docker如何自定義網(wǎng)絡(luò)問題

更新時間：2023年03月12日 15:31:17 作者：java葉新東老師

這篇文章主要介紹了docker如何自定義網(wǎng)絡(luò)問題，具有很好的參考價值，希望對大家有所幫助。如有錯誤或未考慮完全的地方，望不吝賜教

首先看看網(wǎng)卡的信息

通過ip addr命令可以看到，這里有三個網(wǎng)卡，

lo：本機回環(huán)地址
etho ：默認網(wǎng)卡
docker0 ：docker的網(wǎng)卡

[root@VM_0_5_centos dockerFile]# ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN qlen 1
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 52:54:00:6f:cb:a8 brd ff:ff:ff:ff:ff:ff
    inet 172.27.0.5/20 brd 172.27.15.255 scope global eth0
       valid_lft forever preferred_lft forever
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN 
    link/ether 02:42:27:d8:f7:98 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
       valid_lft forever preferred_lft forever

docker網(wǎng)絡(luò)原理

veth-pair技術(shù)

顧名思義，veth-pair 就是一對的虛擬設(shè)備接口，和 tap/tun 設(shè)備不同的是，它都是成對出現(xiàn)的。一端連著協(xié)議棧，一端彼此相連

我們每啟動一個docker容器，docker就會給docker容器分配一個ip，并會生成一對（2個）網(wǎng)卡，因為我們在安裝docker容器時就會安裝一個docker專用的網(wǎng)卡；所以啟動后，不但容器里面會有一個網(wǎng)卡，宿主機也有有一個網(wǎng)卡用來專門綁定容器用的；所以它們的網(wǎng)卡是一對一對出現(xiàn)的，這就是veth-pair技術(shù)；

測試一下，現(xiàn)在我們啟動2個容器，然后在宿主機上輸入命令ip addr，結(jié)果如下，我們發(fā)現(xiàn)，除了剛剛那三個網(wǎng)卡之外，多出了115和117這2個網(wǎng)卡，其中這2個網(wǎng)卡就是用來綁定容器使用的，仔細看

115: veth69cdd46@if114：最后面有個114，所以就可以肯定，宿主機的115網(wǎng)卡綁定了容器的 114網(wǎng)卡
117: vethff2062e@if116 ：同理，117綁定了容器內(nèi)的116網(wǎng)卡

[root@VM_0_5_centos ~]# ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN qlen 1
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 52:54:00:6f:cb:a8 brd ff:ff:ff:ff:ff:ff
    inet 172.27.0.5/20 brd 172.27.15.255 scope global eth0
       valid_lft forever preferred_lft forever
3: docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP 
    link/ether 02:42:27:d8:f7:98 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
       valid_lft forever preferred_lft forever
115: veth69cdd46@if114: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master docker0 state UP 
    link/ether 86:d1:9d:ae:1b:d6 brd ff:ff:ff:ff:ff:ff link-netnsid 0
117: vethff2062e@if116: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master docker0 state UP 
    link/ether 06:b4:54:e7:d4:57 brd ff:ff:ff:ff:ff:ff link-netnsid 1

所以這2對網(wǎng)卡都公用一個路由器，這2對網(wǎng)卡都是由docker0網(wǎng)卡分配的；并且docker容器中所有的網(wǎng)卡都是虛擬的；虛擬網(wǎng)卡轉(zhuǎn)發(fā)效率快；

容器互聯(lián) --link

每次連接或者ping的時候都需要寫ip才能ping通，有了link之后我們就可以直接通過容器的名稱來連接了；比如說我現(xiàn)在有2個centos的容器，想要在centos_1 通過容器名稱去ping centos_2，那么這時候在啟動容器時就可以加上--link選項來實現(xiàn)

# 1、先啟動centos_2容器
docker run -d -it --name centos_2 centos

# 2、啟動centos_1 容器，并且和centos_2產(chǎn)生連接
docker run -d -it --name centos_1 --link centos_2 centos

# 3、進入centos_1
docker attach centos_1

# 4、在容器centos_1內(nèi)部直接ping centos_2 ，結(jié)果我們發(fā)現(xiàn)是可以ping通的
[root@c5b2b47d5c52 /]# ping centos_2  
PING centos_2 (172.17.0.4) 56(84) bytes of data.
64 bytes from centos_2 (172.17.0.4): icmp_seq=1 ttl=64 time=0.098 ms
64 bytes from centos_2 (172.17.0.4): icmp_seq=2 ttl=64 time=0.051 ms
64 bytes from centos_2 (172.17.0.4): icmp_seq=3 ttl=64 time=0.054 ms

注意

這里有一點需要注意，目前我們只能在centos_1 去ping centos_2 ，在centos_2 里是不可以ping centos_1的。因為centos_2在啟動的時候沒有加--link選項；

容器互聯(lián)底層原理

–link 是什么原理呢？它在內(nèi)部是怎么做到的呢？

其實非常簡單，當我們在啟動容器時加上 --link選項之后，docker在容器內(nèi)部的 /etc/hosts 就加上了centos_2的配置，我們來看看就知道了，進入容器centos_1查看hosts文件，倒數(shù)第二行看到了嗎，原理就是這么簡單;

[root@c5b2b47d5c52 /]# cat /etc/hosts 
127.0.0.1	localhost
::1	localhost ip6-localhost ip6-loopback
fe00::0	ip6-localnet
ff00::0	ip6-mcastprefix
ff02::1	ip6-allnodes
ff02::2	ip6-allrouters
172.17.0.4	centos_2 126798c30683
172.17.0.5	c5b2b47d5c52

因為這個太簡單了，所以目前已經(jīng)不建議使用–link了；這也就是給新手用用而已；

容器互聯(lián) - 自定義網(wǎng)絡(luò)

自定義容器可使不同的集群使用不通的網(wǎng)絡(luò)，保證了集群是安全和健康的，

自定義網(wǎng)絡(luò)的命令主要有以下幾項

# 查看本機docker所有網(wǎng)絡(luò)
docker network ls

# 創(chuàng)建網(wǎng)絡(luò)  --driver 是網(wǎng)絡(luò)模式，--subnet是子網(wǎng)掩碼，后面的/16表示可以生成6萬多個ip， --gateway是網(wǎng)關(guān)地址
docker network create 網(wǎng)絡(luò)名稱 --driver bridge --subnet 192.168.0.1/16 --gateway 192.168.0.2 mynet

# 將容器加入到當前網(wǎng)絡(luò)
docker network connect 網(wǎng)絡(luò)名稱 容器名稱

# 斷開容器的網(wǎng)絡(luò) （容器必須是運行狀態(tài)才能斷開連接）
docker network disconnect 網(wǎng)絡(luò)名稱 容器名稱

# 查看網(wǎng)絡(luò)的詳細信息
docker network inspect 網(wǎng)絡(luò)id/網(wǎng)絡(luò)名稱

#刪除網(wǎng)絡(luò)
docker network rm 網(wǎng)絡(luò)id/網(wǎng)絡(luò)名稱

# 刪除所有未使用的網(wǎng)絡(luò)
docker network prune --f

查看所有的docker網(wǎng)絡(luò)

[root@VM_0_5_centos ~]# docker network ls
NETWORK ID     NAME      DRIVER    SCOPE
f77512c426f3   bridge    bridge    local
7a19c378ddd5   host      host      local
62ad5c8176f0   none      null      local

# 說明
  NETWORK ID 網(wǎng)絡(luò)id
  NAME 網(wǎng)絡(luò)名稱 
  DRIVER 網(wǎng)絡(luò)模式
  SCOPE 作用域

網(wǎng)絡(luò)模式分類

bridge ：橋接（默認），B和C通過A來連接，A就是路由
none：不配置網(wǎng)絡(luò)
host：主機模式，和宿主機共享網(wǎng)絡(luò)；
container：容器網(wǎng)絡(luò)聯(lián)通（用的少，局限性大）

啟動說明

通常我們啟動容器的命令是這樣的
docker run -d -P --name tomcat01 tomcat 

# 但其實，啟動的命令中還隱藏了一個選項，就是網(wǎng)絡(luò)的配置選項，
# 如果你不加網(wǎng)絡(luò)選項的話，默認的docker會幫我們加上一個配置，如下
docker run -d -P --name tomcat01 --net bridge tomcat

創(chuàng)建自定義網(wǎng)絡(luò)

# --driver 是網(wǎng)絡(luò)模式，--subnet是子網(wǎng)掩碼，后面的/16表示可以生成6萬多個ip， --gateway是網(wǎng)關(guān)地址
docker network create --driver bridge --subnet 192.168.0.1/16 --gateway 192.168.0.2 mynet

查看一下docker網(wǎng)絡(luò)，可以看到mynet已經(jīng)創(chuàng)建號了

[root@VM_0_5_centos ~]# docker network ls
NETWORK ID     NAME      DRIVER    SCOPE
f77512c426f3   bridge    bridge    local
7a19c378ddd5   host      host      local
00373dcd1ddb   mynet     bridge    local
62ad5c8176f0   none      null      local

啟動容器后就可以指定自定義的網(wǎng)絡(luò)了

# 啟動第一個使用了自定義網(wǎng)絡(luò)的centos
docker run -d -P -it --name centos01_mynet --net mynet centos 

# 啟動第二個使用了自定義網(wǎng)絡(luò)的centos
docker run -d -P -it --name centos02_mynet --net mynet centos

centos01_mynet 和 centos02_mynet 之間都是可以互相ping通的

# centos01_mynet ping  centos02_mynet
[root@VM_0_5_centos ~]# docker exec -it centos01_mynet ping centos02_mynet 
PING centos02_mynet (192.168.0.3) 56(84) bytes of data.
64 bytes from centos02_mynet.mynet (192.168.0.3): icmp_seq=1 ttl=64 time=0.054 ms
64 bytes from centos02_mynet.mynet (192.168.0.3): icmp_seq=2 ttl=64 time=0.042 ms
64 bytes from centos02_mynet.mynet (192.168.0.3): icmp_seq=3 ttl=64 time=0.039 ms


# centos02_mynet ping  centos01_mynet
[root@VM_0_5_centos ~]# docker exec -it centos02_mynet ping centos01_mynet 
PING centos01_mynet (192.168.0.1) 56(84) bytes of data.
64 bytes from centos01_mynet.mynet (192.168.0.1): icmp_seq=1 ttl=64 time=0.037 ms
64 bytes from centos01_mynet.mynet (192.168.0.1): icmp_seq=2 ttl=64 time=0.040 ms
64 bytes from centos01_mynet.mynet (192.168.0.1): icmp_seq=3 ttl=64 time=0.070 ms

隔離測試

啟動一個使用了默認網(wǎng)絡(luò)的centos

docker run -d -P --name centos_1 -it centos

然后使用自定義網(wǎng)絡(luò)的centos01_mynet 去 ping 默認網(wǎng)絡(luò)的centos_1，我們發(fā)現(xiàn)是ping不通的

[root@VM_0_5_centos ~]# docker exec -it centos02_mynet ping centos_1
ping: centos_1: Name or service not known

打通自定義網(wǎng)絡(luò)和默認網(wǎng)絡(luò)的連接

剛剛我們測試過了，自定義網(wǎng)絡(luò)和默認網(wǎng)絡(luò)是不通的，這樣就起到了隔離的作用，那如果我們想要打通這兩個網(wǎng)絡(luò)應(yīng)該怎么辦呢？其實很簡答，，docker已經(jīng)幫我們想好了，只需要使用 connect 指令即可

# 執(zhí)行以下命令打通 默認網(wǎng)絡(luò)和自定義網(wǎng)絡(luò)
docker network connect mynet centos_1

打通后，默認網(wǎng)絡(luò)和自定義網(wǎng)絡(luò)就可以互相ping啦

# 默認網(wǎng)絡(luò)的容器 ping 自定義網(wǎng)絡(luò)的容器 
[root@VM_0_5_centos ~]# docker exec -it centos_1 ping centos01_mynet 
PING centos01_mynet (192.168.0.1) 56(84) bytes of data.
64 bytes from centos01_mynet.mynet (192.168.0.1): icmp_seq=1 ttl=64 time=0.037 ms
64 bytes from centos01_mynet.mynet (192.168.0.1): icmp_seq=2 ttl=64 time=0.051 ms
64 bytes from centos01_mynet.mynet (192.168.0.1): icmp_seq=3 ttl=64 time=0.048 ms

#  自定義網(wǎng)絡(luò)的容器 ping 默認網(wǎng)絡(luò)的容器
[root@VM_0_5_centos ~]# docker exec -it centos02_mynet ping centos_1 
PING centos_1 (192.168.0.4) 56(84) bytes of data.
64 bytes from centos_1.mynet (192.168.0.4): icmp_seq=1 ttl=64 time=0.038 ms
64 bytes from centos_1.mynet (192.168.0.4): icmp_seq=2 ttl=64 time=0.049 ms
64 bytes from centos_1.mynet (192.168.0.4): icmp_seq=3 ttl=64 time=0.048 ms

自定義網(wǎng)絡(luò)的連接原理

當我們創(chuàng)建自定義網(wǎng)卡后，想要聯(lián)通某個容器，它是直接和容器內(nèi)的網(wǎng)卡連接的，而不是去連接自定義網(wǎng)絡(luò)的網(wǎng)卡；它們之間的關(guān)系如下圖