Docker 网络管理

网络模式

容器网络访问原理

桥接宿主机网络和配置固定IP地址

Docker 支持五种网络模式：

1、网络模式： --net

1.1 bridge

默认网络，Docker启动后默认创建一个docker0网桥，默认创建的容器也是添加到这个网桥中

1.2 host

容器不会获得一个独立的network namespace,而是和宿主机共用一个,使用方法 --net host，这个一般用的比较小，这种情况下，比如说我们容器启用了80的端口，其实也就是占用了宿主机的80端口

1.3 none

获取独立的network namespace,但不为容器进行任何网络配置,进去没有eth0网络，但是有独立的网络空间

1.4 container

和指定的容器使用同一个network namespace,网卡配置也是相同的，（多个容器可以指定共用一个网络）

1.5 自定义

自定义网桥，默认和bridge网络一样

bridge：

[root@node02 ~]# docker network ls

NETWORK ID          NAME                DRIVER              SCOPE

c8f4ff0091d8        bridge              bridge              local

88e3f6329cf3        host                host                local

173e62eaa733        lnmp                bridge              local

b6d9db4c6d31        none                null                local

[root@node02 ~]# docker inspect lnmp

[

    {

        "Name": "lnmp",

        "Id": "173e62eaa733c8783e1d6ee0cb4e65afab7b4469d0eb36a034ccd43e84650da7",

        "Created": "2018-09-10T18:12:55.98358342+08:00",

        "Scope": "local",

        "Driver": "bridge",

        "EnableIPv6": false,

        "IPAM": {

            "Driver": "default",

            "Options": {},

            "Config": [

                {

                    "Subnet": "172.17.0.0/16",

                    "Gateway": "172.17.0.1"

                }

            ]

        },

        "Internal": false,

        "Attachable": false,

        "Ingress": false,

        "ConfigFrom": {

            "Network": ""

        },

        "ConfigOnly": false,

        "Containers": {

            "306965c1bd589f8f6fe754280b5daeb724153fac8137837c9328acdfacad7cda": {

                "Name": "lnmp_web",

                "EndpointID": "bdddc0a754cb30c1c3d7fa512dfb3f620daee665c8ce19fd2a9ab433443aaccb",

                "MacAddress": "02:42:ac:11:00:03",

                "IPv4Address": "172.17.0.3/16",

                "IPv6Address": ""

            },

            "91bba818c0e5d246794d66898e33e5947d6995302f428128dd83e97989781635": {

                "Name": "lnmp_mysql",

                "EndpointID": "db553cf6aa4e294731da08cd7a9754a3183b62faa565d4e72b19c4412d4e98dd",

                "MacAddress": "02:42:ac:11:00:02",

                "IPv4Address": "172.17.0.2/16",

                "IPv6Address": ""

            }

        },

        "Options": {},

        "Labels": {}

    }

]

[root@node02 ~]# ifconfig

br-173e62eaa733: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500

        inet 172.17.0.1  netmask 255.255.0.0  broadcast 172.17.255.255

        inet6 fe80::42:9bff:fe5d:dd78  prefixlen 64  scopeid 0x20<link>

        ether 02:42:9b:5d:dd:78  txqueuelen 0  (Ethernet)

        RX packets 3406918  bytes 299604640 (285.7 MiB)

        RX errors 0  dropped 0  overruns 0  frame 0

        TX packets 3406918  bytes 299604640 (285.7 MiB)

        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

docker0: flags=4099<UP,BROADCAST,MULTICAST>  mtu 1500

        inet 172.30.39.1  netmask 255.255.255.0  broadcast 172.30.39.255

        inet6 fe80::42:50ff:fe75:a932  prefixlen 64  scopeid 0x20<link>

        ether 02:42:50:75:a9:32  txqueuelen 0  (Ethernet)

        RX packets 52  bytes 5776 (5.6 KiB)

        RX errors 0  dropped 0  overruns 0  frame 0

        TX packets 69  bytes 6044 (5.9 KiB)

        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

默认情况下docker的网络方式是bridge,在宿主机会创建一个网桥docker0

Docker 容器的网络的访问原理：

veth 是一个虚拟的网络设备和Docker的eth一对一对应

这里我们装一下查看网桥的工具

yum install -y bridge-utils

bridge show

然后docker0 通过转发和宿主机的eth0进行转发和外部网络通信

容器访问外部
# iptables -t nat -nL
Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
MASQUERADE all -- 172.17.0.0/16 0.0.0.0/0
外部访问容器
# iptables -t nat -nL
Chain DOCKER (2 references)
target prot opt source destination
DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:88 to:172.18.0.2:80

桥接宿主机网络与配置固定IP地址

临时生效：

# 网桥名称

br_name=br0

# 添加网桥

brctl addbr $br_name

# 给网桥设置IP

ip addr add 192.168.0.211（宿主机IP）/24 dev $br_name

# 删除已存在的eth0网卡配置

ip addr del 192.168.0.211/24 dev eth0

# 激活网桥

ip link set $br_name up

# 添加eth0到网桥

brctl addif $br_name eth0

# 添加路由

ip route add default via 192.168.0.1 dev br0

执行上面的脚本，br0就具有物理网卡了

还需要在Docker启动时桥接这个网桥：

# vi /usr/lib/systemd/system/docker.service

ExecStart=/usr/bin/dockerd -b=br0

# systemctl restart docker

永久生效：

# vi /etc/sysconfig/network-scripts/ifcfg-eth0

DEVICE=eth0

TYPE=Ethernet

ONBOOT=yes

BRIDGE=br0

# vi /etc/sysconfig/network-scripts/ifcfg-br0

DEVICE=br0

TYPE=Bridge

ONBOOT=yes

BOOTPROTO=static

IPADDR=192.168.0.211

NETMASK=255.255.255.0

GATEWAY=192.168.0.1

DNS1=114.114.114.114

pipework工具配置容器固定IP
git clone https://github.com/jpetazzo/pipework.git
cp pipework/pipework /usr/local/bin/
docker run -itd --net=none --name test01 ubuntu
pipework br0 test01 192.168.0.123/24@192.168.0.1

这个配置过网络之后，容器得到的IP和宿主机是在一个网段的，这个时候可以上外网了。但是这个时候我们要是重启这个容器的话docker restart test01，这个容器的IP就没有了

我们看一下这个脚本

C_ID=$(docker run -itd --net=none ubuntu)

C_PID=$(docker inspect -f '{{.State.Pid}}' $C_ID)

# 创建network namespace目录并将容器的network namespace软连接到此目录，以便ip netns命令读取

mkdir -p /var/run/netns

ln -s /proc/$C_PID/ns/net /var/run/netns/$C_PID

# 添加虚拟网卡veth+容器PID，类型是veth pair，名称是vp+容器PID

ip link add veth$C_PID type veth peer name vp$C_PID

# 添加虚拟网卡到br0网桥

brctl addif br0 veth$C_PID

# 激活虚拟网卡

ip link set veth$C_PID up

# 设置容器网络信息

IP='192.168.0.123/24'

GW='192.168.0.1'

# 给进程配置一个network namespace

ip link set vp$C_PID netns $C_PID

# 在容器进程里面设置网卡信息

ip netns exec $C_PID ip link set dev vp$C_PID name eth0

ip netns exec $C_PID ip link set eth0 up

ip netns exec $C_PID ip addr add $IP dev eth0

ip netns exec $C_PID ip route add default via 192.168.1.1