docker如何自定義網(wǎng)絡問題
更新時間：2023年03月12日 15:31:17 作者：java葉新東老師
這篇文章主要介紹了docker如何自定義網(wǎng)絡問題，具有很好的參考價值，希望對大家有所幫助。如有錯誤或未考慮完全的地方，望不吝賜教
首先看看網(wǎng)卡的信息
通過ip addr命令可以看到，這里有三個網(wǎng)卡，
- lo： 本機回環(huán)地址
- etho ： 默認網(wǎng)卡
- docker0 ：docker的網(wǎng)卡
[root@VM_0_5_centos dockerFile]# ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN qlen 1
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
link/ether 52:54:00:6f:cb:a8 brd ff:ff:ff:ff:ff:ff
inet 172.27.0.5/20 brd 172.27.15.255 scope global eth0
valid_lft forever preferred_lft forever
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN
link/ether 02:42:27:d8:f7:98 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
valid_lft forever preferred_lft forever
docker網(wǎng)絡原理
veth-pair技術
顧名思義，veth-pair 就是一對的虛擬設備接口，和 tap/tun 設備不同的是，它都是成對出現(xiàn)的。一端連著協(xié)議棧，一端彼此相連
我們每啟動一個docker容器，docker就會給docker容器分配一個ip，并會生成一對（2個）網(wǎng)卡，因為我們在安裝docker容器時就會安裝一個docker專用的網(wǎng)卡；所以啟動后，不但容器里面會有一個網(wǎng)卡，宿主機也有有一個網(wǎng)卡用來專門綁定容器用的；所以它們的網(wǎng)卡是一對一對出現(xiàn)的， 這就是veth-pair技術；
測試一下，現(xiàn)在我們啟動2個容器，然后在宿主機上輸入命令ip addr，結果如下 ，我們發(fā)現(xiàn)，除了剛剛那三個網(wǎng)卡之外，多出了115和117這2個網(wǎng)卡，其中這2個網(wǎng)卡就是用來綁定容器使用的，仔細看
115: veth69cdd46@if114： 最后面有個114，所以就可以肯定，宿主機的115網(wǎng)卡 綁定了 容器的114網(wǎng)卡117: vethff2062e@if116：同理，117綁定了容器內的116網(wǎng)卡
[root@VM_0_5_centos ~]# ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN qlen 1
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
link/ether 52:54:00:6f:cb:a8 brd ff:ff:ff:ff:ff:ff
inet 172.27.0.5/20 brd 172.27.15.255 scope global eth0
valid_lft forever preferred_lft forever
3: docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP
link/ether 02:42:27:d8:f7:98 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
valid_lft forever preferred_lft forever
115: veth69cdd46@if114: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master docker0 state UP
link/ether 86:d1:9d:ae:1b:d6 brd ff:ff:ff:ff:ff:ff link-netnsid 0
117: vethff2062e@if116: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master docker0 state UP
link/ether 06:b4:54:e7:d4:57 brd ff:ff:ff:ff:ff:ff link-netnsid 1
所以這2對網(wǎng)卡都公用一個路由器，這2對網(wǎng)卡都是由docker0網(wǎng)卡分配的；并且docker容器中所有的網(wǎng)卡都是虛擬的；虛擬網(wǎng)卡轉發(fā)效率快；
容器互聯(lián) --link
每次連接或者ping的時候都需要寫ip才能ping通，有了link之后我們就可以直接通過容器的名稱來連接了；比如說我現(xiàn)在有2個centos的容器，想要在centos_1 通過 容器名稱去ping centos_2，那么這時候在啟動容器時就可以加上--link選項來實現(xiàn)
# 1、先啟動centos_2容器 docker run -d -it --name centos_2 centos # 2、啟動centos_1 容器，并且和centos_2產(chǎn)生連接 docker run -d -it --name centos_1 --link centos_2 centos # 3、進入centos_1 docker attach centos_1 # 4、在容器centos_1內部直接ping centos_2 ，結果我們發(fā)現(xiàn)是可以ping通的 [root@c5b2b47d5c52 /]# ping centos_2 PING centos_2 (172.17.0.4) 56(84) bytes of data. 64 bytes from centos_2 (172.17.0.4): icmp_seq=1 ttl=64 time=0.098 ms 64 bytes from centos_2 (172.17.0.4): icmp_seq=2 ttl=64 time=0.051 ms 64 bytes from centos_2 (172.17.0.4): icmp_seq=3 ttl=64 time=0.054 ms
注意
這里有一點需要注意，目前我們只能在centos_1 去ping centos_2 ，在centos_2 里是不可以ping centos_1的。因為centos_2在啟動的時候沒有加--link選項；
容器互聯(lián)底層原理
–link 是什么原理呢？它在內部是怎么做到的呢？
其實非常簡單，當我們在啟動容器時加上 --link選項之后，docker在容器內部的 /etc/hosts 就加上了centos_2的配置，我們來看看就知道了，進入容器centos_1查看hosts文件，倒數(shù)第二行看到了嗎，原理就是這么簡單;
[root@c5b2b47d5c52 /]# cat /etc/hosts 127.0.0.1 localhost ::1 localhost ip6-localhost ip6-loopback fe00::0 ip6-localnet ff00::0 ip6-mcastprefix ff02::1 ip6-allnodes ff02::2 ip6-allrouters 172.17.0.4 centos_2 126798c30683 172.17.0.5 c5b2b47d5c52
因為這個太簡單了，所以目前已經(jīng)不建議使用–link了；這也就是給新手用用而已；
容器互聯(lián) - 自定義網(wǎng)絡
自定義容器可使不同的集群使用不通的網(wǎng)絡，保證了集群是安全和健康的，
自定義網(wǎng)絡的命令主要有以下幾項
# 查看本機docker所有網(wǎng)絡 docker network ls # 創(chuàng)建網(wǎng)絡 --driver 是網(wǎng)絡模式，--subnet是子網(wǎng)掩碼，后面的/16表示可以生成6萬多個ip， --gateway是網(wǎng)關地址 docker network create 網(wǎng)絡名稱 --driver bridge --subnet 192.168.0.1/16 --gateway 192.168.0.2 mynet # 將容器加入到當前網(wǎng)絡 docker network connect 網(wǎng)絡名稱 容器名稱 # 斷開容器的網(wǎng)絡 （容器必須是運行狀態(tài)才能斷開連接） docker network disconnect 網(wǎng)絡名稱 容器名稱 # 查看網(wǎng)絡的詳細信息 docker network inspect 網(wǎng)絡id/網(wǎng)絡名稱 #刪除網(wǎng)絡 docker network rm 網(wǎng)絡id/網(wǎng)絡名稱 # 刪除所有未使用的網(wǎng)絡 docker network prune --f
查看所有的docker網(wǎng)絡
[root@VM_0_5_centos ~]# docker network ls NETWORK ID NAME DRIVER SCOPE f77512c426f3 bridge bridge local 7a19c378ddd5 host host local 62ad5c8176f0 none null local # 說明 NETWORK ID 網(wǎng)絡id NAME 網(wǎng)絡名稱 DRIVER 網(wǎng)絡模式 SCOPE 作用域
網(wǎng)絡模式分類
bridge： 橋接（默認），B和C通過A來連接，A就是路由none： 不配置網(wǎng)絡host： 主機模式，和宿主機共享網(wǎng)絡；container： 容器網(wǎng)絡聯(lián)通（用的少，局限性大）
啟動說明
通常我們啟動容器的命令是這樣的 docker run -d -P --name tomcat01 tomcat # 但其實，啟動的命令中還隱藏了一個選項，就是網(wǎng)絡的配置選項， # 如果你不加網(wǎng)絡選項的話，默認的docker會幫我們加上一個配置，如下 docker run -d -P --name tomcat01 --net bridge tomcat
創(chuàng)建自定義網(wǎng)絡
# --driver 是網(wǎng)絡模式，--subnet是子網(wǎng)掩碼，后面的/16表示可以生成6萬多個ip， --gateway是網(wǎng)關地址 docker network create --driver bridge --subnet 192.168.0.1/16 --gateway 192.168.0.2 mynet
查看一下docker網(wǎng)絡，可以看到mynet已經(jīng)創(chuàng)建號了
[root@VM_0_5_centos ~]# docker network ls NETWORK ID NAME DRIVER SCOPE f77512c426f3 bridge bridge local 7a19c378ddd5 host host local 00373dcd1ddb mynet bridge local 62ad5c8176f0 none null local
啟動容器后就可以指定自定義的網(wǎng)絡了
# 啟動第一個使用了自定義網(wǎng)絡的centos docker run -d -P -it --name centos01_mynet --net mynet centos # 啟動第二個使用了自定義網(wǎng)絡的centos docker run -d -P -it --name centos02_mynet --net mynet centos
centos01_mynet 和 centos02_mynet 之間都是可以互相ping通的
# centos01_mynet ping centos02_mynet [root@VM_0_5_centos ~]# docker exec -it centos01_mynet ping centos02_mynet PING centos02_mynet (192.168.0.3) 56(84) bytes of data. 64 bytes from centos02_mynet.mynet (192.168.0.3): icmp_seq=1 ttl=64 time=0.054 ms 64 bytes from centos02_mynet.mynet (192.168.0.3): icmp_seq=2 ttl=64 time=0.042 ms 64 bytes from centos02_mynet.mynet (192.168.0.3): icmp_seq=3 ttl=64 time=0.039 ms # centos02_mynet ping centos01_mynet [root@VM_0_5_centos ~]# docker exec -it centos02_mynet ping centos01_mynet PING centos01_mynet (192.168.0.1) 56(84) bytes of data. 64 bytes from centos01_mynet.mynet (192.168.0.1): icmp_seq=1 ttl=64 time=0.037 ms 64 bytes from centos01_mynet.mynet (192.168.0.1): icmp_seq=2 ttl=64 time=0.040 ms 64 bytes from centos01_mynet.mynet (192.168.0.1): icmp_seq=3 ttl=64 time=0.070 ms
隔離測試
啟動一個使用了默認網(wǎng)絡的centos
docker run -d -P --name centos_1 -it centos
然后使用自定義網(wǎng)絡的centos01_mynet 去 ping 默認網(wǎng)絡的centos_1，我們發(fā)現(xiàn)是ping不通的
[root@VM_0_5_centos ~]# docker exec -it centos02_mynet ping centos_1 ping: centos_1: Name or service not known
打通自定義網(wǎng)絡和默認網(wǎng)絡的連接
剛剛我們測試過了，自定義網(wǎng)絡和默認網(wǎng)絡是不通的，這樣就起到了隔離的作用，那如果我們想要打通這兩個網(wǎng)絡應該怎么辦呢？其實很簡答， ，docker已經(jīng)幫我們想好了，只需要使用 connect 指令即可
# 執(zhí)行以下命令打通 默認網(wǎng)絡和自定義網(wǎng)絡 docker network connect mynet centos_1
打通后，默認網(wǎng)絡和自定義網(wǎng)絡就可以互相ping啦
# 默認網(wǎng)絡的容器 ping 自定義網(wǎng)絡的容器 [root@VM_0_5_centos ~]# docker exec -it centos_1 ping centos01_mynet PING centos01_mynet (192.168.0.1) 56(84) bytes of data. 64 bytes from centos01_mynet.mynet (192.168.0.1): icmp_seq=1 ttl=64 time=0.037 ms 64 bytes from centos01_mynet.mynet (192.168.0.1): icmp_seq=2 ttl=64 time=0.051 ms 64 bytes from centos01_mynet.mynet (192.168.0.1): icmp_seq=3 ttl=64 time=0.048 ms # 自定義網(wǎng)絡的容器 ping 默認網(wǎng)絡的容器 [root@VM_0_5_centos ~]# docker exec -it centos02_mynet ping centos_1 PING centos_1 (192.168.0.4) 56(84) bytes of data. 64 bytes from centos_1.mynet (192.168.0.4): icmp_seq=1 ttl=64 time=0.038 ms 64 bytes from centos_1.mynet (192.168.0.4): icmp_seq=2 ttl=64 time=0.049 ms 64 bytes from centos_1.mynet (192.168.0.4): icmp_seq=3 ttl=64 time=0.048 ms
自定義網(wǎng)絡的連接原理
當我們創(chuàng)建自定義網(wǎng)卡后，想要聯(lián)通某個容器，它是直接和容器內的網(wǎng)卡連接的，而不是去連接自定義網(wǎng)絡的網(wǎng)卡；它們之間的關系如下圖
總結
以上為個人經(jīng)驗，希望能給大家一個參考，也希望大家多多支持腳本之家。
相關文章
搭建docker內網(wǎng)私服的方法（docker-registry with nginx&ssl on centos）
這篇文章主要介紹了搭建docker內網(wǎng)私服的方法（docker-registry with nginx&ssl on centos），小編覺得挺不錯的，現(xiàn)在分享給大家，也給大家做個參考。一起跟隨小編過來看看吧2018-05-05
Docker+K8S 集群環(huán)境搭建及分布式應用部署
這篇文章主要介紹了Docker+K8S 集群環(huán)境搭建及分布式應用部署，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧2020-07-07
docker for windonws之Windows 10 家庭中文版安裝cl
這篇文章主要介紹了docker for windonws之Windows 10 家庭中文版安裝clickhouse 22.3版本及配置,本文通過圖文并茂的形式給大家介紹的非常詳細，對大家的學習或工作具有一定的參考借鑒價值，需要的朋友可以參考下2022-08-08
本文主要簡單介紹 docker 容器與前置進程的關系，以及如何編寫 Dockerfile/docker-compose.yml 優(yōu)雅的讓容器可以常駐運行。具有一定的參考價值，感興趣的小伙伴們可以參考一下2019-01-01
小編在使用docker部署應用的時候，無法使用IP地址訪問，防火墻已經(jīng)關閉，可以ping通，應用已經(jīng)配置0.0.0.0，怎么回事？下面小編給大家介紹下docker部署服務，ip無法訪問，服務正常的解決方法，感興趣的朋友一起看看吧2022-09-09
文章介紹了Docker容器打包變大的原因,并提供了解決方法,具體步驟包括使用export命令導出容器,然后使用import命令導入鏡像,最后將鏡像展開成容器,這種方法可以有效減少鏡像文件的大小,避免因Docker鏡像層的概念導致的文件膨脹問題2025-03-03
在使用Docker部署項目時,即使未開啟CentOS7的Firewalld防火墻,端口仍可被外網(wǎng)訪問,這是因為Docker在安裝后會接管iptables,并自動添加規(guī)則以放行指定端口,解決方法包括依賴外置防火墻放行端口、指定端口監(jiān)聽地址為本機、禁用Docker的iptables規(guī)則修改2024-10-10
今天小編就為大家分享一篇關于Dockerfile指令與基本結構的講解，小編覺得內容挺不錯的，現(xiàn)在分享給大家，具有很好的參考價值，需要的朋友一起跟隨小編來看看吧2019-03-03
這篇文章主要為大家介紹了pod調度將Pod指派給節(jié)點 示例詳解，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進步，早日升職加薪2022-11-11
這篇文章主要介紹了Docker?Volume的用法,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2024-02-02