAT，關掉很容易，我們只需刪掉這一條iptables規(guī)則就可以了。然后源IP為172.17.0.2的數(shù)據(jù)包就可以出現(xiàn)在192.168.12.1/24的網(wǎng)絡中了。
sudo iptables -t nat -D POSTROUTING 3
但是把NAT關掉了以后，雖然內(nèi)網(wǎng)可以互ping了，但是Docker容器可能上不去網(wǎng)呀。第一個路由器如果自動NAT 了172.17.0.2還好，但要是沒有人給Docker容器做NAT，Docker容器就不能上網(wǎng)了，那我們的CDNS也就沒法用了。那么如何既保證Docker容器訪問外網(wǎng)的數(shù)據(jù)包被NAT，又保證內(nèi)網(wǎng)通信不被NAT呢？只要稍微修改一下iptables規(guī)則就好了，如下
sudo iptables -t nat -A POSTROUTING -s 172.17.0.2 ! -d 192.168.12.1/24 -j MASQUERADE
上面的iptables規(guī)則通過對內(nèi)外網(wǎng)流量的分離實現(xiàn)區(qū)別的NAT對待，就可以既保證Docker容器正常上網(wǎng)，也可以被內(nèi)網(wǎng)其他主機訪問了。
可能會有這么一種情況，上面所說的第一臺路由器不是什么智能路由器，或者你沒有權限在那個路由器上配置路由條目，讓目標為172.17.0.0/16的數(shù)據(jù)包通過路由器進行路由。同時你的局域網(wǎng)其他電腦是XP系統(tǒng)的，也沒法手動配置路由規(guī)則，這該怎么辦呢？
現(xiàn)在以要訪問Docker容器的局域網(wǎng)主機為Windows XP系統(tǒng)為例，雖然WinXP不能手動配置路由規(guī)則，但是我們可以配置網(wǎng)關，只要我們把網(wǎng)關設置為192.168.0.107也就是我們的宿主機，目標地址為172.17.0.0/16的IP包就會發(fā)送到宿主機上，而宿主機不同于第一個路由器，它是知道如何路由這些IP包的。于是我們就可以在WinXP上ping通Docker容器了
以上所述是小編給大家介紹的Docker容器通過獨立IP暴露給局域網(wǎng)的方法，希望對大家有所幫助，如果大家有任何疑問請給我留言，小編會及時回復大家的。在此也非常感謝大家對腳本之家網(wǎng)站的支持！
相關文章
這篇文章主要介紹了從使用Docker部署OpenWebUI到直接部署的切換過程,包括停止并刪除未使用的Docker鏡像以釋放硬盤空間,并記錄了直接部署的具體步驟,需要的朋友可以參考下2025-02-02
docker搭建jenkins+maven代碼構(gòu)建部署平臺
本文主要介紹了docker搭建jenkins+maven代碼構(gòu)建部署平臺，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧2021-06-06
本文主要介紹了docker安裝RocketMQ的實現(xiàn)步驟，文中通過示例代碼介紹的非常詳細，具有一定的參考價值，感興趣的小伙伴們可以參考一下2021-11-11
這篇文章主要介紹了docker容器掛載宿主主機目錄的操作方法,本文給大家介紹的非常詳細，具有參考借鑒價值，需要的朋友參考下吧2018-01-01
這篇文章主要為大家介紹了docker安裝clickhouse過程詳解,有需要的朋友可以借鑒參考下,希望能夠有所幫助,祝大家多多進步,早日升職加薪2023-08-08
鏡像也是?docker?的核心組件之一，鏡像時容器運行的基礎，容器是鏡像運行后的形態(tài)。本文主要介紹Docker鏡像的基本操作，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧2022-08-08
docker-compose---安裝掛載本地文件啟動mariadb問題
這篇文章主要介紹了docker-compose---安裝掛載本地文件啟動mariadb問題，具有很好的參考價值，希望對大家有所幫助。如有錯誤或未考慮完全的地方，望不吝賜教2023-03-03
在這個指南中,我們將學習如何將 Strapi 應用程序打包成 Docker 鏡像,解決多環(huán)境部署問題,文末也會提供打包好的鏡像地址,讓同學們能夠直接使用,需要的朋友可以參考下2024-01-01
docker-compose實現(xiàn)wireshark對linux主機進行抓包
這篇文章主要為大家介紹了docker-compose實現(xiàn)wireshark對linux主機進行抓包腳本示例,有需要的朋友可以借鑒參考下,希望能夠有所幫助,祝大家多多進步,早日升職加薪2023-12-12
數(shù)據(jù)卷容器是一個專門用來掛載數(shù)據(jù)卷的容器,該容器主要是供其他容器引用和使用,下面這篇文章主要給大家介紹了關于Docker容器數(shù)據(jù)卷使用的相關資料,需要的朋友可以參考下2022-10-10